计算机网络-网络层-网终地址转换NAT

网终地址转换NAT (Network Address Translation)需要在专用网连接到互联网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球P地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球P地址，才能和互联网连接。

图4-60给出了NAT路由器的工作原理。在图中，专用网192.168.0.0内所有主机的P地址都是本地P地址192.168.x.x。NAT路由器至少要有一个全球P地址，才能和互联网相连。图4-60表示出NAT路由器有一个全球IP地址172.38.1.5（当然，NAT路由器可以有多个全球IP地址)。

NAT路由器收到从专用网内部的主机A发往互联网上主机B的IP数据报：源IP地址是192.168.0.3，而目的IP地址是213.18.2.4。NAT路由器把IP数据报的源IP地址192.168.0.3,转换为新的源IP地址（即NAT路由器的全球IP地址）172.38.1.5，然后转发出去。因此，主机B收到这个IP数据报时，以为A的IP地址是172.38.1.5。当B给A发送应答时，IP数据报的目的IP地址是NAT路由器的IP地址172.38.1.5。B并不知道A的专用地址192.168.0.3。当NAT路由器收到互联网上的主机B发来的IP数据报时，还要进行一次IP地址的转换。通过NAT地址转换表，就可把IP数据报上的旧的目的IP地址172.38.1.5，转换为新的目的IP地址192.168.0.3（主机A真正的本地IP地址)。

由此可见，当NAT路由器具有n个全球P地址时，专用网内最多可以同时有n台主机接入到互联网。这样就可以使专用网内较多数量的主机，轮流使用NAT路由器有限数量的全球IP地址。

显然，通过NAT路由器的通信必须由专用网内的主机发起。设想互联网上的主机要发起通信，当IP数据报到达NAT路由器时，NAT路由器就不知道应当把目的P地址转换成专用网内的哪一个本地IP地址。这就表明，这种专用网内部的主机不能充当服务器用，因为互联网上的客户无法请求专用网内的服务器提供服务。

为了更加有效地利用NAT路由器上的全球IP地址，现在常用的NAT转换表把运输层的端口号也利用上。这样，就可以使多个拥有本地地址的主机，共用一个NAT路由器上的全球IP地址，因而可以同时和互联网上的不同主机进行通信。

使用端口号的NAT也叫做网络地址与端口号转换NAPT (Network Address and Port  Translation),而不使用端口号的NAT就叫做传统的NAT(traditional NAT)。

从表4-12可以看出，在专用网内主机192.168.0.3向互联网发送IP数据报，其TCP端口号选择为30000。NAPT把源IP地址和TCP端口号都进行转换（如果使用UDP,则对UDP的端口号进行转换原理是一样的)。另一台主机192.168.0.4也选择了同样的TCP端口号30000。这纯属巧合（端口号仅在本主机中才有意义）。现在NAPT把专用网内不同的源IP地址都转换为同样的全球IP地址。但对源主机所采用的TCP端口号（不管相同或不同)，则转换为不同的新的端口号。因此，当NAPT路由器收到从互联网发来的应答时，就可以从IP数据报的数据部分找出运输层的端口号，然后根据不同的目的端口号，从NAPT转换表中找到正确的目的主机。

应当指出，从层次的角度看，NAPT的机制有些特殊。普通路由器在转发P数据报时，对于源IP地址或目的P地址都是不改变的。但NAT路由器在转发IP数据报时，一定要更换其IP地址（转换源IP地址或目的IP地址）。其次，普通路由器在转发分组时，是工作在网络层，并且NAPT路由器还要查看和转换运输层的端口号。

内网穿透，也就是 NAT 穿透，是一种网络地址的转换技术；进行 NAT 穿透，是为了使具有某一个特定源 IP 地址和源端口号的数据包不被 NAT 设备屏蔽而正确路由到内网主机。在数据中心网络中，内网穿透可将私有地址映射到公网，同时它也解决了IP地址匮乏的问题，满足用户对IP地址的应用需求。

对于内网穿透技术中基础NAT和NAPT，以及NAPT中对称型NAT和非对称型NAT的区别，大家可能并不怎么了解，这里我来为大家详细说一说这两种内网穿透的类型。

一般来说，我们数据中心的服务器一般分为两个网卡，一个提供内网，一个提供外网，内网访问时我们一般采用的是私有地址，而外网访问采用的是公共地址。根据目前网络发展趋势来看，公共地址数量有限，而内网使用大量的私有地址，通过内网穿透技术，可以实现私有地址和公有地址的转化。

内网穿透技术一般分为两大类，一是基础NAT，另一个是NAPT。基础NAT是将私有地址转化为公有IP地址，但不会将TCP/UDP端口信息转换，并且有动态和静态区分。然而，NAPT是人们较为熟悉的转换方式，将私有地址映射到公有网络地址上，同时会加上NAT设备选定的TCP端口。所以，NAPT又被分为对称型NAT和非对称型NAT。

对称型NAT

该类型的NAT也被称为圆锥型NAT，可将私有地址设备用一个IP连接外面的服务器，在NAT服务器上映射的否是同一个IP地址，换句话说就是私有地址和端口在NAT上都只有一个出口，属于一对多的关系。

非对称型NAT

什么是非对称型NAT？其实，圆锥型NAT也可以被称为非对称型NAT。非对称型NAT和对称型NAT相反，它能为每一个新的绘画分配新的端口号，而对称型NAT不保证会话中的私有地址、端口之间的一致性。

当然，NAT技术不仅仅上述几个，它的技术种类非常多，不同技术应用于不同网络需求。而花生壳内网穿透采用的内网穿透技术是NAT-DDNS技术，主要是利用动摇域名服务和网络地址转化的服务器实现公私网动态映射的方法。该技术和传统DDNS技术相比较，其难度系数较大，主要是采用域名+端口的访问方式。

NAT是数据网络必备技术，它往往会应用于数据中心的网络出口处，实现数据中心内部访问外部的目的，或者外部访问内部数据的流量要经过NAT设备，确保访问的安全性。一旦NAT出现问题，往往会造成网络访问阻碍，甚至会出现数据安全性问题。

内网穿透的功能可以摆脱无公网IP及NAT转发导致无法使用的问题，同时支持公网IP解析，解决了国内用户所面临的动态域名解析的难题，也让互联网中的所有朋友都能访问，十分方便。

nat有三种实现方式：静态、动态和端口多路复用。

静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。

动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。

端口多路复用(Port

address

Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PAT，Port

Address

Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

---