探索NAT：网络地址转换技术的深度解析

探索NAT：网络地址转换技术的深度解析

随着互联网的快速发展，IPv4地址资源日益紧张。为了解决这一问题，NAT（网络地址转换）技术应运而生。本文将深入解析NAT技术的基本原理、实现方法及其在实际网络环境中的应用场景，带您全面了解这一关键技术。

NAT产生背景

随着互联网用户的不断增多，IPv4公有地址资源变得日益紧张。此外，IPv4公有地址的分配不均也导致部分地区面临严重的地址短缺问题。为了解决这一困境，迫切需要采用过渡技术来缓解IPv4公有地址的不足。在这种背景下，NAT（Network Address Translation，网络地址转换）技术应运而生，成为解决IPv4地址短缺的重要手段。NAT不仅有效缓解了IP地址资源紧张的问题，还在提升网络安全和优化流量管理方面发挥了关键作用。

NAT技术原理

• NAT：对IP数据报文中的IP地址进行转换，是一种在现网中被广泛部署的技术，一般部署在网络出口设备，例如路由器或防火墙上。
• NAT的典型应用场景：在私有网络内部（园区、家庭）使用私有地址，出口设备部署NAT，对于“从内到外”的流量，网络设备通过NAT将数据包的源地址进行转换（转换成特定的公有地址），而对于“从外到内的”流量，则对数据包的目的地址进行转换。
• 通过私有地址的使用结合NAT技术，可以有效节约公网IPv4地址。

静态NAT

基本原理

每个私有地址都有一个与之对应并且固定的公有地址，即私有地址和公有地址之间的关系是一对一映射。

实现过程

如上图所示，其描述了静态NAT的基本原理，具体实现过程如下：

1. 192.168.1.1访问Internet时，源地址会被转换为122.1.2.1。Internet的回包目的地址为122.1.2.1，目的地址会被转换为192.168.1.1。
2. Internet上的主机主动访问122.1.2.3，报文的目的地址会被出口设备NAT转换为192.168.1.3。192.168.1.3的回包源地址192.168.1.3，经过出口设备时会被NAT转换为122.1.2.3。

配置实例

在R1上配置静态NAT将内网主机的私有地址一对一映射到公有地址：

[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]ip address 122.1.2.1 24
[R1-GigabitEthernet0/0/1]nat static global 122.1.2.1 inside 192.168.1.1
[R1-GigabitEthernet0/0/1]nat static global 122.1.2.2 inside 192.168.1.2
[R1-GigabitEthernet0/0/1]nat static global 122.1.2.3 inside 192.168.1.3

动态NAT

基本原理

静态NAT严格按照一对一的方式进行地址映射，这意味着即使内部主机长时间离线或不发送数据，对应的公有地址仍然被占用。为了解决地址浪费的问题，动态NAT引入了地址池的概念：将所有可用的公有地址组成一个地址池。当内部主机需要访问外部网络时，会临时分配一个未使用的地址池中的公有地址，并将其标记为"In Use"。当该主机不再访问外部网络时，系统会回收该公有地址并重新标记为"Not Use"。这种方式有效地优化了公有IP地址的利用率。

实现过程

如上图所示，其描述了动态NAT的基本原理，具体实现过程如下：

1. 选择一个地址池中未使用的地址作为转换后的地址，同时将该地址的标记变为"In Use"。
2. 生成一个临时的NAT映射表。
3. 查找NAT映射表，根据公有地址查找私有地址，并进行IP数据报文目的地址转换。

配置实例

在R1上配置动态NAT将内网主机的私有地址动态映射到公有地址：

[R1]nat address-group 1 122.1.2.1 122.1.2.3
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat

NAPT

基本原理

除了一对一的NAT转换方式外，网络地址端口转换NAPT（Network Address Port Translation）可以实现并发的地址转换。它允许多个内部地址映射到同一个公有地址上，因此也可以称为"多对一地址转换"或地址复用。NAPT方式属于多对一的地址转换，它通过使用"IP地址+端口号"的形式进行转换，使多个私网用户可共用一个公网IP地址访问外网。

实现过程

如上图所示，其描述了NAPT的基本原理，实现过程如下：

1. Router收到内网侧Host发送的访问公网侧Server的报文。比如收到Host A报文的源地址是10.1.1.100，端口号1025。
2. Router从地址池中选取一对空闲的"公网IP地址+端口号"，建立与内网侧报文"源IP地址+源端口号"间的NAPT转换表项（正反向），并依据查找正向NAPT表项的结果将报文转换后向公网侧发送。比如Host A的报文经Router转换后的报文源地址为1.1.1.1，端口号16384。
3. Router收到公网侧的回应报文后，根据其"目的IP地址+目的端口号"查找反向NAPT表项，并依据查表结果将报文转换后向私网侧发送。比如Server回应Host A的报文经Router转换后，目的地址为10.1.1.100，端口号1025。

配置实例

在R1上配置NAPT让内网所有私有地址通过122.1.2.1访问公网：

[R1]nat address-group 1 122.1.2.1 122.1.2.1
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1

Easy IP

基本原理

Easy IP方式可以利用访问控制列表来控制哪些内部地址可以进行地址转换。Easy IP方式特别适合小型局域网访问Internet的情况。这里的小型局域网主要指中小型网吧、小型办公室等环境，一般具有以下特点：内部主机较少、出接口通过拨号方式获得临时公网IP地址以供内部主机访问Internet。对于这种情况，可以使用Easy IP方式使局域网用户都通过这个IP地址接入Internet。

实现过程

如上图所示，其Easy IP方式的处理过程如下：

1. Router收到内网侧主机发送的访问公网侧服务器的报文。
2. Router利用公网侧接口的"公网IP地址+端口号"，建立与内网侧报文"源IP地址+源端口号"间的Easy IP转换表项（正反向），并依据查找正向Easy IP表项的结果将报文转换后向公网侧发送。
3. Router收到公网侧的回应报文后，根据其"目的IP地址+目的端口号"查找反向Easy IP表项，并依据查表结果将报文转换后向内网侧发送。

配置实例

在R1上配置Easy-IP让内网所有私有地址通过122.1.2.1访问公网：

[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000

NAT Server

基本原理

NAT具有"屏蔽"内部主机的作用，但有时内网需要向外网提供服务，比如提供WWW服务或者FTP服务。这种情况下需要内网的服务器不被"屏蔽"，外网用户可以随时访问内网服务器。NAT Server可以很好地解决这个问题，当外网用户访问内网服务器时，它通过事先配置好的"公网IP地址+端口号"与"私网IP地址+端口号"间的映射关系，将服务器的"公网IP地址+端口号"根据映射关系替换成对应的"私网IP地址+端口号"。

实现过程

如上图所示，其NAT Server的地址转换过程如下：

1. 在Router上配置NAT Server的转换表项。
2. Router收到公网用户发起的访问请求，设备根据该请求的"目的IP+端口号"查找NAT Server转换表项，找出对应的"私网IP+端口号"，然后用查找结果替换报文的"目的IP+端口号"。
3. Router收到内网服务器的回应报文后，根据该回应报文的"源IP地址+源端口号"查找NAT Server转换表项，找出对应的"公网IP+端口号"，然后用查找结果替换报文的"源IP地址+源端口号"。

配置实例

在R1上配置NAT Server将内网服务器192.168.1.10的8080端口映射到公有地址122.1.2.1的80端口：

[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]ip address 122.1.2.1 24
[R1-GigabitEthernet0/0/1]nat server protocol tcp global 122.1.2.1 www inside 192.168.1.10 8080

总结

在私有网络内使用私有地址，并在网络出口处使用NAT技术，可以有效减少网络所需的IPv4公有地址数量，从而缓解IPv4公有地址短缺的问题。本文详细介绍了不同类型的NAT技术及其应用：动态NAT、NAPT和Easy IP通过源地址转换，为私网主机访问公网提供了便捷途径；NAT Server则使内网主机能够对公网提供服务；静态NAT提供了一对一的地址映射，支持双向互访。通过这些NAT技术的灵活应用，网络架构得以优化，公有IP地址的使用效率也得到了显著提升。