NAT简介

• 在私网与外网通信的过程中， 私网与公网连接的边沿节点被称为路由器。 比如私网内部网络为 192.168.1.0 的网络。 路由器的公网 IP 为 112.93.114.32， 服务器的公网 IP 地址为120.93.24.180。 服务器发送数据与路由器公网 IP 时，能够将数据映射到私网中的机器；私网内的机器发送数据给服务器，路由器也能够映射为公网 IP 地址的过程，成为网络地址映射。
• NAT （Network Address Translation， 网络地址映射）是将公网地址映射为私网地址。
  而能够进行映射的网络装置被称为 NAT 路由器。
  

NAT 的原理

• 由于全球网络通信机器增加， IPv4 地址紧缺， 所以提出了 NAT 的理论， 通过公网 IP 地址与端口映射到私网机器的 IP 地址与端口。 这样就能通过少量的公有 IP 地址能够代表较多的私有 IP 地址，有助于减缓可用 IPv4 地址的耗尽。
  
• 私网内机器上操作系统中的一个网络进程， 与公网服务器 120.93.24.180 机器通信，NAT 路由器为每一个网络进程分配一个网络 IP 地址与端口，用于与公网服务器通信。 与此同时，公网服务器与私网内的网络进程通信，也是通过 NAT 路由器分配的网络 IP 地址与端口进入私网到达网络进程。

NAT的实现

• NAT 的实现方案有三种：静态转换，动态转换，端口地址映射。jian’ti

• 静态转换（Static NAT）： 私网 IP 地址转换为公网 IP 地址， 公网 IP 与私网 IP 地址通
  过一对一的配置，配置后是不能更改的。通过静态转换， 实现对私网中的网络进程进行访问。
  私网有多少私有地址需要与公网通信，需要配置与之对应的外网 IP 地址，并不节省公网 IP
  地址，所以一般不用。
  

• 动态转换（Dynamic NAT）： 为私网分配多个公网 IP 地址， 组成一个公网 IP 地址池。私网内部地址需要转换时， NAT 路由器从公网 IP 地址池中取出一个 IP 地址，分配给私网机器用于网络通信。 当私网机器数据传输结束后， NAT 路由器收回公网 IP 地址，返回 IP 地址池中。 分配后的 IP 地址是不能再用于其他数据传输。 在公网 IP 地址数量略少于私网机器数量的时候，可以采用动态转换
  

• 端口地址映射（Port Address Translation, PAT）： 改变私网内机器发送到公网数据包的源端口并进行端口转换 （如图 5-6。 私网内部的所有主机均可共享一个公网 IP 地址，实现对公网的访问， 从而能够最大限度的节省 IP 地址资源。 同时，有隐藏私网中的所有主机，有效避免其他公网机器的攻击。 目前 NAT 路由器应用最广的就是端口地址映射。
  

NAT种类

• 从 NAT 的技术实现角度， 可以分为三种，静态转换（Static NAT），动态转换（DynamicNAT）， 端口地址映射（Port Address Translation， PAT）。
• 从 NAT 的功能， 可以分为四种： 完全锥型 NAT（Full Cone NAT）， 对称 NAT（Symmetric NAT）， IP 限制锥型 NAT（IP Restricted Cone NAT），端口限制锥形 NAT（Port Restricted Cone NAT）。
  

完全锥型 NAT

• 完全锥型 NAT（Full Cone NAT），私网机器的网络进程（iAddr:iPort）被 NAT 路由器映射为公网地址（ pAddr:pPort），后续该网络进程的所有数据报文都被转换为公网地址（pAddr:pPort），公网任何一台机器发送报文到（pAddr:pPort），会被转发到私网机器的网络进程（iAddr:iPort）。也就是说只要知道映射的公网的ip：port，就可以从公网直接穿透到内网。
  

对称 NAT

• 对称 NAT（Symmetric NAT）， NAT 路由器会为私网机器的每一个网络进程都会分配一个地址与端口，从而把私网网络进程（iAddr1:iPort1） 与公网地址（pAddr1:pPort1）对应起来。后续NAT 路由器会把私网机器地址端口（iAddr1:iPort1）与公网地址端口（pAddr1:pPort1）完全相同的报文看作一个连接。
• 私网机器的网络进程每与一台公网机器通信， NAT 路由器都会重新分配一个地址端口。 这样使得每一个通信链路都是经过 NAT 路由器不同的端口。 公网机器往私网发送报文也是经过不一样的端口。 也就是说每多一个连接，就多一个端口映射。而不像完全锥形NAT，共用一个ip：port。
  

IP 限制锥形 NAT

• IP 限制锥型 NAT。限制锥型 NAT，只允许映射关系的对应公网 IP 地址机器，传输数据到私网机器。其他的公网 IP 地址机器发送数据给 NAT 路由器的公网 IP 地址与端口时， 则会被 NAT 路由器丢弃。也就是说NAT转换表中没有对应的目的ip，那么报文会被丢弃。

端口限制锥形 NAT

• 端口限制锥形 NAT（Port Restricted Cone NAT）， 在 IP 限制锥型 NAT 的基础上，又添加了一层端口限制。 限制了发送报文进入私网的 IP 地址与端口。也就是说NAT转换表中没有对应的ip：port，那么报文会被丢弃。