NAT的基本原理與應(yīng)用

NAT的基本原理與應(yīng)用演示文稿現(xiàn)在是1頁(yè)\一共有23頁(yè)\編輯于星期一1NAT技術(shù)實(shí)現(xiàn)了私網(wǎng)與公網(wǎng)的互訪，為私網(wǎng)提供了安全保障，也給公網(wǎng)帶來了安全隱患。前言現(xiàn)在是2頁(yè)\一共有23頁(yè)\編輯于星期一2學(xué)習(xí)指南NAT相關(guān)的基本概念重點(diǎn)理解NAT的入口和出口轉(zhuǎn)換流程現(xiàn)在是3頁(yè)\一共有23頁(yè)\編輯于星期一3參考資料RFC3022TraditionalIPNetworkAddressTranslator(TraditionalNAT)RFC2993ArchitecturalImplicationsofNATRFC2663IPNetworkAddressTranslator(NAT)TerminologyandConsiderationsRFC3027ProtocolComplicationswiththeIPNetworkAddressTranslator現(xiàn)在是4頁(yè)\一共有23頁(yè)\編輯于星期一4學(xué)習(xí)：NAT基本概念NAT工作原理目標(biāo)現(xiàn)在是5頁(yè)\一共有23頁(yè)\編輯于星期一5內(nèi)容介紹第1章NAT基本概念第2章NAT工作原理現(xiàn)在是6頁(yè)\一共有23頁(yè)\編輯于星期一6NAT基本概念NAT(NetworkAddressTranslator)網(wǎng)絡(luò)地址轉(zhuǎn)換，即改變IP報(bào)文中的源或目的地址的一種處理方式；使一個(gè)局域網(wǎng)中的多臺(tái)主機(jī)使用少數(shù)的合法地址訪問外部資源，也可以按照要求設(shè)定內(nèi)部的WWW、FTP、TELNET的服務(wù)提供給外部網(wǎng)絡(luò)使用；有效的隱藏了內(nèi)部局域網(wǎng)的主機(jī)IP地址，起到了安全保護(hù)的作用?，F(xiàn)在是7頁(yè)\一共有23頁(yè)\編輯于星期一7NAT基本概念公有地址和私有地址私有地址是指內(nèi)部網(wǎng)絡(luò)(局域網(wǎng)內(nèi)部)的主機(jī)地址，而公有地址是局域網(wǎng)的外部地址（在因特網(wǎng)上的全球唯一的IP地址）。因特網(wǎng)地址分配組織規(guī)定以下的三個(gè)網(wǎng)絡(luò)地址保留用做私有地址：-55-55-55現(xiàn)在是8頁(yè)\一共有23頁(yè)\編輯于星期一8NAT基本概念地址池地址池是由一些外部地址（全球唯一的IP地址）組合而成的，我們稱這樣的一個(gè)地址集合為地址池。在內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包通過地址轉(zhuǎn)換達(dá)到外部網(wǎng)絡(luò)時(shí)，將會(huì)選擇地址池中的某個(gè)地址作為轉(zhuǎn)換后的源地址，這樣可以有效利用用戶的外部地址，提高內(nèi)部網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)的能力?，F(xiàn)在是9頁(yè)\一共有23頁(yè)\編輯于星期一9NAT基本概念訪問控制列表訪問列表是由ACCESS-LIST命令生成的，它依據(jù)IP數(shù)據(jù)包報(bào)頭以及它承載的上層協(xié)議數(shù)據(jù)包頭的格式定義了一定的規(guī)則，可以表示允許或者是禁止具有某些特征(包頭數(shù)據(jù)可以描述的）的數(shù)據(jù)包，地址轉(zhuǎn)換按照這樣的規(guī)則判定哪些包是被允許轉(zhuǎn)換或者是禁止轉(zhuǎn)換，這樣可以禁止一些內(nèi)部的主機(jī)訪問外部網(wǎng)絡(luò)，提高一些網(wǎng)絡(luò)的安全性問題?，F(xiàn)在是10頁(yè)\一共有23頁(yè)\編輯于星期一10NAT基本概念轉(zhuǎn)換關(guān)聯(lián)轉(zhuǎn)換關(guān)聯(lián)就是將一個(gè)地址池和一個(gè)訪問列表關(guān)聯(lián)起來，這種關(guān)聯(lián)指定了“具有某些特征的IP報(bào)文”是使用“這樣的地址池中的地址”，而另一些可能是使用另外一個(gè)地址池中的地址。在地址轉(zhuǎn)換時(shí)，是根據(jù)這樣的對(duì)應(yīng)進(jìn)行地址轉(zhuǎn)換的。當(dāng)一個(gè)內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包文發(fā)往外部網(wǎng)絡(luò)時(shí)，首先根據(jù)訪問列表判定是否是允許的數(shù)據(jù)包，然后根據(jù)轉(zhuǎn)換的關(guān)聯(lián)找到于之相對(duì)應(yīng)的地址池，我們就可以把源地址轉(zhuǎn)換成這個(gè)地址池中的某一個(gè)地址，完成地址轉(zhuǎn)換?，F(xiàn)在是11頁(yè)\一共有23頁(yè)\編輯于星期一11NAT基本概念內(nèi)部服務(wù)器映射表內(nèi)部服務(wù)器映射表是由NATSERVER命令配置的，允許用戶依照自己的需要提供內(nèi)部服務(wù)。在轉(zhuǎn)換時(shí)，根據(jù)用戶的配置查找外部數(shù)據(jù)包的目的地址，如果是訪問內(nèi)部的服務(wù)器，則轉(zhuǎn)換成相應(yīng)的內(nèi)部服務(wù)器的目的地址和端口，達(dá)到訪問內(nèi)部服務(wù)器的目的。還原時(shí)對(duì)源地址進(jìn)行查找，判斷是否是從內(nèi)部服務(wù)器出去的報(bào)文，如果是將源地址轉(zhuǎn)換成相應(yīng)的外部地址?，F(xiàn)在是12頁(yè)\一共有23頁(yè)\編輯于星期一12內(nèi)容介紹第1章NAT基本概念第2章NAT工作原理現(xiàn)在是13頁(yè)\一共有23頁(yè)\編輯于星期一13NAT的基本工作原理NAT在系統(tǒng)中的位置現(xiàn)在是14頁(yè)\一共有23頁(yè)\編輯于星期一14NAT的基本工作原理透明的地址分配靜態(tài)的地址分配指一個(gè)特定的主機(jī)使用固定的地址訪問外部的網(wǎng)絡(luò)。動(dòng)態(tài)的地址分配是指NAT在一些地址中挑選一個(gè)地址，做為內(nèi)部網(wǎng)絡(luò)的主機(jī)訪問外部網(wǎng)絡(luò)的IP地址。無(wú)論是那種，地址的分配應(yīng)該對(duì)用戶來說是透明的?，F(xiàn)在是15頁(yè)\一共有23頁(yè)\編輯于星期一15NAT的基本工作原理NAT的基本工作方式：NAT－一對(duì)一的地址轉(zhuǎn)換PAT－多對(duì)一的地址轉(zhuǎn)換NPAT－多對(duì)多的地址轉(zhuǎn)換現(xiàn)在是16頁(yè)\一共有23頁(yè)\編輯于星期一16NAT的基本工作原理NAT方式現(xiàn)在是17頁(yè)\一共有23頁(yè)\編輯于星期一17NAT的基本工作原理NAT方式在出方向上轉(zhuǎn)換IP報(bào)文頭中的源IP地址，而不對(duì)端口進(jìn)行轉(zhuǎn)換。在私有網(wǎng)絡(luò)地址和外部網(wǎng)絡(luò)地址之間建立一對(duì)一映射，實(shí)現(xiàn)比較簡(jiǎn)單只轉(zhuǎn)換IP報(bào)文頭中的IP地址，所以適用于所有IP報(bào)文轉(zhuǎn)換現(xiàn)在是18頁(yè)\一共有23頁(yè)\編輯于星期一18NAT的基本工作原理PAT方式PAT（PortAddressTranslation）方式的地址轉(zhuǎn)換利用了TCP/UDP協(xié)議的端口號(hào)，進(jìn)行地址轉(zhuǎn)換。PAT方式的地址轉(zhuǎn)換是采用了“地址＋端口”的映射方式，因此可以使內(nèi)部局域網(wǎng)的許多主機(jī)共享一個(gè)IP地址訪問Internet。在私有網(wǎng)絡(luò)地址和外部網(wǎng)絡(luò)地址之間建立多對(duì)一映射。不同的內(nèi)部網(wǎng)地址，轉(zhuǎn)換時(shí)采用相同的公網(wǎng)地址，并依靠不同的端口號(hào)來區(qū)分每一個(gè)內(nèi)部網(wǎng)主機(jī)?，F(xiàn)在是19頁(yè)\一共有23頁(yè)\編輯于星期一19NAT的基本工作原理NPAT方式NPAT（Nat&PortAddressTranslation）方式的地址轉(zhuǎn)換也是利用了TCP/UDP協(xié)議的端口號(hào)，進(jìn)行地址轉(zhuǎn)換。私網(wǎng)地址和公網(wǎng)地址之間建立了多對(duì)多的映射關(guān)系。NPAT方式也是采用“地址＋端口”的映射關(guān)系，因此可以使內(nèi)部局域網(wǎng)的多個(gè)主機(jī)共享多個(gè)IP地址訪問Internet?，F(xiàn)在是20頁(yè)\一共有23頁(yè)\編輯于星期一20NAT的基本工作原理內(nèi)部服務(wù)器內(nèi)部服務(wù)器是一種反相的地址轉(zhuǎn)換。地址轉(zhuǎn)換屏蔽了內(nèi)部網(wǎng)絡(luò)中的主機(jī)，而內(nèi)部服務(wù)器可以提供外部網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的服務(wù)。可以配置WWW、FTP、Telnet等服務(wù)。內(nèi)部服務(wù)器映射表是由NATSERVER命令配置的，在轉(zhuǎn)換時(shí)，根據(jù)用戶的配置查找外部數(shù)據(jù)包的目的地址，如果是訪問內(nèi)部的服務(wù)器，則轉(zhuǎn)換成相應(yīng)的內(nèi)部服務(wù)器的目的地址和端口，達(dá)到訪問內(nèi)部服務(wù)器的目的。還原時(shí)對(duì)源地址進(jìn)行查