《網(wǎng)絡(luò)互聯(lián)技術(shù)與實(shí)踐》第九章

第九章網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）技術(shù)本章學(xué)習(xí)目標(biāo)掌握網(wǎng)絡(luò)地址轉(zhuǎn)換概念了解網(wǎng)絡(luò)地址轉(zhuǎn)換產(chǎn)生的背景熟悉網(wǎng)絡(luò)地址轉(zhuǎn)換分類掌握各種類型網(wǎng)絡(luò)地址轉(zhuǎn)換的配置過(guò)程9.1網(wǎng)絡(luò)地址轉(zhuǎn)換概述9.1.1概念

網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT，NetworkAddressTranslation）讓那些使用私有地址的內(nèi)部網(wǎng)絡(luò)連接到Internet或其他IP網(wǎng)絡(luò)的方式。NAT路由在將內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包發(fā)送到公用網(wǎng)絡(luò)時(shí)，在IP包的報(bào)頭把私有地址轉(zhuǎn)換成合法的公網(wǎng)IP地址。9.1.2IP地址耗盡情況介紹

目前廣泛使用的IP地址為IPv4，它是由32位二進(jìn)制數(shù)組成，從理論上講，IPv4可分配的IP地址數(shù)達(dá)到232即4294967296個(gè)，從當(dāng)時(shí)的網(wǎng)絡(luò)規(guī)模來(lái)看，這么龐大的地址數(shù)量，在短時(shí)間內(nèi)不可能分配完。自從20世紀(jì)90年代早期以來(lái)，因特網(wǎng)呈現(xiàn)爆炸式的增長(zhǎng)，人們對(duì)IP地址的需求也極具增長(zhǎng)。加上IP地址分配自身的特點(diǎn)，即分配網(wǎng)絡(luò)號(hào)而不是分配具體的IP地址。這樣導(dǎo)致的結(jié)果是：如果不采取措施，IP地址數(shù)量將很快耗盡。

為了解決IPv4地址耗盡帶來(lái)的問(wèn)題，提出了一個(gè)長(zhǎng)期的解決方案，該解決方案是采用新的尋址格式，即IPv6，IPv6是由128位二進(jìn)制組成，IPv6地址數(shù)量理論上講是目前使用的IPv4地址數(shù)量的296倍。將全球的IP地址由IPv4升級(jí)為IPv6不是一朝一夕就能完成的，需要長(zhǎng)期的過(guò)渡過(guò)程。

為了緩解IPv4地址缺乏問(wèn)題，目前采用一些措施，如可變長(zhǎng)子網(wǎng)掩碼（VLSM）、無(wú)類域間路由選擇（CIDR）以及網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（NAT）等。9.1.3私有地址

隨著Internet規(guī)模的不斷擴(kuò)大，對(duì)IP地址的需求也極速增長(zhǎng)，導(dǎo)致IP地址短缺問(wèn)題愈來(lái)愈嚴(yán)重。由因特網(wǎng)工程任務(wù)組（IETF）創(chuàng)建的RFC1918是一份用來(lái)解決IP地址短缺問(wèn)題的文檔。該文檔明確，為了滿足不同規(guī)模網(wǎng)絡(luò)的需求，在A，B，C類地址中分別拿出一部分地址作為私有地址。私有地址的特點(diǎn)是：⑴不需要申請(qǐng)，不同的單位內(nèi)部可以重復(fù)使用。大大方便了單位內(nèi)部電腦聯(lián)網(wǎng)問(wèn)題。

⑵私有地址不可以在Internet網(wǎng)上路由，不可以直接訪問(wèn)Internet。為了解決配置私有地址聯(lián)網(wǎng)的內(nèi)部電腦訪問(wèn)Internet，需要使用網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）技術(shù)，將內(nèi)部不能訪問(wèn)Internet的私有地址轉(zhuǎn)換成可以訪問(wèn)Internet的公網(wǎng)地址，公網(wǎng)地址可以在Internet上路由，可以訪問(wèn)Internet網(wǎng)絡(luò)。類地址范圍A10.0.0.0-10.255.255.255B172.16.0.0-172.31.255.255C192.168.0.0-192.168.255.255

從表中可以看出，私有地址范圍共有1個(gè)A類，16個(gè)B類和256個(gè)C類。其中A類地址適合超大規(guī)模公司內(nèi)部使用，B類網(wǎng)絡(luò)適合大規(guī)模公司內(nèi)部使用，C類網(wǎng)絡(luò)適合小規(guī)模單位內(nèi)部使用。當(dāng)然這只是習(xí)慣而已，并不是硬行規(guī)定。也就是說(shuō)內(nèi)部私有地址的配置過(guò)程中，即使是小規(guī)模的網(wǎng)絡(luò)也可以使用A類地址。由于不同的單位可以重復(fù)使用這些地址，所以不存在地址浪費(fèi)問(wèn)題。

大家在平時(shí)接觸到的校園網(wǎng)，企業(yè)網(wǎng)以及網(wǎng)吧等局域網(wǎng)中，看到的地址往往是上表列出的地址范圍，也就是私有地址。大家在不同的單位看到相同的私有地址配置也不足為怪了9.2地址轉(zhuǎn)換9.2.1概述

由于私有地址不可以在Internet上路由，擁有私有地址電腦向ISP發(fā)送訪問(wèn)Internet網(wǎng)絡(luò)請(qǐng)求時(shí)，ISP將會(huì)過(guò)濾它們。為了解決擁有私有地址電腦訪問(wèn)Internet網(wǎng)絡(luò)的問(wèn)題，采用網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)。

標(biāo)準(zhǔn)RFC1631就是為了解決該問(wèn)題而提出的，它定義一個(gè)稱為網(wǎng)絡(luò)地址轉(zhuǎn)換的過(guò)程，允許將分組中的IP地址轉(zhuǎn)換成一個(gè)不同的地址。由于公網(wǎng)IP地址才可以在Internet上路由，才可以訪問(wèn)Internet網(wǎng)絡(luò)，因此電腦訪問(wèn)Internet網(wǎng)絡(luò)需要使用公網(wǎng)地址。網(wǎng)絡(luò)地址轉(zhuǎn)換能夠?qū)崿F(xiàn)將內(nèi)部的私有地址轉(zhuǎn)換成公網(wǎng)地址在Internet上路由，從而達(dá)到訪問(wèn)Internet的目的。9.2.2網(wǎng)絡(luò)地址轉(zhuǎn)換類型

常見的網(wǎng)絡(luò)地址轉(zhuǎn)換類型有NAT和PAT，NAT轉(zhuǎn)換后，將一個(gè)內(nèi)部本地IP地址對(duì)應(yīng)一個(gè)內(nèi)部全局IP地址。PAT轉(zhuǎn)換后，將多個(gè)內(nèi)部本地地址轉(zhuǎn)換到內(nèi)部全局地址的一對(duì)多轉(zhuǎn)換，通過(guò)端口號(hào)確定其多個(gè)內(nèi)部主機(jī)的唯一性。術(shù)語(yǔ)類型術(shù)語(yǔ)含義Inside需要轉(zhuǎn)換成公網(wǎng)地址的內(nèi)部網(wǎng)絡(luò)Outside使用公網(wǎng)地址進(jìn)行通信的外部網(wǎng)絡(luò)InsideLocalAddress內(nèi)部本地地址，內(nèi)部網(wǎng)絡(luò)使用的地址，一般為私有地址InsideGlobalAddress內(nèi)部全局地址，用來(lái)代表內(nèi)部本地地址，一般為ISP提供的合法地址OutsideLocalAddress外部本地地址Outsideglobaladdress外部全局地址，數(shù)據(jù)在外部網(wǎng)絡(luò)使用的地址，是個(gè)合法地址常見的NAT和PAT配置各有兩種類型：靜態(tài)NAT和動(dòng)態(tài)NAT以及靜態(tài)PAT和動(dòng)態(tài)PAT靜態(tài)NAT和靜態(tài)PAT適用場(chǎng)合為：①存在內(nèi)部需要向外網(wǎng)絡(luò)提供信息服務(wù)的主機(jī)②內(nèi)部主機(jī)需要永久的一對(duì)一IP地址映射關(guān)系動(dòng)態(tài)NAT和動(dòng)態(tài)PAT適用場(chǎng)合為：①內(nèi)網(wǎng)電腦只需要訪問(wèn)外網(wǎng)服務(wù)，不需要對(duì)外提供信息服務(wù)②內(nèi)部主機(jī)數(shù)大于全局IP地址數(shù)9.3靜態(tài)NAT9.3.1概述

靜態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公有IP地址，IP地址對(duì)是一對(duì)一的，是一成不變的，某個(gè)私有IP地址只轉(zhuǎn)換為某個(gè)公網(wǎng)IP地址。借助于靜態(tài)轉(zhuǎn)換，可以實(shí)現(xiàn)外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)中某些特定設(shè)備(如服務(wù)器)的訪問(wèn)。9.3.2靜態(tài)NAT配置過(guò)程⑴、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside⑵、建立靜態(tài)的映射關(guān)系Router(config)#ipnatinsidesourcestatic192.168.1.7200.8.7.3其中192.168.1.7為內(nèi)部本地地址，200.8.7.3為內(nèi)部全局地址。9.3.3靜態(tài)NAT配置案例如圖9.1所示，模擬校園網(wǎng)訪問(wèn)Internet網(wǎng)絡(luò)的情況，為了測(cè)試網(wǎng)絡(luò)聯(lián)通性，在Internet上有一臺(tái)提供WEB服務(wù)的機(jī)器。各設(shè)備的地址配置情況如表9.3所示：9.4動(dòng)態(tài)NAT9.4.1動(dòng)態(tài)NAT概述

動(dòng)態(tài)NAT是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公網(wǎng)IP地址時(shí)，IP地址對(duì)是隨機(jī)的，是不確定的，所有被授權(quán)訪問(wèn)Internet的私有IP地址可隨機(jī)轉(zhuǎn)換為任何指定的合法IP地址。也就是說(shuō)，只要指定哪些內(nèi)部地址可以進(jìn)行轉(zhuǎn)換，以及用哪些合法地址作為外部地址時(shí)，就可以進(jìn)行動(dòng)態(tài)轉(zhuǎn)換。9.4.2動(dòng)態(tài)NAT配置動(dòng)態(tài)NAT配置過(guò)程如下：⑴、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ipnatoutside //宣告連接外網(wǎng)接口Router(config-if)#ipnatinside //宣告連接內(nèi)網(wǎng)接口⑵、定義內(nèi)部本地地址范圍Router(config)#access-list10permit192.168.1.00.0.0.255其中192.168.1.0/24為內(nèi)部地址范圍⑶、定義內(nèi)部全局地址池Router(config)#ipnatpoolabc200.8.7.3200.8.7.10netmask255.255.255.0其中200.8.7.3—200.8.7.10為內(nèi)部全局地址范圍⑷、建立映射關(guān)系Router(config)#ipnatinsidesourcelist10poolabc9.4.3動(dòng)態(tài)NAT配置案例

如圖所示，模擬校園網(wǎng)訪問(wèn)Internet網(wǎng)絡(luò)的情況。配置動(dòng)態(tài)NAT從而實(shí)現(xiàn)內(nèi)部電腦訪問(wèn)Internet網(wǎng)絡(luò)，各設(shè)備的地址配置情況如表所示：9.5PAT9.5.1PAT概述PAT（port-address-translation）是端口地址轉(zhuǎn)換，PAT可以看做是NAT的一部分。9.5.2PAT配置靜態(tài)PAT①定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside②建立靜態(tài)的映射關(guān)系Router(config)#ipnatinsidesourcestatictcp192.168.1.71024200.8.7.31024Router(config)#ipnatinsidesourcestaticudp192.168.1.71024200.8.7.31024動(dòng)態(tài)PAT①定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside②定義內(nèi)部本地地址范圍Router(config)#access-list10permit192.168.1.00.0.0.255③定義內(nèi)部全局地址池Router(config)#ipnatpoolabc200.8.7.3200.8.7.3netmask255.255.255.0④建立映射關(guān)系Router(config)#ipnatinsidesourcelist10poolabcoverload9.5.3PAT配置案例PAT的使用場(chǎng)合⑴缺乏全局IP地址，甚至只有一個(gè)連接ISP的全局IP地址⑵內(nèi)部網(wǎng)要求上網(wǎng)的主機(jī)數(shù)很多⑶提高內(nèi)網(wǎng)的安全性如圖所示，模擬仿真校園網(wǎng)訪問(wèn)Internet網(wǎng)絡(luò)情況，具體網(wǎng)絡(luò)參數(shù)配置如表所示