第6章專用網(wǎng)絡(luò)連接課件

專用網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)單層互聯(lián)網(wǎng)結(jié)構(gòu)Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)兩層結(jié)構(gòu)：內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)目標(biāo)：保證內(nèi)部網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)報(bào)的機(jī)密性，同時(shí)又允許外部的通信。內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2外部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)專用網(wǎng)絡(luò)專用網(wǎng)絡(luò)（privatenetwork）一個(gè)物理上完全隔離的專用互聯(lián)網(wǎng)采用TCP/IP互聯(lián)網(wǎng)絡(luò)技術(shù)不與Internet連接所有數(shù)據(jù)傳輸都是保密的可以按照內(nèi)部的規(guī)則來分配內(nèi)部IP地址專用網(wǎng)絡(luò)Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2專用網(wǎng)絡(luò)租用線路混合網(wǎng)絡(luò)混合網(wǎng)絡(luò)同時(shí)具備Internet連接和專用網(wǎng)絡(luò)連接訪問Internet內(nèi)部數(shù)據(jù)傳輸保密性混合網(wǎng)絡(luò)Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2租用線路VPN概述降低網(wǎng)絡(luò)成本構(gòu)建專用網(wǎng)絡(luò)和混合網(wǎng)絡(luò)需要很高的成本租用成本更低的幀中繼或ATMPVC，替代同等容量的T1的線路；通過Internet傳輸數(shù)據(jù)，放棄租用線路，從而將線路費(fèi)用降到最低。安全性與網(wǎng)絡(luò)成本的矛盾虛擬專用網(wǎng)絡(luò)VPNVPN中任何一對計(jì)算機(jī)之間的通信對于外來者保密。提供了與專用網(wǎng)絡(luò)相似的保密性。不需要租用專門的線路。通過Internet在網(wǎng)點(diǎn)間傳遞通信量。隧道傳輸和加密技術(shù)

VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2已加密VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2解密VPN工作原理Internet網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2VPN編址與路由VPN編址與路由128.10.1.0128.10.2.0195.5.48.0128.210.0.0網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2R1R2R3R4128.10.1.0128.10.2.0192.5.48.0128.210.0.0默認(rèn)路徑目的站下一跳直接交付R2到R3的隧道到R3的隧道ISP的路由器InternetR1的路由表VPN路由目的主機(jī)與源主機(jī)在同一個(gè)網(wǎng)點(diǎn)：某個(gè)路由器或直接交付；目的主機(jī)與源主機(jī)分別在不同的網(wǎng)點(diǎn)：VPN隧道另一端的路由器；目的主機(jī)為機(jī)構(gòu)之外的Internet上的某個(gè)主機(jī)：某個(gè)Internet的路由器，通常是ISP的路由器。VPN專用地址VPN內(nèi)部IP地址10.1.0.010.2.0.0網(wǎng)點(diǎn)1網(wǎng)點(diǎn)2R1R2Internet全局IP地址全局IP地址內(nèi)部IP地址內(nèi)部IP地址應(yīng)用網(wǎng)關(guān)內(nèi)部主機(jī)采用內(nèi)部IP地址內(nèi)部主機(jī)可以訪問Internet網(wǎng)關(guān)主機(jī)：同時(shí)擁有內(nèi)外部IP地址運(yùn)行針對特定應(yīng)用的程序應(yīng)用網(wǎng)關(guān)示例Internet內(nèi)部主機(jī)應(yīng)用網(wǎng)關(guān)外部主機(jī)NATNAT網(wǎng)絡(luò)地址轉(zhuǎn)換NAT（NetworkAddressTranslation）解決在網(wǎng)點(diǎn)主機(jī)不需要配置全局IP地址的情況下，網(wǎng)點(diǎn)上的主機(jī)和Internet之間提供IP層訪問的普適性問題。NAT盒工作原理Internet內(nèi)部主機(jī)NAT外部主機(jī)ENAT盒工作原理對傳入數(shù)據(jù)報(bào)和外發(fā)的數(shù)據(jù)報(bào)中的地址進(jìn)行轉(zhuǎn)換用G替換每個(gè)外發(fā)數(shù)據(jù)報(bào)中的源地址用正確主機(jī)的專用地址替換每個(gè)傳入數(shù)據(jù)報(bào)的目的地址從外部主機(jī)的角度看，所有數(shù)據(jù)報(bào)均來自NAT盒，所有響應(yīng)也返回到NAT盒從內(nèi)部主機(jī)的角度看，NAT盒看上去是個(gè)可到達(dá)Internet的路由器NAT盒工作原理Internet內(nèi)部主機(jī)NAT外部主機(jī)GIE數(shù)據(jù)EI數(shù)據(jù)IE數(shù)據(jù)EG數(shù)據(jù)GENAT轉(zhuǎn)換表NAT轉(zhuǎn)換表

NAT中維護(hù)轉(zhuǎn)換表?xiàng)l目包括：Internet上主機(jī)的IP地址和網(wǎng)點(diǎn)上主機(jī)的內(nèi)部IP地址。查找轉(zhuǎn)換表替換相應(yīng)地址NAT轉(zhuǎn)換表初始化手工初始化。在進(jìn)行任何通信前，有管理員手工配置NAT轉(zhuǎn)換表；外發(fā)數(shù)據(jù)報(bào)。當(dāng)數(shù)據(jù)報(bào)經(jīng)過NAT盒發(fā)送至Internet時(shí)，NAT盒從內(nèi)部主機(jī)接收到數(shù)據(jù)報(bào)，并根據(jù)內(nèi)部主機(jī)的IP地址和目的主機(jī)的IP地址建立一個(gè)表項(xiàng)。傳入域名查找。當(dāng)Internet上的主機(jī)通過查找內(nèi)部主機(jī)的域名來找到其IP地址時(shí)，域名軟件在NAT轉(zhuǎn)換表中建立一個(gè)表項(xiàng)，然后通過發(fā)送地址G作為答復(fù)。各種初始化方法的比較手工初始化提供了永久的映射，并允許IP數(shù)據(jù)報(bào)在任何時(shí)候以任何方向發(fā)送；外發(fā)數(shù)據(jù)報(bào)方式能夠自動初始化轉(zhuǎn)換表，但是不允許從外部發(fā)起的通信；傳入域名查找方式允許網(wǎng)點(diǎn)外部發(fā)起的通信，但是需要修改域名軟件，而且必須要通過域名解析時(shí)才有效。外發(fā)數(shù)據(jù)報(bào)方式Internet撥號接入主機(jī)ISP的NAT多地址NAT多個(gè)內(nèi)部主機(jī)同時(shí)訪問InternetNAT擁有多個(gè)全局IP地址撥號接入主機(jī)InternetISP的NAT端口映射NAT網(wǎng)絡(luò)地址端口轉(zhuǎn)換NAPT目前廣泛采用的NAT技術(shù)網(wǎng)絡(luò)地址端口轉(zhuǎn)換NAPT（NetworkAddressPortTranslation）通過TCP和UDP協(xié)議端口號以及IP地址來提供地址轉(zhuǎn)換的映射單一全局IP地址為多臺內(nèi)部主機(jī)同時(shí)訪問外部主機(jī)提供支持。NAPT轉(zhuǎn)換表示例轉(zhuǎn)換前（10.0.0.5,13023,128.10.19.20,80）轉(zhuǎn)換后（G,14003,128.10.19.20,80）專用地址10.0.0.510.0.0.110.0.2.610.0.0.3專用端口13023386266001274擴(kuò)展地址128.10.19.20128.10.19.20207.200.75.200128.210.1.5擴(kuò)展端口80802180NAT端口14003140101401214007協(xié)議使用TCPTCPTCPTCPNAPT的特點(diǎn)采用單一的全局IP地址實(shí)現(xiàn)了多臺內(nèi)部主機(jī)同時(shí)的外部訪問；保證了訪問的普適性；局限性在于必須采用UDP或TCP協(xié)議用于端口映射。NAT與ICMP交互NAT與ICMP交互ICMP協(xié)議：網(wǎng)絡(luò)控制信息、狀態(tài)信息的傳輸以及網(wǎng)絡(luò)測量等功能ICMP與發(fā)送數(shù)據(jù)的源主機(jī)密切相關(guān)NAT必須維持內(nèi)部主機(jī)的透明性NAT必須對ICMP進(jìn)行特殊的處理：本地處理或直接轉(zhuǎn)發(fā)直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NATPing直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT內(nèi)部主機(jī)PING請求直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT內(nèi)部主機(jī)PING請求直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT內(nèi)部主機(jī)PING請求直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT內(nèi)部主機(jī)PING請求直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT外部主機(jī)PING響應(yīng)直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT外部主機(jī)PING響應(yīng)直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主機(jī)NAT外部主機(jī)PING響應(yīng)直接轉(zhuǎn)發(fā)示例-pingInternet內(nèi)部主