NAT原理简介与技术实现

　　随着网络的发展，网络地址转换（NAT，Network Address Translation）在网络建设中发挥着不可替代的作用。本文的内容就来学习NAT技术的相关内容，有需要的朋友可以参考学习。
　　NAT原理简介
　　NAT（Network Address Translation，网络地址转换），它是一个IETF（Internet Engineering Task Force, Internet工程任务组）标准，允许一个整体机构以一个公用IP（Internet Protocol）地址出现在Internet上。顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。如图：
　　
　　简单地说，NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关（可以理解为出口，打个比方就像院子的门一样）处，将 内部地址替换成公用地址，从而在外部公网（internet）上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共 IP地址紧缺的问题。通过这种方法，您可以只申请一个合法IP地址，就把整个局域网中的计算机接入Internet中。这时，NAT屏蔽了内部网络，所有 内部网计算机对于公共网络来说是不可见的，而内部网计算机用户通常不会意识到NAT的存在。如图2所示。这里提到的内部地址，是指在内部网络中分配给节点 的私有IP地址，这个地址只能在内部网络中使用，不能被路由（一种网络技术，可以实现不同路径转发）。虽然内部地址可以随机挑选，但是通常使用的是下面的 地址：10.0.0.0~10.255.255.255，172.16.0.0~172.16.255.255， 192.168.0.0~192.168.255.255。NAT将这些无法在互联网上使用的保留IP地址翻译成可以在互联网上使用的合法IP地址。而全 局地址，是指合法的IP地址，它是由NIC（网络信息中心）或者ISP(网络服务提供商)分配的地址，对外代表一个或多个内部局部地址，是全球统一的可寻 址的地址。
　　
　　NAT 功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中。比如Cisco路由器中已经加入这一功能，网络管理员只需在路由器的iOS中设 置NAT功能，就可以实现对内部网络的屏蔽。再比如防火墙将web Server的内部地址192.168.1.1映射为外部地址202.96.23.11，外部访问202.96.23.11地址实际上就是访问访问 192.168.1.1。另外资金有限的小型企业来说，现在通过软件也可以实现这一功能。Windows 98 SE、Windows 2000 都包含了这一功能。
　　NAT技术类型
　　NAT有三种类型：静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT（Port－Level NAT）。
　　其中静态NAT设置起来最为简单和最容易实现的一种，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。而动态地址NAT则是在外部网络中定 义了一系列的合法地址，采用动态分配的方法映射到内部网络。NAPT则是把内部地址映射到外部网络的一个IP地址的不同端口上。根据不同的需要，三种 NAT方案各有利弊。
　　动态地址NAT只是转换IP地址，它为每一个内部的IP地址分配一个临时的外部IP地址，主要应用于拨号，对于频繁的远程联接也可以采用动态NAT。当远程用户联接上之后，动态地址NAT就会分配给他一个IP地址，用户断开时，这个IP地址就会被释放而留待以后使用。
　　网络地址端口转换NAPT（Network Address Port Translation）是人们比较熟悉的一种转换方式。NAPT普遍应用于接入设备中，它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与 动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。
　　在Internet 中使用NAPT时，所有不同的信息流看起来好像来源于同一个IP地址。这个优点在小型办公室内非常实用，通过从ISP处申请的一个IP地址，将多个连接通 过NAPT接入Internet。实际上，许多SOHO远程访问设备支持基于PPP的动态IP地址。这样，ISP甚至不需要支持NAPT，就可以做到多个 内部IP地址共用一个外部IP地址上Internet，虽然这样会导致信道的一定拥塞，但考虑到节省的ISP上网费用和易管理的特点，用NAPT还是很值得的。
　　如何让你的NAT开始工作？
　　1)静态地址转换的实现
　　假设内部局域网使用的lP地址段为 192.168.12.1~192.168.12.254，路由器局域网端口(即默认网关)的IP地址为192.168.0.1/24.网络分配的合法公有IP地址范围为11.11.11.128~11.11.11.135，路由器在广域网中的IP地址为 11.11.11.129，子网掩码为255.255.255.248.可用于转换的IP地址范围为 11.11.11.130~11.11.11.134.要求将内部网止192.168.12.2~192.168.12.4分别转换为合法IP地址 11.11.11.130~11.11.11.132.
　　第一步，设置外部端口。
　　在配置网络地址转换的过程之前，首先必须搞清楚内部接口和外部接口，以及在哪个外部接口上启用NAT.通常情况下，连接到用户内部网络的接口是NAT内部接口，而连接到外部网络(如Internet)的接口是NAT外部接口。
　　interface serial 0 ip address 11.11.11.129 255.255.255.248 ip nat outside
　　第二步，设置内部端口。
　　interface ethernet 0 ip address 192.168.0.1 255.255.255.0 ip nat inside
　　第三步，在内部本地与内部合法地址之间建立静态地址转换。
　　ip nat inside source static 内部本地地址内部合法地址
　　示例：ip nat inside source static 192.168.12.2 11.11.11.130//将内部网络地址192.168.12.2转换为合法IP地址11.11.11.130 ip nat inside source static 192.168.12.3 11.11.11.131//将内部网络地址192.168.12.3转换为合法IP地址11.11.11.131 ip nat inside source static 192.168.12.4 11.11.11.132//将内部网络地址192.168.12.4转换为合法IP地址11.11.11.132这样，静态地址转换配置完毕。
　　2) 动态地址转换的实现
　　假设内部网络使用的IP地址段为172.16.100.1~172.16.100.254，路由器局域网端口(即默认网关)的IP地址为172.16.100.1，子网掩码为255.255.255.0.网络分配的合法IP地址范围为 11.11.11.128~11.11.11.191，路由器在广域网中的IP地址为11.11.11.129，子网掩码为 255.255.255.192，可用于转换的IP地址范围为11.11.11.130~11.11.11.190.要求将内部网址 172.16.100.1~172.16.100.254动态转换为合法IP地址11.11.11.130~11.11.11.190.
　　第一步，设置外部端口。
　　设置外部端口命令的语法如下：
　　ip nat outside
　　示例：interface serial 0//进入串行端口serial 0 ip address 11.11.11.129 255.255.255.248//将其IP地址指定为11.11.11.129，子网掩码为255.255.255.248 ip nat outside //将串行口serial 0设置为外网端口
　　注意，可以定义多个外部端口。
　　第二步，设置内部端口。
　　设置内部接口命令的语法如下：
　　ip nat inside
　　示例：interface ethernet 0 //进入以太网端口Ethernet 0 ip address 172.16.100.1 255.255.255.0 // 将其IP地址指定为172.16.100.1，子网掩码为255.255.255.0 ip nat inside //将Ethernet 0 设置为内网端口。
　　注意，可以定义多个内部端口。
　　第三步，定义合法IP地址池。
　　定义合法IP地址池命令的语法如下：
　　ip nat pool 地址池名称 起始IP地址 终止IP地址 子网掩码
　　其中，地址池名字可以任意设定。
　　示例：ip nat pool ccxx 11.11.11.130 11.11.11.190 netmask 255.255.255.192//指明地址缓冲池的名称为ccxx，IP地址范围为11.11.11.130~11.11.11.190，子网掩码为 255.255.255.192.
　　第四步，定义内部网络中允许访问Internet的访问列表。
　　定义内部访问列表命令的语法如下：Access-listl 标号 permit 源地址 通配符(其中，标号为1~99之间的整数)
　　access-listl permit 172.16.100.0 0.0.0.255 //允许访问Internet的网段为172.16.100.0~172.16.100.255，通配符为0.0.0.255.
　　第五步，实现网络地址转换。
　　在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。命令语法如下：ip nat inside source list 访问列表标号 pool 内部合法地址池名字
　　示例：ip nat inside source list 1 pool ccxx
　　至此，动态地址转换设置完毕。
　　3）端口复用动态地址转换(PAT)
　　内部网络使用的IP地址段为 10.100.100.1~10.100.100.254，路由器局域网端口的IP地址为10.100.100.1，子网掩码为 255.255.255.0.网络分配的合法IP地址范围为11.11.11.0~11.11.11.3，路由器广域网接口中的IP地址为 11.11.11.1，子网掩码为255.255.255.252，可用于转换的IP地址为11.11.11.2.要求将内部网址 10.100.100.1~10.100.100.254 转换为合法IP地址11.11.11.2.
　　第一步，设置外部端口。
　　interface serial 0 ip address 11.11.11.1 255.255.255.252 in nat outside
　　第二步，设置内部端口。
　　interface ethernet 0 ip address 10.100.100.1 255.255.255.0 ip nat inside
　　第三步，定义合法IP地址池。
　　in nat pool ccxx 11.11.11.2 11.11.11.2 netmask 255.255.255.252
　　// 指明地址缓冲池的名称为ccxx，由于我们做的是PAT，所以地址池里完全可以只有1个公网IP地址
　　第四步，定义内部访问列。
　　access-list 1 permit 10.100.100.0 0.0.0.255允许访问Internetr的网段为10.100.100.0~10.100.100.255，子网掩码为/24
　　第五步，设置复用动态地址转换。
　　在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。命令语法如下：ip nat inside source list访问列表号pool内部合法地址池名字overload
　　示例：ip nat inside source list1 pool ccxx overload //以端口复用方式，将访问列表1中的私有IP地址转换为onlyone IP地址池中定义的合法IP地址。Overload关键词是这条命令的重点。