第四章 网络层

4.1  网络层提供的两种服务

网络层向上只提供简单灵活的、无连接的、尽最大努力交付的数据报服务。
网络在发送分组时不需要先建立连接。每一个分组（即 IP 数据报）独立发送，与其前后的分组无关（不进行编号）。
网络层不提供服务质量的承诺。即所传送的分组可能出错、丢失、重复和失序（不按序到达终点），当然也不保证分组传送的时限。

网络不提供端到端的可靠传输服务，由网络的主机中的运输层负责可靠交付（包括差错处理、流量控制等） 。

采用这种设计思路的好处是：网络的造价大大降低，运行方式灵活，能够适应多种应用

4.2  网际协议 IP

网际协议 IP 是 TCP/IP 体系中两个最主要的协议之一。
与 IP 协议配套使用的还有三个协议：
地址解析协议 ARP (Address Resolution Protocol)
网际控制报文协议 ICMP (Internet Control Message Protocol)
网际组管理协议 IGMP   (Internet Group Management Protocol)

4.2.1  虚拟互连网络 

将网络互相连接起来要使用一些中间设备。 
中间设备又称为中间系统或中继 (relay)系统。
有以下五种不同的中间设备：
物理层中继系统：转发器 (repeater)。（集线器hub）
数据链路层中继系统：网桥 或 桥接器 (bridge)。(交换机）
网络层中继系统：路由器 (router)。
网桥和路由器的混合物：桥路器 (brouter)。

网络层以上的中继系统：网关 (gateway)。 

有关 TCP/IP 的文献将网络层使用的路由器称为网关。   

网络互连都是指用路由器进行网络互连和路由选择。（不同网段）

所谓虚拟互连网络也就是逻辑互连网络，它的意思就是互连起来的各种物理网络的异构性本来是客观存在的，但是我们利用 IP 协议就可以使这些性能各异的网络从用户看起来好像是一个统一的网络。使用 IP 协议的虚拟互连网络可简称为 IP 网。

如果在这种覆盖全球的 IP 网的上层使用 TCP 协议，那么就是现在的互联网 (Internet)。

4.2.2  分类的 IP 地址

1.   IP 地址及其表示方法 

IP 地址就是给每个连接在互联网上的主机（或路由器）分配一个在全世界范围是唯一的 32 位的标识符。

IP 地址现在由互联网名字和数字分配机构ICANN (Internet Corporation for Assigned Names and Numbers)进行分配。 

IP 地址的编址方法 

分类的 IP 地址。这是最基本的编址方法，在 1981 年就通过了相应的标准协议。
子网的划分。这是对最基本的编址方法的改进，其标准 [RFC 950] 在 1985 年通过。
构成超网。这是比较新的无分类编址方法。 1993 年提出后很快就得到推广应用。

分类的 IP 地址

将IP地址划分为若干个固定类。
每一类地址都由两个固定长度的字段组成，其中一个字段是网络号 net-id，它标志主机（或路由器）所连接到的网络，而另一个字段则是主机号 host-id，它标志该主机（或路由器）。
主机号在它前面的网络号所指明的网络范围内必须是唯一的。

由此可见，一个 IP 地址在整个互联网范围内是唯一的。A、B、C地址都是单播地址（一对一通信）

一般不使用的特殊的 IP 地址

IP 地址的一些重要特点 

(1) IP 地址是一种分等级的地址结构。分两个等级的好处是：

(2) 实际上 IP 地址是标志一个主机（或路由器）和一条链路的接口。（一个路由器至少应当有两个不同的 IP 地址。 ）

(3) 用转发器或网桥连接起来的若干个局域网仍为一个网络，因此这些局域网都具有同样的网络号 net-id。
(4) 所有分配到网络号 net-id 的网络，无论是范围很小的局域网，还是可能覆盖很大地理范围的广域网，都是平等的。

4.2.3  IP 地址与硬件地址

IP 地址与硬件地址是不同的地址。
从层次的角度看，
硬件地址（或物理地址）是数据链路层和物理层使用的地址。
IP 地址是网络层和以上各层使用的地址，是一种逻辑地址（称 IP 地址是逻辑地址是因为 IP 地址是用软件实现的）。

4.2.4  地址解析协议 ARP

通信时使用了两个地址：
IP 地址（网络层地址）
MAC 地址（数据链路层地址）

ARP 作用：从网络层使用的 IP 地址，解析出在数据链路层使用的硬件地址。

地址解析协议 ARP 要点

1.不管网络层使用的是什么协议，在实际网络的链路上传送数据帧时，最终还是必须使用硬件地址。 

每一个主机都设有一个 ARP 高速缓存 (ARP cache)，里面有所在的局域网上的各主机和路由器的 IP 地址到硬件地址的映射表。

2.当主机 A 欲向本局域网上的某个主机 B 发送 IP 数据报时，就先在其 ARP 高速缓存中查看有无主机 B 的 IP 地址。如有，就可查出其对应的硬件地址，再将此硬件地址写入 MAC 帧，然后通过局域网将该 MAC 帧发往此硬件地址。如没有， ARP 进程在本局域网上广播发送一个 ARP 请求分组。收到 ARP 响应分组后，将得到的 IP 地址到硬件地址的映射写入 ARP 高速缓存。

ARP请求分组：包含发送方硬件地址 / 发送方 IP 地址 / 目标方硬件地址(未知时填 0) / 目标方 IP 地址。
本地广播 ARP 请求（路由器不转发ARP请求）。
ARP 响应分组：包含发送方硬件地址 / 发送方 IP地址 / 目标方硬件地址 / 目标方 IP 地址。
ARP 分组封装在物理网络的帧中传输。

ARP 是解决同一个局域网上的主机或路由器的 IP 地址和硬件地址的映射问题。

如果所要找的主机和源主机不在同一个局域网上，那么就要通过 ARP 找到一个位于本局域网上的某个路由器的硬件地址，然后把分组发送给这个路由器，让这个路由器把分组转发给下一个网络。剩下的工作就由下一个网络来做。

使用 ARP 的四种典型情况 

发送方是主机，要把 IP 数据报发送到本网络上的另一个主机。这时用 ARP 找到目的主机的硬件地址。 
发送方是主机，要把 IP 数据报发送到另一个网络上的一个主机。这时用 ARP 找到本网络上的一个路由器的硬件地址。剩下的工作由这个路由器来完成。 
发送方是路由器，要把 IP 数据报转发到本网络上的一个主机。这时用 ARP 找到目的主机的硬件地址。 
发送方是路由器，要把 IP 数据报转发到另一个网络上的一个主机。这时用 ARP 找到本网络上另一个路由器的硬件地址。剩下的工作由这个路由器来完成。 

4.2.5  IP 数据报的格式 

一个 IP 数据报由首部和数据两部分组成。
首部的前一部分是固定长度，共 20 字节，是所有 IP 数据报必须具有的。
在首部的固定部分的后面是一些可选字段，其长度是可变的。 

版本——占 4 位，指 IP 协议的版本。目前的 IP 协议版本号为 4 (即 IPv4)。

首部长度——占 4 位，可表示的最大数值是 15 个单位(一个单位为 4 字节)，因此 IP 的首部长度的最大值是 60 字节。

区分服务——占 8 位，用来获得更好的服务。在旧标准中叫做服务类型，但实际上一直未被使用过。1998 年这个字段改名为区分服务。只有在使用区分服务（DiffServ）时，这个字段才起作用。在一般的情况下都不使用这个字段 

总长度——占 16 位，指首部和数据之和的长度，单位为字节，因此数据报的最大长度为 65535 字节。总长度必须不超过最大传送单元 MTU。 

标识(identification) ——占 16 位，它是一个计数器，用来产生 IP 数据报的标识。

标志(flag) ——占 3 位，目前只有两位有意义。标志字段的最低位是 MF (More Fragment)。
MF =1 表示后面“还有分片”。MF =0 表示最后一个分片。

标志字段中间的一位是 DF (Don't Fragment) 。只有当 DF = 0 时才允许分片。 

片偏移——占13 位，指出：较长的分组在分片后某片在原分组中的相对位置。片偏移以 8 个字节为偏移单位。

生存时间——占8 位，记为 TTL (Time To Live)，指示数据报在网络中可通过的路由器数的最大值。

协议——占8 位，指出此数据报携带的数据使用何种协议，以便目的主机的 IP 层将数据部分上交给那个处理过程

IP 协议支持多种协议，IP 数据报可以封装多种协议 PDU。

首部检验和——占16 位，只检验数据报的首部，不检验数据部分。这里不采用 CRC 检验码而采用简单的计算方法。 

源地址和目的地址都各占 4 字节

IP 首部的可变部分就是一个选项字段，用来支持排错、测量以及安全等措施，内容很丰富。选项字段的长度可变，从 1 个字节到 40 个字节不等，取决于所选择的项目。这就增加了每一个路由器处理数据报的开销。实际上这些选项很少被使用。

4.2.6  IP 层转发分组的流程 

按主机所在的网络地址来制作路由表

查找路由表：根据目的网络地址就能确定下一跳路由器

特定主机路由 ：虽然互联网所有的分组转发都是基于目的主机所在的网络，但在大多数情况下都允许有这样的特例，即为特定的目的主机指明一个路由。

默认路由 (default route)：路由器还可采用默认路由以减少路由表所占用的空间和搜索路由表所用的时间

路由器分组转发算法 

(1) 从数据报的首部提取目的主机的 IP 地址 D, 得出目的网络地址为 N。
(2) 若网络 N 与此路由器直接相连，则把数据报直接交付目的主机 D；否则是间接交付，执行 (3)。
(3) 若路由表中有目的地址为 D 的特定主机路由，则把数据报传送给路由表中所指明的下一跳路由器；否则，执行 (4)。
(4) 若路由表中有到达网络 N 的路由，则把数据报传送给路由表指明的下一跳路由器；否则，执行 (5)。
(5) 若路由表中有一个默认路由，则把数据报传送给路由表中所指明的默认路由器；否则，执行 (6)。

(6)  报告转发分组出错。 

路由表没有给分组指明到某个网络的完整路径。
路由表指出，到某个网络应当先到某个路由器（即下一跳路由器）。
在到达下一跳路由器后，再继续查找其路由表，知道再下一步应当到哪一个路由器。

这样一步一步地查找下去，直到最后到达目的网络。

4.3  划分子网

4.3.1   划分子网

1. 从两级 IP 地址到三级 IP 地址 
在 ARPANET 的早期，IP 地址的设计确实不够合理：
(1) IP 地址空间的利用率有时很低。 
(2) 给每一个物理网络分配一个网络号会使路由表变得太大因而使网络性能变坏。 

(3) 两级的 IP 地址不够灵活。

  划分子网纯属一个单位内部的事情。单位对外仍然表现为没有划分子网的网络。

从主机号借用若干个位作为子网号 subnet-id，而主机号 host-id 也就相应减少了若干个位。

凡是从其他网络发送给本单位某个主机的 IP 数据报，仍然是根据 IP 数据报的目的网络号 net-id，先找到连接在本单位网络上的路由器。
然后此路由器在收到 IP 数据报后，再按目的网络号 net-id 和子网号 subnet-id 找到目的子网。

最后就将 IP 数据报直接交付目的主机。 

2.  子网掩码

从一个 IP 数据报的首部并无法判断源主机或目的主机所连接的网络是否进行了子网划分。
使用子网掩码 (subnet mask) 可以找出 IP 地址中的子网部分。  

规则：
子网掩码长度 ＝ 32 位
某位 ＝ 1：IP地址中的对应位为网络号和子网号
某位 ＝ 0：IP地址中的对应位为主机号  

子网掩码是一个网络或一个子网的重要属性。
路由器在和相邻路由器交换路由信息时，必须把自己所在网络（或子网）的子网掩码告诉相邻路由器。
路由器的路由表中的每一个项目，除了要给出目的网络地址外，还必须同时给出该网络的子网掩码。
若一个路由器连接在两个子网上就拥有两个网络地址和两个子网掩码。

4.3.2  使用子网时分组的转发

在不划分子网的两级 IP 地址下，从 IP 地址得出网络地址是个很简单的事。
但在划分子网的情况下，从 IP 地址却不能唯一地得出网络地址来，这是因为网络地址取决于那个网络所采用的子网掩码，但数据报的首部并没有提供子网掩码的信息。
因此分组转发的算法也必须做相应的改动。 

划分子网情况下路由器转发分组的算法 

(1) 从收到的分组的首部提取目的 IP 地址 D。
(2) 先用各网络的子网掩码和 D 逐位相“与”，看是否和相应的网
     络地址匹配。若匹配，则将分组直接交付。否则就是间接交付，
     执行 (3)。
(3) 若路由表中有目的地址为 D 的特定主机路由，则将分组传送给
      指明的下一跳路由器；否则，执行 (4)。
(4) 对路由表中的每一行，将子网掩码和 D 逐位相“与”。若结果与该行的目的网络地址匹配，则将分组传送给该行指明的下一跳路由器；否则，执行 (5)。
(5) 若路由表中有一个默认路由，则将分组传送给路由表中所指明
     的默认路由器；否则，执行 (6)。

(6) 报告转发分组出错。

4.3.3  无分类编址 CIDR

CIDR 消除了传统的 A 类、B 类和 C 类地址以及划分子网的概念，因而可以更加有效地分配 IPv4 的地址空间。
CIDR使用各种长度的“网络前缀”(network-prefix)来代替分类地址中的网络号和子网号。

IP 地址从三级编址（使用子网掩码）又回到了两级编址。  

CIDR 使用“斜线记法”(slash notation)，它又称为 CIDR 记法，即在 IP 地址面加上一个斜线“/”，然后写上网络前缀所占的位数（这个数值对应于三级编址中子网掩码中 1 的个数）。例如： 220.78.168.0/24

CIDR 把网络前缀都相同的连续的 IP 地址组成“CIDR 地址块”。
128.14.32.0/20 表示的地址块共有 212 个地址（因为斜线后面的 20 是网络前缀的位数，所以这个地址的主机号是 12 位）。
这个地址块的起始地址是 128.14.32.0。
在不需要指出地址块的起始地址时，也可将这样的地址块简称为“/20 地址块”。
128.14.32.0/20 地址块的最小地址：128.14.32.0
128.14.32.0/20 地址块的最大地址：128.14.47.255

全 0 和全 1 的主机号地址一般不使用。

一个 CIDR 地址块可以表示很多地址，这种地址的聚合常称为路由聚合，路由聚合也称为构成超网 (supernetting)。

前缀长度不超过 23 位的 CIDR 地址块都包含了多个 C  类地址。这些 C 类地址合起来就构成了超网。

4.4  网际控制报文协议 ICMP

为了更有效地转发 IP 数据报和提高交付成功的机会，在网际层使用了网际控制报文协议 ICMP (Internet Control Message Protocol)。
ICMP 是互联网的标准协议。
ICMP 允许主机或路由器报告差错情况和提供有关异常情况的报告。

但 ICMP 不是高层协议（看起来好像是高层协议，因为 ICMP 报文是装在 IP 数据报中，作为其中的数据部分），而是 IP 层的协议。

ICMP 报文的种类有两种，即 ICMP 差错报告报文和 ICMP 询问报文。 

4.4.2  ICMP 的应用举例

PING (Packet InterNet Groper) 
PING 用来测试两个主机之间的连通性。
PING 使用了 ICMP 回送请求与回送回答报文。
PING 是应用层直接使用网络层 ICMP 的例子，它没有通过运输层的 TCP 或UDP。

4.4.2  ICMP 的应用举例二

Traceroute 的应用举例
在 Windows 操作系统中这个命令是 tracert。
用来跟踪一个分组从源点到终点的路径。
它利用 IP 数据报中的 TTL 字段和 ICMP 时间超过差错报告报文实现对从源点到终点的路径的跟踪。

• 源主机向目的主机发送一连串的 IP 数据报。第一个数据报 P1 的生存时间 TTL 设置为 1，但 P1 到达路径上的第一个路由器 R1 时，R1 收下它并把 TTL 减 1，此时 TTL 等于 0，R1 就把 P1 丢弃，并向源主机发送一个 ICMP 时间超过差错报告报文；
• 源主机接着发送第二个数据报 P2，并把 TTL 设置为 2。P2 先到达 R1，R1 收下后把 TTL 减 1 再转发给 R2，R2 收下后也把 TTL 减 1，由于此时 TTL 等于 0，R2 就丢弃 P2，并向源主机发送一个 ICMP 时间超过差错报文。
• 不断执行这样的步骤，直到最后一个数据报刚刚到达目的主机，主机不转发数据报，也不把 TTL 值减 1。但是因为数据报封装的是无法交付的 UDP，因此目的主机要向源主机发送 ICMP 终点不可达差错报告报文。
• 之后源主机知道了到达目的主机所经过的路由器 IP 地址以及到达每个路由器的往返时间。

4.5  互联网的路由选择协议

静态路由选择策略——即非自适应路由选择，其特点是简单和开销较小，但不能及时适应网络状态的变化。 
动态路由选择策略——即自适应路由选择，其特点是能较好地适应网络状态的变化，但实现起来较为复杂，开销也比较大。  

互联网采用分层次的路由选择协议

自治系统 AS 的定义：在单一的技术管理下的一组路由器，而这些路由器使用一种 AS 内部的路由选择协议和共同的度量以确定分组在该 AS 内的路由，同时还使用一种 AS 之间的路由选择协议用以确定分组在 AS之间的路由。

互联网有两大类路由选择协议 

• 内部网关协议 IGP (Interior Gateway Protocol)  ：在一个自治系统内部使用的路由选择协议。目前这类路由选择协议使用得最多，如 RIP 和 OSPF 协议。
• 外部网关协议 EGP (External Gateway Protocol) ：若源站和目的站处在不同的自治系统中，当数据报传到一个自治系统的边界时，就需要使用一种协议将路由选择信息传递到另一个自治系统中。这样的协议就是外部网关协议 EGP。在外部网关协议中目前使用最多的是 BGP-4

自治系统之间的路由选择也叫做域间路由选择 (interdomain routing)，在自治系统内部的路由选择叫做域内路由选择 (intradomain routing) 。

内部网关协议 IGP：具体的协议有多种，如 RIP 和 OSPF 等。
外部网关协议 EGP：目前使用的协议就是 BGP

4.5.2  内部网关协议 RIP

1. 工作原理
路由信息协议 RIP (Routing Information Protocol) 是内部网关协议 IGP 中最先得到广泛使用的协议。
RIP 是一种分布式的、基于距离向量的路由选择协议。
RIP 协议要求网络中的每一个路由器都要维护从它自己到其他每一个目的网络的距离记录

RIP 协议中的“距离”也称为“跳数”(hop count)，因为每经过一个路由器，跳数就加 1。

RIP 允许一条路径最多只能包含 15 个路由器。“距离”的最大值为 16 时即相当于不可达。可见 RIP 只适用于小型互联网。

RIP 不能在两个网络之间同时使用多条路由。RIP 选择一个具有最少路由器的路由（即最短路由），哪怕还存在另一条高速(低时延)但路由器较多的路由。  

RIP 协议的三个特点 

(1) 仅和相邻路由器交换信息。 
(2) 交换的信息是当前本路由器所知道的全部信息，即自己的路由表。 

(3) 按固定的时间间隔交换路由信息，例如，每隔 30 秒。当网络拓扑发生变化时，路由器也及时向相邻路由器通告拓扑变化后的路由信息

 距离向量算法

路由器收到相邻路由器（其地址为 X）的一个 RIP 报文：
(1) 先修改此 RIP 报文中的所有项目：把“下一跳”字段中的地址都改为 X，并把所有的“距离”字段的值加 1。
(2) 对修改后的 RIP 报文中的每一个项目，重复以下步骤：
     若项目中的目的网络不在路由表中，则把该项目加到路由表中。
         否则
             若下一跳字段给出的路由器地址是同样的，则把收到的项目替换原路由表中的项目。
                否则 
                    若收到项目中的距离小于路由表中的距离，则进行更新，
          否则，什么也不做。
(3) 若 3 分钟还没有收到相邻路由器的更新路由表，则把此相邻路由器记为不可达路由器，即将距离置为 16（表示不可达）。
(4) 返回。

RIP 协议实现简单，开销小，但是 RIP 能使用的最大距离为 15，限制了网络的规模。并且当网络出现故障时，要经过比较长的时间才能将此消息传送到所有路由器。好消息传播得快，坏消息传播得慢。

4.5.3  内部网关协议 OSPF

开放最短路径优先 OSPF (Open Shortest Path First)是为克服 RIP 的缺点在 1989 年开发出来的。

OSPF 的原理很简单，但实现起来却较复杂。

OSPF 协议的基本特点：

“开放”表明 OSPF 协议不是受某一家厂商控制，而是公开发表的。
“最短路径优先”是因为使用了 Dijkstra 提出的最短路径算法 SPF
采用分布式的链路状态协议 (link state protocol)。 
注意：OSPF 只是一个协议的名字，它并不表示其他的路由选择协议不是“最短路径优先”。

三个要点 

向本自治系统中的所有路由器发送信息，这种方法是洪泛法。
发送的信息就是与相邻路由器的链路状态，链路状态包括与哪些路由器相连以及链路的度量，度量用费用、距离、时延、带宽等来表示。
只有当链路状态发生变化时，路由器才会发送信息。

由于各路由器之间频繁地交换链路状态信息，因此所有的路由器最终都能建立一个链路状态数据库。
这个数据库实际上就是全网的拓扑结构图，它在全网范围内是一致的（这称为链路状态数据库的同步）。
OSPF 的链路状态数据库能较快地进行更新，使各个路由器能及时更新其路由表。
OSPF 的更新过程收敛得快是其重要优点。

OSPF 使用层次结构的区域划分。在上层的区域叫做主干区域 (backbone area)。在一个区域内部的路由器只知道本区域的完整网络拓扑，而不知道其他区域的网络拓扑的情况。划分区域的好处就是将利用洪泛法交换链路状态信息的范围局限于每一个区域而不是整个的自治系统，这就减少了整个网络上的通信量。OSPF 不用 UDP 而是直接用 IP 数据报传送。

4.5.4  外部网关协议 BGP

BGP 是不同自治系统的路由器之间交换路由信息的协议。 

互联网的规模太大，使得自治系统之间路由选择非常困难。对于自治系统之间的路由选择，要寻找最佳路由是很不现实的。当一条路径通过几个不同 AS 时，要想对这样的路径计算出有意义的代价是不太可能的。比较合理的做法是在 AS 之间交换“可达性”信息。自治系统之间的路由选择必须考虑有关策略。因此，边界网关协议 BGP 只能是力求寻找一条能够到达目的网络且比较好的路由（不能兜圈子），而并非要寻找一条最佳路由。  

每个 AS 都必须配置 BGP 发言人，通过在两个相邻 BGP 发言人之间建立 TCP 连接来交换路由信息。BGP 发言人往往就是 BGP 边界路由器，但也可以不是 BGP 边界路由器。 

4.5.5  路由器的构成
路由器从功能上可以划分为：路由选择和分组转发。
分组转发结构由三个部分组成：交换结构、一组输入端口和一组输出端口。

4.6  IPv6

主要变化如下：
更大的地址空间。IPv6 将地址从 IPv4 的 32 位 增大到了 128 位。 
扩展的地址层次结构。 
灵活的首部格式。 IPv6 定义了许多可选的扩展首部。
改进的选项。 IPv6 允许数据报包含有选项的控制信息，其选项放在有效载荷中。

IPv6 数据报由两大部分组成：
基本首部 (base header)

有效载荷 (payload)。有效载荷也称为净负荷。有效载荷允许有零个或多个扩展首部 (extension header)，再后面是数据部分。

4.7.3  网际组管理协议 IGMP 和多播路由选择协议

IP 多播需要两种协议
为了使路由器知道多播组成员的信息，需要利用网际组管理协议 IGMP (Internet Group Management Protocol)。
连接在局域网上的多播路由器还必须和互联网上的其他多播路由器协同工作，以便把多播数据报用最小代价传送给所有的组成员。这就需要使用多播路由选择协议。 

IGMP 协议是让连接在本地局域网上的多播路由器知道本局域网上是否有主机（严格讲，是主机上的某个进程）参加或退出了某个多播组。

多播路由选择协议在转发多播数据报时使用三种方法：
(1) 洪泛与剪除
(2) 隧道技术 (tunneling)

(3) 基于核心的发现技术

4.8.1  虚拟专用网 VPN

由于 IP 地址的紧缺，一个机构能申请到的 IP 地址数往往远小于本机构所拥有的主机数。并且一个机构并不需要把所有的主机接入到外部的互联网中，机构内的计算机可以使用仅在本机构有效的 IP 地址（专用地址）。

有三个专用地址块：
10.0.0.0 ~ 10.255.255.255
172.16.0.0 ~ 172.31.255.255

192.168.0.0 ~ 192.168.255.255

问题：在内部使用的本地地址就有可能和互联网中某个 IP 地址重合，这样就会出现地址的二义性问题。
解决：RFC 1918 指明了一些专用地址 (private address)。专用地址只能用作本地地址而不能用作全球地址。在互联网中的所有路由器，对目的地址是专用地址的数据报一律不进行转发。

利用公用的互联网作为本机构各专用网之间的通信载体，这样的专用网又称为虚拟专用网VPN (Virtual Private Network)。“专用网”是因为这种网络是为本机构的主机用于机构内部的通信，而不是用于和网络外非本机构的主机通信。“虚拟”表示“好像是”，但实际上并不是，因为现在并没有真正使用通信专线，而VPN只是在效果上和真正的专用网一样。

下图中，场所 A 和 B 的通信经过互联网，如果场所 A 的主机 X 要和另一个场所 B 的主机 Y 通信，IP 数据报的源地址是 10.1.0.1，目的地址是 10.2.0.3。数据报先发送到与互联网相连的路由器 R1，R1 对内部数据进行加密，然后重新加上数据报的首部，源地址是路由器 R1 的全球地址 125.1.2.3，目的地址是路由器 R2 的全球地址 194.4.5.6。路由器 R2 收到数据报后将数据部分进行解密，恢复原来的数据报，此时目的地址为 10.2.0.3，就交付给 Y。

4.8.2   网络地址转换 NAT

需要在专用网连接到互联网的路由器上安装 NAT 软件。装有 NAT 软件的路由器叫做 NAT路由器，它至少有一个有效的外部全球IP地址。

所有使用本地地址的主机在和外界通信时，都要在 NAT 路由器上将其本地地址转换成全球 IP 地址，才能和互联网连接。  

在以前，NAT 将本地 IP 和全球 IP 一一对应，这种方式下拥有 n 个全球 IP 地址的专用网内最多只可以同时有 n 台主机接入互联网。为了更有效地利用全球 IP 地址，现在常用的 NAT 转换表把运输层的端口号也用上了，使得多个专用网内部的主机共用一个全球 IP 地址。使用端口号的 NAT 也叫做网络地址与端口转换 NAPT。