公网与私网的区别 ?如何进行通信?(NAT技术,端口映射技术,)

网络基础(华为) 专栏收录该内容
6 篇文章 1 订阅

一, 公网与私网介绍两者间的联系

公网
顾名思义,就是公共网络,也叫做外网,没有限制,只要能上网的用户,都可以访问,比如类似百度,新浪这样的网站,只要你有网络,不管你是宽带,光纤,还是5G,WIFI,都可以访问打开。

比如:有些学校或大型的单位虽然分配公网IP给用户,但学校或单位为了安全起见,会封闭校外对校内的访问请求。这部分用户虽然有公网IP地址,但依然要用内网动态域名来建网站。

内网
相当于是一个局域网,也叫做私网,只有属于局域网内部的成员,才可以访问。比如公司内部服务器上搭建的FTP文件系统,你只能使用公司内部的电脑才可以访问,脱离了内网环境,你就不能访问服务器上的任何文件了。

简要概述,其本质差别,一个是对外(所有用户),一个是对内(局域网内部成员)。

二,公网ip与私有ip的区别

公有地址:

公有地址(Public address):由Inter NIC(因特网信息中心)负责。这些IP 地址分配给注册并向Inter NIc提出申请的组织机构,公有IP 全球唯一,通过它直接访问因特网(直接能上网)。主要有A、B、C、D、E五类地址:

  • A类 : 地址范围是 1.0.0.0127.255.255.255,主要分配给大量主机而局域网网络数量较少的大型网络﹔
  • B类 :地址范围是128.0.0.0191.255.255.255,一般用于国际性大公司和机构;
  • C类:地址范围是192.0.0.0223.255.255.255,用于一般小公司校园网研究机构等;
  • D类:地址范围是224.0.0.0239.255.255.255,用于特殊用途,又称做广播地址;
  • E类:地址范围是240.0.0.0255.255.255.255,暂时保留。

私有地址:

私有地址(Private address):属于非注册地址,专门为组织机构内部使用,说白了,私有IP 不能直接上网。主要有A、B、C三类.

  • A类地址范围是10.0.0.0-10.255.255.255 ,

  • B类地址范围是172.16.0.0 -172.31.255.255

  • B类地址范围是192.168.0.0-192.168.255.255
    另外127.0.0.0到127.255.255.255为系统环回地址。

    而我们平时通过运营商(主要是电信、移动、联通宽带等)上网,通过家用路由器之后,就会变成私有IP,大家可能会疑问,我们可以上网啊,怎么会是私有IP呢?

其实我们不是通过私有iP上网的,是通过公有IP。通俗的讲,运营商有公有IP,但是IPV4下iP资源有限,所以这些IP不能每个人分配单独分配一个IP,所以需要动态给上网的用户。

所以A和B的IP相同是很正常的一件事情,但是对于公网服务器(比如说百度)来说,它并不关心对方的私有IP是什么,它也不知道,它只知道访问它的肯定是公有IP。

三,私有网络如何访问公有网络?

比如:下图用户(私网)访问 百度 (公网)的过程利用端口映射来进行访问

在这里插入图片描述

1,端口映射技术

简述:端口映射(Port Mapping)是将外网主机的IP地址的一个端口映射到内网中一台机器,提供相应的服务。是NAT的一种。它的功能是把在公网的地址转翻译成私有地址, 采用路由方式的ADSL宽带路由器拥有一个动态或固定的公网IP,ADSL直接接在HUB或交换机上,所有的电脑共享上网。
简单地说:
端口映射又称端口转发。端口映射过程就如同你家在一个小区里B栋2410室,你朋友来找你,找到小区门口,不知道你住哪层哪号?就问守门的保安,保安很客气的告诉了他你家详细门牌号,这样你朋友很轻松的找到了你家。这个过程就是外网访问内网通过端口映射的形象说法。

利用端口映射功能还可以将一台外网IP地址机器的多个端口映射到内网不同机器上的不同端口。
端口映射功能还可以完成一些特定代理功能,比如代理POP,SMTP,TELNET等协议。理论上可以提供65535(总端口娄)-1024(保留端口数)=64511个端口的映射。

思路: 既然端口映射可以将一台外网P地址机器多个端口映射到内网中不同机器上的不同端口。那当用户访问外网IP的这个端口时,服务器自动将请求映射到对应局域网内部的机器上。

比如,我们在内网中有一台主机,但是外网中的用户是没有办法直接访问该服务器的。于是我们可以在路由器上设置一个端口映射,只要外网用户访问路由器ip的80端口,那么路由器会把自动把流量转到内网主机的80端口上。并且,在路由器上还存在一个Session,当内网服务器返回数据给路由器时,路由器能准确的将消息发送给外网请求用户的主机。在这过程中,路由器充当了一个反向代理的作用,他保护了内网中主机的安全。

在这里插入图片描述

我们平时上网的过程就是先经过路由器,然后通过宽带,最终通过运营商的转换最终到web服务器的,返回的数据先到运营商那边,然后再把数据发送到用户的主机上。

实际上路由器有两个端口:LAN口,WAN口。

WAN: 接外部IP地址用,通常指的是出口,转发来自内部LA接口的IP数据包。
LAN: 接内部IP地址用,LAN内部是交换机。我们可以不连接 WAN口,把路由器当做普通交换机来使用。

2,nat技术 (网络地址转换 )

简述:
网络地址转换(英语:Network Address Translation,缩写:NAT,又称:网络掩蔽、IP掩蔽)在计算机网络中是一种在IP数据包通过路由器或防火墙时重写来源IP地址或目的IP地址的技术。这种技术被普遍使用在有多台主机但只通过一个公有IP地址访问互联网的私有网络中。它是一个方便且得到了广泛应用的技术。当然,NAT也让主机之间的通信变得复杂,导致了通信效率的降低。

功能 : 隐藏并保护网络内部的计算机

详细概述:
它实现内网的IP地址与公网的地址之间的相互转换,将大量的内网IP地址转换为一个或少量的公网IP地址,减少对公网IP地址的占用。NAT的最典型应用是:在一个局域网内,只需要一台计算机连接上 Internet,就可以利用NAT 共享Internet连接,使局域网内其他计算机也可以上网。使用NAT协议,局域网内的计算机可以访问Internet 上的计算机,但 Internet上的计算机无法访问局域网内的计管和

NAT技术类型
静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT(Port—Level NAT)。

nat网络地址转换具体配置方式后续再更新

五,VPN技术

也叫虚拟专用网络,两个局域网或者是公网与私网之间进行加密通讯的方法

什么是vpn技术?
虚拟私人网络(英语:Virtual Private Network,缩写:VPN)是一种常用于连接中、大型企业或团体与团体间的私人网络的通讯方法。它利用隧道协议(Tunneling Protocol)来达到保密、发送端认证、消息准确性等私人消息安全效果,这种技术可以用不安全的网络(例如:互联网)来发送可靠、安全的消息。需要注意的是,加密消息与否是可以控制的,如果是没有加密的虚拟专用网消息依然有被窃取的危险。VPN可通过服务器、硬件、软件等多种方式实现。

实现方式 : 服务器,硬件,软件,集成

用 途 : 加密通讯

连接协议 :PPTP、L2TP、IPSec

基本网络功能

VPN属于远程访问技术,简单地说就是利用公用网络架设专用网络。例如某公司员工出差到外地,他想访问企业内网的服务器资源,这种访问就属于远程访问。

在传统的企业网络配置中,要进行远程访问,传统的方法是租用DDN(数字数据网)专线或帧中继,这样的通讯方案必然导致高昂的网络通讯和维护费用。对于移动用户(移动办公人员)与远端个人用户而言,一般会通过拨号线路(Internet)进入企业的局域网,但这样必然带来安全上的隐患。

让外地员工访问到内网资源,利用VPN的解决方法就是在内网中架设一台VPN服务器。外地员工在当地连上互联网后,通过互联网连接VPN服务器,然后通过VPN服务器进入企业内网。为了保证数据安全,VPN服务器和客户机之间的通讯数据都进行了加密处理。有了数据加密,就可以认为数据是在一条专用的数据链路上进行安全传输,就如同专门架设了一个专用网络一样,但实际上VPN使用的是互联网上的公用链路,因此VPN称为虚拟专用网络,其实质上就是利用加密技术在公网上封装出一个数据通讯隧道。有了VPN技术,用户无论是在外地出差还是在家中办公,只要能上互联网就能利用VPN访问内网资源,这就是VPN在企业中应用得如此广泛的原因。

工作原理

  • 通常情况下,VPN网关采取双网卡结构,外网卡使用公网IP接入Internet。
  • 网络一(假定为公网internet)的终端A访问网络二(假定为公司内网)的终端B,其发出的访问数据包的目标地址为终端B的内部IP地址。
  • 网络一的VPN网关在接收到终端A发出的访问数据包时对其目标地址进行检查,如果目标地址属于网络二的地址,则将该数据包进行封装,封装的方式根据所采用的VPN技术不同而不同,同时VPN网关会构造一个新VPN数据包,并将封装后的原数据包作为VPN数据包的负载,VPN数据包的目标地址为网络二的VPN网关的外部地址。
  • 网络一的VPN网关将VPN数据包发送到Internet,由于VPN数据包的目标地址是网络二的VPN网关的外部地址,所以该数据包将被Internet中的路由正确地发送到网络二的VPN网关。
  • 网络二的VPN网关对接收到的数据包进行检查,如果发现该数据包是从网络一的VPN网关发出的,即可判定该数据包为VPN数据包,并对该数据包进行解包处理。解包的过程主要是先将VPN数据包的包头剥离,再将数据包反向处理还原成原始的数据包。
  • 网络二的VPN网关将还原后的原始数据包发送至目标终端B,由于原始数据包的目标地址是终端B的IP,所以该数据包能够被正确地发送到终端B。在终端B看来,它收到的数据包就和从终端A直接发过来的一样。
  • 从终端B返回终端A的数据包处理过程和上述过程一样,这样两个网络内的终端就可以相互通讯了。

通过上述说明可以发现,在VPN网关对数据包进行处理时,有两个参数对于VPN通讯十分重要:原始数据包的目标地址(VPN目标地址)和远程VPN网关地址。根据VPN目标地址,VPN网关能够判断对哪些数据包进行VPN处理,对于不需要处理的数据包通常情况下可直接转发到上级路由;远程VPN网关地址则指定了处理后的VPN数据包发送的目标地址,即VPN隧道的另一端VPN网关地址。由于网络通讯是双向的,在进行VPN通讯时,隧道两端的VPN网关都必须知道VPN目标地址和与此对应的远端VPN网关地址。

六,总结概述

私网就是局域网,比如说学校,企业内部等等,公网也就是外网,比如说是百度,两者之间通信的话需要借助NAT技术与端口映射技术,而VPN技术则是一种特殊形式,比如说员工外出出差,此时通过外面的网络(其他的局域网)访问内部网络的一种手段,也就属于远程访问。

  • 4
    点赞
  • 0
    评论
  • 25
    收藏
  • 打赏
    打赏
  • 扫一扫,分享海报

©️2022 CSDN 皮肤主题:岁月 设计师:pinMode 返回首页

打赏作者

八橘子

你的鼓励将是我创作的最大动力

¥2 ¥4 ¥6 ¥10 ¥20
输入1-500的整数
余额支付 (余额:-- )
扫码支付
扫码支付:¥2
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值