linux: NAT技术和代理服务器

一、代理服务器

现代社会社会流行一种职业，叫“代购”。相信多数人对这个词都不陌生了，我们要讲的代理服务器的功能与这个“代购”是类似的道理。所谓“代理”就是代而劳之，不需要你自己去做，有人帮你做了这个事情。

代理服务器：
当客户端在浏览器中设置好Proxy服务器后,所有使用浏览器访问internet站点的请求都不会直接发给目的主机,而是首先发送至代理服务器,代理服务器接收到客户端的请求以后,由代理服务器向目的主机发出请求,并接收目的主机返回的数据,存放在代理服务器的硬盘,然后再由代理服务器将客户端请求的数据转发给客户端.

具体步骤：
1.当客户端A对web服务器请求时,此端提出请求时,此请求会首先发送到代理服务器.
2.代理服务器接收到客户端请求后,会检查缓存中是否存有客户端所需要的数据.
3.如果代理服务器没有客户端A所请求的数据,它将会向WEB器提交请求;
4.WEB服务器响应请求的数据.
5.代理服务器向客户端A转发Web服务器的数据.
6.客户端B访问web服务器,向代理服务器发出请求.
7.代理服务器查找缓存记录,确认已经存在WEB服务器的相关数据.
8.代理服务器直接回应查询的信息,而不需要再去服务器进行查询,从而达到节约网络流量和提高访问的速度目的.

代理服务器的功能：
　代理服务器（Proxy Server）是Internet链路级网关所提供的一种重要的安全功能，主要的功能有：

　　　　1.突破自身IP访问限制，访问国外站点。教育网，过去的169网等。

　　　　2.提高访问速度：通常代理服务器都设置了一个较大的硬盘缓冲区，当有外界的信息通过的时候，同时也将其保存在缓冲区中，当其他用户在访问相同的信息时，则直接有缓冲区取出信息，传给用户，以提高访问速度

　　　　3.链接内网与Internet，充当防火墙：因为所有的内部网用户通过代理服务器访问外界时，只映射一个IP地址，所以外界不能直接访问到内部网；同时可以设置IP地址过滤，限制内部网对外部的访问权限

　　　　4.节省IP开销：代理服务器允许使用大量的伪IP地址，节约上网资源，即代理服务器可以减少对IP地址的需求，对于使用局域网方式接入Internet，如果为局域网（LAN）内的每一个用户都申请一个IP地址，其费用可想而知。但使用代理服务器之后，只需代理服务器上有一个合法的IP地址，LAN内其他用户可以使用10...*这样的私有IP地址，这样可以节约大量的IP，降低网路的维护成本。

　　　　5.隐藏真实IP：上网者可以通过这种方式隐藏自己的IP，以免受到攻击；

　　　　6.设置用户验证和记账功能，没有登记的用户无权通过代理服务器访问Internet网。并对用户的访问时间、访问地点、信息流量进行统计。

常见的代理服务器：
最常见的是下面6种基本类型：
1.HTTP代理：能够代理客户机的HTTP访问，主要是代理浏览器访问网页。 　　

2.FTP代理：能够代理客户机上的FTP软件访问FTP服务器。
　　
3.RTSP代理：代理客户机上的Realplayer访问Real流媒体服务器。 　　
4.POP3代理：代理客户机上的邮件软件用POP3方式收发邮件。

5.VPN代理：指在共用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个VPN网络的任意两个结点之间的连接并没有传统专网建设所需的点到点的物理链路，而是架构在公用网络服务商ISP所提供的网络平台之上的逻辑网络。用户的数据是通过ISP在公共网络（Internet）中建立的逻辑隧道（Tunnel），即点到点的虚拟专线进行传输的。通过相应的加密和认证技术来保证用户内部网络数据在公网上安全传输，从而真正实现网络数据的专有性。　
　
6.SOCKS代理：SOCKS代理与其他类型的代理不同，它只是简单地传递数据包，而并不关心是何种应用协议，既可以是HTTP请求，所以SOCKS代理服务器比其他类型的代理服务器速度要快得多。SOCKS代理又分为SOCKS4和SOCKS5，二者不同的是SOCKS4代理只支持TCP协议（即传输控制协议），而SOCKS5代理则既支持TCP协议又支持UDP协议（即用户数据包协议），还支持各种身份验证机制、服务器端域名解析等。SOCK4能做到的SOCKS5都可得到，但SOCKS5能够做到的SOCKS则不一定能做到，比如我们常用的聊天工具QQ在使用代理时就要求用SOCKS5代理，因为它需要使用UDP协议来传输数据。

二，NAT技术

NAT（Network Address Translation）网络地址转换，用于将访问Internet上公网的私有IP地址转换为合法的共有IP地址。

NAT技术以少量的共有IP地址代替大多的私有IP地址访问的方式，能有助于减缓IP地址不足的问题，同时能有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。

NAT将自动修改IP报文的原IP地址和目的IP地址，IP地址校验则在NAT处理过程中自动完成。有些应用程序将原IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文的数据部分进行修改，以匹配IP投中已经修改过的原IP地址。否则，在报文数据部分嵌入IP地址的应用成徐就不能正常的工作。

　　NAT服务器有内部和外部两个网卡，只有当内外部网络之间需要进行数据传送时，才进行地址转换。在NAT服务器上都维护一张状态表，称为NAT表。该表记录每个数据包在NAT服务器上被转换的情况。根据采用的地址转换技术不同，可以分为三类：静态转换、动态转换和端口多路复用；

1，静态转换
静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。

（1）首先，当内网终端要访问外网服务器时，会先将请求发送给NAT服务器；

（2）NAT服务器接收到请求后，根据接收到的数据包检查NAT表；如果已为该地址配置了静态地址转换，NAT服务器就使用对应的公网IP地址转发数据包，否则，NAT服务器不对地址进行转换，直接将数据包丢弃；

（3）Internet主机接收到请求之后，会将应答信息返回给端口NAT服务器；

（4）当NAT服务器接收到来自Internet上的主机返回的数据包后，检查静态NAT表。如果NAT表中存在匹配的映射项，则将目标地址转换为相应的内网IP，并将数据包转发给内网主机。如果不存在匹配映射项，则将数据包丢弃；

2，动态转换
动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。

　　动态转换的过程和静态转换差不多，只是其转换成对应的合法公有IP地址是不确定的，也就是随机分配的；

3，端口多路复用
端口多路复用是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

（1）当内网主机需要与Internet建立连接时，首先将请求发送到端口NAT服务器。NAT服务器接收到请求后，根据接收到的数据包，检查端口NAT映射表；如果还没有为该内网主机建立地址转换映射项，则NAT服务器会创建一个会话，并给该会话分配一个端口。之后将源地址及端口改为企业公网IP地址及相应的端口，发送数据包到Internet主机上；

（2）Internet主机接收到信息后，将应答信息返回给端口NAT服务器；

（3）当端口NAT服务器接收到应答信息后，检查端口NAT映射表。如果端口NAT表存在匹配的映射项，则将目标地址及端口转换为对应的内网IP及端口，将数据包转发给内网主机。如果不存在匹配映射项，就将数据包丢弃；