NAT基础知识整理

NAT概述

NAT（Network Address Translation)，网络地址转换，就是替换IP报文头部的地址信息。NAT通常部署在一个组织的网络出口位置，通过将内部网络IP地址替换为出口的IP地址提供公网可达性和上层协议的连接能力。
内部网络也称私有地址，规定了三个保留地址段落：

• 10.0.0.0-10.255.255.255
• 172.16.0.0-172.31.255.255
• 192.168.0.0-192.168.255.255

这三个范围分别处于A,B,C类的地址段，不向特定的用户分配，这些地址可以在任何组织或企业内部使用。和其他Internet地址的区别就是，仅能在内部使用，不能作为全球路由地址。这就是说，出了组织的管理范围这些地址就不再有意义，无论是作为源地址，还是目的地址。对于一个封闭的组织，如果其网络不连接到Internet，就可以使用这些地址而不用向运营商提出申请，而在内部的路由管理和报文传递方式与其他网络没有差异。

对于有Internet访问需求而内部又使用私有地址的网络，就要在组织的出口位置部署NAT网关，在报文离开私网进入Internet时，将源IP替换为公网地址，通常是出口设备的接口地址。一个对外的访问请求在到达目标以后，表现为由本组织出口设备发起，因此被请求的服务端可将响应由Internet发回出口网关。出口网关再将目的地址替换为私网的源主机地址，发回内部。这样一次由私网主机向公网服务端的请求和响应就在通信两端均无感知的情况下完成了。依据这种模型，数量庞大的内网主机就不再需要公有IP地址了。

NAT的分类

• 静态NAT：建立内部本地地址和内部全局地址的一对一永久映射。当外部网络需要通过固定的全局可路由地址访问内部主机，静态NAT就显得十分重要。
• 建立内部本地地址和内部全局地址池的临时映射关系，过一段时间没有用就会删除映射关系。不像使用静态NAT那样，无需静态地配置路由器，使其将每个内部地址映射到一个外部地址，但必须有足够的公有因特网IP地址，让连接到因特网的主机都能够同时发送和接收分组。
• 传统的NAT一般是指一对一的地址映射，不能同时满足所有的内部网络主机与外部网络通讯的需要。使用PAT(端口地址转换)，可以将多个内部本地地址映射到一个内部全局地址。

NAT工作原理

• 内部地址翻译（Translation inside local addresses)：
  在内部主机连接到外部网络时，当第一个数据包到达NAT路由器时，router检查它的NAT表，因为是NAT是静态配置的，故可以查询出来，然后router将数据包的内部源地址IP更换成内部全局地址，再转发出去。外部主机接受到数据包用接受到的内部全局地址来响应，NAT接受到外部回来的数据包，再根据NAT表把地址翻译成内部局部IP，转发过去。

• 内部全局地址复用（overloading inside global addresses）：
  使用地址和端口将多个内部地址影射到比较少的外部地址。这也是所谓的PAT。和内部地址翻译一样，NAT router同样也负责查表和翻译内部IP地址，唯一的区别就是由于使用了overloading，router将复用同样的内部全局IP地址，并存储足够的信息以区分它和其他地址，这样查询出来的是extended entry。NAT router和外部主机的通讯采用翻译过的内部全局地址，故同一般的通信没有差别，router到内部主机通讯时，同样要查NAT表。

NAT的优点与缺点

NAT的优点

• 节省合法的注册地址
• 在地址重叠时提供解决方案
• 提高连接到因特网的灵活性
• 在网络发生变化时避免重新编址

NAT的缺点

• 地址转换将增加交换延迟
• 导致无法进行端到端IP跟踪
• 导致有些应用程序无法正常运行