20CN网络安全小组论坛 - 菜鸟乐园

论坛: 菜鸟乐园标题: NAT的文章

作者: dinghj [dinghj]

论坛用户

NAT（网络地址翻译）
网络地址翻译（NAT Network Address Translation）将专用网络中的IP地址转换成在因特网上使用的全球唯一的公共IP地址。尽管，最初设计NAT的目的是为了增加在专用网络中可使用的IP地址数，但是它有一个隐蔽的安全特性，如内部主机隐蔽等等，保证了网络的一定安全。NAT实际上是一个基本的代理，一个主机代表内部所有主机发出请求，并代表外部服务器对内部主机进行响应等等，但NAT工作在传输层，因此它还需要使用低层和高层服务来保证网络的安全。其工作过程如图所示。

①：自10.1.1.7:1234 到 192.168.13.15 “打开default.html”
②:翻译10.1.1.7:1234 = 128.110.121.15464 仅对 192.168.13.15:80
③：自 128.110.121.1:15465 到 192.168.13.15:80 “打开default.html”
④: 自192.168.13.15:80到128.110.121.1:15465“发送default.html”
⑤：自192.168.13.15 到10.1.1.7:1234“送default.html”
⑥：自10.1.1.7:1234 到 192.168.13.15 “关闭会话”
⑦：自 128.110.121.1:15465 到 192.168.13.15:80 “关闭会话”
其中创建项就是创建②，项删除也是删除②。
二、翻译模式
1. 静态翻译：这种模式中，一个指定的内部主机有一个从不改变的固定的翻译表。
2. 动态翻译：这种模式中，为了隐藏内部主机的身份或扩展内部网络的地址空间，一个大的因特网客户群共享单一一个或一组小的因特网IP地址。
3. 负载平衡翻译：这种模式中，一个IP地址和端口被翻译为同等配置的多个服务器的一个集中处，这样一个公共地址可以为许多服务器服务。
4. 网络冗余翻译：这种模式中，多个因特网连接被附加在一个NAT防火墙上，而这个防火墙根据负载和可用性对这些连接进行选择和使用。

地主发表时间: 10/15 10:53

回复: dinghj [dinghj]

论坛用户

不是有很多人问NAT的吗！

B1层发表时间: 10/18 20:09

回复: lhb [lhb]

论坛用户

ICS和NAT
如果你学到了这一步，你应该知道Internet上的每一台主机都是由一个唯一的，32位的IP地址标识并寻址的，而且参与数据交换的每一台计算机都是通
过这个IP地址被路由的。ICS模型需要更多的工作，使用NAT来从你的私有IP数据交换（来自于你私有的网络）分离出公有的IP数据包（来自互联网）。
ICS通过将你的ICS主机设置成一个路由器来利用NAT。基本上来说，你的LAN上的结点成为了你的启用了ICS的服务器的“客户”--也就是从总体上来说
你的ICS主机是作为服务器运行的。
在缺省的情况下，你的NAT路由器/服务器/ICS主机使用一个为私有网络保留的特定IP范围。作为一个规则，它是以192.168.xxx.xxx开始的B类网络地
址。但是，一个以10.xxx.xxx.xxx开始的A类网络也是可能的，这依赖于你希望创建的子网和结点的个数。因为互联网工程工作组已经根本了IP地址的
这些范围，你不会发现它们被直接连到互联网上。因此，这时只有LAN上的PC机才能相互之间进行通信因为它们之间能够交换数据包。
NAT过程
让我向你展示这个过程。假设你建立一个私有的LAN并且将一台Windows 98 SE主机配置上了ICS。而你的老婆，一个海洋生物学家，正在隔壁的房间里
使用一台Windows 95 PC在互联网上完成她的研究工作。你的老婆打开IE然后键入http://www.coreresearch.org。
这台电脑上键入的地址被发送到ICS主机/NAT路由器（你的Win 98 SE主机）。NAT路由器接受了这个请求，通过重新格式化数据报头中的源地址来提取
出IP数据报，这样，这个数据报看起来就象是由Win 98 SE主机发出的一样，然后NAT路由器会创建一个与TCP/UDP端口以及请求的IP地址（也就是Win
95主机的IP地址）相关联的表格。这个映射过程一直到数据交换完成都会存在。
接着，启用了ICS的主机将这个请求发送到公网上提取HTTP信息。其结果当然是提取的数据又回到你的ICS主机/NAT路由器来了。当你的ICS主机接收到
了这些Internet上的数据的时候，它反向完成我开始描述的过程；NAT路由器反查它将数据请求者的IP与TCP/UDP端口映射的表格将这个IP数据报的源地
址重新改装，最后将发送回你的私有网络上相应的请求者（即运行了Win95 的主机）。
简单的说，真正与互联网打交道的是你的NAT路由器--它不仅仅是作为公网的一台客机而且是作为你的私网上的一个服务器存在的。你的私有网络上的
每一台PC机，虽然它还是能够访问互联网，看起来就象你的ICS客户机一样。在Linux世界里，这些法则是同样适用的。
显然，共享一个（通常是高速的）互联网连接是一个很好的功能。因为毕竟，它是要花钱的！NAT的一个潜在的好处就是网络的安全性。就象我在上面
提到的那样，互联网唯一可见的计算机将是NAT路由器--也就是你的Windows 98 SE计算机。你的私有网络上的其它计算机能够被安全的隐藏在你的ICS
主机/NAT路由器的背后。还值得一提的是Web浏览器，比方IE或者Navigator通常会向任何它请求的Web浏览器提交源IP地址。因为对于你的公网IP地址
只有你的ICS主机/NAT 路由器有相关的信息，那么你的LAN上的其它客户就没有机会给出他们的地址了。这样，你可以在你的私有LAN上安装多台PC，它
们能够访问互联网进行网上冲浪，下载，并且发送电子邮件，但是唯一被当作是连接到了互联网的主机是你的ICS主机。

B2层发表时间: 10/19 14:52

论坛: 菜鸟乐园