Nat穿透方法分析.docVIP

Nat穿透方法分析 一、nat分类 静态NAT (Static NAT) 内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。 动态地址NAT (Pooled NAT) 在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。 网络地址端口转换NAPT（Port-Level NAT） 把内部地址映射到外部网络的一个IP地址的不同端口上。 二、基本nat分类 （1）Full Cone NAT(完全圆锥型) NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定任何包都可以通过地址{A:b}送到客户主机的{X:y}地址上 （2）Address Restricted Cone NAT(地址限制圆锥型 ) NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定只有来自主机{P}的包才能和主机{X:y}通信 （3）Port Restricted Cone NAT(端口限制圆锥型) NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定只有来自主机{P,q}的包才能和主机{X:y}通信 （4）Symmetric NAT(对称型) NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定为{X:y}|{A:b}-{P:q} NAT只接受来自{P:q}的incoming packet，将它转给{X:y} 每次客户机请求一个不同的公网地址和端口，NAT会新分配一个端口号{C,d} 三、Nat穿透方法分析 A机器在私网（192.168.0.4） A侧NAT服务器（210.21.12.140） B机器在另一个私网（192.168.0.5） B侧NAT服务器（210.15.27.140） C机器在公网（210.15.27.166）作为A和B之间的中介 A机器连接过C机器，假使是 A（192.168.0.4:5000）- A侧NAT（转换后210.21.12.140:8000）- C（210.15.27.166:2000） B机器也连接过C机器，假使是 B（192.168.0.5:5000）- B侧NAT（转换后210.15.27.140:8000）- C（210.15.27.166:2000） A机器连接过C机器后，A向C报告了自己的内部地址（192.168.0.4:5000），此时C不仅知道了A的外部地址（C通过自己看到的210.21.12.140:8000）、也知道了A的内部地址。同理C也知道了B的外部地址（210.15.27.140:8000）和内部地址（192.168.0.5:5000）。之后，C作为中介，把A的两个地址告诉了B，同时也把B的两个地址告诉了A。 假设A先知道了B的两个地址，则A从192.168.0.4:5000处同时向B的两个地址192.168.0.5:5000和210.15.27.140:8000发包，由于A和B在两个不同的NAT后面，故从A（192.168.0.4:5000）到B（192.168.0.5:5000）的包肯定不通，现在看A（192.168.0.4:5000）到B（210.15.27.140:8000）的包，分如下两种情况： 1、B侧NAT属于Full Cone NAT 则无论A侧NAT属于Cone NAT还是Symmetric NAT，包都能顺利到达B。如果P2P程序设计得好，使得B主动到A的包也能借用A主动发起建立的通道的话，则即使A侧NAT属于Symmetric NAT，B发出的包也能顺利到达A。 结论1：只要单侧NAT属于Full Cone NAT，即可实现双向通信。 2、B侧NAT属于Restricted Cone或Port Restricted Cone 则包不能到达B。再细分两种情况 （1）、A侧NAT属于Restricted Cone或Port Restricted Cone 虽然先前那个初始包不曾到达B，但该发包过程已经在A侧NAT上留下了足够的记录：A（192.168.0.4:5000）-（210.21.12.140:8000）-B（210.15.27.140:8000）。如果在这个记录没有超时之前，B也重复和A一样的动作，即向A（210.21.12.140:8000）发包，虽然A侧NAT属于Restricted Cone或Port Restricted Cone，但先前A侧NAT已经认为A已经向B（210.15.27.140:8000）发过包，故B向A（210.21.12.140:8000）发包能够顺利到达A。同理，此后A到B的包，也能顺利到达。 结论2：只要两侧NAT都不属于Symmetric NAT，也可双向通信。换种说法，只要两侧NAT