NAT详细描述.docxVIP

1、NAT原理1.1、概述RFC1631、RFC3022以及相关RFC定义的NAT（Network Address Translator）是一种将IP地址从一个编址域映射到另一个编址域的方法，典型的应用是把RFC1918定义的私有IP地址映射到Internet所使用的公有IP地址。NAT与网络中其它计算设备的关系如图1.1。虽然NAT技术已经得到广泛应用，但它是一把双刃剑，在带来节省IPv4地址空间等好处的同时，破坏了Internet最基本的“端到端的透明性”的设计理念，增加了网络的复杂性，阻碍了业务的创新。IETF一直主张利用IPv6技术解决地址短缺问题，因此IETF虽然出版了几个与NAT相关的RFC，但对NAT技术（尤其是穿越问题）一直没有系统的标准工作，如SIP和Mobile IP就是NAT出现后设计的一些协议，都未考虑到NAT的穿越问题。现在业界意识到Internet在短期内不可能过渡到IPv6，IPv4和IPv6将长期共存，NAT以及NAT-PT（Network Address Translation - Protocol Translation）将继续得到长期应用，因此NAT相关问题开始引起IETF（Internet Engineering Task Force）和ITU-T（International Telecommunication Union）等相关国际标准化组织的关注。中国通信标准化协会IP与多媒体工作委员会也正在积极参与ITU-T SG16组的相关活动，加紧制定中国多媒体业务NAT穿越标准[1]。ICDH.323FTPNAT外网/InternetOCDH.323FTP图1.1 NAT与计算设备的关系说明：ICD：Inner Computing Device，内部计算设备，内部主机，内网主机OCD：Outer Computing Device，外部计算设备，外部主机，外网主机ICD和OCD是相对而言的，OCD也可能在1个或多个NAT后面1.2、分类从功能上看，主要有以下几种典型的NAT（RFC2663），如图1.2）。NAT传统NAT双向NAT两次NAT多宿主NAT静态NAT动态NAT基本NATNAPT说明：动态NAT也可以称作NAT池（pooled NAT）NAPT：Network Address Port Translation图1.2 NAT的分类1.2.1、传统NAT在多数情况下，传统NAT（Traditional NAT）允许位于内部网络的主机（采用RFC1918地址）透明地访问外部网络中的主机，把从外部网络到内部网络的访问作为一种特例。有关传统NAT的详细描述见RFC1631和RFC3022。传统NAT包括基本NAT和NAPT两大类。基本NAT基本NAT可以分为两类：静态NAT和动态NAT。静态NAT的工作原理是将内部网络中的每个IP地址（可以是私有IP地址、公有IP地址）永久映射成外部网络中的某个IP地址。动态NAT的工作原理则是在外部网络中定义了一系列的IP地址，采用动态分配的方法映射到内部网络中的IP地址。采用动态NAT意味着可以在内部网中定义很多的内部用户，通过动态分配的办法，共享很少的几个外部IP地址。而静态NAT则只能形成一一对应的固定映射方式。需要注意的是，动态NAT中动态分配的外部IP地址全部被占用后，后续的NAT申请将会失败，不过许多NAT有超时配置功能，可以在一定程度上提高外部IP的利用率和用户满意度。NAPTNAPT（Network Address Port Translation）把基本NAT的概念延伸了一步，在翻译IP地址的同时也翻译传输层标识（如TCP/UDP的端口号，ICMP的查询ID），从而把多个内网主机的传输层标识映射到一个外部IP地址。NAPT可以使一组主机共享一个外部IP地址。在实际使用中可以把NAPT和基本NAT结合起来。对于从内部网络向外的数据包，NAPT翻译源IP地址、源传输层标识以及相关字段，如IP、TCP、UDP和ICMP头校验和。对于进入内部网络的数据包，翻译目的IP地址、目的传输层标识以及相关字段。传输层标识可以是TCP/UDP端口号或ICMP查询ID中的任意一种。1.2.2、双向NAT双向NAT（Bi-directional Nat、Two-way NAT）支持从内部网络向外部网络发起会话请求，也支持从外部网络向内部网络发起会话请求。当在外出或进入任何一个方向上建立连接时，把内部网络IP地址静态或动态地映射到一个外部IP地址上。这里假设位于内部网络和外部网络之间的名字空间（FQDN，Fully Qualified Domain Names）是端到端唯一的，因为只有这样才能使得位于外部编址域的主机能利用域名系统（DNS）访问内部网络的主机。在