网络设备互联与配置 妙手回春：NAT概述 11.4 网络地址转换及配置.docVIP

11.4 网络地址转换及配置 网络地址转换（Network Address Translation，NAT）能够实现一个单位或部门的所有主机利用一个公有IPv4地址接入Internet并进行通信，是Internet工程任务组IETF制定的把内部网络使用的私有IPv4地址映射成为全球唯一合法的公有IPv4地址的标准。 本节将详细介绍网络地址转换的基本概念、基本原理、配置与诊断方法、步骤及命令。 11.4.1 NAT概述 近些年来，随着Internet技术，尤其是移动互联网的迅猛发展，网络内部主机及IP接入终端数量呈现指数级增长，IPv4注册地址已经枯竭。因此，Internet的发展面临中严重的扩展性问题：首先是注册IPv4地址空间耗尽，而Internet的应用领域与规模却仍在持续增长；其次，Internet规模的不断增长，骨干互联网连接设备中的路由表中关于IP路由选择的相关表项也急剧增长，引发了路由设备中路由选择算法的扩展性问题。 可见，如果没有良好扩展解决方案，Internet的发展将几近停滞。为此，近些年已经提出并实现了几种扩展方法。在IP地址扩展问题方面，提出了关于私有IPv4地址的RFC1918标准、动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）、IPv6和网络地址转换（Network Address Translation，NAT）等；在缩小路由表规模方面，提出了无类域间路由选择（CIDR）、变长子网掩码VLSM等。其中，网络地址转换NAT及其端口地址转换（Port Address Translation，PAT）是一种在大型网络中节省注册IPv4地址，简化IPv4寻址管理任务的机制。NAT能够将内部网络中的私有IPv4地址翻译、转换为合法的全球唯一的合法IPv4公有地址，实现了子网地址在没有注册的情况下与外部网络进行数据通信，并在接收来自外部网络数据分组时，将公有地址转换为内部网络唯一的私有地址，以便数据分组在内部网络中的传输。 因此，NAT的典型应用是将使用RFC1918标准的私有IPv4地址的内部网络连接到Internet并进行数据通信，避免了在内部网络中使用大量的公有注册IPv4地址，提供了公有地址空间的使用效率，节省了相关申请费用。并且，NAT已经由RFC1613描述为一种标准。 NAT的实质是通过修改进出NAT设备IP报文头部的源IP地址、目的IP地址、端口号等信息，实现私有IPv4地址与少量注册公用IP地址间的转换，达到利用私有IP地址空间连接到Internet进行通信的目的。NAT通常用位于内网末节网络（Stub）到外网的出口路由器上，即NAT设备一般位于Stub的边界。末节网络Stub只有一条连接外网的通路，当Stub中的主机要与外网设备要通信时，它需要将数据分组发送到其默认网关，也就是NAT路由器。此时，运行在路由器上的NAT进程将数据分组中的私有源IP地址字段值替换为公有IP地址，并在路由器的NAT转换表中记录该私有源IP地址与转换的公有IP地址间的对应关系。相反地，当NAT路由器接收到外网中的主机发送来的应答数据分组时，通过查看路由器上的当前NAT转换表，将目标公有IP地址替换原来与之对应的内部私有IP地址。NAT实现内部网络与外部网络间地址转换的过程如图11-14所示。 图11-14 NAT转换内、外部网络地址 NAT提供了使用私有地址空间的内部网络通过少量全球唯一的公有地址接入Internet进行通信的支持。而对于不同的内部网络用户，能够使用不同的公有IP地址池，使得网络互连的管理更加容易。对于提供接入Internet服务的ISP企业而言，由于它需要向成千上万的用户提供访问Internet的服务，而其自身却只有极少量的IPv4地址，因此，ISP必须利用NAT技术，将众多的内部私有地址映射为其仅有的一些公有地址，满足用户上Internet网的需求。 从图11-14可以看出，NAT中使用一些专用术语。其中，内部网络（Inside）和外部网络（Outside）主要基于IP主机相对于NAT设备的物理位置来区分，前者指的是需要进行网络地址转换的网络；而后者则为除内部网络之外的其它所有网络。除此之外，NAT中还引入了下列术语： 内部本地IP地址：分配给内部网络中主机使用的IPv4地址，通常不是网络信息中心（Network Information Center，NIC）或ISP分配的IPv4地址，而是来自RFC1918描述的私有地址空间； 内部全局IP地址：对外部网络代表一个或多个内部本地IPv4地址，是由NIC或ISP分配的全球唯一的合法公有IPv4地址； 内部全局IP地址是外部（全局）网络中的用户看到的内部网络中的主机IP地址，外部用户使用该