安全与VPN-NAT技术介绍-D.docx

， ， 安全与VPN-NAT技术介绍 技术介绍安全和 VPN 技术介绍 安全和 VPN 业务 目 录 i i 目 录 NAT 1 NAT简介 1 地址转换控制 2 NAT实现 3 基本地址转换 3 NAPT 3 内部服务器 5 DNS mapping 5 Easy IP 6 NAT支持的特殊协议 6 支持NAT多实例 7 NAT日志 7 技术介绍安全和 VPN 技术介绍 安全和 VPN 业务 NAT PAGE PAGE 1 NAT NAT 简介 NAT（Network Address Translation，网络地址转换）是将 IP 数据报文头中的 IP 地址转换为另一个 IP 地址的过程。在实际应用中，NAT 主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公网 IP 地址代表较多的私网 IP 地址的方式， 将有助于减缓可用 IP 地址空间的枯竭。 私网 IP 地址是指内部网络或主机的 IP 地址，公网 IP 地址是指在因特网上全球唯一的 IP 地址。 RFC 1918 为私有网络预留出了三个 IP 地址块，如下： A 类：～55 B 类：～55 C 类：～55 （上述三个范围内的地址不会在因特网上被分配，因此可以不必向 ISP 或注册中心申请而在公司或企业内部自由使用。） NAT 最初的设计目的是用于实现私有网络访问公共网络的功能，后扩展到实现任意两个网络间进行访问时的地址转换应用，本文中将这两个网络分别称为内部网络（内网）和外部网络（外网），通常私网为内部网络，公网为外部网络。 图 1描述了一个基本的NAT应用。 图1 地址转换的基本过程 内网用户主机（）向外网服务器（）发送的 IP 报文通过 NAT 设备。 NAT 设备查看报头内容，发现该报文是发往外网的，将其源 IP 地址字段的私网地址 转换成一个可在 Internet 上选路的公网地址 ，并将该报文发送给外网服务器，同时在 NAT 设备的网络地址转换表中记录这一映射。 外网服务器给内网用户发送的应答报文（其初始目的 IP 地址为 ）到达 NAT 设备后，NAT 设备再次查看报头内容，然后查找当前网络地址转换表的记录，用内网私有地址 替换初始的目的 IP 地址。 上述的 NAT 过程对终端（如图中的 Host 和 Server）来说是透明的。对外网服务器而言，它认为内网用户主机的 IP 地址就是 ，并不知道有 这个地址。因此，NAT“隐藏”了企业的私有网络。 地址转换的优点在于，在为内部网络主机提供了“隐私”保护的前提下，实现了内部网络的主机通过该功能访问外部网络的资源。但它也有一些缺点： 由于需要对数据报文进行 IP 地址的转换，涉及 IP 地址的数据报报文的报头不能被加密。在应用协议中，如果报文中有地址或端口需要转换，则报文不能被加密。例如，不能使用加密的 FTP 连接，否则 FTP 协议的 port 命令不能被正确转换。 网络调试变得更加困难。比如，某一台内部网络的主机试图攻击其它网络，则很难指出究竟哪一台主机是恶意的，因为主机的 IP 地址被屏蔽了。 地址转换控制 在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问，即当 NAT 设备查看 IP 数据报文的报头内容时，如果发现源 IP 地址属于禁止访问外部网络的内部主机，它将不进行地址转换。另外，也希望只有指定的公网地址才可用于地址转换。 设备可以利用 ACL（Access Control Limit，访问控制列表）和地址池来对地址转换进行控制。 访问控制列表可以有效地控制地址转换的使用范围，只有满足访问控制列表规则的数据报文才可以进行地址转换。 地址池是用于地址转换的一些连续的公网 IP 地址的集合，它可以有效地控制公网地址的使用。用户可根据自己拥有的合法 IP 地址数目、内部网络主机数目以及实际应用情况，定义合适的地址池。在地址转换的过程中，NAT 设备将会从地址池中挑选一个 IP 地址做为数据报文转换后的源 IP 地址。 NAT 实现 基本地址转换 从的地址转换过程可见，当内部网络访问外部网络时，地址转换将会选择一个合适的外部地址，来替代内部网络数据报文的源地址。在 图 1中是选择NAT设备出接口的IP地址（公网IP地址）。这样所有内部网络的主机访问外部网络时，只能拥有一个外部网络的IP地址，因此，这种情况同时只允许最多有一台内部网络主机访问外部网络。 当内部网络的多台主机并发的要求访问外部网络时，NAT 也可实现对并发性请求的响应，允许 NAT 设备拥有多个公有 IP 地址。当第一个内网主机访问外网时，NAT 选择一个公有地址 IP1，在地址