网络地址转换NAT.docx
- 文档编号:6615942
- 上传时间:2023-01-08
- 格式:DOCX
- 页数:20
- 大小:104.65KB
网络地址转换NAT.docx
《网络地址转换NAT.docx》由会员分享,可在线阅读,更多相关《网络地址转换NAT.docx(20页珍藏版)》请在冰豆网上搜索。
网络地址转换NAT
网络地址转换(NAT,NetworkAddressTranslation)属接入广域网(WAN)技术,是一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet接入方式和各种类型的网络中。
原因很简单,NAT不仅完美地解决了lP地址不足的问题,而且还能够有效地避免来自网络外部的攻击,隐藏并保护网络内部的计算机。
目录
网络地址转换(NAT)简介
NAT概述
NAT工作流程
NAT架设需求
NAT技术背景
NAT技术的产生
NAT技术的作用
NAT技术实现方式
网络地址转换(NAT)的实现
网络地址转换(NAT)实例
NAT的端口转换方法
FullconeNAT
Address-RestrictedconeNAT
Port-RestrictedconeNAT
SymmetricNAT(对称NAT)
受NAT影响的应用程序
NAT穿透的方法
NAT常见问题
1.NAT的作用是什么?
2.NAT分为哪几种?
3.为什么需要有NAT?
4.怎样映射?
5.TCP或UDP的端口,原本是用来做什么的?
6.NAT有什么弊端?
NAT的局限性
展开
网络地址转换(NAT)简介
NAT概述
NAT工作流程
NAT架设需求
NAT技术背景
NAT技术的产生
NAT技术的作用
NAT技术实现方式
网络地址转换(NAT)的实现
网络地址转换(NAT)实例
NAT的端口转换方法
FullconeNAT
Address-RestrictedconeNAT
Port-RestrictedconeNAT
SymmetricNAT(对称NAT)
受NAT影响的应用程序
NAT穿透的方法
NAT常见问题
1.NAT的作用是什么?
2.NAT分为哪几种?
3.为什么需要有NAT?
4.怎样映射?
5.TCP或UDP的端口,原本是用来做什么的?
6.NAT有什么弊端?
NAT的局限性
展开
编辑本段网络地址转换(NAT)简介
NAT概述
NAT(NetworkAddressTranslation,网络地址转换)是将IP数据包头中的IP地址转换为另一个IP地址的过程。
在实际应用中,NAT主要用于实现私有网络访问公共网络的功能。
这种通过使用少量的公有IP地址代表较多的私有IP地址的方式,将有助于减缓可用IP地址空间的枯竭。
说明:
私有IP地址是指内部网络或主机的IP地址,公有IP地址是指在因特网上全球唯一的IP地址。
RFC1918为私有网络预留出了三个IP地址块,如下:
A类:
10.0.0.0~10.255.255.255
B类:
172.16.0.0~172.31.255.255
C类:
192.168.0.0~192.168.255.255
上述三个范围内的地址不会在因特网上被分配,因此可以不必向ISP或注册中心申请而在公司或企业内部自由使用。
NAT工作流程
①如右图这个client的gateway设定为NAT主机,所以当要连上Internet的时候,该封包就会被送到NAT主机,这个时候的封包Header之sourceIP为192.168.1.100;
Nat-流程1
②而透过这个NAT主机,它会将client的对外联机封包的sourceIP(192.168.1.100)伪装成ppp0(假设为拨接情况)这个接口所具有的公共IP,因为是公共IP了,所以这个封包就可以连上Internet了!
同时NAT主机并且会记忆这个联机的封包是由哪一个(192.168.1.100)client端传送来的;
Nat流程2
③由Internet传送回来的封包,当然由NAT主机来接收了,这个时候,NAT主机会去查询原本记录的路由信息,并将目标IP由ppp0上面的公共IP改回原来的192.168.1.100;
④最后则由NAT主机将该封包传送给原先发送封包的Client。
NAT架设需求
由前面NAT(NetworkAddressTranslation)的介绍,我们知道他可以作为频宽分享的主机,当然也可以管理一群在NAT主机后面的Client计算机。
所以NAT的功能至少有这两项:
①频宽分享:
这是NAT主机的最大功能。
②安全防护:
NAT之内的PC联机到Internet上面时,他所显示的IP是NAT主机的公共IP,所以Client端的PC当然就具有一定程度的安全了!
外界在进行portscan的时候,就侦测不到源Client端的PC。
编辑本段NAT技术背景
NAT技术的产生
虽然NAT可以借助于某些代理服务器来实现,但考虑到运算成本和网络性能,很多时候都是在路由器上来实现的。
随着接入Internet的计算机数量的不断猛增,IP地址资源也就愈加显得捉襟见肘。
事实上,除了中国教育和科研计算机网(CERNET)外,一般用户几乎申请不到整段的C类IP地址。
在其他ISP那里,即使是拥有几百台计算机的大型局域网用户,当他们申请IP地址时,所分配的地址也不过只有几个或十几个IP地址。
显然,这样少的IP地址根本无法满足网络用户的需求,于是也就产生了NAT技术。
NAT技术的作用
借助于NAT,私有(保留)地址的"内部"网络通过路由器发送数据包时,私有地址被转换成合法的IP地址,一个局域网只需使用少量IP地址(甚至是1个)即可实现私有地址网络内所有计算机与Internet的通信需求。
NAT将自动修改IP报文的源IP地址和目的IP地址,Ip地址校验则在NAT处理过程中自动完成。
有些应用程序将源IP地址嵌入到IP报文的数据部分中,所以还需要同时对报文的数据部分进行修改,以匹配IP头中已经修改过的源IP地址。
否则,在报文数据都分别嵌入IP地址的应用程序就不能正常工作。
NAT技术实现方式
NAT的实现方式有三种,即静态转换StaticNat、动态转换DynamicNat和端口多路复用OverLoad。
静态转换是指将内部网络的私有IP地址转换为公有IP地址,IP地址对是一对一的,是一成不变的,某个私有IP地址只转换为某个公有IP地址。
借助于静态转换,可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。
动态转换是指将内部网络的私有IP地址转换为公用IP地址时,IP地址是不确定的,是随机的,所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。
也就是说,只要指定哪些内部地址可以进行转换,以及用哪些合法地址作为外部地址时,就可以进行动态转换。
动态转换可以使用多个合法外部地址集。
当ISP提供的合法IP地址略少于网络内部的计算机数量时。
可以采用动态转换的方式。
端口多路复用(PortaddressTranslation,PAT)是指改变外出数据包的源端口并进行端口转换,即端口地址转换(PAT,PortAddressTranslation).采用端口多路复用方式。
内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问,从而可以最大限度地节约IP地址资源。
同时,又可隐藏网络内部的所有主机,有效避免来自internet的攻击。
因此,目前网络中应用最多的就是端口多路复用方式。
网络地址转换(NAT)的实现
在配置网络地址转换的过程之前,首先必须搞清楚内部接口和外部接口,以及在哪个外部接口上启用NAT。
通常情况下,连接到用户内部网络的接口是NAT内部接口,而连接到外部网络(如Internet)的接口是NAT外部接口。
1).静态地址转换的实现
假设内部局域网使用的lP地址段为192.168.0.1~192.168.0.254,路由器局域网端(即默认网关)的IP地址为192.168.0.1,子网掩码为255.255.255.0。
网络分配的合法IP地址范围为61.159.62.128~61.159.62.135,路由器在广域网中的IP地址为61.159.62.129,子网掩码为255.255.255.248可用于转换的IP地址范围为61.159.62.130~61.159.62.134。
要求将内部网址192.168.0.2~192.168.0.6分别转换为合法IP地址61.159.62.130~61.159.62.134。
第一步,设置外部端口。
interfaceserial0
ipaddress61.159.62.129255.255.255.248
ipnatoutside
第二步,设置内部端口。
interfaceethernet0
ipaddress192.168.0.1255.255.255.0
ipnatinside
第三步,在内部本地与外部合法地址之间建立静态地址转换。
ipnatinsidesourcestatic内部本地地址内部合法地址。
示例:
ipnatinsidesourcestatic192.168.0.261.159.62.130//将内部网络地址192.168.0.2转换为合法IP地址61.159.62.130
ipnatinsidesourcestatic192.168.0.361.159.62.131//将内部网络地址192.168.0.3转换为合法IP地址61.159.62.131
ipnatinsidesourcestatic192.168.0.461.159.62.132//将内部网络地址192.168.0.4转换为合法IP地址61.159.62.132
ipnatinsidesourcestatic192.168.0.561.159.62.133//将内部网络地址192.168.0.5转换为合法IP地址61.159.62.133
ipnatinsidesourcestatic192.168.0.661.159.62.134//将内部网络地址192.168.0.6转换为合法IP地址61.159.62.134
至此,静态地址转换配置完毕。
2).动态地址转换的实现
假设内部网络使用的IP地址段为172.16.100.1~172.16.100.254,路由器局域网端口(即默认网关)的IP地址为172.16.100.1,子网掩码为255.255.255.0。
网络分配的合法IP地址范围为61.159.62.128~61.159.62.191,路由器在广域网中的IP地址为61.159.62.129,子网掩码为255.255.255.192,可用于转换的IP地址范围为61.159.62.130~61.159.62.190。
要求将内部网址172.16.100.1~172.16.100.254动态转换为合法IP地址61.159.62.130~61.159.62.190。
第一步,设置外部端口。
设置外部端口命令的语法如下:
ipnatoutside
示例:
interfaceserial0//进入串行端口serial0
ipaddress61.159.62.129255.255.255.192//将其IP地址指定为61.159.62.129,子网掩码为255.255.255.192
ipnatoutside//将串行口serial0设置为外网端口
注意,可以定义多个外部端口。
第二步,设置内部端口。
设置内部接口命令的语法如下:
ipnatinside
示例:
interfaceethernet0//进入以太网端口Ethernet0
ipaddress172.16.100.1255.255.255.0//将其IP地址指定为172.16.100.1,子网掩码为255.255.255.0
ipnatinside//将Ethernet0设置为内网端口。
注意,可以定义多个内部端口。
第三步,定义合法IP地址池。
定义合法IP地址池命令的语法如下:
ipnatpool地址池名称起始IP地址终止IP地址子网掩码
其中,地址池名字可以任意设定。
示例:
ipnatpoolchinanet61.159.62.13061.159.62.190netmask255.255.255.192//指明地址缓冲池的名称为chinanet,IP地址范围为61.159.62.130~61.159.62.190,子网掩码为255.255.255.192。
需要注意的是,即使掩码为255.255.255.0,也会由起始IP地址和终止IP地址对IP地址池进行限制。
或ipnatpooltest61.159.62.13061.159.62.190prefix-length26
注意,如果有多个合法IP地址范围,可以分别添加。
例如,如果还有一段合法IP地址范围为"211.82.216.1~211.82.216.254",那么,可以再通过下述命令将其添加至缓冲池中。
ipnatpoolcernet211.82.216.1211.82.216.254netmask255.255.255.0
或
ipnatpooltest211.82.216.1211.82.216.254prefix-length24
第四步,定义内部网络中允许访问Internet的访问列表。
定义内部访问列表命令的语法如下:
access-list标号permit源地址通配符(其中,标号为1~99之间的整数)
access-list1permit172.16.100.00.0.0.255//允许访问Internet的网段为172.16.100.0~172.16.100.255,反掩码为0.0.0.255。
需要注意的是,在这里采用的是反掩码,而非子网掩码。
反掩码与子网掩码的关系为:
反掩码+子网掩码=255.255.255.255。
例如,子网掩码为255.255.0.0,则反掩码为0.0.255.255;子网掩码为255.0.0.0,则反掩码为0.255.255.255;子网掩码为255.252.0.0,则反掩码为0.3.255.255;子网掩码为255.255.255.192,则反掩码为0.0.0.63。
另外,如果想将多个IP地址段转换为合法IP地址,可以添加多个访问列表。
例如,当欲将172.16.98.0~172.16.98.255和172.16.99.0~172.16.99.255转换为合法IP地址时,应当添加下述命令:
access-list2permit172.16.98.00.0.0.255
access-list3permit172.16.99.00.0.0.255
第五步,实现网络地址转换。
在全局设置模式下,将第四步由access-list指定的内部本地地址列表与第三步指定的合法IP地址池进行地址转换。
命令语法如下:
ipnatinsidesourcelist访问列表标号pool内部合法地址池名字
示例:
ipnatinsidesourcelist1poolchinanet
如果有多个内部访问列表,可以一一添加,以实现网络地址转换,如
ipnatinsidesourcelist2poolchinanet
ipnatinsidesourcelist3poolchinanet
如果有多个地址池,也可以一一添加,以增加合法地址池范围,如
ipnatinsidesourcelist1poolcernet
ipnatinsidesourcelist2poolcernet
ipnatinsidesourcelist3poolcernet
至此,动态地址转换设置完毕。
3).端口复用动态地址转换(PAT)
内部网络使用的IP地址段为10.100.100.1~10.100.100.254,路由器局域网端口(即默认网关)的IP地址为10.100.100.1,子网掩码为255.255.255.0。
网络分配的合法IP地址范围为202.99.160.0~202.99.160.3,路由器广域网中的IP地址为202.99.160.1,子网掩码为255.255.255.252,可用于转换的IP地址为202.99.160.2。
要求将内部网址10.100.100.1~10.100.100.254转换为合法IP地址202.99.160.2。
第一步,设置外部端口。
interfaceserial0
ipaddress202.99.160.1255.255.255.252
ipnatoutside
第二步,设置内部端口。
interfaceethernet0
ipaddress10.100.100.1255.255.255.0
ipnatinside
第三步,定义合法IP地址池。
ipnatpoolonlyone202.99.160.2202.99.160.2netmask255.255.255.252
//指明地址缓冲池的名称为onlyone,IP地址范围为202.99.160.2,子网掩码为255.255.255.252。
由于本例只有一个IP地址可用,所以,起始IP地址与终止IP地址均为202.99.160.2。
如果有多个IP地址,则应当分别键入起止的IP地址。
第四步,定义内部访问列。
access-list1permit10.100.100.00.0.0.255
允许访问Internetr的网段为10.100.100.0~10.100.100.255,子网掩码为255.255.255.0。
需要注意的是,在这里子网掩码的顺序跟平常所写的顺序相反,即0.0.0.255。
第五步,设置复用动态地址转换。
在全局设置模式下,设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。
命令语法如下:
ipnatinsidesourcelist访问列表号pool内部合法地址池名字overload
示例:
ipnatinsidesourcelist1poolonlyoneoverload//以端口复用方式,将访问列表1中的私有IP地址转换为onlyoneIP地址池中定义的合法IP地址。
注意:
overload是复用动态地址转换的关键词。
至此,端口复用动态地址转换完成。
还可以这样写:
ipnatinsidesourcelist1interfaceserial0overload
编辑本段网络地址转换(NAT)实例
示例一:
全部采用端口复用地址转换
当ISP分配的IP地址数量很少,网络又没有其他特殊需求,即无需为Internet提供网络服务时,可采用端口复用地址转换方式,使网络内的计算机采用同一IP地址访问Internet,在节约IP地址资源的同时,又可有效保护网络内部的计算机。
网络环境为:
局域网采用10Mb/s光纤,以城域网方式接入Internet。
路由器选用拥有2个10/100Mb/s自适应端口的Cisco2611。
内部网络使用的IP地址段为192.168.100.1~192.168.100.254,局域网端口Ethernet0的IP地址为192.168.100.1,子网掩码为255.255.0.0。
网络分配的合法IP地址范围为202.99.160.128~202.99.160.131,连接ISP的端口Ethernet1的IP地址为202.99.160.129,子网掩码为255.255.255.252。
可用于转换的IP地址为202.99.160.130。
要求网络内部的所有计算机均可访问Internet。
案例分析:
既然只有一个可用的合法IP地址,同时处于局域网的服务器又只为局域网提供服务,而不允许Internet中的主机对其访问,因此完全可以采用端口复用地址转换方式实现NAT,使得网络内的所有计算机均可独立访问Internet。
配置清单:
interfacefastethernet0/0
ipaddress192.168.100.1255.255.0.0//定义本地端口IP地址
duplexauto
speedauto
ipnatinside//定义为本地端口
!
interfacefastethernet0/1
ipaddress202.99.160.129255.255.255.252
duplexauto
speedauto
ipnatoutside
!
ipnatpoolonlyone202.99.160.130202.99.160.130netmask255.255.255.252//定义合法IP地址池,名称为onlyone
access-list1permit192.168.100.00.0.0.255//定义本地访问列表
ipnatinsidesourcelist1poolonlyoneoverload//采用端口复用动态地址转换
示例二:
动态地址+端口复用地址转换
许多FTP网站考虑到服务器性能和Internet连接带宽的占用问题,都限制同一IP地址的多个进程访问。
如果采用端口复地址转换方式,则网络内的所有计算机都采用同一IP地址访问Internet,那么,将因此而被禁止对该网站的访问。
所以,当提供的合法IP地址数量稍多时,可同时采用端口复用和动态地址转换方式,从而既可保证所有用户都能够获得访问Internet的权力,同时,又不致、某些计算机因使用同一IP地址而被限制权限。
需要注意的是,由于所有计算机都采用动态地址转换方式,因此Internet中的所有计算机将无法实现对网络内部服务器的访问。
网络环境:
局域网以2Mb/sDDN专线接入Internet,路由器选用安装了广域网模块的Cisco2611,如图4-2-2所示。
内部网络使用的IP地址段为172.16.100.1~172.16.102.254,局域网端口Ethernet0的IP地址为172.
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络地址 转换 NAT