《网络互联技术》（第2版） 课件 项目16 NAT技术

项目16NAT技术【项目背景】为了提升教育信息化带宽，某学校专门申请了中国电信的光纤专线接入，并向中国电信申请为该专线分配接入互联网的公有地址。该学校的网络工程师通过配置NAPT技术，实现校园网使用公有地址访问互联网。1．知识目标（1）了解私有地址。（2）了解NAT技术，会区分NAT技术类型。（3）了解NAPT技术。2．技能目标会配置NAT，实现校园网接入互联网。3．素质目标（1）培养读者掌握互联网和ISP的生态系统演进过程的能力，帮助读者了解网络世情、国情，透视历史、现实和未来，懂得科技发展的前瞻性的重要性。（2）培养读者遵守教学秩序的意识，帮助读者养成按规范要求使用工具及仪器设备，遵守6S管理规范的习惯。【项目目标】16.1私有地址【知识准备】【技术介绍】

16.1私有地址IPv4提供长度为32位的地址，理论上IPv4最多提供约43亿个唯一地址，但实际可用的地址数量少于理论数量，这一危机的存在对互联网的持续发展和扩展构成了挑战。多个地区性互联网注册管理机构（RegionalInternetRegistries，RIRs）宣布它们的IPv4地址池已经枯竭。【技术介绍】

16.1私有地址1．IPv4地址危机

随着IPv4地址严重不足，业内提出了几种解决方案，包括VLSM技术、CIDR技术、IPv6新地址以及NAT技术等。其中，NAT技术实现了在内网使用私有IP地址，访问互联网时使用公有地址，简化了地址寻址管理，解决了IPv4地址危机。【技术介绍】2．什么是私有地址

互联网组织委员会从公有地址中，规划出3段私有地址空间，作为局域网内部使用的私有地址，该地址是为了解决IPv4地址危机而提出的临时解决方案。①A：10.0.0.0～10.255.255.255，即10.0.0.0/8网络地址段。②B：172.16.0.0～172.31.255.255，即172.16.0.0/12网络地址段。③C：192.168.0.0～192.168.255.255，即192.168.0.0/16网络地址段。私有地址属于非注册地址，只能在组织机构内使用。访问互联网时，通过NAT将私有地址转换为公有地址。16.2NAT技术概述【知识准备】【技术介绍】16.2NAT技术概述NAT是在IP网络中，被广泛使用网络地址转换技术，允许整个网络在互联网上以单一IP地址形式出现。NAT技术的主要目的是解决IPv4地址不足危机，并提供一定程度的安全性保障。【技术介绍】16.2NAT技术概述1．什么是NAT技术

NAT技术把私有地址（网络地址）转换为合法公有地址的技术。通过将IP数据包头中私有地址转换为公有地址。如图所示某企业网使用私有地址，在网络的出口处通过出口路由器，将私有地址转换为公有地址，满足企业内部设备访问互联网需求。【技术介绍】16.2NAT技术概述1．什么是NAT技术

NAT典型应用：将使用私有地址局域网连接到互联网，实现内网访问外网。无须给内网每台设备申请公有地址，节省申请公有地址的费用，减缓IPv4地址被耗尽的速度。【技术介绍】16.2NAT技术概述1．什么是NAT技术

在NAT技术具有以下技术优势。①

将大量私有地址转换为在互联网上使用的公有地址，解决内网访问互联网公有地址困境，节省公有地址。②

隐藏内网中私有地址，避免内网受到互联网威胁，保障内网安全。③

更换网络服务提供商，内网私有地址不用更改，增强接入互联网的灵活性。【技术介绍】2．NAT技术类型

NAT技术有多种类型，分别应用在不同的场景。（1）静态NAT技术静态NAT（StaticNAT）按一一对应方式，将一个私有地址转换为一个外部IP地址（公有地址）。静态NAT技术应用场景如图所示，将内网一台计算机私有地址永久映射成合法公有地址，用于企业网安装服务器中。【技术介绍】2．NAT技术类型

NAT技术有多种类型，分别应用在不同的场景。（2）动态NAT技术动态NAT指PooledNAT技术，将一组内部IP地址，随机转换为一个从公有地址池中临时选择公有地址；用户断开网络连接时，该公有地址就被释放到公有地址池中。【技术介绍】2．NAT技术类型

NAT技术有多种类型，分别应用在不同的场景。（3）NAPT技术网络地址和端口翻译（NetworkAddressandPortTranslation，NAPT）也称端口多路复用或公有IP地址复用（超载）技术。把内部计算机的IP地址（私有地址）映射到一个公有IP地址和不同端口，进行地址和端口的转换，实现公有地址与私有地址1:n映射。16.3NAT技术原理【知识准备】【技术介绍】16.3NAT技术原理NAT技术的核心功能：将内网中使用的私有地址，转换为可在互联网上路由的公有地址。多个设备可以共享一个公有地址，进行互联网访问，而无须为每个设备分配一个独立的公网IP地址。1．NAT技术术语

NAT硬件包括路由器、防火墙、Windows服务器。NAT硬件安装在末节网络边界，实现路由同时，还承担私有地址和公有地址转换。【技术介绍】1．NAT技术术语

下面是一些NAT技术术语。①

内部/外部：计算机相对于NAT硬件的物理位置，内部对应内网，外部对应外网。②

本地/全局：用户相对于NAT硬件的物理位置，本地对应私有地址，全局对应公有地址。【技术介绍】2．NAT技术工作过程

（1）静态NAT技术工作过程静态NAT转换条目，需要手动创建，将一个私有地址和一个公有地址绑定。如图说明静态NAT工作过程。【技术介绍】2．NAT技术工作过程

（1）静态NAT技术工作过程步骤1：HostA和HostB通信，使用私有地址10.1.1.1封装IP数据包，通过路由器发送。步骤2：路由器收到IP数据包，匹配路由表，将IP数据包转发到互联网。然后，路由器根据NAT映射表，将内部本地地址10.1.1.1，转换为公有地址（内部全局地址172.2.2.2），将NAT映射信息记录在NAT映射表中。步骤3：HostB收到IP数据包后，使用本机IP地址（公有地址172.2.2.2）封装应答数据包，应答HostA。步骤4：路由器收到HostB应答数据包，匹配路由表并将应答数据包转发到企业网。首先，根据NAT映射信息，将收到的应答数据包中的目的地址（公有地址172.2.2.2）转换为内部本地地址（私有地址10.1.1.1）；然后，NAT路由器将重新封装完成的IP数据包通过匹配路由表转发给HostA。【技术介绍】2．NAT技术工作过程

（2）动态NAT技术工作过程动态NAT从配置公有地址（内部全局地址）池，动态选择未被使用地址，使用该地址对私有地址（内部本地地址）随机转换。如图说明动态NAT技术工作过程。【技术介绍】2．NAT技术工作过程

（2）动态NAT技术工作过程步骤1：HostA和HostB通信，需要使用本机私有地址10.1.1.1封装IP数据包，通过路由器发送。步骤2：路由器收到IP数据包，匹配路由表，转发到互联网。首先，路由器根据NAT映射表，从公有地址池随机选择公有地址，将私有地址（内部本地地址10.1.1.1）转换为公有地址（内部全局地址172.2.2.2），并创建一条动态NAT映射表项。骤3：HostB收到IP数据包后，使用本机IP地址（全局IP地址172.2.2.2）封装应答数据包，应答HostA。步骤4：路由器收到应答数据包，匹配路由表，需要将应答数据包转发到企业网中。首先，路由器根据NAT映射信息，将收到的数据包中的目的地址（公有地址172.2.2.2）转换为内部本地地址（私有地址10.1.1.1）；然后，路由器将重新封装完成的IP数据包通过匹配路由表转发给HostA。16.4NAPT技术原理【知识准备】【技术介绍】16.4NAPT技术原理在配置动态NAT过程中，在进行地址转换的同时附加端口地址，可实现公有地址与私有地址之间的多对多临时映射关系，提高公有地址利用率。

【技术介绍】16.4NAPT技术原理1．什么是NAPT

NAPT技术允许企业网中多个设备使用不同私有地址，通过转换源端口号来区分各自的网络连接。NAPT支持多个私有地址，共享一个或多个公有地址，实现多重映射，提高公有地址利用率，最大限度地节约公有地址资源。如图所示小型企业网通过NAPT技术接入外网。【技术介绍】2．NAPT技术工作过程

如图内网计算机访问互联网，封装完成的IP数据包被转发到NAT路由器，并匹配动态NAT地址池。在地址池挑选带有“NotUse”公有地址，根据[公有地址:端口]转换机制，把IP数据包中的源地址和源端口转换为对应公有地址和端口，建立临时NAPT映射信息。【技术介绍】2．NAPT技术工作过程

步骤1：HostA和HostD通信，使用本机私有地址10.1.1.2/24封装数据包。该IP数据包源端口为1027，目的端口为25，通过路由器发送。步骤2：路由器收到HostA发送IP数据包，匹配路由表，转发到互联网，在此之前，需要将该数据包中的私有地址（源地址）转换为公有地址。由于路由器仅有一个公有地址，将收到IP数据包中源IP地址转换为公有地址（172.2.2.2），计算机的源端口1027转换为NAT路由器的端口1280，创建动态转换表项。HostD应答HostA的数据包的步骤同上。在NAPT工作过程，路由器将收到的IP数据包中源地址和源端口转换，使用NAT路由器上的一个公有地址和不同的源端口唯一标识每一台内部计算机，大大节省公有地址。16.5配置静态NAT【知识准备】【技术介绍】16.5配置静态NAT如图所示，某企业网搭建内网Web服务器（172.16.1.254/32），企业网的NAT路由器的内网接口G0/1地址是172.16.1.1/24，外网接口G0/0地址是200.10.1.1/24。现需要在NAT路由器上配置静态NAT技术，把内网Web服务器（172.16.1.254/32）使用200.10.1.8/24对外发布。【技术介绍】16.5配置静态NAT（1）配置NAT路由器Router1基础信息在NAT路由器上配置基础网络连接信息。【技术介绍】16.5配置静态NAT（2）配置电信路由器Router2基础信息在电信路由器上配置基础网络连接信息。【技术介绍】16.5配置静态NAT（3）指定内网口和外网口在NAT路由器上，使用“ipnat”命令指定内网接口和外网接口。【技术介绍】16.5配置静态NAT（4）配置静态NAT转换条目，把内网Web服务器映射到外网使用“ipnatinsidesourcestatic”命令配置静态NAT转换条目。16.6配置动态NAT【知识准备】【技术介绍】16.6配置动态NAT动态NAT实现在内网私有地址和外网公有地址之间的转换，使用一个公有地址池实现地址映射。如图所示，某企业网申请“202.102.192.2～202.102.192.8”累计7个公有地址，并通过动态NAT技术接入互联网。【技术介绍】16.6配置动态NAT（1）配置NAT路由器Router基础信息配置安装在网络中的NAT路由器Router的基础信息。【技术介绍】16.6配置动态NAT（2）指定NAT路由器Router的内网口和外网口在NAT路由器上，使用“ipnat”命令指定内网接口和外网接口。【技术介绍】16.6配置动态NAT（3）配置动态NAT转换条目，把内网Web服务器映射到外网首先，定义IPACL，明确内网中哪些计算机需要使用动态NAT技术进行地址转换。【技术介绍】16.6配置动态NAT（3）配置动态NAT转换条目，把内网Web服务器映射到外网