在 Windows XP 中與 NAT Traversal 和“通用隨插即用”一起使用，可帶來極大的方便

文章目錄

• 客戶機上
• NAT 裝置上的輸出資料包
• 伺服器上
• NAT 裝置上的輸入資料包
• 內部網路上的服務
• 嵌入地址或連接埠
• 使用分散通訊端的應用程式
• 需要連接埠可用
• 多個 NAT
• NAT Traversal API

在 Windows XP 中與 NAT Traversal 和“通用隨插即用”一起使用，可帶來極大的方便簡介

隨著越來越多的家庭和小型企業添置電腦，它們會發現網路是一種非常強大的電腦資源共用工具。網際網路連線是網路上較為珍貴的資源之一，有可能進行共用。為共用 網際網路連線，同時利用價格便宜、管理簡單的家庭或小型辦公室網路，需要部署 網際網路閘道。網際網路閘道通常將 NAT（網路位址轉譯）作為將多個主機串連到 Internet 以共用單個公用 IP 位址的途徑。但不幸的是，該解決方案卻會破壞多種網路應用程式。我們將在本文中對此加以說明。

現有的 NAT Traversal 技術允許網路應用程式檢測是否存在本地 NAT 裝置。檢測到後，應用程式隨即對 NAT 進行配置，定義相應的映射來解決相容性問題。

本文屬於概述性文章，將向網路應用程式的使用者和開發人員簡要介紹一下 NAT，介紹如何識別常見 NAT 問題，同時介紹應用程式如何使用 NAT Traversal 來解決這些問題。Windows 中所提供的 NAT Traversal API 的詳細技術資料有望於 2001 年初夏開始在 Windows Platform SDK 中得到。建議開發人員查閱這些資源，瞭解有關如何充分利用這些新的作業系統功能（也已擴充到第三方網關裝置上）的詳細說明。

NAT Traversal 依賴於提供 UpnP（通用隨插即用）支援的 NAT 裝置，其定義由 UPnP 論壇的 Internet Gateway Device Working Committee 給出。有關 UPnP 的資訊，可見 UPnP Web 網站。特別詳細的資料位於 UPnP 網站中僅限成員訪問的部分內。

支援 UPnP 和 NAT Traversal 是 網際網路閘道裝置中比較重要的功能，需要加以確認。對於購買或租用服務提供者 網際網路閘道裝置的使用者，我們強烈建議只考慮使用那些為 NAT Traversal 提供 UPnP 支援的裝置，這是因為該功能對於滿足使用者、降低支援費用及使用更有創新性的服務和應用程式而言至關重要。

對於網關裝置製造商而言，向 網際網路閘道裝置添加對 NAT Traversal 的 UPnP 支援並不複雜，費用不高，也不用花大量的時間。通過使用 UPnP（其基礎已經是 Internet 標準和協議），網際網路閘道裝置製造商就可以解決 NAT Traversal 問題，並將優點延伸給大多數經過該裝置的應用程式。這同許多應用程式開發人員或網關裝置製造商不得不為解決上述問題而提供一次性解決方案形成鮮明的對比。 本文並非旨在為希望在 網際網路閘道裝置中實施 NAT Traversal 的硬體製造商提供詳細的指南。有關此資訊，請參閱 UPnP 論壇 Web 網站。

瞭解 Windows 體繫結構、網路和 UPnP 對於充分理解本文會有所協助，但並非必須如此。

什麼是 NAT？

“網路位址轉譯”(NAT) 是一種 Internet Engineering Task Force (IETF) 標準，用於允許專用網路上的多台 PC 機（使用專用位址範圍，例如 10.0.x.x、192.168.x.x、172.x.x.x）共用單個、可全域路由的 IPv4 地址。經常部署 NAT 的一個主要原因就是 IPv4 地址日漸緊缺。Windows XP 和 Windows Me 中的“網際網路連線共用”及許多 網際網路閘道裝置都使用 NAT，尤其是在通過 DSL 或纜線數據機串連寬頻網的情況下。

NAT 對於解決 IPv4 地址耗費問題（在 IPv6 部署中卻沒必要）儘管成效及時，但畢竟屬於臨時性的解決方案。這種 IPv4 地址耗費問題在亞洲及世界其它一些地方已比較嚴重，且日漸成為北美地區需要關注的問題。這就是人們為什麼長久以來一直關注使用 IPv6 來克服這個問題的原因所在。

除了減少所需的 IPv4 地址外，由於專用網路之外的所有主機都通過一個共用的 IP 位址來監控通訊，因此 NAT 還為專用網路提供了一個隱匿層。NAT 與防火牆或Proxy 伺服器不同，但它確實有利於安全。

圖 1：使用 NAT 裝置進行 Internet 通訊的網路樣本。PC 機可以成為 NAT 裝置，就象固態的纜線數據機或 DSL 數據機也能成為 NAT 裝置一樣。

常規 NAT 操作

NAT 裝置後面的用戶端通常通過 DHCP（動態主機設定通訊協定）分配到專用的 IP 位址，或者由管理員進行靜態配置。在該專用網路的外面進行通訊時，通常會發生下列事情。

客戶機上

當應用程式想同伺服器通訊時，它將開啟與源 IP 位址、源連接埠、目標 IP 位址、目標連接埠及網路通訊協定相關聯的通訊端。這樣可以識別通訊所需的兩個端點。當應用程式利用該通訊端傳輸資訊時，客戶機的私人 IP 位址（源 IP 位址）和連接埠（源連接埠）將被插入資料包的源欄位中。資料包的目標欄位將包含伺服器的 IP 位址（遠程主機 - 目標 IP 位址）和連接埠。由於該資料包的目的地是該專用網路之外的某個位置，因此客戶機將把該資料包轉寄給預設的網關。這種情況下的預設閘道就是 NAT 裝置。

NAT 裝置上的輸出資料包

NAT 裝置將截獲該輸出資料包，然後利用目標 IP 位址（伺服器）、目標連接埠、NAT 裝置的外部 IP 位址、外部連接埠、網路通訊協定及客戶機的內部 IP 位址和連接埠來建立連接埠映射。

NAT 裝置將維護這些映射組成的表，並將該連接埠的映射儲存在表中。外部 IP 位址和連接埠就是該資料通訊用於取代內部客戶機 IP 位址和連接埠的公用 IP 位址和連接埠。

NAT 裝置隨即將來自客戶機專用內部 IP 位址和連接埠的資料包的源欄位轉換為 NAT 裝置的公用 IP 位址和連接埠，從而對這些資料包進行轉換。

然後，資料包將通過外部網路進行發送，並最終到達目標伺服器。

圖 2：輸出資料包轉換的樣本。

伺服器上

當伺服器接收到資料包時，它認為自己是在和一台具有可全域路由 IP 位址的電腦進行通訊。它會利用自己源欄位中的 IP 位址和連接埠將響應資料包定向給 NAT 裝置的外部 IP 位址和連接埠。

NAT 裝置上的輸入資料包

NAT 從伺服器那接收到這些資料包，然後將資料包與其連接埠映射表進行比較。如果 NAT 發現某個連接埠映射的遠程主機 IP 位址、遠程連接埠、外部連接埠及網路通訊協定與輸入資料包的源 IP 位址、源連接埠、目標連接埠和網路通訊協定匹配，NAT 就會進行反向轉換。NAT 將把資料包目標欄位中的外部 IP 位址和外部連接埠替換為客戶機的私人 IP 位址和內部連接埠。

隨後，NAT 將內部網路上的資料包發送給客戶機。但如果 NAT 找不到對應的連接埠映射，它就會丟棄輸入資料包並中斷串連。

NAT 的作用在於：客戶機將能在全球 Internet 上與私人 IP 位址進行通訊，而應用程式或客戶機卻無需做任何額外的工作。這意味著應用程式不必調用其它 API，而客戶機也不必進行其它配置。這種情況下，NAT 對於客戶機和伺服器應用程式就是透明的 - 所有對象都能正常工作。

但是，並非所有網路應用程式都使用能與 NAT 協同工作的協議。這就是問題的所在。

NAT 與應用程式之間的常見問題

如果客戶機在開始串連和接收回複時都使用同一連接埠，則讓客戶機利用 NAT 來共用單個可全域路由的 IP 位址不會有什麼問題。但是，許多應用程式所用策略的假定條件在 NAT 裝置用於串連 Internet 時都不成立。這裡將討論其中一些問題。

內部網路上的服務

許多網路服務或伺服器假定：如果建立監聽通訊端，則 Internet 上的所有客戶機都可以與之聯絡。但在網路邊緣上有 NAT 裝置時，NAT 卻要求進行連接埠映射，以便將輸入通訊轉寄給內部網路上的服務。因此，該服務僅對專用網路上的客戶機有效。它對於 Internet 其餘部分而言不可用。

該問題最常見的解決辦法是手動設定連接埠映射，使 NAT 裝置將定向給 NAT 特定外部 IP 位址和連接埠的通訊轉寄給該服務所用的內部 IP 位址和連接埠。

利用該連接埠映射，服務可以接收輸入資料包，從而使服務可被專用網路外部的客戶機所使用。建立連接埠映射之前，網路是斷開的。

手動設定該映射的過程通常比較複雜，要求較有經驗的使用者才能正確進行映射的配置。因此，除非是聯絡自己寬頻 網際網路服務提供者、PC 製造商、零售商或 網際網路閘道製造商的客戶服務中心以嘗試找到問題的根源及解決方案，否則許多一般使用者或小型企業使用者將無法使用所需的應用程式或服務。上述情況還會造成映射的不嚴 格：許多外部客戶機都可以使用該映射來串連伺服器。

嵌入地址或連接埠

有些網路應用程式假定客戶機所分配的 IP 位址和連接埠將始終可進行全域路由，並可直接在 Internet 上使用。許多情況下，它們屬於 IETF 保留位址範圍內的私人 IP 位址。應用程式會在發送給伺服器的資料包的負載中包含該私人 IP 位址或連接埠。伺服器可以將該嵌入地址用作聯絡客戶機時所用的地址。

如果伺服器試圖用嵌入 IP 位址和連接埠進行回複，而非 NAT 提供的映射地址和連接埠，系統就會丟棄該資料包。這是因為嵌入 IP 位址是無法路由的。如果網路應用程式能找到 NAT 裝置並檢索到所要使用的外部 IP 位址和外部連接埠映射，應用程式就可以在資料包中嵌入正確的資訊。

使用分散通訊端的應用程式

還有一些網路應用程式使用連接埠 X 上的通訊端向伺服器或對等電腦發送通訊資訊，然後等待將伺服器的通訊資訊接收到連接埠 Y 的獨立監聽通訊端上。NAT 將監視輸出通訊並為連接埠 X 建立連接埠映射，但並不對定址到連接埠 Y 的返回資料包進行連接埠映射。定址到連接埠 Y 的輸入資料包將被丟棄。

需要連接埠可用

有些網路通訊協定假定始終有可全域路由的已知連接埠可用。當多個客戶機共用 IP 位址時，每次將只有一個客戶機能使用已知的連接埠。例如，每次只有一個 Web 服務能使用本網上的連接埠 80。如果不是這樣，NAT 裝置將無法確定外部請求所適用的客戶機。即使在配置連接埠映射的使用者的協助下，如果從本網的外部能找到多個客戶機，也必須採取某些特殊的措施。

多個 NAT

如果客戶機位於一個 NAT 後面的 NAT 的後面，則出現的問題已超出本文所涵蓋的範圍。

對使用者和行業的影響

上一段介紹了與 NAT Traversal 有關的技術問題。從使用者的角度講，它所造成的影響比較簡單：人們再也無法使用受到 NAT 幹擾的服務或應用程式。

現在，大多數使用者甚至沒有意識到自己已成為這種 NAT 問題的受害者。他們只是知道，當試圖玩多方遊戲或者使用對等應用程式（例如進行即時通訊）或其它某些應用程式時，卻無法玩或無法使用。他們可能會在 PC 機看到類似“無法串連”等的錯誤訊息，或者在試圖使用應用程式時，程式卻出現故障。

有時，具有撥號數據機 網際網路連線的使用者在使用撥號數據機時不會出現上述問題。但當使用者註冊寬頻服務並將 DSL 或纜線數據機裝置與 NAT 一起使用時，卻出現故障。在進行快速 網際網路連線的情況下，這些使用者尤其會受到 NAT 問題的困擾：它們會突然禁止使用者玩遊戲或使用其它服務。

這樣會引起使用者不滿，並會將這種不滿轉嫁給 PC 製造商、ISP、網際網路閘道製造商或其它方。通常，使用者並不知道問題的根源，而技術支援人員也並不總能知道如何通過電話解決這些問題。

這已不僅是使用者的問題。它也成為向使用者提供產品和服務的製造商的問題。使用者在試圖解決這些由 NAT 引起的問題時會撥打支援電話，而這部分費用會減少製造商或零售商的利潤，甚至使其無利。這些問題會導致使用者對試用服務的不滿，從而使某些使用者降低了對後續 新服務或應用程式的興趣。因此，NAT 會妨礙其它創新性供應項目的推出和使用。

鑒於上述因素，解決 NAT 問題已成為行業的一項重要任務。

什麼是 NAT Traversal？

NAT Traversal 是這樣一組功能：它允許網路應用程式能明確自己位於 NAT 裝置的後面，獲得外部 IP 位址，並將連接埠映射配置為將 NAT 外部連接埠的資料包轉寄給應用程式所用的內部連接埠，而所有這些都是自動完成的，因此使用者不必手動設定連接埠映射或其它類似的方面。

相對與目前所用的、面向特定應用程式的其它方法而言，這對於解決由 NAT 引起的串連問題確實是一種更為全面的解決方案。目前使用的那些專門解決方案有的要求使用者具有一定的技術知識，有的要求應用程式開發人員或 網際網路閘道製造商進行專門的開發工作，也有的則要求上面兩方面。

儘管 NAT Traversal 可以解決一些 NAT 問題，但它卻不是萬能的，還不能解決所有的問題。在提高使用者滿意度、減少使用者支援呼叫的次數和支援新的、具有創造性的服務和應用程式方面，這種自動式 NAT Traversal 代表了非常重要的一步，尤其對於家用網路環境而言。

NAT Traversal 應視為一種在需要時使用的處理機制，而非在所有情況下都發揮作用。在 IPv6 中，每個客戶機都具有可全域路由的 IP 位址，因此已不再需要 NAT 及 NAT Traversal。就 IPv6 能在多長時間得到普遍部署這一問題，有各種不同的預測。業界（包括 Microsoft）已投入巨資推進 IPv6，但在現在及未來的幾年內，本文後面所述的 NAT Traversal 解決方案對於希望解決 NAT 問題的一般使用者和小型企業使用者而言卻意義非凡。

NAT Traversal 操作

NAT Traversal 依賴於作為通用隨插即用 (UPnP) 論壇規範組成部分的 Discovery and Control 協議。UPnP 論壇有一個工作委員會主要負責定義 網際網路閘道裝置的控制協議並定義這些裝置的服務。

支援 網際網路閘道裝置控制協議基本元素的 網際網路閘道裝置可向區域網路上的控制點聲明自己的存在並發布 XML 描述文檔。利用這些 XML 描述文檔，控制點就能瞭解用於確定 網際網路閘道是否支援 NAT、擷取 NAT 的外部 IP 位址及建立連接埠映射時需要調用的 UPnP 操作。

Windows 中的 NAT Traversal API 對直接使用 UPnP 的要求進行了提煉，可提供用於檢測、管理和配置 NAT 裝置的介面。

NAT Traversal API

當網路應用程式需要檢測是否存在 NAT 裝置並調整該裝置的行為時，該應用程式可以使用 Windows 中提供的 NAT Traversal API（完整記錄在 Platform SDK 中）來實現下列功能：

• 確定是否存在 NAT
• 擷取 NAT 的外部 IP 位址。
• 擷取特定外部連接埠的靜態連接埠映射資訊（如果已映射）。
• 添加靜態連接埠映射（除非已指派外部連接埠）。
• 啟用或禁用特定的連接埠映射而不刪除
• 編輯靜態連接埠映射的介面友好描述
• 刪除靜態連接埠映射
• 擷取區域網路靜態連接埠映射的列表

利用這些功能，應用程式可以解決許多因 NAT 而導致的問題。注意：Windows NAT Traversal API 目前僅在有限的時間內支援連接埠映射，否則將稱為靜態連接埠映射。

Windows XP 中的 NAT Traversal API

預設情況下，Windows XP 中將安裝 NAT Traversal API。這些 API 也可安裝在運行 Windows Me 和 Windows 98 的電腦中，方法是使用 Windows XP CD 上一個名為“網路安裝嚮導”的工具。為提供附加 XML 剖析器支援，NAT Traversal API 還要求安裝 Internet Explorer 6.0。

Windows 2000 中當前不支援 NAT Traversal。

網際網路閘道中支援 NAT Traversal

網際網路閘道對 NAT Traversal 的支援是通過支援“通用隨插即用論壇”Internet Gateway Working Committee 所定義的 網際網路閘道裝置 (IGD) 規範而實現的。網關製造商還應注意到：Windows 中的 NAT Traversal API 對 IGD 進行下列假定：

• IGD 每次僅聲明一個外部介面。儘管在技術上允許 網際網路閘道裝置宣告多個外部介面，但 NAT Traversal API 卻只使用第一個。
• IGD 支援允許任何遠程 IP 位址將資料包發送給內部客戶機的連接埠映射。
• IGD 支援具有廣播位址（列為客戶機）的連接埠映射
• IGD 支援 NAT 外部連接埠數與客戶機內部連接埠數不同。
• IGD 將聲明版本號碼 1。
• 靜態連接埠映射（或稱期間設定為無限的連接埠映射）將無限期存在。即使是重新啟動系統、更改 IP 位址或是伺服器上存在客戶機，都無法去除靜態連接埠映射。

本文寫作的過程中，幾個業界領先的製造商已經宣布在 2001 年提供支援這些 UPnP 方法且能與 Windows NAT Traversal API 協同使用的 網際網路閘道裝置。這對於行業和使用者都是非常重要的一步。

隨著越來越多的 網際網路閘道裝置製造商認識到使用 UPnP 解決上述問題所具有的優勢，隨著更多一般使用者和小型企業使用者開始意識到與 NAT 有關的問題及這些支援 UPnP 的 NAT Traversal 解決方案的強大功能，為 NAT Traversal 提供 UPnP 支援有望稱為此類裝置的核查項或入市前提。

網際網路閘道製造商應加入 UPnP 論壇，瞭解如何使自己的 網際網路閘道裝置符合 UPnP 標準。

應說明的是：Windows XP 上的“網際網路連線共用”支援 UPnP IGD 標準 0.9 版。預計版本 1.0 將與版本 0.9 相容。

應用程式如何利用 NAT Traversal

應用程式使用 NAT Traversal 的方式與多個因素有關，包括連接埠映射期望的生存期及連接埠是否用於多個客戶機或服務。應用程式應清除自己建立的所有靜態連接埠映射，以避免出現孤立映射及連接埠被其它應用程式佔盡的情況。

如果應用程式是一種網路服務（例如 Web 服務器），並在生存期內要求使用已知連接埠，它的安裝程式就可以使用 NAT Traversal API 來配置一個靜態連接埠映射。假定其它應用程式、網路系統管理員、網路拓撲結構都維持原狀，而清除機制也保持映射不變，則外部客戶機就能在服務生存期內串連該服 務。應用程式的卸載服務將負責刪除該映射。如果出現崩潰，即使服務已不存在，靜態連接埠映射也仍將存在。如果外部 IP 位址發生變化，則靜態連接埠映射將自動擷取更改的內容。

如果應用程式並不始終運行，或者對網路維護其靜態連接埠映射的信任度降低，它就可以在每次啟動時保留某個已知的連接埠，並在每次關閉時恢複資源。這一點 可通過運行某個並行指令碼來實現。作為添加和刪除連接埠映射的替代方案，可以讓應用程式根據需要啟用和禁用映射。應用程式還可以始終保留靜態連接埠映射，且只在 每次啟用時重新整理一下映射。

同樣，如果外部 IP 位址發生變化，則靜態連接埠映射將自動擷取更改的內容。

如果專用網路上不同客戶機的多個應用程式使用同一內部連接埠號碼，應用程式就會要求進行修改，以支援多個客戶機的運行。只有單個客戶機能使用外部連接埠映射的內部連接埠號碼。此處建議讓第一個客戶機使用。其它客戶機應請求內部連接埠數不同於外部連接埠數的非對稱連接埠映射。

有一種特殊的情況：多個客戶機可監聽同一外部連接埠，而唯一的目的是被遠程主機發現。輸入資料包可以轉換為使用內部客戶機 IP 位址的廣播位址，而非特定的客戶機地址。監聽該連接埠的客戶機可通過啟動自己與遠程主機之間的串連而予以回複。建議不要普遍使用這種方案，因為到該地址的輸 入資料包將被網路上的所有客戶機接收，並會反過來對它們造成影響。

如果服務需要短期監聽某個隨機連接埠，它應在應用程式中請求一個靜態連接埠映射，而非使用指令碼。服務結束時，應予以清除（刪除映射）。應用程式應保留一 份自己特有連接埠映射的記錄。這樣，如果應用程式在崩潰時沒有關閉映射，就可以在下一次啟動時檢索出清除連接埠映射所需的必要資訊。

如果應用程式離開網路時沒有清除其連接埠映射，則該映射就會保留下來，而清除任務就落在使用者的身上。目前 Windows 中尚沒有清除機制，這是因為判斷應用程式不再使用映射的時間非常難。

NAT Traversal 的局限

儘管 NAT Traversal 可以解決與通過 NAT 裝置進行串連時有關的多種問題，但還有 NAT Traversal 無法解決的問題及由其引起的問題。這些問題包括：

• NAT Traversal 使用開放式信任模式。這意味著專用網路上的所有應用程式都能訪問 NAT 上的所有連接埠映射。儘管這樣可以增加多點管理的靈活性，但應用程式也就失去了對其映射的唯一佔有權。
• 應用程式將負責解決衝突。如果應用程式嘗試映射某個已映射給其它客戶機的連接埠，它就應負責尋找另一個連接埠或改寫應用程式。
• NAT Traversal 無法解決在 ISP 分發專用地址和使用 NAT 進行客戶機串連方面的問題。這種情況下，NAT 位於 網際網路閘道裝置的外面，實際上位於服務提供者網路的內部。如果客戶機網路上的 NAT 位於另一個同類 NAT 的後面，家庭或小型企業中的 NAT Traversal 就會出現故障。因此，建議 網際網路服務提供者不要在自己的網路內部署 NAT。
• 應用程式擷取 NAT Traversal 時並非毫無代價。它們必須同時進行修改以調用 API，或者隨帶指令碼以提供解決方案。這對於大多數開發人員而言仍在可控制的範圍內，尤其是考慮到將這些 NAT Traversal 機制併入應用程式後，應用程式就能自動與多種 網際網路閘道裝置協同使用。
• 使用完連接埠映射後，應用程式負責清除工作。靜態映射會無限期存在，最好用於打算在整個應用程式生存期內監聽已知連接埠的服務。
• 提供 NAT 的 網際網路閘道必須支援通用隨插即用 網際網路閘道裝置規範（至少為版本 0.9）。

結論

NAT 是得到 IETF 認可的解決方案，針對的是 IPv4 名稱空間耗用問題。使用 NAT 的 網際網路閘道經常用於家庭和小型企業。之所以使用它們，是因為它們價格便宜，易於管理，無需使用者安裝特殊的軟體。

使用 NAT 的不足在於會破壞許多聊天、多玩家遊戲和對等應用程式。這是因為它們的網路通訊協定對網路體繫結構所做的假定已不成立。

NAT Traversal 為應用程式提供了一條尋找 NAT 裝置、發現可全域路由的共用 IP 位址並配置靜態連接埠映射以解決某些串連問題的途徑。NAT Traversal 解決方案無法解決與 NAT 有關的所有問題，但可以緩解部分問題。

本文的主要結論是：

• 網際網路閘道裝置製造商應在自己的裝置中支援 UPnP，從而支援 NAT Traversal。
• 網路應用程式開發人員應使用 Windows NAT Traversal API 來檢測 NAT 的存在，並在必要時允許其應用程式經過 NAT。
• 使用者應使用支援 UPnP 和 NAT Traversal 的 網際網路閘道裝置，以確保最佳的應用程式效能。
• DSL 和纜線數據機的服務提供者應指定、銷售和租賃為 NAT Traversal 提供 UPnP 支援的 網際網路閘道裝置。

在 IPv6 最終消除 NAT 之前，某些形式的 NAT Traversal 仍會繼續存在。