什麼是NAT

本文檔的Copyleft歸yfydz所有，使用GPL發布，可以自由拷貝，轉載，轉載時請保持文檔的完整性，嚴禁用於任何商業用途。
msn: yfydz_no1@hotmail.com

來源：http://yfydz.cublog.cnNAT（Network Address
Translation）是在IPv4地址日漸枯竭的情況下出現的一種技術，在RFC3022中定義，可將整個組織的內部IP都映射到一個合法IP上來進
行Internet的訪問，也可將外部對某IP的訪問映射到內部的伺服器上。與NAT相關的術語有IP偽裝（IP
Masquerade）、連接埠映射（Port Mapping）、連接埠地址轉換（Port Address
Translation）、透明代理（Transparent
Proxy）等，它們都是NAT的某種表現形式。目前NAT功能基本上屬於防火牆、路由器的標配功能之一。 NAT分為源NAT和目的NAT兩種，源NAT是指轉換前源IP地址和轉換後源IP地址不同，資料進入防火牆後，防火牆將其源地址進行了轉換後
再將其發出，使外部看不到資料包原來的源地址，對於TCP/UDP協議的資料包，防火牆不僅修改地址，還通過修改源連接埠來區分不同內部地址的串連，因此
NAT環境下一個合法IP最多可以有65535條TCP串連；目的NAT是指轉換前目的IP地址和轉換後目的IP地址不同（對於TCP/UDP協議，也可
以改變連接埠號碼），資料進入防火牆後，防火牆將其目的地址進行了轉換後再將其發出，使看不到資料包原來的目的地址。 在進行NAT時，如果是一個地址到一個地址的轉換，稱為一對一模式；如果是一個網段地址到一個地址的轉換，稱為多對一的轉換；如果是一個網段地址到一個網段地址的轉換，稱為多對多的轉換。上面說的IP偽裝就屬於源NAT，而連接埠映射和透明代理等屬於目的NAT。NAT從另一個角度也可分為靜態和動態兩種，靜態方式是明確指定了轉換前後的地址和連接埠的情況，可以有一對一、一對多、多對一等方式，如果實際
地址發生變化，NAT規則必須相應改變；而動態方式也就是IP偽裝方式，是一種多到一的源NAT轉換模式，一般只需指定轉換前的地址，轉換後地址則是防火
牆的IP地址，此地址是可以動態改變的，而NAT規則可以不變。靜態NAT一般用在防火牆IP地址都是固定的情況，而動態NAT用於防火牆IP地址不固定
的場合，如ADSL撥號。動態情況下也可以進行目的NAT，但NAT規則是在擷取了地址後才起作用。 一般來說，源NAT多用於從內部網路到外部網路的訪問，內部網路地址可以是保留IP地址；目的NAT多用於外部網路到內部伺服器的訪問，內部服
務器可使用保留IP地址。當使用透明代理模式時，由內到外的訪問實際上是一種目的NAT，是將訪問的目的IP和目的連接埠轉換為Proxy 伺服器的IP和代理端
口。 使用目的NAT功能時可實現負載平衡（Load Balance，LB）功能，假設防火牆外網卡上有一個合法IP，內部有多個伺服器同時提供服務，當將訪問防火牆外網卡IP的訪問請求轉換為這一組內部伺服器的IP地址時，訪問請求就可以在這一組伺服器進行均衡。 一般情況下的NAT或者修改源地址部分，或者修改目的地址部分，兩者不同時修改。但在某些特殊情況下，有同時需要修改源和目的的需求，一種情況
是同網段VPN的實現，同一個包在本地網關處修改源地址，在對方網關處修改目的地址；第二種情況是伺服器和內部機器在相同的內部地址網段，但要求用伺服器
的外部合法地址訪問伺服器，即要將內部機器對防火牆外部地址的訪問轉為防火牆內部地址對伺服器內部地址的訪問，這種情況需要在防火牆上同時修改資料包的源
和目的地址部分。