防火墙与NAT技术

# 网络地址转换(NAT)技术详解

NAT:Network AddressTranslation,网络地址转换,对IP地址或端口号进行转换

1、IPv4地址日渐枯竭

2、IPv6技术不能立即大面积替换

3、各种延迟IPv4寿命的技术不断出现,NAT就是其中之一

说起来这玩意儿吧,当年真是解了燃眉之急。我记得刚接触网络那会儿,IPv4地址就已经喊着不够用了,可IPv6又不是说换就能换的,整个互联网架构在那摆着呢。所以NAT这种技术就应运而生了,说白了就是让一堆内网设备共用几个公网IP,有点像以前筒子楼里好几户人家共用一个门牌号的感觉。

这技术的确 挺机智的,它在路由器或防火墙上做文章,把内网的私有IP地址转换成公网IP地址,这样外面的网络就只能看到公网IP,看不到里面具体有多少台设备。就好比你寄快递,快递员只知道送到某个小区某栋楼,至于这栋楼里住了多少人,他根本不关心也看不到。这种转换过程对用户来说是完全透明的,你上网冲浪的时候压根感觉不到中间经过了地址转换这一步。

从实用角度看,NAT最大的好处就是省IP地址。一个公司可能有上百台电脑要上网,但只需要申请几个甚至一个公网IP就够了,这在IPv4地址紧缺的年代简直是救命稻草。而且它还顺带提供了一层安全保护,由于外网根本看不到内网的真实IP,黑客想直接攻击内网设备都找不着门。有些企业还会用NAT来做服务器负载均衡,把外部请求分配到不同的内部服务器上,挺好用的。

不过话说回来,这技术也不是完美无缺。最明显的问题就是网络监控变麻烦了,所有内网设备对外显示的都是同一个或几个公网IP,你想追踪某个具体用户的网络行为就得费老大劲儿。还有一些应用程序天生就和NAT八字不合,列如某些P2P软件、网络电话之类的,它们需要端到端的直连,中间插了个NAT转换就容易出问题。我以前玩游戏的时候就遇到过,明明网络是通的,但就是连不上朋友建的房间,后来才知道是NAT类型不对。

NAT地址池这个概念实则挺形象的,就是把一堆公网IP地址想象成一个池子,需要转换的时候就从池子里随机捞一个出来用。这里面”随机”两个字挺关键的,不是按照配置顺序来,也不是挑最小或最大的IP,就是随机抽取,有点像抽奖的意思。防火墙在执行源NAT功能的时候就是这么干的,内网设备要出去访问外网,防火墙就从地址池里给它分配一个公网IP做伪装。

具体到NAT的分类,主要看两个维度:一个是私网和公网IP的对应关系,另一个是转不转换端口。最基础的NATNo-PAT就是一对一地址转换,不动端口号,你有多少台内网设备就得准备多少个公网IP,这种方式比较奢侈。NAPT就实用多了,它会同时转换地址和端口,这样多台内网设备就能共用一个或几个公网IP,通过不同的端口号来区分。EasyIP更简单粗暴,直接用出接口的公网地址做转换,连地址池都不用配,特别适合家庭网络或小企业。

高端防火墙还支持一些更灵活的方式。SmartNAT会预留一个地址专门做NAPT转换,其他地址还是走一对一的NATNo-PAT模式,算是两种方式的结合。三元组NAT则是针对特定应用场景设计的,像P2P文件共享、语音视频通话这些对端口敏感的应用,用三元组NAT会更合适,它会提前分配好端口避免冲突。

实则不管哪种NAT方式,核心目的都是在IPv4地址不够用的情况下尽量撑着,让更多设备能接入互联网。虽然IPv6已经喊了许多年,但真要全面普及还不知道得等到啥时候,所以NAT这种权宜之计反而越用越熟练了。目前我们日常上网,家里的路由器、公司的防火墙,基本上都在默默地做着NAT转换,只不过用户根本察觉不到罢了。

说到底,技术嘛,够用就行,不必定非得追求完美。NAT虽然有这样那样的限制,但在当下的网络环境里的确 解决了大问题,这不就够了么?

难道说还要为了几个技术缺陷就放着这么好用的工具不用?