網(wǎng)絡地址轉(zhuǎn)換(NAT)

網(wǎng)絡地址轉(zhuǎn)換(NAT)
NAT屬接入廣域網(wǎng)(WAN)技術,是一種將私有(保留)地址轉(zhuǎn)化為公有(合法)IP地址的轉(zhuǎn)換技術,它被廣泛應用于各種類型Internet接入方式和各種類型的網(wǎng)絡中。原因很簡單，NAT不僅完美地解決了lP地址不足的問題，而且還能夠有效地避免來自網(wǎng)絡外部的×××，隱藏并保護網(wǎng)絡內(nèi)部的計算機。
基本網(wǎng)絡地址轉(zhuǎn)換(Basic NAT)是一種將一組 IP地址映射到另一組 IP 地址的技術，這對終端用戶來說是透明的。網(wǎng)絡地址端口轉(zhuǎn)換(NAPT)是一種將群體網(wǎng)絡地址及其對應 TCP/UDP 端口翻譯成單個網(wǎng)絡地址及其對應TCP/UDP端口的方法。這兩種操作，即傳統(tǒng) NAT 提供了一種機制，將只有私有地址的內(nèi)部領域連接到有全球唯一注冊地址的外部領域。
由于保密原因或 IP 在外網(wǎng)不合法，網(wǎng)絡的內(nèi)部 IP 地址無法在外部網(wǎng)絡使用，就產(chǎn)生了 IP 地址轉(zhuǎn)換的需求。局域網(wǎng)絡以外的網(wǎng)絡的拓撲結構能以多種方式改變:公司更換供應商;重組公司主干網(wǎng)絡或者供應商合并或散伙。一旦外部拓撲結構改變，本地網(wǎng)絡的地址分配也必須改變以反映外部變化。通過將這些變化集中在單個地址轉(zhuǎn)換路由器中，局域網(wǎng)用戶并不需知道這些改變。基本地址轉(zhuǎn)換允許主機從內(nèi)部網(wǎng)絡中透明地訪問外部網(wǎng)絡，并容許從外部訪問選定的本地主機。對于一個機構其網(wǎng)絡主要用于內(nèi)部服務而僅有時用于外部訪問， 這種配置是很適用的。
使用這種轉(zhuǎn)換方法是有一定限制的，即會話的請求及響應的發(fā)送必須經(jīng)過相同的 NAT路由器。在邊界路由器上安裝 NAT 能確保這一過程，邊界路由器在該域中是唯一的，而所有經(jīng)過的 IP 包要么來自于此域要么到達此域。此外還可使用多重 NAT 設備確保這一過程。
NAT 解決方法有其不足之處，僅以增強的網(wǎng)絡狀態(tài)作為補充，而忽略了 IP 地址端對端的重要性。結果是，由于存在 NAT 設備，由 IPSec 保證的端對端 IP 網(wǎng)絡級安全無法應用到終端主機。此方法的優(yōu)勢是不需要改變主機或路由器就可以直接安裝 NAT 。
NAT的實現(xiàn)方式有三種，即靜態(tài)轉(zhuǎn)換Static Nat、動態(tài)轉(zhuǎn)換Dynamic Nat和端口多路復用OverLoad。
靜態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡的私有IP地址轉(zhuǎn)換為公有IP地址，IP地址對是一對一的，是一成不變的，某個私有IP地址只轉(zhuǎn)換為某個公有IP地址。借助于靜態(tài)轉(zhuǎn)換，可以實現(xiàn)外部網(wǎng)絡對內(nèi)部網(wǎng)絡中某些特定設備(如服務器)的訪問。
動態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡的私有IP地址轉(zhuǎn)換為公用IP地址時，IP地址是不確定的，是隨機的，所有被授權訪問上Internet的私有IP地址可隨機轉(zhuǎn)換為任何指定的合法IP地址。也就是說，只要指定哪些內(nèi)部地址可以進行轉(zhuǎn)換，以及用哪些合法地址作為外部地址時，就可以進行動態(tài)轉(zhuǎn)換。動態(tài)轉(zhuǎn)換可以使用多個合法外部地址集。當ISP提供的合法IP地址略少于網(wǎng)絡內(nèi)部的計算機數(shù)量時。可以采用動態(tài)轉(zhuǎn)換的方式。
端口多路復用(Port address Translation,PAT)是指改變外出數(shù)據(jù)包的源端口并進行端口轉(zhuǎn)換，即端口地址轉(zhuǎn)換(PAT，Port Address Translation).采用端口多路復用方式。內(nèi)部網(wǎng)絡的所有主機均可共享一個合法外部IP地址實現(xiàn)對Internet的訪問，從而可以最大限度地節(jié)約IP地址資源。同時，又可隱藏網(wǎng)絡內(nèi)部的所有主機，有效避免來自internet的×××。因此，目前網(wǎng)絡中應用最多的就是端口多路復用方式。
我們在此就做一個實驗，共同學習探討一下NAT技術
首先靜態(tài)轉(zhuǎn)換

然后動態(tài)NAT
之前配置IP地址不變，需要額外增加ACL訪問控制列表
配置ACL，使192.168.1.0網(wǎng)段可以通過路由器

注意：如果有邏輯子接口也需要設置

再次端口多路復用(Port address Translation,PAT)

至此整個實驗成功
此中若有不正之處敬請各位指正
感謝大家閱讀觀看