目錄

• 1. IPv4協(xié)議和NAT的由來
• 2. NAT的工作模型和特點
• • 2.1、NAT的概念模型
  • 2.2、一對一的NAT
  • 2.3、一對多的NAT
  • 2.4、按照NAT端口映射方式分類
  • • 2.4.1全錐形NAT
    • 2.4.2限制錐形NAT
    • 2.4.3端口限制錐形NAT
    • 2.4.4對稱型NAT
• 3. NAT的限制與解決方案
• • 3.1、IP端到端服務(wù)模型
  • 3.2、NAT的弊端
  • 3.3、NAT穿越技術(shù)
  • • 3.3.1應(yīng)用層網(wǎng)關(guān)
    • 3.3.2探針技術(shù)STUN和TURN
    • 3.3.3中間件技術(shù)
    • 3.3.4中繼代理技術(shù)
    • 3.3.5特定協(xié)議的自穿越技術(shù)
• 4. NAT的應(yīng)用和實現(xiàn)
• • 4.1、NAT的應(yīng)用
  • • 4.1.1NAT多實例應(yīng)用
    • 4.1.2NAT的高可靠性組網(wǎng)
    • 4.1.3同時轉(zhuǎn)換源和目的地址的應(yīng)用
  • 4.2 NAT的設(shè)備實現(xiàn)
  • • 4.2.1靜態(tài)一對一地址映射
    • 4.2.2靜態(tài)多對多地址映射
    • 4.2.3動態(tài)端口映射
    • 4.2.4動態(tài)地址映射(no-pat)
    • 4.2.5靜態(tài)端口映射
    • 4.2.6應(yīng)用層網(wǎng)關(guān)(ALG)
    • 4.2.7NAT轉(zhuǎn)換關(guān)聯(lián)表
• 5. 后IPv4時代的NAT

1. IPv4協(xié)議和NAT的由來

今天，無數(shù)快樂的互聯(lián)網(wǎng)用戶在盡情享受Internet帶來的樂趣。他們?yōu)g覽新聞，搜索資料，下載軟件，廣交新朋，分享信息，甚至于足不出戶獲取一切日用所需。企業(yè)利用互聯(lián)網(wǎng)發(fā)布信息，傳遞資料和訂單，提供技術(shù)支持，完成日常辦公。然而，Internet在給億萬用戶帶來便利的同時，自身卻面臨一個致命的問題：構(gòu)建這個無所不能的Internet的基礎(chǔ)IPv4協(xié)議已經(jīng)不能再提供新的網(wǎng)絡(luò)地址了。

2011年2月3日中國農(nóng)歷新年， IANA對外宣布：IPv4地址空間最后5個地址塊已經(jīng)被分配給下屬的5個地區(qū)委員會。2011年4月15日，亞太區(qū)委員會APNIC對外宣布，除了個別保留地址外，本區(qū)域所有的IPv4地址基本耗盡。一時之間，IPv4地址作為一種瀕危資源身價陡增，各大網(wǎng)絡(luò)公司出巨資收購剩余的空閑地址。其實，IPv4地址不足問題已不是新問題，早在20年以前，IPv4地址即將耗盡的問題就已經(jīng)擺在Internet先驅(qū)們面前。這不禁讓我們想去了解，是什么技術(shù)使這一危機延緩了盡20年。

要找到問題的答案，讓我們先來簡略回顧一下IPv4協(xié)議。

IPv4即網(wǎng)際網(wǎng)協(xié)議第4版——Internet Protocol Version 4的縮寫。IPv4定義一個跨越異種網(wǎng)絡(luò)互連的超級網(wǎng)，它為每個網(wǎng)際網(wǎng)的節(jié)點分配全球唯一IP地址。如果我們把Internet比作一個郵政系統(tǒng)，那么IP地址的作用就等同于包含城市、街區(qū)、門牌編號在內(nèi)的完整地址。IPv4使用32bits整數(shù)表達一個地址，地址最大范圍就是232 約為43億。以IP創(chuàng)始時期可被聯(lián)網(wǎng)的設(shè)備來看，這樣的一個空間已經(jīng)很大，很難被短時間用完。然而，事實遠遠超出人們的設(shè)想，計算機網(wǎng)絡(luò)在此后的幾十年里迅速壯大，網(wǎng)絡(luò)終端數(shù)量呈爆炸性增長。

更為糟糕的是，為了路由和管理方便，43億的地址空間被按照不同前綴長度劃分為A,B,C,D類地址網(wǎng)絡(luò)和保留地址。其中，A類網(wǎng)絡(luò)地址127段，每段包括主機地址約1678萬個。B類網(wǎng)絡(luò)地址16384段，每段包括65536個主機地址。

IANA向超大型企業(yè)/組織分配A類網(wǎng)絡(luò)地址，一次一段。向中型企業(yè)或教育機構(gòu)分配B類網(wǎng)絡(luò)地址，一次一段。這樣一種分配策略使得IP地址浪費很嚴重，很多被分配出去的地址沒有真實被利用，地址消耗很快。以至于二十世紀90年代初，網(wǎng)絡(luò)專家們意識到，這樣大手大腳下去，IPv4地址很快就要耗光了。于是，人們開始考慮IPv4的替代方案，同時采取一系列的措施來減緩IPv4地址的消耗。正是在這樣一個背景之下，本期的主角閃亮登場，它就是網(wǎng)絡(luò)地址轉(zhuǎn)換——NAT。

NAT是一項神奇的技術(shù)，說它神奇在于它的出現(xiàn)幾乎使IPv4起死回生。在IPv4已經(jīng)被認為行將結(jié)束歷史使命之后近20年時間里，人們幾乎忘了IPv4的地址空間即將耗盡這樣一個事實——在新技術(shù)日新月異的時代，20年可算一段漫長的歷史。更不用說，在NAT產(chǎn)生以后，網(wǎng)絡(luò)終端的數(shù)量呈加速上升趨勢，對IP地址的需求劇烈增加。此足見NAT技術(shù)之成功，影響之深遠。

說它神奇，更因為NAT給IP網(wǎng)絡(luò)模型帶來了深遠影響，其身影遍布網(wǎng)絡(luò)每個角落。根據(jù)一份最近的研究報告，70%的P2P用戶位于NAT網(wǎng)關(guān)以內(nèi)。因為P2P主要運行在終端用戶的個人電腦之上，這個數(shù)字意味著大多數(shù)PC通過NAT網(wǎng)關(guān)連接到Internet。如果加上2G和3G方式聯(lián)網(wǎng)的智能手機等移動終端，在NAT網(wǎng)關(guān)之后的用戶遠遠超過這個比例。

然而當我們求本溯源時卻發(fā)現(xiàn)一個很奇怪的事實：NAT這一意義重大的技術(shù)，竟然沒有公認的發(fā)明者。NAT第一個版本的RFC作者，只是整理歸納了已被廣泛采用的技術(shù)。

2. NAT的工作模型和特點

2.1、NAT的概念模型

NAT名字很準確，網(wǎng)絡(luò)地址轉(zhuǎn)換，就是替換IP報文頭部的地址信息。NAT通常部署在一個組織的網(wǎng)絡(luò)出口位置，通過將內(nèi)部網(wǎng)絡(luò)IP地址替換為出口的IP地址提供公網(wǎng)可達性和上層協(xié)議的連接能力。那么，什么是內(nèi)部網(wǎng)絡(luò)IP地址？

RFC1918規(guī)定了三個保留地址段落：10.0.0.0-10.255.255.255；172.16.0.0-172.31.255.255；192.168.0.0-192.168.255.255。這三個范圍分別處于A,B,C類的地址段，不向特定的用戶分配，被IANA作為私有地址保留。這些地址可以在任何組織或企業(yè)內(nèi)部使用，和其他Internet地址的區(qū)別就是，僅能在內(nèi)部使用，不能作為全球路由地址。這就是說，出了組織的管理范圍這些地址就不再有意義，無論是作為源地址，還是目的地址。對于一個封閉的組織，如果其網(wǎng)絡(luò)不連接到Internet，就可以使用這些地址而不用向IANA提出申請，而在內(nèi)部的路由管理和報文傳遞方式與其他網(wǎng)絡(luò)沒有差異。

對于有Internet訪問需求而內(nèi)部又使用私有地址的網(wǎng)絡(luò)，就要在組織的出口位置部署NAT網(wǎng)關(guān)，在報文離開私網(wǎng)進入Internet時，將源IP替換為公網(wǎng)地址，通常是出口設(shè)備的接口地址。一個對外的訪問請求在到達目標以后，表現(xiàn)為由本組織出口設(shè)備發(fā)起，因此被請求的服務(wù)端可將響應(yīng)由Internet發(fā)回出口網(wǎng)關(guān)。出口網(wǎng)關(guān)再將目的地址替換為私網(wǎng)的源主機地址，發(fā)回內(nèi)部。這樣一次由私網(wǎng)主機向公網(wǎng)服務(wù)端的請求和響應(yīng)就在通信兩端均無感知的情況下完成了。依據(jù)這種模型，數(shù)量龐大的內(nèi)網(wǎng)主機就不再需要公有IP地址了。

雖然實際過程遠比這個復雜，但上面的描述概括了NAT處理報文的幾個關(guān)鍵特點：

1）網(wǎng)絡(luò)被分為私網(wǎng)和公網(wǎng)兩個部分，NAT網(wǎng)關(guān)設(shè)置在私網(wǎng)到公網(wǎng)的路由出口位置，雙向流量必須都要經(jīng)過NAT網(wǎng)關(guān)； 2）網(wǎng)絡(luò)訪問只能先由私網(wǎng)側(cè)發(fā)起，公網(wǎng)無法主動訪問私網(wǎng)主機； 3）NAT網(wǎng)關(guān)在兩個訪問方向上完成兩次地址的轉(zhuǎn)換或翻譯，出方向做源信息替換，入方向做目的信息替換； 4）NAT網(wǎng)關(guān)的存在對通信雙方是保持透明的； 5）NAT網(wǎng)關(guān)為了實現(xiàn)雙向翻譯的功能，需要維護一張關(guān)聯(lián)表，把會話的信息保存下來。

隨著后面對NAT的深入描述，讀者會發(fā)現(xiàn)，這些特點是鮮明的，但又不是絕對的。其中第二個特點打破了IP協(xié)議架構(gòu)中所有節(jié)點在通訊中的對等地位，這是NAT最大的弊端，為對等通訊帶來了諸多問題，當然相應(yīng)的克服手段也應(yīng)運而生。事實上，第四點是NAT致力于達到的目標，但在很多情況下，NAT并沒有做到，因為除了IP首部，上層通信協(xié)議經(jīng)常在內(nèi)部攜帶IP地址信息。這些我們稍后解釋。

2.2、一對一的NAT

如果一個內(nèi)部主機唯一占用一個公網(wǎng)IP，這種方式被稱為一對一模型。此種方式下，轉(zhuǎn)換上層協(xié)議就是不必要的，因為一個公網(wǎng)IP就能唯一對應(yīng)一個內(nèi)部主機。顯然，這種方式對節(jié)約公網(wǎng)IP沒有太大意義，主要是為了實現(xiàn)一些特殊的組網(wǎng)需求。比如用戶希望隱藏內(nèi)部主機的真實IP，或者實現(xiàn)兩個IP地址重疊網(wǎng)絡(luò)的通信。

2.3、一對多的NAT

NAT最典型的應(yīng)用場景就如同圖2描述的，一個組織網(wǎng)絡(luò)，在出口位置部署NAT網(wǎng)關(guān)，所有對公網(wǎng)的訪問表現(xiàn)為一臺主機。這就是所謂的一對多模型。這種方式下，出口設(shè)備只占用一個由Internet服務(wù)提供商分配的公網(wǎng)IP地址。面對私網(wǎng)內(nèi)部數(shù)量龐大的主機，如果NAT只進行IP地址的簡單替換，就會產(chǎn)生一個問題：當有多個內(nèi)部主機去訪問同一個服務(wù)器時，從返回的信息不足以區(qū)分響應(yīng)應(yīng)該轉(zhuǎn)發(fā)到哪個內(nèi)部主機。此時，需要NAT設(shè)備根據(jù)傳輸層信息或其他上層協(xié)議去區(qū)分不同的會話，并且可能要對上層協(xié)議的標識進行轉(zhuǎn)換，比如TCP或UDP端口號。這樣NAT網(wǎng)關(guān)就可以將不同的內(nèi)部連接訪問映射到同一公網(wǎng)IP的不同傳輸層端口，通過這種方式實現(xiàn)公網(wǎng)IP的復用和解復用。這種方式也被稱為端口轉(zhuǎn)換PAT、NAPT或IP偽裝，但更多時候直接被稱為NAT，因為它是最典型的一種應(yīng)用模式。

2.4、按照NAT端口映射方式分類

在一對多模型中，按照端口轉(zhuǎn)換的工作方式不同，又可以進行更進一步的劃分。為描述方便，以下將IP和端口標記為(nAddr:nPort)，其中n代表主機或NAT網(wǎng)關(guān)的不同角色。

2.4.1全錐形NAT

其特點為：一旦內(nèi)部主機端口對(iAddr:iPort)被NAT網(wǎng)關(guān)映射到(eAddr:ePort)，所有后續(xù)的(iAddr:iPort)報文都會被轉(zhuǎn)換為(eAddr:ePort)；任何一個外部主機發(fā)送到(eAddr:ePort)的報文將會被轉(zhuǎn)換后發(fā)到(iAddr:iPort)。

2.4.2限制錐形NAT

其特點為：一旦內(nèi)部主機端口對(iAddr:iPort)被映射到(eAddr:ePort)，所有后續(xù)的(iAddr:iPort)報文都會被轉(zhuǎn)換為(eAddr:ePort)；只有 (iAddr:iPort)向特定的外部主機hAddr發(fā)送過數(shù)據(jù)，主機hAddr從任意端口發(fā)送到(eAddr:ePort)的報文將會被轉(zhuǎn)發(fā)到(iAddr:iPort)。

2.4.3端口限制錐形NAT

其特點為：一旦內(nèi)部主機端口對(iAddr:iPort)被映射到(eAddr:ePort)，所有后續(xù)的(iAddr:iPort)報文都會被轉(zhuǎn)換為(eAddr:ePort)；只有(iAddr:iPort)向特定的外部主機端口對(hAddr:hPort)發(fā)送過數(shù)據(jù)，由 (hAddr:hPort)發(fā)送到(eAddr:ePort)的報文將會被轉(zhuǎn)發(fā)到(iAddr:iPort)。

2.4.4對稱型NAT

其特點為：NAT網(wǎng)關(guān)會把內(nèi)部主機“地址端口對”和外部主機“地址端口對”完全相同的報文看作一個連接，在網(wǎng)關(guān)上創(chuàng)建一個公網(wǎng)“地址端口對”映射進行轉(zhuǎn)換，只有收到報文的外部主機從對應(yīng)的端口對發(fā)送回應(yīng)的報文，才能被轉(zhuǎn)換。即使內(nèi)部主機使用之前用過的地址端口對去連接不同外部主機(或端口)時，NAT網(wǎng)關(guān)也會建立新的映射關(guān)系。

事實上，這些術(shù)語的引入是很多混淆的起源。現(xiàn)實中的很多NAT設(shè)備是將這些轉(zhuǎn)換方式混合在一起工作的，而不單單使用一種，所以這些術(shù)語只適合描述一種工作方式，而不是一個設(shè)備。比如，很多NAT設(shè)備對內(nèi)部發(fā)出的連接使用對稱型NAT方式，而同時支持靜態(tài)的端口映射，后者可以被看作是全錐型NAT方式。而有些情況下，NAT設(shè)備的一個公網(wǎng)地址和端口可以同時映射到內(nèi)部幾個服務(wù)器上以實現(xiàn)負載分擔，比如一個對外提供WEB服務(wù)器的站點可能是有成百上千個服務(wù)器在提供HTTP服務(wù)，但是對外卻表現(xiàn)為一個或少數(shù)幾個IP地址。

3. NAT的限制與解決方案

3.1、IP端到端服務(wù)模型

IP協(xié)議的一個重要貢獻是把世界變得平等。

在理論上，具有IP地址的每個站點在協(xié)議層面有相當?shù)墨@取服務(wù)和提供服務(wù)的能力，不同的IP地址之間沒有差異。人們熟知的服務(wù)器和客戶機實際是在應(yīng)用協(xié)議層上的角色區(qū)分，而在網(wǎng)絡(luò)層和傳輸層沒有差異。一個具有IP地址的主機既可以是客戶機，也可以是服務(wù)器，大部分情況下，既是客戶機，也是服務(wù)器。端到端對等看起來是很平常的事情，而意義并不尋常。但在以往的技術(shù)中，很多協(xié)議體系下的網(wǎng)絡(luò)限定了終端的能力。

正是IP的這個開放性，使得TCP/IP協(xié)議族可以提供豐富的功能，為應(yīng)用實現(xiàn)提供了廣闊平臺。因為所有的IP主機都可以服務(wù)器的形式出現(xiàn)，所以通訊設(shè)計可以更加靈活。使用UNIX/LINUX的系統(tǒng)充分利用了這個特性，使得任何一個主機都可以建立自己的HTTP、SMTP、POP3、DNS、DHCP等服務(wù)。

與此同時，很多應(yīng)用也是把客戶端和服務(wù)器的角色組合起來完成功能。例如在VoIP應(yīng)用中，用戶端向注冊服務(wù)器登錄自己的IP地址和端口信息過程中，主機是客戶端；而在呼叫到達時，呼叫處理服務(wù)器向用戶端發(fā)送呼叫請求時，用戶端實際工作在服務(wù)器模式下。在語音媒體流信道建立過程后，通訊雙向發(fā)送語音數(shù)據(jù)，發(fā)送端是客戶模式，接收端是服務(wù)器模式。

而在P2P的應(yīng)用中，一個用戶的主機既為下載的客戶，同時也向其他客戶提供數(shù)據(jù)，是一種C/S混合的模型。上層應(yīng)用之所以能這樣設(shè)計，是因為IP協(xié)議棧定義了這樣的能力。試想一下，如果IP提供的能力不對等，那么每個通信會話都只能是單方向發(fā)起的，這會極大限制通信的能力。

細心的讀者會發(fā)現(xiàn)，前面介紹NAT的一個特性正是這樣一種限制。沒錯，NAT最大的弊端正在于此——破壞了IP端到端通信的能力。

3.2、NAT的弊端

NAT在解決IPv4地址短缺問題上，并非沒有副作用，其實存在很多問題。

首先：NAT使IP會話的保持時效變短。因為一個會話建立后會在NAT設(shè)備上建立一個關(guān)聯(lián)表，在會話靜默的這段時間，NAT網(wǎng)關(guān)會進行老化操作。這是任何一個NAT網(wǎng)關(guān)必須做的事情，因為IP和端口資源有限，通信的需求無限，所以必須在會話結(jié)束后回收資源。通常TCP會話通過協(xié)商的方式主動關(guān)閉連接，NAT網(wǎng)關(guān)可以跟蹤這些報文，但總是存在例外的情況，要依賴自己的定時器去回收資源。而基于UDP的通信協(xié)議很難確定何時通信結(jié)束，所以NAT網(wǎng)關(guān)主要依賴超時機制回收外部端口。通過定時器老化回收會帶來一個問題，如果應(yīng)用需要維持連接的時間大于NAT網(wǎng)關(guān)的設(shè)置，通信就會意外中斷。因為網(wǎng)關(guān)回收相關(guān)轉(zhuǎn)換表資源以后，新的數(shù)據(jù)到達時就找不到相關(guān)的轉(zhuǎn)換信息，必須建立新的連接。當這個新數(shù)據(jù)是由公網(wǎng)側(cè)向私網(wǎng)側(cè)發(fā)送時，就會發(fā)生無法觸發(fā)新連接建立，也不能通知到私網(wǎng)側(cè)的主機去重建連接的情況。這時候通信就會中斷，不能自動恢復。即使新數(shù)據(jù)是從私網(wǎng)側(cè)發(fā)向公網(wǎng)側(cè)，因為重建的會話表往往使用不同于之前的公網(wǎng)IP和端口地址，公網(wǎng)側(cè)主機也無法對應(yīng)到之前的通信上，導致用戶可感知的連接中斷。NAT網(wǎng)關(guān)要把回收空閑連接的時間設(shè)置到不發(fā)生持續(xù)的資源流失，又維持大部分連接不被意外中斷，是一件比較有難度的事情。在NAT已經(jīng)普及化的時代，很多應(yīng)用協(xié)議的設(shè)計者已經(jīng)考慮到了這種情況，所以一般會設(shè)置一個連接?；畹臋C制，即在一段時間沒有數(shù)據(jù)需要發(fā)送時，主動發(fā)送一個NAT能感知到而又沒有實際數(shù)據(jù)的保活消息，這么做的主要目的就是重置NAT的會話定時器。

其次：NAT在實現(xiàn)上將多個內(nèi)部主機發(fā)出的連接復用到一個IP上，這就使依賴IP進行主機跟蹤的機制都失效了。如網(wǎng)絡(luò)管理中需要的基于網(wǎng)絡(luò)流量分析的應(yīng)用無法跟蹤到終端用戶與流量的具體行為的關(guān)系?；谟脩粜袨榈娜罩痉治鲆沧兊美щy，因為一個IP被很多用戶共享，如果存在惡意的用戶行為，很難定位到發(fā)起連接的那個主機。即便有一些機制提供了在NAT網(wǎng)關(guān)上進行連接跟蹤的方法，但是把這種變換關(guān)系接續(xù)起來也困難重重?；贗P的用戶授權(quán)不再可靠，因為擁有一個IP的不等于一個用戶或主機。一個服務(wù)器也不能簡單把同一IP的訪問視作同一主機發(fā)起的，不能進行關(guān)聯(lián)。有些服務(wù)器設(shè)置有連接限制，同一時刻只接納來自一個IP的有限訪問(有時是僅一個訪問)，這會造成不同用戶之間的服務(wù)搶占和排隊。有時服務(wù)器端這樣做是出于DOS攻擊防護的考慮，因為一個用戶正常情況下不應(yīng)該建立大量的連接請求，過度使用服務(wù)資源被理解為攻擊行為。但是這在NAT存在時不能簡單按照連接數(shù)判斷?？傊?#xff0c;因為NAT隱蔽了通信的一端，把簡單的事情復雜化了。

我們來深入理解NAT一下對IP端到端模型的破壞力：NAT通過修改IP首部的信息變換通信的地址。但是在這個轉(zhuǎn)換過程中只能基于一個會話單位。當一個應(yīng)用需要保持多個雙向連接時，麻煩就很大。NAT不能理解多個會話之間的關(guān)聯(lián)性，無法保證轉(zhuǎn)換符合應(yīng)用需要的規(guī)則。當NAT網(wǎng)關(guān)擁有多個公有IP地址時，一組關(guān)聯(lián)會話可能被分配到不同的公網(wǎng)地址，這通常是服務(wù)器端無法接受的。更為嚴重的是，當公網(wǎng)側(cè)的主機要主動向私網(wǎng)側(cè)發(fā)送數(shù)據(jù)時，NAT網(wǎng)關(guān)沒有轉(zhuǎn)換這個連接需要的關(guān)聯(lián)表，這個數(shù)據(jù)包無法到達私網(wǎng)側(cè)的主機。這些反方向發(fā)送數(shù)據(jù)的連接總有應(yīng)用協(xié)議的約定或在初始建立的會話中進行過協(xié)商。但是因為NAT工作在網(wǎng)絡(luò)層和傳輸層，無法理解應(yīng)用層協(xié)議的行為，對這些信息是無知的。NAT希望自己對通信雙方是透明的，但是在這些情況下這是一種奢望。

此外：NAT工作機制依賴于修改IP包頭的信息，這會妨礙一些安全協(xié)議的工作。因為NAT篡改了IP地址、傳輸層端口號和校驗和，這會導致認證協(xié)議徹底不能工作，因為認證目的就是要保證這些信息在傳輸過程中沒有變化。對于一些隧道協(xié)議，NAT的存在也導致了額外的問題，因為隧道協(xié)議通常用外層地址標識隧道實體，穿過NAT的隧道會有IP復用關(guān)系，在另一端需要小心處理。ICMP是一種網(wǎng)絡(luò)控制協(xié)議，它的工作原理也是在兩個主機之間傳遞差錯和控制消息，因為IP的對應(yīng)關(guān)系被重新映射，ICMP也要進行復用和解復用處理，很多情況下因為ICMP報文載荷無法提供足夠的信息，解復用會失敗。IP分片機制是在信息源端或網(wǎng)絡(luò)路徑上，需要發(fā)送的IP報文尺寸大于路徑實際能承載最大尺寸時，IP協(xié)議層會將一個報文分成多個片斷發(fā)送，然后在接收端重組這些片斷恢復原始報文。IP這樣的分片機制會導致傳輸層的信息只包括在第一個分片中，NAT難以識別后續(xù)分片與關(guān)聯(lián)表的對應(yīng)關(guān)系，因此需要特殊處理。

3.3、NAT穿越技術(shù)

前面解釋了NAT的弊端，為了解決IP端到端應(yīng)用在NAT環(huán)境下遇到的問題，網(wǎng)絡(luò)協(xié)議的設(shè)計者們創(chuàng)造了各種武器來進行應(yīng)對。但遺憾的是，這里每一種方法都不完美，還需要在內(nèi)部主機、應(yīng)用程序或者NAT網(wǎng)關(guān)上增加額外的處理。

3.3.1應(yīng)用層網(wǎng)關(guān)

應(yīng)用層網(wǎng)關(guān)(ALG)是解決NAT對應(yīng)用層協(xié)議無感知的一個最常用方法，已經(jīng)被NAT設(shè)備廠商廣泛采用，成為NAT設(shè)備的一個必需功能。因為NAT不感知應(yīng)用協(xié)議，所以有必要額外為每個應(yīng)用協(xié)議定制協(xié)議分析功能，這樣NAT網(wǎng)關(guān)就能理解并支持特定的協(xié)議。

ALG與NAT形成互動關(guān)系，在一個NAT網(wǎng)關(guān)檢測到新的連接請求時，需要判斷是否為已知的應(yīng)用類型，這通常是基于連接的傳輸層端口信息來識別的。

在識別為已知應(yīng)用時，再調(diào)用相應(yīng)功能對報文的深層內(nèi)容進行檢查，當發(fā)現(xiàn)任何形式表達的IP地址和端口時，將會把這些信息同步轉(zhuǎn)換，并且為這個新連接創(chuàng)建一個附加的轉(zhuǎn)換表項。這樣，當報文到達公網(wǎng)側(cè)的目的主機時，應(yīng)用層協(xié)議中攜帶的信息就是NAT網(wǎng)關(guān)提供的地址和端口。一旦公網(wǎng)側(cè)主機開始發(fā)送數(shù)據(jù)或建立連接到此端口，NAT網(wǎng)關(guān)就可以根據(jù)關(guān)聯(lián)表信息進行轉(zhuǎn)換，再把數(shù)據(jù)轉(zhuǎn)發(fā)到私網(wǎng)側(cè)的主機。

很多應(yīng)用層協(xié)議實現(xiàn)不限于一個初始連接(通常為信令或控制通道)加一個數(shù)據(jù)連接，可能是一個初始連接對應(yīng)很多后續(xù)的新連接。比較特別的協(xié)議，在一次協(xié)商中會產(chǎn)生一組相關(guān)連接，比如RTP/RTCP協(xié)議規(guī)定，一個RTP通道建立后占用連續(xù)的兩個端口，一個服務(wù)于數(shù)據(jù)，另一個服務(wù)于控制消息。此時，就需要ALG分配連續(xù)的端口為應(yīng)用服務(wù)。

ALG能成功解決大部分協(xié)議的NAT穿越需求，但是這個方法也有很大的限制。因為應(yīng)用協(xié)議的數(shù)量非常多而且在不斷發(fā)展變化之中，添加到設(shè)備中的ALG功能都是為特定協(xié)議的特定規(guī)范版本而開發(fā)的，協(xié)議的創(chuàng)新和演進要求NAT設(shè)備制造商必須跟蹤這些協(xié)議的最近標準，同時兼容舊標準。

盡管有如Linux這種開放平臺允許動態(tài)加載新的ALG特性，但是管理成本仍然很高，網(wǎng)絡(luò)維護人員也不能隨時了解用戶都需要什么應(yīng)用。因此為每個應(yīng)用協(xié)議開發(fā)ALG代碼并跟蹤最新標準是不可行的，ALG只能解決用戶最常用的需求。

此外，出于安全性需要，有些應(yīng)用類型報文從源端發(fā)出就已經(jīng)加密，這種報文在網(wǎng)絡(luò)中間無法進行分析，所以ALG無能為力。

3.3.2探針技術(shù)STUN和TURN

所謂探針技術(shù)，是通過在所有參與通信的實體上安裝探測插件，以檢測網(wǎng)絡(luò)中是否存在NAT網(wǎng)關(guān)，并對不同NAT模型實施不同穿越方法的一種技術(shù)。

STUN服務(wù)器被部署在公網(wǎng)上，用于接收來自通信實體的探測請求，服務(wù)器會記錄收到請求的報文地址和端口，并填寫到回送的響應(yīng)報文中?？蛻舳烁鶕?jù)接收到的響應(yīng)消息中記錄的地址和端口與本地選擇的地址和端口進行比較，就能識別出是否存在NAT網(wǎng)關(guān)。如果存在NAT網(wǎng)關(guān)，客戶端會使用之前的地址和端口向服務(wù)器的另外一個IP發(fā)起請求，重復前面的探測。然后再比較兩次響應(yīng)返回的結(jié)果判斷出NAT工作的模式。

由前述的一對多轉(zhuǎn)換模型得知，除對稱型NAT以外的模型，NAT網(wǎng)關(guān)對內(nèi)部主機地址端口的映射都是相對固定的，所以比較容易實現(xiàn)NAT穿越。

而對稱型NAT為每個連接提供一個映射，使得轉(zhuǎn)換后的公網(wǎng)地址和端口對不可預(yù)測。此時TURN可以與STUN綁定提供穿越NAT的服務(wù)，即在公網(wǎng)服務(wù)器上提供一個“地址端口對”，所有此“地址端口對”接收到的數(shù)據(jù)會經(jīng)由探測建立的連接轉(zhuǎn)發(fā)到內(nèi)網(wǎng)主機上。TURN分配的這個映射“地址端口對”會通過STUN響應(yīng)發(fā)給內(nèi)部主機，后者將此信息放入建立連接的信令中通知通信的對端。

這種探針技術(shù)是一種通用方法，不用在NAT設(shè)備上為每種應(yīng)用協(xié)議開發(fā)功能，相對于ALG方式有一定普遍性。但是TURN中繼服務(wù)會成為通信瓶頸。而且在客戶端中增加探針功能要求每個應(yīng)用都要增加代碼才能支持。

3.3.3中間件技術(shù)

這也是一種通過開發(fā)通用方法解決NAT穿越問題的努力。

與前者不同之處是，NAT網(wǎng)關(guān)是這一解決方案的參與者。

與ALG的不同在于，客戶端會參與網(wǎng)關(guān)公網(wǎng)映射信息的維護，此時NAT網(wǎng)關(guān)只要理解客戶端的請求并按照要求去分配轉(zhuǎn)換表，不需要自己去分析客戶端的應(yīng)用層數(shù)據(jù)。其中UPnP就是這樣一種方法。

UPnP中文全稱為通用即插即用，是一個通用的網(wǎng)絡(luò)終端與網(wǎng)關(guān)的通信協(xié)議，具備信息發(fā)布和管理控制的能力。

其中，網(wǎng)關(guān)映射請求可以為客戶動態(tài)添加映射表項。此時，NAT不再需要理解應(yīng)用層攜帶的信息，只轉(zhuǎn)換IP地址和端口信息。而客戶端通過控制消息或信令發(fā)到公網(wǎng)側(cè)的信息中，直接攜帶公網(wǎng)映射的IP地址和端口，接收端可以按照此信息建立數(shù)據(jù)連接。NAT網(wǎng)關(guān)在收到數(shù)據(jù)或連接請求時，按照UPnP建立的表項只轉(zhuǎn)換地址和端口信息，不關(guān)心內(nèi)容，再將數(shù)據(jù)轉(zhuǎn)發(fā)到內(nèi)網(wǎng)。這種方案需要網(wǎng)關(guān)、內(nèi)部主機和應(yīng)用程序都支持UPnP技術(shù)，且組網(wǎng)允許內(nèi)部主機和NAT網(wǎng)關(guān)之間可以直接交換UPnP信令才能實施。

3.3.4中繼代理技術(shù)

準確說它不是NAT穿越技術(shù)，而是NAT旁路技術(shù)。簡單說，就是在NAT網(wǎng)關(guān)所在的位置旁邊放置一個應(yīng)用服務(wù)器，這個服務(wù)器在內(nèi)部網(wǎng)絡(luò)和外部公網(wǎng)分別有自己的網(wǎng)絡(luò)連接?？蛻舳颂囟ǖ膽?yīng)用產(chǎn)生網(wǎng)絡(luò)請求時，將定向發(fā)送到應(yīng)用代理服務(wù)器。應(yīng)用代理服務(wù)器根據(jù)代理協(xié)議解析客戶端的請求，再從服務(wù)器的公網(wǎng)側(cè)發(fā)起一個新的請求，把客戶端請求的內(nèi)容中繼到外部網(wǎng)絡(luò)上，返回的相應(yīng)反方向中繼。這項技術(shù)和ALG有很大的相似性，它要求為每個應(yīng)用類型部署中繼代理業(yè)務(wù)，中間服務(wù)器要理解這些請求。

3.3.5特定協(xié)議的自穿越技術(shù)

在所有方法中最復雜也最可靠的就是自己解決自己的問題。比如IKE和IPsec技術(shù)，在設(shè)計時就考慮了到如何穿越NAT的問題。因為這個協(xié)議是一個自加密的協(xié)議并且具有報文防修改的鑒別能力，其他通用方法愛莫能助。因為實際應(yīng)用的NAT網(wǎng)關(guān)基本都是NAPT方式，所有通過傳輸層協(xié)議承載的報文可以順利通過NAT。IKE和IPsec采用的方案就是用UDP在報文外面再加一層封裝，而內(nèi)部的報文就不再受到影響。IKE中還專門增加了NAT網(wǎng)關(guān)是否存在的檢查能力以及繞開NAT網(wǎng)關(guān)檢測IKE協(xié)議的方法。

4. NAT的應(yīng)用和實現(xiàn)

4.1、NAT的應(yīng)用

NAT在當代Internet中被廣泛采用，小至家庭網(wǎng)關(guān)，大到企業(yè)廣域網(wǎng)出口甚至運營商業(yè)務(wù)網(wǎng)絡(luò)出口。其實NAT在用戶身邊隨處可見，一般家庭寬帶接入的ADSL Modem和SOHO路由器都內(nèi)置了NAT功能，WindowsXP支持網(wǎng)絡(luò)連接共享，一個用戶連接到公網(wǎng)可能會經(jīng)過多層NAT而對此一無所知。很多企業(yè)也為節(jié)約IP費用采用NAT接入Internet，但是相比家庭用戶有更復雜的需求。

4.1.1NAT多實例應(yīng)用

在VPN網(wǎng)絡(luò)中，多實例路由意味著一個物理拓撲上承載多個邏輯拓撲，網(wǎng)絡(luò)終端被分配到相互隔離的邏輯拓撲中，彼此之間沒有路由的通路。但在訪問Internet或者一些關(guān)鍵服務(wù)器資源時，被隔離的網(wǎng)絡(luò)之間又存在共享資源的需求。NAT的多實例實現(xiàn)就是跨越這種邏輯拓撲的方法，把一個空間的網(wǎng)絡(luò)地址映射到另一個空間。

4.1.2NAT的高可靠性組網(wǎng)

提高網(wǎng)絡(luò)可靠性是一個廣泛的需求，NAT作為私網(wǎng)到公網(wǎng)的關(guān)鍵路徑自然也需要高可靠性。當一個設(shè)備提供多個公網(wǎng)接口時，在多接口上部署NAT可以提供更高帶寬和多ISP就近訪問的能力。但是，當部署多個出口時，訪問的流量可能會從不匹配的接口返回，這就要求NAT方案有良好的路由規(guī)劃和部署合適的策略保證這種流量能夠正確處理。在多個物理設(shè)備承擔NAT功能時，不同設(shè)備之間的信息備份和流量分擔也是一個組網(wǎng)難題。

4.1.3同時轉(zhuǎn)換源和目的地址的應(yīng)用

前面我們介紹的所有NAT應(yīng)用中，由內(nèi)網(wǎng)向外網(wǎng)訪問過程中，都是將源地址進行轉(zhuǎn)換而目的地址保持不變，報文反方向進入時則處理目的地址。

但有一些特殊應(yīng)用需要在由內(nèi)向外的IP通路上，替換目的IP地址。通常，這種應(yīng)用會同時替換源地址和目的地址，在經(jīng)過NAT網(wǎng)關(guān)以后完成兩次地址轉(zhuǎn)換。當兩個均規(guī)劃使用私屬IP地址范圍的網(wǎng)絡(luò)進行合并時，終端用戶都不想調(diào)整自己的IP地址方案，又希望開放一些網(wǎng)絡(luò)資源給彼此訪問。這時就可以通過NAT的兩次地址轉(zhuǎn)換來解決路由和地址規(guī)劃無法解決的問題。

4.2 NAT的設(shè)備實現(xiàn)

NAT作為一個IP層業(yè)務(wù)特性，在產(chǎn)品實現(xiàn)中與防火墻、會話管理等特性有緊密聯(lián)系，這是因為NAT判斷一個進入設(shè)備的報文是否需要NAT處理，判斷報文是否為一個新的連接，都需要通過匹配訪問控制列表規(guī)則和查詢會話關(guān)聯(lián)表進行判斷。為了滿足不同應(yīng)用場景的NAT需求， NAT的管理界面可提供用戶多種配置策略。按照NAT的具體工作方式，又可以做如下分類。

4.2.1靜態(tài)一對一地址映射

這種工作方式下，NAT把一個私網(wǎng)地址和一個公網(wǎng)地址做靜態(tài)關(guān)聯(lián)，在從內(nèi)而外的方向，將源IP匹配的私網(wǎng)IP替換為公網(wǎng)IP，反方向則將目的IP匹配公網(wǎng)IP的報文替換為私網(wǎng)IP。網(wǎng)絡(luò)層以上的部分不進行替換處理，只修正校驗和。

4.2.2靜態(tài)多對多地址映射

這種方式與上一種類似，只是把一段私網(wǎng)地址映射到一段公網(wǎng)地址。工作機制與前述的方式?jīng)]有差別，只是簡化配置工作量。

4.2.3動態(tài)端口映射

這是最基本的工作方式，即前面多次介紹的將一段內(nèi)網(wǎng)地址動態(tài)翻譯為一個或多個公網(wǎng)IP，同時對傳輸層端口或其他上層協(xié)議信息進行轉(zhuǎn)換，以實現(xiàn)IP復用。對由內(nèi)而外的報文，替換源地址和端口，反向報文替換目的地址和端口。僅以連接公網(wǎng)的接口IP作為NAT轉(zhuǎn)換的公網(wǎng)地址時，這種配置最簡化，又被稱為EasyIP。當以一段公網(wǎng)IP地址作為NAT轉(zhuǎn)換地址時，需要配置一個地址池，NAT會自動在地址池中選擇使用公網(wǎng)IP。

4.2.4動態(tài)地址映射(no-pat)

這是介于靜態(tài)多對多地址映射和動態(tài)端口映射方式之間的一種工作機制。當有一個私網(wǎng)向公網(wǎng)側(cè)訪問到達NAT網(wǎng)關(guān)時，NAT網(wǎng)關(guān)會檢查這個私網(wǎng)IP是否已經(jīng)有關(guān)聯(lián)的公網(wǎng)IP映射。如果已經(jīng)存在，則按照轉(zhuǎn)換表直接替換IP，不修改上層協(xié)議。如果不存在關(guān)聯(lián)表項，則在空閑的公網(wǎng)IP池中占用一個IP，并寫入關(guān)聯(lián)表中，以后按照這個關(guān)聯(lián)關(guān)系進行地址轉(zhuǎn)換。當這個私網(wǎng)主機發(fā)起的所有對外訪問均關(guān)閉或超時后，回收公網(wǎng)IP。這種方式可以理解為一組內(nèi)網(wǎng)主機搶占式地共享一個公網(wǎng)IP地址池。當公網(wǎng)IP地址池用完以后，新連接將無法建立。

4.2.5靜態(tài)端口映射

通過靜態(tài)配置，把一個固定的私網(wǎng)IP地址和端口關(guān)聯(lián)到一個公網(wǎng)地址和端口上。這種方式等同于前面介紹過的全錐模式，但是不需要內(nèi)網(wǎng)主機首先發(fā)出報文。這種方式適用于在NAT網(wǎng)關(guān)上把一個知名服務(wù)（如HTTP）映射到一個內(nèi)部主機上，也稱為port forwarding。

4.2.6應(yīng)用層網(wǎng)關(guān)(ALG)

在所有NAT產(chǎn)品實現(xiàn)中，ALG是一個必需的功能組件。但在不同實現(xiàn)中，有些產(chǎn)品可以動態(tài)加載不同的ALG模塊，有些產(chǎn)品可以提供ALG開關(guān)控制，有些則不提供任何用戶接口。ALG解析上層應(yīng)用協(xié)議的內(nèi)容，并且根據(jù)需要修改IP和端口相關(guān)信息，創(chuàng)建和維護附加的關(guān)聯(lián)表項。

4.2.7NAT轉(zhuǎn)換關(guān)聯(lián)表

無論哪一種NAT工作方式，都要用到地址轉(zhuǎn)換關(guān)聯(lián)表，在不同產(chǎn)品的實現(xiàn)中，這個關(guān)聯(lián)表的存儲結(jié)構(gòu)和在IP轉(zhuǎn)發(fā)中調(diào)用的方式有很大不同。

關(guān)聯(lián)表中會記錄源IP、目的IP、連接協(xié)議類型、傳輸層源端口、目的端口，以及轉(zhuǎn)換后的源IP、源端口，目的IP、目的端口信息，這里的源和目的都是對應(yīng)于從內(nèi)網(wǎng)到外網(wǎng)的訪問方向。

依據(jù)NAT具體工作方式，這些信息可能全部填充，也可能部分填充。例如只按照IP做靜態(tài)映射的方式，就不需要填入任何端口相關(guān)信息；對于靜態(tài)端口映射，則只填入源相關(guān)的內(nèi)容，而目的端的信息為空。

5. 后IPv4時代的NAT

NAT是為延緩IPv4地址耗盡而推出的技術(shù)。毫無疑問，它已經(jīng)出色完成了自己的歷史使命，IPv4比預(yù)期走得更遠。作為繼任者的IPv6吸取了IPv4的教訓，被賦予充足地址空間的同時在各個方面做了優(yōu)化——安全、高效、簡潔。但是IPv6無法平滑地取代IPv4，導致IP升級步伐緩慢。盡管網(wǎng)絡(luò)協(xié)議的分層設(shè)計很清晰，大量應(yīng)用層協(xié)議和互聯(lián)網(wǎng)軟件中仍內(nèi)嵌了IPv4地址的處理，要Internet全網(wǎng)升級到IPv6，必須先完成應(yīng)用的改造。因為NAT和它的穿越技術(shù)結(jié)合能夠滿足大部分用戶的需求，所以IPv6時代被不斷推遲。

隨著IPv4地址的瀕臨耗盡，再經(jīng)濟的模式也無以為繼，IPv4必須退出歷史舞臺。人們自然會認為，NAT作為IPv4的超級補丁技術(shù)使命已經(jīng)完結(jié)。實際情況是，IPv4向IPv6過渡的階段，NAT仍然是一項必不可少的技術(shù)手段。因為Internet無法在一日之內(nèi)完成全網(wǎng)升級，必然是局部升級，逐漸替換。在兩套協(xié)議并存的時期，用戶和服務(wù)資源分布在不同網(wǎng)絡(luò)之間，跨網(wǎng)訪問的需求必須得到滿足。這正是NAT所擅長的領(lǐng)域，地址替換，因此NAT-PT應(yīng)運而生。由于IPv4和IPv6之間的差異，NAT要做的事比以往更復雜，有更多的限制和細節(jié)。

此外，IETF也在制定純IPv6網(wǎng)絡(luò)使用的NAT規(guī)范。雖然人們還看不到這種應(yīng)用的強烈需求，但是NAT仍有其獨特的作用，比如隱藏內(nèi)部網(wǎng)絡(luò)的地址，實現(xiàn)重疊地址網(wǎng)絡(luò)的合并等。

毫不夸張地說，正是有了NAT，以IPv4為基礎(chǔ)的Internet才能容納數(shù)十億的用戶終端，成就今日之輝煌。IPv4已至日暮西山，IPv6的黎明尚未來臨，Internet比任何時刻都更依賴NAT這項過渡技術(shù)。NAT的歷史再次證明，翻天覆地的劃時代進步不一定有市場，抱殘守缺的修修補補未必不會成功。在世代更替之時讓我們走近NAT，領(lǐng)略IP領(lǐng)域更多細微但不高深的知識，理解NAT就是理解變換萬千的應(yīng)用世界。

總結(jié)

以上是生活随笔為你收集整理的P2P技术详解(一)：NAT详解——详细原理、P2P简介的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。