双向NAT原理以及应用专题研究Word下载.doc

双向NAT原理以及应用专题研究Word下载.doc

《双向NAT原理以及应用专题研究Word下载.doc》由会员分享，可在线阅读，更多相关《双向NAT原理以及应用专题研究Word下载.doc（8页珍藏版）》请在冰点文库上搜索。

4

4、几种NAT命令的比较：

5

5、双向NAT 6

6、典型应用举例：

7

1）、APN：

2）与其它网络互联 8

1、前言

随着业务的发展，移动网络与其它运营商或者客户网络进行互联，很多情况下会使用NAT技术达到隐藏内部地址与网络结构的目的，下面就双向NAT技术以及典型应用展开探讨：

NAT英文全称是“NetworkAddressTranslation”，中文意思是“网络地址转换”，它是一个IETF标准，允许一个整体机构以一个公用IP地址出现在Internet上。

顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。

如图

NAT技术类型

NAT有三种类型：

静态NAT（StaticNAT）、动态地址NAT（PooledNAT）、网络地址端口转换NAPT（Port－LevelNAT）。

insidelocal,即内部局部地址，为在内部网络上的一个主机地址。

InsideGlobal，即内部全局地址，为一个合法的外网地址，为内部地址在外部网络的显现。

OutsideLocal，即为外部局部地址，出现在内部网络的一个外部主机地址。

OutsideGlobal，即为外部全局地址，主机在外部网络获得的地址。

ipNATinsidesource：

将内部局部地址翻译成为内部全局地址，触发发生在内口，具体过程为数据包从外部传输到内部时，先进行转换，转换数据包的目标地址，将然后检查目的地的路由表。

当数据包从内部传输到外部时，先检查目的地的路由表，然后进行转换，转换数据包的源地址。

ipnatinsidedestination 

:

将insideglobal翻译成为insidelocal，触发发生在outside（外口），具体过程为数据包从外部传输到内部时，先进行转换，转换数据包的目标地址，将然后检查目的地的路由表。

ipnatoutsidesource 

将OutsideGlobal（外部全局）翻译为OutsideLocal（外部局部），具体过程为数据包从外部传输到内部时，先进行转换，转换数据包的源地址，将然后检查目的地的路由表。

当数据包从内部传输到外部时，先检查目的地的路由表，然后进行转换，转换数据包的目标地址。

所有NAT的过程的共同点是数据包从外部传输到内部时，先进行转换，然后检查目的地的路由表。

当数据包从内部传输到外部时，先检查目的地的路由表，然后进行转换。

，因此一定要根据具体要求，确定如何定义NAT接口（内部或外部），以及路由表在转换之前或之后应该包含哪些路由。

特别注意：

当配置ipnatoutsidesource 

时候，一定要注意到从内口到外口时先检查路由表，一定要将转换的outsidelocal的路由加到外口，cisco中提供了add－route参数。

例：

ipNAToutsidesourcelist1pooltestadd-route;

非cisco路由器也可以直接加路由加至外口。

5、双向NAT

双向NAT是指即由内向外翻译，同时又将外部全部地址翻译为本地全局地址，为将内部局部地址翻译为内部全局地址，并将外部全局翻译为内部全局地址。

如内部本地地址为1.1.1.1，外部全局地址为2.2.2.2，翻译后内部全局地址为1.1.10.1，外部局部地址为4.4.4.4，转换时流程为：

数据包从1.1.1.1发给4.4.4.4，先检查路由表，到4.4.4.4主机的路由指向外口，进行源地址和目标地址的同时转换，将源地址转换成为1.1.10.1，将目标地址转换成为2.2.2.2，数据包回来后将先行数据包转换，将目标地址1.1.10.1转换成为1.1.1.1，源地址2.2.2.2转换成为1.1.1.1，实现数据包的通信。

网络拓扑如下图：

GGSN

移动路由器

用户路由器

GRE隧道

APN过程为用户终端统一分配一段私网地址，用户服务器分配一段地址，实现从终端到服务器的通信。

一般情况下用户将服务器放在防火墙DMZ，实现与用户内网以及终端的通信，或者通过双网卡服务器的方法解决。

但是有些情况下，终端还需访问用户内网的其它服务器，如这些服务器位置、地址都已经固定，不可变更，这时就需要采用双向NAT技术。

如某APN用户，终端分配网段：

10.132.10.0/24，服务器：

10.144.156.128/28，终端除了要和本地服务器通信外，用户还需要将APN数据直接送至其省公司服务器172.16.1.101，这时就需要采用双向NAT的方法解决。

在用户路由器上将与用户网络互联口设置成为外口，将终端地址10.132.10.0/24转换为用户本地网段与其省公司服务器进行通信，但是由于终端只能路由到10.144.156.128/28的网段，因此必须将省公司服务器172.16.1.101映射成为服务器网段的地址10.144.156.129，这样就较好的解决了用户的需求。

2）与其它网络互联

移动网络

铁通网络

移动路由器

outside

Inside

以与铁通营业厅互联为例，铁通需连接到移动内网实现营业功能，但是移动网络为一个私密度较高的网络，不可能和铁通直接加路由互通，而且移动的服务器地址以及内部网络也需要对铁通保密，这时需要采用双向nat技术：

一方面将铁通地址转换为移动地址连接到省公司服务器，另一方面将移动BOSS主机的地址映射为任意私网地址，这样就有效地隐藏了移动的地址。

8