NAT的简单介绍及5大NAT穿透方法

NAT技术是我们网络中非常重要的技术，大部分的单位私网访问公网都需要使用NAT技术，通过NAT的机制，就可以让成千上万台计算机同时通过一个公网IP来连上因特网。本篇将对NAT相关技术基础知识进行总结。

NAT介绍

NAT网络地址转换（network address translation），是一种将数据包中的IP地址替换为其他IP地址的功能，此功能通常由路由器或防火墙来实现；NAT的通过利用较少的公　有IP地址来表示大量私有IP地址的方式来降低IP地址空间的耗用速度，除了此工作外，NAT在网络迁移和融合、服务器负载共享等方面也非常有用，接下来将针对NAT的实现过程进行简单介绍。

NAT原理

相关术语：
IL ： 内部本地地址即分配给内部设备的地址，此类地址不会宣告到外部网络
IG： 内部全局地址即内部设备被外部网络所知晓的地址
OG：外部全局地址即分配给外部设备的地址，这些地址不会被宣告到内部网络
OL： 外部本地地址即外部设备被内部网络所知晓的地址

NAT存在的问题

虽然NAT非常有用，但是NAT并非无所不能，通过上述基础知识的了解，可以看到在NAT的处理过程中，会对IP地址和TCP端口内容进行更改，由于对IP地址和TCP端口更改后，会使得IP包和TCP包中的校验和字段发生变化，因此需要NAT机制可以完成这些校验和的重新计算。

同时许多协议和应用程序都是根据数据字段的IP地址来携带IP地址或信息，因而可能会更改被封装数据的含义，从而可能破坏该应用.如：IPSEC的VPN应用，对于IPSEC而言，如果更改了ipsec包中的IP地址，IPSEC的加密机制将会丢弃此报文，从而破坏了VPN应用。从后面的技术可以了解到NAT穿越可以解决此问题。

NAT并不能阻止拒绝服务或者会话劫持等常见攻击。

5大NAT穿透方法

许多程序在局域网中是可以适用的，但是在外网与内网之间和内网与内网之间就不可行。问题就在于NAT，本文就将介绍下5大NAT穿透方法，解决内外网的互访问题。

1．完全锥形（Full Cone）NAT

处于不同内网的主机A和主机B，各自先连接服务器，从而在各自NAT设备上打开了一个“孔”，服务器收到主机A和主机B的连接后，知道A与B的公网地址和NAT分配给它们的端口号，然后把这些NAT地址与端口号告诉A与B，由于在完全锥形NAT的特点，A和B给服务器所打开的“孔”，能给别的任何的主机使用。故A与B可连接对方的公网地址和端口直接进行通信。服务器在这里充当“介绍人”，告诉A与B对方的地址和端口号。

2．受限制锥形（Restricted Cone）NAT
A和B还是要先连接服务器，服务器发送A和B的地址和端口信息给A和B，但由于受限制锥形NAT的特点，他们所打开的“孔”，只能与服务器通信。要使他们可以直接通信，解决办法如下：

假如主机A开始发送一个UDP信息到主机B的公网地址上，与此同时，它又通过服务器中转发送了一个邀请信息给主机B，请求主机B也给主机A发送一个UDP信息到主机A的公网地址上。这时主机A向主机B的公网IP发送的信息导致NAT A打开一个处于主机A的和主机B之间的会话，与此同时，NAT B也打开了一个处于主机B和主机A的会话。一旦这个新的UDP会话各自向对方打开了，主机A和主机B之间就可以直接通信了[14]。

3．端口受限制锥形（Port Restricted Cone）NAT
对于该类型的NAT，解决办法跟上面的方法一样。

4．对称型（Symmetric）NAT

对称型NAT，对于不同的外网主机地址，它都会分配不同的端口号，所以进行UDP打孔比较困难，但也可以进行端口预测打孔，不过不能保证成功。

以上的穿透NAT，是对NAPT来进行穿透，主要是针对UDP协议。TCP协议也有可能，但是可行性非常小，要求更高。并且，语音视频通信是用UDP传输的，故针对TCP的NAT穿透在这里不作讨论。基础NAT不修改经过的数据包的端口号，它们可以看作是完全锥形NAT的精简版本，即基础NAT也可以被穿透。NAT设备将在一定时间后关闭UDP的一个映射，所以为了保持与服务器能够一直通信，服务器或客户端必须要周期性地发送UDP包，保持映射不被关闭。

5．花生壳NAT-DDNS穿透

花生壳DDNS是将用户的动态IP 地址映射到一个固定的域名上，用户每次连接网络的时候客户端程序就会通过信息传递把该主机的动态IP 地址传送给位于服务商主机上的服务器程序，服务项目器程序负责提供 DNS 服务并实现动态域名解析。DDNS 的主要作用就是捕获用户每次变化的 IP 地址，然后将其与域名相对应，这样其他上网用户就可以通过域名来与用户交流了。