双向NAT技术的实现

第２６卷第１期　电脑开发与应　文章编号：１００３—５８５０（２０１３）０１－００５１－０３　双向ＮＡＴ技术的实现　郭　慧　（山西大学商务学院信息学院，太原０３００３１）　摘要：公网主机访问私网服务器时，为了避免在服务器上配置到公网地址的路由，同时隐藏报文的源ＩＰ地址，引　入反向地址转换技术。分析了正向地址转换和反向地址转换的原理，通过实验证明双向ＮＡＴ的可行性，对ＮＡＴ技术的　实际应川具有一定的借鉴意义。　关键词：网络地址转换，舣向，公网地址，私网地址　中图分类号：ＴＰ３９３　文献标识码：Ａ　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｏｆ　Ｂｉｄｉｒｅｃｔｉｏｎａｌ　ＮＡＴ　ＣＵ０　Ｈｕｊ　（Ｂｕｓｉｎｅｓｓ　Ｃｏｌｌｅｇｅ　ｏｆ　Ｓｈａｎｘｉ　Ｕｎｉｖｅｒｓｉｔｙ，　“洲０３００３１，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｉｎ　ｏｒｄｅｒ　ｔｏ　ａｖｏｉｄ　ｄｅｐｌｏｙｉｎｇ　ｔｈｅ　ｒｏｕｔｅ　ｔｏ　ｔｈｅ　ｐｕｂｌｉｃ　ｎｅｔｗｏｒｋ　ｏｎ　ｔｈｅ　ｐｒｉｖａｔｅ　ｓｅｒｖｅｒ　ａｎｄ　ｈｉｄｅ　ｔｈｅ　ｓｏｕｒｃｅ　ａｄｄｒｅｓｓ，ｉｎｔｒｏｄｕｃｅ　ｔｈｅ　ｒｅｖｅｒｓｅｄ　ｎｅｔｗｏｒｋ　ａｄｄｒｅｓｓ　ｔｒａｎｓｌａｔｉｏｎ．Ａｎａｌｙｚｅ　ｔｈｅ　ｐｒｉｎｃｉｐｉｅ　ｏｆ　ｆｏｒｗａｒｄ　ａｄｄｒｅｓｓ　ｔｒａｎｓｌａｔｉｏｎ　ａｎｄ　ｒｅｖｅｒｓｅ　ａｄｄｒｅｓｓ　ｔｒａｎｓｌａｔｉｏｎ．Ｐｒｏｖｅ　ｔｈｅ　ｆｅａｓｉｂｉｌｉｔｙ　ｏｆ　ｂｉｄｉｒｅｃｔｉｏｎａｌ　ＮＡＴ　ｔｈｒｏｕｇｈ　ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔ．Ｉｔ　ｈａｓ　ａ　ｃｅｒｔａｉｎ　ｒｅｆｅｒｅｎｔｉａｌ　ｓｉｇｎｉｉｆｃａｎｃｅ　ｔｏ　ｐｒａｃｔｉｃａｌ　ａｐｐｌｉｃａｔｉｏｎ　ｏｆ　ＮＡＴ　ｔｅｃｈｎｏｌｏｇｙ．　Ｋｅｙ　ｗｏｒｄｓ：ｎｅｔｗｏｒｋ　ａｄｄｒｅｓｓ　ｔｒａｎｓｌａｔｉｏｎ，ｂｉｄｉｒｅｃｔｉｏｎａｌ，ｐｕｂｌｉｃ　ａｄｄｒｅｓｓ，ｐｒｉｖａｔｅ　ａｄｄｒｅｓｓ　引　言　务器端需要配置到该公网地址的路由。这样做会使服　务器的私网地址暴露在公网上，同时还增加了配置。　网络地址转换（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｉｏｎ，　为了避免在服务器上配置到公网地址的路由，隐藏主　ＮＡＴ）是一种将内部私有网络地址转换为合法的外部　机访问的源ＩＰ地址，从公网地址到私网地址的转换　网络地址的技术…。在实际应用中，ＮＡＴ主要用于实　技术应运而生。　现私有网络访问公共网络的功能。这种通过使用少　量的公有ＩＰ地址代表较多的私有ＩＰ地址的方式，有　１　双向ＮＡＴ技术　助于减缓可用ＩＰ地址空间的枯竭。ＲＦＣ　１９１８为私有　双向ＮＡＴ技术【。要完成以下两方面的转换：　网络预留出了３个ＩＰ地址块，如下：　（１）正向ＮＡＴ把私有网络发出报文的源ＩＰ地址　Ａ类：１０．０．０．０～１０．２５５．２５５．２５５　和端口号转换为该私有网络对应的公网ＩＰ地址和端　Ｂ类：１７２．１６．０．０　１７２．３１．２５５．２５５　口号。　Ｃ类：１９２．１６８．０．０～１９２．１６８．２５５．２５５　（２）反向ＮＡＴ把公有网络发出报文的目的ＩＰ地　这３类地址不会在因特网上被分配，因此可以在　址和端口号转换为私有网络内部主机的ＩＰ地址和端　公司或企业内部使用ｌ２Ｉ。　口号。　当公网用户访问私网服务器的公网地址时，会将　１．１正向ＮＡＴ工作原理分析　报文的目的地址转换为服务器的私网地址，但是在服　当ＩＳＰ提供的合法ＩＰ地址略少于网络内部的计　收稿日期：２０１２—１１－１ｌ，修回日期：２０１２—１２—１０　料　作者简介：郭慧，女，１９８０年生，硕士，研究方向：网络与信息安全。　・５２・　（总００５２）　双向ＮＡＴ技术的实现　２０１３年第１期　算机数量时。可以采用动态转换的方式。这是正向　ＮＡＴ的主要工作方式之一，其组网如图ｌ所示。　Ｐ（＇Ａ　ＳＥＲＶＥＲ　图１正向ＮＡＴ典型组Ｊ碉图　当Ｐｃ　Ａ发送报文到ＳＥＲＶＥＲ时，其源地址为　ｌ０．３５．６６．２，目的地址为２２０．３５．６６．２。此报文经过防火　墙时，防火墙就去查找网络地址转换表，根据转换表，　从地址池中选择地址来替换源地址１４１。那么转换后，　源地址为２２０．３５．６６－３，目的地址为２２０．３５．６６．２。此转　换后的报文到达ＳＥＲＶＥＲ时，ＳＥＲＶＥＲ回复此报文。　当回复的报文到防火墙，防火墙义进行相应转换，在　转换过程中地址池中的地址可以复用。　１－２反向ＮＡＴ工作原理分析　反向ＮＡＴ应用在公网主机访问内部服务器上，　组网如图２所示。　图２反向ＮＡＴ典型组Ｉ碉艮ｌ　当ＰＣ　Ａ发送报文到ＳＥＲＶＥＲ时，其源地址为　２２０．３５．３．２，目的地址为２２０．３５．３．１。此报文经过防火　墙时，防火墙就去查找ＮＡＴ转换表，根据转换表，从　地址池中选择地址来替换源地址，同时将服务器　ＳＥＲＶＥＲ的外部地址变为内部地址。那么转换后，源　地址为ｌ０．３５．３．３，目的地址为ｌ０．３５．３．２。此转换后的　报文到达ＳＥＲＶＥＲ时，ＳＥＲＶＥＲ回复此报文。当回复　的报文到防火墙，防火墙又进行相应转换。在转换过　程中地址池中的地址可以复用。这样做，省去了在内　部服务器上配置到公网地址的路由，同时隐藏了报文　的源ＩＰ地址。　２双向ＮＡＴ技术实验　２．１　实验环境　Ｈ３Ｃ防火墙ｌ台，ＰＣ机４台，网线若干。　２．２实验组网图　实验组网图如图３所示。ＰＣ　Ａ处于防火墙的　Ｔｒｕｓｔ域，ＳＥＲＶＥＲ　Ｂ处于防火墙的ＤＭＺ域，ＳＥＲＶＥＲ　Ａ和ＰＣ　Ｂ处于防火墙的Ｕｎｔｒｕｓｔ域。提供的访问公网　地址的范围为２２０．３５．６６．３—２２０．３５．６６．５。　！　ＳＩ　．Ｒ，￣　Ｉ　Ｒ　一　图３实验组网罔　２．３实验目的　实验目的如下：　（１）ＰＣ　Ａ可以通过正向ＮＡＴ转换访问公网服务　器ＳＥＲＶＥＲＡ。　（２）ＰＣ　Ｂ可以通过反向ＮＡＴ转换访问内网服务　器ＳＥＲＶＥＲ　Ｂ。　２．４实验步骤　实验步骤如下：　（１）配置防火墙接口Ｅ１／一　０／０、Ｅｌ／Ｏ／１、Ｅ４／Ｏ／Ｏ、　Ｅ４／０／１的ｌＰ地址。　（２）将接口加入相应的安全区域。　＃将以太网接口１／０／１加入ｄｍｚ区域　ｉｆｒｅｗａｌｌ　ｚｏｎｅ　ｄｍｚ　ａｄｄ　ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ　１／０／１　＃将以太网接口１／０／０加入ｔｒｕｓｔ区域　ｉｆｒｅｗａｌｌ　ｚｏｎｅ　ｔｕｒｓｔ　ａｄｄ　ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ　１／０／０　＃将以太网接口４／０／０和４／０／１加入ｕｎｔｒｕｓｔ区域　ｉｆｒｅｗａｌｌ　ｚｏｎｅ　ｕｎｔｕｒｓｔ　ａｄｄ　ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ　４／０／０　ａｄｄ　ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ　４ｆｃｌｎ　（３）配置ＮＡＴ地址池。　＃配置私网地址到公网地址转换的地址池　ｎａｔ　ａｄｄｒｅｓｓ－ｇｒｏｕｐ　０　２２０．３５．６６．３　２２０．３５．６６．５　＃配置公网地址到私网地址转换的地址池　ｎａｔ　ａｄｄｒｅｓｓ—ｇｒｏｕｐ　１　１０．３５．３．３　ｌ０＿３５－３．５　（４）配置ＮＡＴ　Ｓｅｒｖｅｒ。　＃配置内网服务器的公网地址　ｎａｔ　ｓｅｒｖｅｒ　ｇｌｏｂａｌ　２２０．３５．３．１　ｉｎｓｉｄｅ　１０．３５＿３．２　（５）配置与ＮＡＴ绑定的ＡＣＬ规则。　ａｃｌ　３０００　ｕｒｌｅ　ｐｅｒｍｉｔ　ｉｐ　ｓｏｕｒｃｅ　１０．３５．６６．０　０．０．０．２５５　ａｃｌ　３００１　ｕｒｌｅ　ｐｅｒｍｉｔ　ｉｐ　ｓｏｕｒｃｅ　２２０．３５．３．０　０．０．０．２５５　（６）在防火墙的安全区域之间应用ＮＡＴ规则。　＃在防火墙的ｔｕｒｓｔ域和ｕｎｔｕｒｓｔ域间应用正向　第２６卷第１期　电脑开发与应用　（总００５３）　・５３・　ＮＡＴ规则　ｄｉｓｐｌａｙ　ｉｆｒｅｗａｌｌ　ｓｅｓｓｉｏｎ　ｔａｂｌｅ　ｉｆｒｅｗａｌｌ　ｉｎｔｅｒｚｏｎｅ　ｔｒｕｓｔ　ｕｎｔｒｕｓｔ　正向ＮＡＴ的实验结果如表１所示。　ｎａｔ　ｏｕｔｂｏｕｎｄ　３０００　ａｄｄｒｅｓｓ－ｇｒｏｕｐ　０　反向ＮＡＴ的实验结果如表２所示。　＃在防火墙的ｄｍｚ域和ｕｎｔｒｕｓｔ域间应用反向　ＮＡＴ规则　４　总　结　ｉｆｒｅｗａｌｌ　ｉｎｔｅｒｚｏｎｅ　ｄｍｚ　ｕｎｔｒｕｓｔ　双向ＮＡＴ技术有效界定了用户所在网络的范围，　ｎａｔ　ｉｎｂｏｕｎｄ　３００　１　ａｄｄｒｅｓｓ—ｇｒｏｕｐ　ｌ　保证了用户访问内网服务器的最佳快速访问路由走　３　结果与分析　向，同时可以隐藏报文的源地址，使得内网服务器回　应数据包也能按照最快速的路由到达客户端。双向　配置完毕后，用Ｐｃ　Ａ　ｐｉｎｇＳＥＲＶＥＲ　Ａ，能够ｐｉｎｇ　ＮＡＴ为内网主机访问外网服务器以及外网主机访问　通，用ＰＣ　Ｂ　ｐｉｎｇ　ＳＥＲＶＥＲ　Ｂ，能够ｐｉｎｇ通。在防火墙　内网服务器提供了有效的技术支持，对ＮＡＴ技术的　上运行以下命令检查配置结果。　实际应用具有一定的借鉴作用。　表ｌ正向ＮＡＴ实验结果　参考文献　私网客户端请求ＩＰ包　经过ＮＡＴ转换后的ＩＰ包　源地址　目的地址　源地址　目的地址　【１】刘泽阳，徐武平．Ｐ２Ｐ应用中一种多层ＮＡＴ穿透解决方案　的设计与实现【ＪＪ．计算机应用，２０１　１，（３１）７：１９８０—１９８３．　１０－３５．６６．２　２２０．３５．６６．２　２２０－３５．６６．３　２２０－３５．６６．２　『２　Ｉ２１ＥＴＦ　ＲＦＣ２６６３．ＩＰ　Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｏｒ（ＮＡＴ）　表２反向ＮＡＴ实验结果　Ｔｅｒｍｉｎｏｌｏｇｙ　ａｎｄ　Ｃｏｎｓｉｄｅｒａｔｉｏｎｓ　ＩｓＩ．１９９９．　【３】曹科，张海盛．一种改进的ＮＡＴ双向访问模型【ＪＪ．计算机　公网客户端请求ＩＰ包　经过ＮＡＴ转换后的ＩＰ包　应用，２００４，２４（１２）：１８－２０．　『４１赵永驰，吴坚，陈波．网络地址转换技术在防火墙中的　源地址　目的地址　源地址　目的地址　应用『Ｊ】．兵＿ｒ自动化，２００５，２４（１）：３５—３６．　【５】陈松，战学刚．基于双向ＮＡＴ和智能ＤＮＳ内网服务器安全陕　２２０．３５．３．２　２２０３５．３．１　ｌ０＿３５＿３．３　ｌＯ．３５－３．２　速访问策啪Ｊ１．计算机Ｔ程与设计，２００９，３ｏ（１２）：２９４１—２９４５．　（上接第５０页）　究小组创造的一个短语，它也被称为机对机通信，是　餐馆不在他当天的日程安排之内，但是他可以在当天　指提供其周围环境和活动相关信息的普通非手机对　稍后在附近的位置时路过检查一下这个情况，但是在　象之间在互联网上进行的通信，人也可以成为其中的　访问云中的公司日程数据库时，他发现Ｍａｕｒｉｃｉｏ会更　一部分。在本例中，您的智能手机和功能手机变得像　接近于那个餐馆，因此他与她协作处理问题。这个例　传感器一样，向互联网传递您提供的有关您的周围环　子说明了移动云计算如何运作，显然这是一个新技　境和活动信息。针对物联网的另一术语是Ｗｅｂ　４．０，或　术，有望随着移动设备、云技术和使能技术的增长快　者说是Ｓｙｍｂｉｏｔｉｃ　Ｗｅｂ，一位作家将该现象描述为在线　速发展，但是云计算与其说是一种新技术，不如说是　功能到现实对象的迁移，比如运行您家里的Ｇｏｏｇｌｅ搜索　一种交付现有服务的新方式，特别是一种交付由智　来找到Ｔｖ远程遥控器，该现象的存在不能算是一种使　能手机和平板电脑等新技术需求驱动的现有服务的　能技术，因为它在驱动移动云计算技术。　新方式。　４　结束语　参考文献：　在目前和未来，移动云计算将在技术行业中扮演　非常重要的角色，最终会将ｌＴ作为服务提供给使用　…１雷万云．云计算：技术、平台及应用案例【Ｍ】．北京：清华大学Ｈ｛　者。在我们的虚构示例中，当该人收到花叶万年青　版社，２０１　１：１００—１０３．　ｔｗｅｅｔ之后，他检查了他的日程安排，这在他早上访问　【２】朱近之．智慧的云计算：物联网的平　Ｍ】．北京：电子Ｔ业出　过日程安排之后本地缓存在他的ｉＰｈｏｎｅ中，他看到　版社，２０１１：８８—９０．