86 NAT 理论

01 NAT 概述

全局NAT的优先级高于接口NAT。若同时存在全局NAT策略和接口NAT的配置，当流量与全局NAT策略中任意一条过滤规则匹配，那么接口NAT中的源地址转换和目的转换的配置均不生效。建议不要同时配置接口NAT和全局NAT。

设备上经过NAT转换的报文不会再进行AFT转换。

使用NAT功能进行地址转换时，NAT模块会发布公网IP地址的主机路由。如果公网IP地址是一段地址范围，则NAT模块会对公网IP地址范围划分网段，划分网段时使用的掩码长度为8、16、24、26、28、30。

例如，公网IP地址范围为122.90.12.128～122.90.12.135，则NAT模块发布的主机路由的目的地址和掩码长度为122.90.12.128/30和122.90.12.132/30。

02 NAT 概念

·              NAT设备：配置了NAT功能的连接内部网络(私网地址)和外部网络(公网地址)的边缘设备。

·              NAT接口：NAT设备上应用了NAT相关配置的接口。

·              NAT规则：用于进行地址转换的NAT配置称为NAT规则。NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

·              NAT地址：用于进行地址转换的公网IP地址，与外部网络路由可达，可静态指定或动态分配。

·              NAT表项：NAT设备上用于记录网络地址转换映射关系的表项。关于NAT表项的详细介绍请参见“1.6  NAT表项”。

·              Easy IP功能：NAT转换时直接使用设备上接口的IP地址作为NAT地址。设备上接口的地址可静态指定或通过DHCP或PPPoE等协议动态获取。

·              全局NAT：NAT规则的应用范围为全局。对于全局NAT，所有经过NAT设备的流量都会进行匹配，并对匹配NAT规则的流量进行地址转换。

·              接口NAT：NAT规则的应用范围为接口。对于接口NAT，只有经过应用NAT规则的接口的流量才会进行匹配，并对匹配NAT规则的流量进行地址转换。

注意:(全局NAT优先级大于接口NAT)

03 NAT 工作原理

如图1-1所示，一台NAT设备连接内网和外网，当有报文经过NAT设备时，NAT的基本工作过程如下：

(1)      当内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备时，NAT设备查看报文的IP头内容，发现该报文是发往外网的，则将其源IP地址字段的内网地址192.168.1.3转换成一个可路由的外网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备上建立表项记录这一映射关系。

(2)      外网服务器给内网用户发送的应答报文到达NAT设备后，NAT设备使用报文信息匹配建立的表项，然后查找匹配到的表项记录，用内网私有地址192.168.1.3替换初始的目的IP地址20.1.1.1。

上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道存在192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。

04 NAT转换控制

在实际应用中，如果用户希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问；或者希望某些外部网络的主机可以访问内部网络，而某些主机不允许访问。即NAT设备只对符合要求的报文进行地址转换。

NAT设备可以利用ACL（Access Control List，访问控制列表）来对地址转换的使用范围进行控制，通过定义ACL规则，并将其与NAT配置相关联，实现只对匹配指定的ACL permit规则的报文才进行地址转换的目的。而且，NAT仅使用规则中定义的源IP地址、源端口号、目的IP地址、目的端口号、传输层协议类型和VPN实例这几个元素进行报文匹配，忽略其它元素。

05 NAT 转换方式

①静态IP地址转换

静态地址转换是指外部网络和内部网络之间的地址映射关系由配置确定，该方式适用于内部网络与外部网络之间存在固定访问需求的组网环境。静态地址转换支持双向互访：内网用户可以主动访问外网，外网用户也可以主动访问内网。

②源IP地址转换

源IP地址转换方式是一种动态地址转换方式，动态地址转换是指内部网络和外部网络之间的地址映射关系在建立连接的时候动态产生。该方式通常适用于内部网络有大量用户需要访问外部网络的组网环境。

源IP地址转换包括NO-PAT模式的地址转换、基于端口的PAT模式的地址转换和基于端口块的PAT模式的地址转换。

1. NO-PAT模式

NO-PAT（Not Port Address Translation）模式下，一个外网地址同一时间只能分配给一个内网地址进行地址转换，不能同时被多个内网地址共用。当使用某外网地址的内网用户停止访问外网时，NAT会将其占用的外网地址释放并分配给其他内网用户使用。

该模式下，NAT设备只对报文的IP地址进行NAT转换，同时会建立一个NO-PAT表项用于记录IP地址映射关系，并可支持所有IP协议的报文。

2. 基于端口的PAT模式

PAT（Port Address Translation）模式下，一个NAT地址可以同时分配给多个内网地址共用。该模式下，NAT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMP（Internet Control Message Protocol，互联网控制消息协议）查询报文。

图1-2 PAT基本原理示意图

如图1-2所示，三个带有内网地址的报文到达NAT设备，其中报文1和报文2来自同一个内网地址但有不同的源端口号，报文1和报文3来自不同的内网地址但具有相同的源端口号。通过PAT映射，三个报文的源IP地址都被转换为同一个外网地址，但每个报文都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

采用PAT方式可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。

目前，PAT支持两种不同的地址转换模式：

·              Endpoint-Independent Mapping（不关心对端地址和端口转换模式）：只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过PAT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，该映射关系会被记录下来并生成一个EIM表项；并且NAT设备允许所有外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好的支持位于不同NAT网关之后的主机进行互访。

·              Address and Port-Dependent Mapping（关心对端地址和端口转换模式）：对于来自相同源地址和源端口号的报文，相同的源地址和源端口号并不要求被转换为相同的外部地址和端口号，若其目的地址或目的端口号不同，通过PAT映射后，相同的源地址和源端口号通常会被转换成不同的外部地址和端口号。与Endpoint-Independent Mapping模式不同的是，NAT设备只允许这些目的地址对应的外部网络的主机可以通过该转换后的地址和端口来访问这些内部网络的主机。这种模式安全性好，但由于同一个内网主机地址转换后的外部地址不唯一，因此不便于位于不同NAT网关之后的主机使用内网主机转换后的地址进行互访。

3. 基于端口块的PAT模式

基于端口块的PAT模式是一种基于端口范围的PAT动态地址转换，即一个私网IP地址在一个时间段内独占一个公网IP地址的某个端口块。例如：假设私网IP地址10.1.1.1独占公网IP地址202.1.1.1的一个端口块10001～10256，则该私网IP向公网发起的所有连接，源IP地址都将被转换为同一个公网IP地址202.1.1.1，而源端口将被转换为端口块10001～10256之内的一个端口。

基于端口块的PAT模式包括端口块方式包括静态映射和动态映射两种，主要应用在NAT444中。

·              端口块静态映射

端口块静态映射是指，NAT网关设备根据配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，并创建静态端口块表项。当私网IP地址成员中的某个私网IP地址向公网发起新建连接时，根据私网IP地址匹配静态端口块表项，获取对应的公网IP地址和端口块，并从端口块中动态为其分配一个公网端口，对报文进行地址转换。

配置端口块静态映射时，需要创建一个端口块组，并在端口块组中配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小。假设端口块组中每个公网IP地址的可用端口块数为m（即端口范围除以端口块大小），则端口块静态映射的算法如下：按照从小到大的顺序对私网IP地址成员中的所有IP地址进行排列，最小的m个私网IP地址对应最小的公网IP地址及其端口块，端口块按照起始端口号从小到大的顺序分配；次小的m个私网IP地址对应次小的公网IP地址及其端口块，端口块的分配顺序相同；依次类推。

·              端口块动态映射

当内网用户向公网发起连接时，首先根据动态地址转换中的ACL规则进行过滤，决定是否需要进行源地址转换。对于需要进行源地址转换的连接，当该连接为该用户的首次连接时，从所匹配的动态地址转换配置引用的NAT地址组中获取一个公网IP地址，从该公网IP地址中动态分配一个端口块，创建动态端口块表项，然后从端口块表项中动态分配一个公网端口，进行地址转换。对该用户后续连接的转换，均从生成的动态端口块表项中分配公网端口。当该用户的所有连接都断开时，回收为其分配的端口块资源，删除相应的动态端口块表项。

端口块动态映射支持增量端口块分配。当为某私网IP地址分配的端口块资源耗尽（端口块中的所有端口都被使用）时，如果该私网IP地址向公网发起新的连接，则无法再从端口块中获取端口，无法进行地址转换。此时，如果预先在相应的NAT地址组中配置了增量端口块数，则可以为该私网IP地址分配额外的端口块，进行地址转换。

③目的IP地址转换

在实际应用中，内网中的服务器可能需要对外部网络提供一些服务，例如给外部网络提供Web服务，或是FTP服务。这种情况下，通过定义内部服务器对外提供服务使用的外部IP地址＋端口与内部服务器在内网使用的地址＋端口的映射关系，实现NAT设备允许外网用户通过指定的NAT地址和端口访问这些内部服务器。

如图1-3所示，外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备将报文的目的地址与接口上的NAT内部服务器配置进行匹配，并将匹配上的访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成外网IP地址和端口号。

图1-3 内部服务器基本原理示意图

06 NAT 表

6.1  NAT会话表项

NAT设备处理一个连接的首报文时便确定了相应的地址转换关系，并同时创建会话表项，该会话表项中添加了NAT扩展信息（例如接口信息、转换方式）。会话表项中记录了首报文的地址转换信息。这类经过NAT处理的会话表项，也称为NAT会话表项。

当该连接的后续报文经过NAT设备时，将与NAT会话表项进行匹配，NAT设备从匹配到的会话表项中得到首报文的转换方式，并根据首报文的转换方式对后续报文进行处理：

·              后续报文方向与首报文相同时，源和目的的转换方式与首报文相同。

·              后续报文方向与首报文相反时，转换方式与首报文相反。即，如果首报文转换了源地址，则后续报文需要转换目的地址；如果首报文转换了目的地址，则后续报文需要转换源地址。

NAT会话表项的更新和老化由会话管理模块维护，关于会话管理的相关介绍请参见“安全配置指导”中的“会话管理”。

6.2  EIM表项

如果NAT设备上开启了Endpoint-Independent Mapping模式，则在PAT方式的动态地址转换过程中，会首先创建一个NAT会话表项，然后创建一个用于记录地址和端口的转换关系（内网地址和端口<-->NAT地址和端口）的EIM三元组表项，该表项有以下两个作用：

·              保证后续来自相同源地址和源端口的新建连接与首次连接使用相同的转换关系。

·              允许外网主机向NAT地址和端口发起的新建连接根据EIM表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

6.3  NO-PAT表项

在NO-PAT方式进行源地址的动态转换过程中，NAT设备首先创建一个NAT会话表项，然后建立一个NO-PAT表项用于记录该转换关系（内网地址<-->NAT地址）。除此之外，在NAT设备进行ALG处理时，也会触发创建NO-PAT表项。

NO-PAT表项有以下两个作用：

·              保证后续来自相同源地址的新建连接与首次连接使用相同的转换关系。

·              允许满足指定条件的主机向NAT地址发起的新建连接根据NO-PAT表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

6.4  端口块表项

端口块表项记录1个用户在网关转换前的私网IP地址、转换后对应的公网IP地址及其端口块。端口块表项分为静态端口块表项和动态端口块表项。

7 NAT&VPN实例

支持多VPN实例的NAT允许VPN实例内的用户访问外部网络，同时允许分属于不同VPN实例的用户互访。例如，当某VPN实例内的用户经过NAT设备访问外部网络时，NAT将内部网络主机的IP地址和端口替换为NAT地址和端口，同时还记录了用户的VPN实例信息（如VPN实例名称）。外部网络的回应报文到达NAT设备时，NAT将外部网络地址和端口还原为内部网络主机的IP地址和端口，同时可得知该回应报文应该转发给哪一个VPN实例内的用户。另外，NAT还可利用外部网络地址所携带的VPN实例信息，支持多个VPN实例之间的互访。

同时，NAT内部服务器也支持多VPN实例，这给外部网络提供了访问VPN实例内服务器的机会。例如，VPN1内提供Web服务的主机地址是10.110.1.1，可以使用202.110.10.20作为Web服务器的外部地址，Internet的用户使用202.110.10.20的地址就可以访问到VPN1提供的Web服务。目前，仅全局NAT支持多VPN实例。

8 NAT hairpin

NAT hairpin功能用于满足位于内网侧的用户之间或内网侧的用户与服务器之间通过NAT地址进行访问的需求，通过对报文同时进行源地址和目的地址的转换来实现。它支持两种组网模式：

·              P2P：位于内网侧的用户之间通过动态分配的NAT地址互访。内网各主机首先向外网服务器注册自己的内网地址信息，该地址信息为外网侧出方向地址转换的NAT地址，然后内网主机之间通过使用彼此向外网服务器注册的外网地址进行互访。

·              C/S：位于内网侧的用户使用NAT地址访问内网服务器。

9  NAT&ALG

ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的解析和处理。通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析和处理。然而对于一些应用层协议，它们的报文的数据载荷中可能包含IP地址或端口信息，这些载荷信息也必须进行有效的转换，否则可能导致功能不正常。

例如，FTP（File Transfer Protocol，文件传输协议）应用由FTP客户端与FTP服务器之间建立的数据连接和控制连接共同实现，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置完成载荷信息的转换，以保证后续数据连接的正确建立。

10 NAT&DNS

一般情况下，DNS（Domain Name System，域名系统）服务器和访问私网服务器的用户都在公网，通过在NAT设备上配置内部服务器，可以将公网地址、端口等信息映射到私网内的服务器上，使得公网用户可以通过内部服务器的域名或公网地址来访问内部服务器。但是，如图1-4所示，如果DNS服务器在公网，私网用户希望通过域名来访问私网的Web服务器，则会由于DNS服务器向私网用户发送的响应报文中包含的是私网服务器的公网地址，而导致收到响应报文的私网用户无法利用域名访问私网服务器。通过在设备上配置DNS mapping可以解决该问题。

NAT DNS mapping功能是指，通过配置“域名+公网IP地址+公网端口号+协议类型”的映射表，建立内部服务器域名与内部服务器公网信息的对应关系。NAT设备检查接收到的DNS响应报文，根据报文中的域名查找用户配置的DNS mapping映射表，并根据表项内的“公网地址+公网端口+协议类型”信息查找内部服务器地址映射表中该信息对应的私网地址，替换DNS查询结果中的公网地址。这样，私网用户收到的DNS响应报文中就包含了要访问的内部服务器的私网地址，也就能够使用内部服务器域名访问同一私网内的内部服务器。

11   NAT44

NAT444是运营商网络部署NAT的整体解决方案，它基于NAT444网关，结合AAA服务器、日志服务器等配套系统，提供运营商级的NAT，并支持用户溯源等功能。在众多IPv4向IPv6网络过渡的技术中，NAT444仅需在运营商侧引入二次NAT，对终端和应用服务器端的更改较小，并且NAT444通过端口块分配方式解决用户溯源等问题，因此成为了运营商的首选IPv6过渡方案。

NAT444解决方案分为集中部署和分布部署两种。

11.2  NAT444集中部署

通过在CR设备上安装处理NAT业务的slot或者旁挂NAT444设备来实现NAT444。如图1-5所示，用户访问外部网络时，CPE设备上进行第一次NAT转换，然后在BRAS上完成AAA认证和私网地址的分配，认证通过后，用户发起访问外网的报文会在NAT444网关上进行NAT444转换（第二次NAT转换）。

图1-5 NAT444集中部署组网图

11.3  NAT444分布部署

通过在BRAS设备上安装处理NAT业务的slot实现NAT444，此种部署方式需要配置BRAS联动功能。如图1-6所示。配置NAT444网关与BRAS联动（通过在认证ISP域中指定具体的用户地址类型），用户通过AAA认证并分配得到私网地址之后，NAT444网关会立即为该用户分配公网地址以及端口块，并将用户的私网IP地址、分配的公网地址及该端口块的映射关系通知给BRAS（如果NAT444网关上可分配的公网资源已耗尽，BRAS会强制用户下线，也不会对用户进行计费）。BRAS记录该地址映射关系，并将这个映射关系上报给AAA服务器。之后，该用户访问外部网络时直接使用NAT444网关已经分配的公网地址和端口块。通过此联动功能，AAA服务器能够获得并统一维护所有用户的地址映射关系，提供更便捷的用户溯源服务。

目前，仅支持对PPP用户的业务与NAT444网关联动。

图1-6 NAT444分布式部署组网图

12 地址重叠NAT

分属不同VPN的内部网络主机使用了相同的地址空间，为了实现不同VPN中地址重叠的内网主机互访，需要配置静态NAT，对同一个方向的同一条流的数据报文同时进行源IP地址转换和目的IP地址转换。

如图1-7所示，VPN 1和VPN 2中的内网用户地址均为192.168.1.1。配置静态NAT，将VPN 1中Host A的地址在VPN 2中转换为172.16.1.1，将VPN 2中Host B的地址在VPN 1中转换为172.16.2.1。当静态NAT生效后，Host A使用172.16.2.1能够访问Host B，Host B使用172.16.1.1能够访问Host A。

图1-7 地址中叠的两个VPN之间互访

1.12.2  内网用户主动访问与之地址重叠的外网服务器

当内部网络主机使用外网注册地址或者合法的外网地址访问外部网络时，内网主机的IP地址和外网主机的IP地址可能会发生重叠。为了实现内网主机能够成功访问与之地址重叠的外部服务器，需要配置NAT ALG＋动态NAT。

如图1-8所示，内网Host通过域名访问外网Web服务器，Host和Web服务器的IP地址均为192.168.1.1。

(1)      内网Host首先向外网的DNS服务器发起DNS查询请求。

(2)      DNS服务器发送的DNS应答报文中，Web服务器的域名对应的IP地址为192.168.1.1。DNS应答报文经过NAT设备时，进行DNS的NAT ALG处理，将DNS应答报文中域名对应的IP地址192.168.1.1转换为10.1.1.1（该地址为临时分配的NAT地址）。NAT设备将ALG处理后的DNS应答报文发送给内网Host。

(3)      Host访问Web服务器的报文中，源IP地址为192.168.1.1，目的IP地址为10.1.1.1。报文经过NAT设备时，NAT设备根据动态NAT配置将源地址192.168.1.1转换为20.1.1.1；NAT设备检测到目的地址10.1.1.1为临时分配的NAT地址，根据步骤(2)中的转换关系，将10.1.1.1转换为192.168.1.1。

图1-8 内网用户主动访问与之地址重叠的外网服务器