精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● FreeBSD>>网络安全>>NAT>>NAT-2

主题:NAT-2
发信人: hahalee()
整理人: zhcharles(2002-01-30 15:35:53), 站内信件
【 以下文字转载自 TransNetwork 讨论区 】
【 原文由
 sun_zhang 所发表 】
  NAT有三种类型:静态NAT(staticNAT)、NAT池(pooledNAT)和端口NAT(

PAT)。其中静态NAT设置起来最为简单,内部网络中的每个主机都被永久映射成

外部网络中的某个合法的地址。而NAT池则是在外部网络中定义了一系列的合法地

址,采用动态分配的方法映射到内部网络。PAT则是把内部地址映射到外部网络的

一个IP地址的不同端口上。根据不同的需要,各种NAT方案都是有利有弊。


  ■使用NAT池


  使用NAT池,可以从未注册的地址空间中提供被外部访问的服务,也可以从内

部网络访问外部网络,而不需要重新配置内部网络中的每台机器的IP地址。例如

,建立在NT+IIS服务器上的内部试验子网192.168.0.0,其网络地址属于B类

保留地址。作为企业网的一个子网,其IP地址不分配给企业网上的设备而仅仅局

限在试验子网的设备上。为了使企业网能访问到这个内部网,在网络上增加一条

静态路径,使信息能回传给Cisco4700路由器。其中的路由器可以把内部网和企业

网连接起来,使之能相互访问。在内部网中不要使用RIP协议,因为使用RIP后,

内部网络相对外部来说变得不可见了。

  这样,本地信息可以相互访问了,但由于192.168.0.0属于保留地址,故

不能直接访问Internet。所以在路由器中设置一个NAT池,用来翻译来自内部网络

的IP包,把它的IP地址映射成地址池(pooledaddresses)中的合法IP地址。那么

,内部网可以访问Internet上的任何服务器,Internet上的任何主机也能通过TC

P或UDP访问到内部网。

  采用NAT池意味着可以在内部网中定义很多的内部用户,通过动态分配的办法

,共享很少的几个外部IP地址。而静态NAT则只能形成一一对应的固定映射方式。

该引起注意的是,NAT池中动态分配的外部IP地址全部被占用后,后续的NAT翻译

申请将会失败。庆幸的是,许多有NAT功能的路由器有超时配置功能。例如在上述

的Cisco4700中配置成开始15分钟后删除当前的NAT进程,为后续的NAT申请预留出

外部IP地址。通过试验表明,一般的外部连接不会很长,所以短的时间阈值也可

以接受。当然用户可以自行调节时间阈值,以满足各自的需求。

  NAT池提供很大灵活性的同时,也影响到网络原有的一些管理功能。例如,S

NMP管理站利用IP地址来跟踪设备的运行情况。但使用NAT之后,意味着那些被

翻译的地址对应的内部地址是变化的,今天可能对应一台工作站,明天就可能对

应一台服务器。这给SNMP管理带来了麻烦。一个可行的解决方案就是把划分给NA

T池的那部分地址在SNMP管理平台上标记出来,对于这些不响应管理信号的地址不

予报警,如同它们被关掉了一样。


  ■使用PAT


  PAT在远程访问产品中得到了大量的应用,特别是在远程拨号用户使用的设备

中。PAT可以把内部的TCP/IP映射到外部一个注册IP地址的多个端口上。PAT可以

支持同时连接64500个TCP/IP、UDP/IP,但实际可以支持的工作站个数会少一些

。因为许多Internet应用如HTTP,实际上由许多小的连接组成。

  在Internet中使用PAT时,所有不同的TCP和UDP信息流看起来仿佛都来源于同

一个IP地址。这个优点在小型办公室(SOHO)内非常实用,通过从ISP处申请的一

个IP地址,将多个连接通过PAT接入Internet。实际上,许多SOHO远程访问设备支

持基于PPP的动态IP地址。这样,ISP甚至不需要支持PAT,就可以做到多个内部I

P地址共用一个外部IP地址上Internet。虽然这样会导致信道的一定拥塞,但考虑

到节省的ISP上网费用和易管理的特点,用PAT还是很值得的。


--
※ 修改:.sun_zhang 于 Mar 25 21:27:34 修改本文.[FROM: 202.96.219.177]
※ 来源:.月光软件站 http://www.moon-soft.com.[FROM: 202.96.219.177]
--
※ 转载:.网易 BBS bbs.netease.com.[FROM: 202.100.219.30]

[关闭][返回]