第10章 安全技术

第10章 安全技术
10.1 NAT 协议及其应用
本节主要介绍NAT(network address translate 网络地址转换)的原理及实现。

本节主要内容：
z NAT 技术相关术语介绍 z NAT 技术介绍
z 典型应用
10.1.1 NAT 技术相关术语介绍
内部本地地址（IL ，Inside local ）——分配给内部设备的地址。

这些地址不会对外公布。

内部全局地址（IG ，Inside global ）——一通过这个地址，外部可以知道内部设备。

外部全局地址（OG ，Outside global ）——分配给外部设备的地址。

这些地址不会向内部公布。

外部本地地址（OL ，Outside local ）——通过这个地址，内部设备可以知道外部设备。

地址池——可用地址的地址范围定义。

在定义一个地址池以后，当内部网络与外部通信时，系统将从地址池中选择一个可用地址进行地址的转换；地址池的定义包括地址范围、掩码等定义。

静态转换——在内部本地地址与内部全局地址之间建立起一个一一对应的关系，比如，当需要给一台内部主机设定一个唯一的全局地址时，可使用静态转换。

动态转换——动态转换一般在内部本地地址与全局地址之间建立一个映射，地址的映射关系并非事先就确定好的，在需要建立一个转换时在地址池中选择一个可用地址建立转换关系。

重载——对于地址池中的地址，又分为可重载与不可重载两种情形。

重载允许同时将多个本地地址映射到同一个全局地址，而通过所使用的端口来区分。

负载均衡——当存在多台主机同时承担同一件工作时，（如对于许多大的站点，可能存在多台Web
Server 或者FTP 服务器、邮件服务器等），存在一个任务的均衡协调问题，以求各主机上分担的负载尽量平衡。

NAT 可以从某种程度上达到这一目的。

10.1.2 NAT 技术介绍
Internet 今天面临的最大的问题之一就是地址不够用的问题。

而NAT 可以通过一定的方式缓解这方面的压力，即：允许一个组织重用全局的、唯一的、注册过的I P 地址（在其网络的另外一部分中）。

NAT 使一个组织在多个域内重用注册过的IP 地址，只要离开该域以前将那些重用地址转换为全局的唯一注册IP 地址即可。

下图显示了基本的NAT 工作原理。

PC A 10.1.1.1
10.2.2.2
两个网络都用A 类地址10.0.0.0作为它们的内部地址。

每一组织都分配到一个Internet 注册过的唯一的C 类地址，以在通信量想从专用内部网到外部公用网时使用。

上图中，主机A （10.1.1.1）想向B （10.2.2.2）发送数据时，主机A 用主机B 的全局唯一地址196.1.1.1作为报文的目的地址。

当报文到达路由器A 时，源地址10.1.1.1转换为全局唯一地址195.1.1.1。

当报文到达路由器B 时，目的地址转换为没有注册的IP 地址10.2.2.2。

相同道理，返回的报文也作相似的转换。

这些转换不需要对内部网络的主机进行附加配置。

对主机A 来说，196.1.1.1是网络B 上主机B （10.2.2.2）的IP 址。

对B 来说，195.1.1.1是网络A 上的主机A （10.1.1.1）的IP 地址。

网络地址转换
网络地址转换（NAT ） 主要用来完成局部地址与全局地址之间的转换。

NAT 解决了Internet 地址耗竭问题，企业内部网只需少量的全局地址就可达到与internet 的互连。

NAT 还解决了TCP 负载分配的问题，通过TCP 负载分配，可以提高系统整体性能。

同时，在网络升级整合、服务器负载均衡以及生成“虚拟服务器”方面，NAT 也是一个很有用的工具。

NAT 的一个显著优点是，配置NAT 只需改变那些将配置NAT 的少数路由器，其他主机或路由器不需
修改。

在以下情况下可以使用NAT ：
z 你想接入Internet ，但你的主机并不都具有全球唯一的IP 地址。

NAT 允许那些使用未注册的IP
地址的专用内部网接入Internet 。

NAT 是在一个内部网和一个Internet 之类的外部网边缘的路由器上配置的。

在把分组发送给外部网络之前，NAT 把内部本地地址转换成全球唯一的IP 地址。

z 你必须改变你的内部地址，而改变地址会带来很大的工作量，你可以不改变它们，而使用NAT
来转换它们。

z 你想进行基本的TCP 信息流负载分配。

你可以通过使用TCP 负载分配特性把单个全局IP 地址映
射成多个本地IP 地址。

EASY IP
EASY IP 特性是把网络地址转换（NAT ）和PPP/PCP 结合起来，使路由器能从中心服务器自动协商它的WAN 接口的已注册的IP 地址，并使所有的远程主机能使用这个单一注册的IP 地址访问全球性的Internet 。

由于Easy IP 使用软件中已有的NAT 动态端口转换功能，所以在远程LAN 上的IP 地址在Internet 上是不可见的。

实际上EasyIP 是NAT 的一种简单形式,它的地址池中只有一个合法的Internet 地址,通过访问列表和NAT 功能把内部网的IP 地址映射到地址池中的这个唯一的IP 地址,从而实现既能访问Internet ，又能实现内部网的隔离。

使用Easy IP 的益处：
z 通过动态分配IP 地址减少Internet 访问成本； z 简化路由器配置和IP 地址管理； z 为远程工作站分配动态IP 地址； z 远程LAN IP 地址保密。

10.1.3 典型应用
本例将演示NAT 将一没注册的、内部IP 地址转换为全局的、唯一的外部地址。

如下图所示，路由器A 将把内部源地址10.1.1.1转换为全局唯一的地址195.1.1.1。

PC A 10.1.1.1
152.1.1.2。