网络地址转换技术原理探析

当 内部 网络与外部 网络通讯 时，需要配置ＮＡ Ｔ， 将 内部私有Ｉ地 址转换成外部合法Ｉ地 址。 内部地址 Ｐ Ｐ
翻 译 的整 个 过 程 如 图 １ 示 。 所
流量 ，为 了保证 网络服 务的畅通，必须多台计算机对
连接请求进行 负载均衡 ，同时也起 到了冗余备份的 目 的。网络地址转换技术的产生解决了上述问题 。
１２１ ８ ．，并 转发 数 据 报给 １２１８１ 。 ９ ． ．２ ６ １ ９ ． ．． ６ ２ （）９ ． ８１ 接 收 到应 答 包 ，并 继 续 保 持 会 话 。 ６１２１ ．． ６ ２
键 字 查 找ＮＡ Ｔ映射 表 ，根 据 找 到 的基 本 记 录 将 数
据 报 的 目 的 地 址 转 换 成 １ ２ １ ８ １２ 转 发 给 主 机 ９ ．６ ．．并
随着 因特 网的飞 速发 展 ， 因特 网上丰 富 的资 源
１１ ． 内部 地 址翻 译 （ｒ ｓ ｔ ｎ ｎｉｅ ｏ ａＡ ｄｅｓ Ｔａ ｌ ｉ ｓ ｃｌ ｄｒｓ１ ｎ ａｏ Ｉ ｄ Ｌ
吸引着越来越多 的用户接入 因特 网，但在快速 发展过
程 中却 出现 了几个 问题 ，阻碍 我们对 因特 网的正常使 用。随着因特 网的膨胀式发展，Ｉｖ 协议规定的３位Ｉ Ｐ４ ２ Ｐ 地址资源越来越 少 。因特网 中基于Ｉ地址 的恶意攻击 Ｐ 严重威胁着 因特 网用户 ，特 别是对外提供服务的 网络 服务器 的使用安全 。对 于网络服务器 来说 ，要接受数 量 巨大 的连接请 求，单台计算机不可能负载如此大 的
（） ２当路 由器（ Ａ 设备） Ｎ Ｔ 接收到以１２１８１ 为源地 ９ ． ．２ ６ ．
址 的第 一 个数 据 报 时 ， 引起 路 由器检 查ＮＡ 映射 表 ： Ｔ
的目的。ＮＡ 转换有３ Ｔ 种方式：静态方式（ｔｉＮ Ｔ、动 Ｓ ｔ Ａ） ａｃ
①如果配置有关于该地址的静态映射时 ，就执行 第三步 。
１ ２ １ ８ １２ ９ ．６ ． ．。
（ ６主机１ ２１ ８１ 接 收到应答包 ，并继续保持会 ９ ．６ ．． ２ 话 。第一步到第五步将一直重复，直到会话结束 。 当内部 网络 中某 台主机对外提供 网络服务 时，网 络管理员必须手动建立静态Ｎ Ｔ，以方便外部主机主 Ａ
动 访 问服 务器 。 １ ． ２内部 全 局 地 址 复 用 （ ｖ ｒ ａｉｇＩｓ ｅ ｏ ａ Ｏ ｅｌ ｄｎ ｉ ｂ ｌ ｏ ｎ ｄ Ｇｌ
Ａｄ ｒ ｓ） ｄｅｓ
第一步到第五步将一直重复 ，直到会话结束。 图２ 中，外部主机２ ２１４１３１ ０ ． ．３ ．以为是在跟 同一台 ９ 主机通信 ，实际上是分别与 内部 网络两台地址不 同的
主机 通信 ， 它 们 的 内部 本 地 地 址 分 别 为 １２１８１ ＊ ９ ．６ ．． ｎ ２
ｄ ｐ ｒｍｅ ｔ ｍｕ ｉｉ ａ ａ ｔ ｏ ｅ ａ ｔ ｎ ， ｎ ｃｐ ｌ ｒ ｃ ｍｍｉ ｅ ， ｅＣＰ Ｂｉ ｚ ｏ ｉ ， ｎ ｈ ｕ ２ ６ ０ ， ｉ ａ ｐ ｙ ｔ ｅ ｔ Ｃ， ｎ ｈ ｕ ｃｔ Ｂｉ ｚ ｏ ， ５ ６ ３ Ｃｈ ｎ ｔ ｈ ｙ
Ａｂｓｒｃ ： ｅ ａｔｃｅｔ ｏ ｔ ｏ ｍ ｆｔｘ ｓａ ｃｕ ｅ ｏ ｒｖｅ ｌｔ ｅｐ ｏ ｅ ｓｔａ ＡＴ ｅ ｃ ａｒｅ ｕｔｔｅｎｅｗｏ ｋ ａ ｒ ｓ ａ ｓａ ｉｎ ｆ ｒ ｔａ ｔ Ｔｈ ｒｉｌ ｏ ｋ ｆ ｒ ｏ ｔ ｎｄｐｉｔｒ ｓｔ ｅ ａ ｒ ｃ ｓ ｔ ｈｅ ｅ ｈ ｈ Ｎ ｄ ｖｉｅｃ ｒｉ ｓｏ ｔ ｒ ｄｄ ｅ ｓｔｎ ｌｔｏ ｏ ｈ ｒ ｓ ｅ ｉ ｃｄ ｔ ｒ ｍ ｔ ｎａｄ ｆｃ ｎ ｒ ｔ ｐｏｏｇ ａ ｓｏ ｅ ｏｒ ｐ ｃｆ ａａｇ ａ ｗｉ ａ ｉ ｏ ｏ ｃ ｅｅｔ ｌ ｙｍ ｐ ｆｎ ｔ ｋ． ｉ ｈ ｏ ｗ Ｋ ｅ ｗｏ ｄｓ ｎｅｗｏ ｋａ ｒ ｅ ｓｔａ ｌｔｏ ｏ ｅ ｌｐ ｉ ｇｎｅｗｏ ｋ ； ｅ ｈ ｃ ｌ ｒｎｃｐ ｅ ｙ ｒ ： ｔ ｒ ｄｄ ｓ ｎｓａｉ ｎ； ｖ ｒａ ｐ ｎ ｔ ｒ ｓ ｔｃ ｎｉａ ｉ ｉｌ ｒ ｐ
１ ＮＡ 技 术 原 理 Ｔ
网络地 址 转换（ ｅ ｏ Ａ ｄｅ ｒ ｓ ｔ ｎ Ａ ） Ｎ ｔ ｒ ｄｒｓＴａ ｌｉ ，Ｎ Ｔ是 ｗ ｋ ｓ ｎ ａｏ
一
图１内部地 址 翻译
当内部 网络中一 台主机访 问外部网络资源时 ，详 细过程描述如下 ：
种网络层技术 ，并具有扩展到传输层 的特性 。Ｎ Ｔ Ａ 设
： ： …
ｌ Ｄ ４１１１＿ ２１ ．４．卜一 ２ ９
ｋ水地： Ｉ全地： ＾址ｊ 郴地址 口部局址 口 睑 ； ｌ 港内 螭 ☆ 地 ｉ Ｉ Ｉ 口 ｄ ： ２１１ｌＪ ２ １
ｌ＆ｌ＆１２ｌ ９ ６ ． ： 】 ｌ １ １１ ４ ＿
图２内部全局地址复用 （） Ｉ 内部 主 机 Ｉ ２ Ｉ ８ １２ ９ ．６ ．． 发起 一个 到外 部 主机 ２ ２１４１ ３ 的连接 。 ０． ． ． ９ ３１ （） ２ 当路 由器接收到 以１２１ ８１ 为源地址 的第一 ９ ．６ ．． ２
摘 要 ：通过 具体 的 网络 拓扑 结构 图，展现 了ＮＡ 设备对 特 定数据报 进行 网络地 址转 换处理 的全过 程 。 Ｔ 关键词：网络地址转换 ；重叠 网络 ；技术原理
Ａｎ ａ ｌ ｉ ｆｔ ｅｐ ｉ ｃ ｐ ｅ ｏ ｔ ｒ ｄ ｒ ｓ ｒ ｎｓａｉ ｎ ｔｃ ｎ ｌ ｇ ｎａｙｓｓｏ ｒｎ ｉ ｌ ｆ ｗｏ ｋ ａ ｄ ｅ ｓｔａ ｌ ｔｏ ｅ ｈ ｏ ｏ ｙ ｈ ｎｅ
Ｓ ＳＮ１ ７ ． ４ ８ ６２１ ３
ＣＮ１ ４９ ４ １ １ ９ ， ＿
中国 砚代敷唷 各 装
２ １期 ０第３３ 总 第期 １ ５ １ ２ 年
网络地址转换技术原理探析
姜贵平 张 松 杨传栋 王 鲁
１ ． 山东农 业大学 山东泰安 ２ １１ ＿ ７０８２中共滨州 市委 宣传部 互联网信 息研 究 中心 山东滨州 ２６０ ５６３
收稿 日期 ：２ １－４ １ 稿件编号 ：ｌ０ １９ ０ １０ ．９ １４ ０ 作者简介 ：姜贵平 ，本科 ，实验师 。
部全局地址 ，替换数据报源地址 ，经过转换后，数 据 报的源地址变为２２１４ ４ ．，然后转发该数据报。 ０． ． １ ９１ １ ２ １年 １ 月 ０ ２ １
３２ Байду номын сангаас
载分 流 的 目的 。
－、 ／ １ ２
— —
在 内部全局地址 复用操作 中，Ｎ Ｔ Ａ 设备使用 “ 内 部全局地址 ＋Ｔ ＰＵ Ｐ 口号 ”的形式来区分不同的 Ｃ ／Ｄ 端 内部主机 。这也是所谓 的 “ 口地 址转换（Ａ 端 Ｐ Ｔ，Ｐ ｒ ｏｔ
Ａ ｄｅｓ ｒ ｓ ｔ ｎ ”技 术 。 ｄ ｓ ａ ｌ ｉ ） ｒ Ｔ ｎ ａｏ
２ ２ １ ４ １ １１ 数 据 报 时 ，将 以 内 部 全 局 地 址 为 关 ０ ．９ ．４ ．的
（） ４外部主机２ ２１４１３１ ０． ． ． ９ ３ 接收到数据报后 ，将 向
（） ５ 当路 由器 接 收到 内部 全局地 址 的数 据报 时 ，
将 以 内部全 局地址２ ２１４１ １１ ０ ．９ ． ．及其端 口号、外部全 ４ 局地址 及其 端 口号为关 键字 查找ＮＡ 映射表 ，根 据 Ｔ ＮＡ 映射表 中的扩展记录将数据报 的 目的地址转换成 Ｔ
态方式（ ｏ ｄ Ａ ） Ｐ ｌ Ｎ Ｔ￣端 口方式（ｏｔ Ａ ） ｏｅ Ｐ ｒＮ Ｔ 。
网络 地址 转换技术 原理可 以通 过下面４ 个过 程展
现 出来 。
② 如果 没有静 态 映射 ，就 建立 动态 映射 ，路 由 器就从 内部全局地址池 中选择一个有效 的内部全局地
址 ，并在Ｎ Ｔ Ａ 映射表 中创建ＮＡ 转换记录 。这种记录 Ｔ 叫做基本记录 。 （） 由器用１２１８ ． ３路 ９ ． ．２ ６ １ 对应的Ｎ Ｔ Ａ 转换记录中的内
（） １ 内部 主机 ｌ ２ １ ８ Ｉ２ 起 一个 到 外 部主 机 ９ ．６ ．．发
２ ２１４１３１ ０ ． ． ．的连 接 。 ９ ３
备通过动态改变通过它的数据报的源 地址和（ 目的Ｉ 或） Ｉ ＇
地址，将 内部 网络中使用的私有Ｉ地址和在 因特 网上使 Ｐ
用 的公有 Ｉ地 址进 行 转 换 ，达 到将 内部 网络接 入 因特 网 Ｐ
个 数据 报 时 ， 引起 路 由器 检 查Ｎ Ｔ Ａ 映射 表 ：
图３Ｔ Ｐ负载 重分 配 Ｃ
① 如 果 ＮＡＴ没 有 转 换 记 录 ， 路 由 器 就 为
１２１８１ 作地址转换，并创建一条转换记录 。 ９ ． ．． ６ ２
图３ ，实际提供Ｔ Ｐ 中 Ｃ 服务的主机有两 台，地址分 别为 １２１ ８１ ＊ １ ２１ ８１３ ９ ． ．． Ｎ ９ ．６ ．．，对外公布 了一个虚拟 ６ ２ 主机地址２ ２１４１ １１ ０ ． ． ．，外部 网络通过虚拟主机地址 ９ ４ ２ ２１４１ １ 访问Ｔ Ｐ ０． ． ． ９ ４ １ Ｃ 服务 。以下为ＮＡ 设备实现Ｔ Ｐ Ｔ Ｃ 负载重分配过程的详细描述 ： （） １ 外部主机２ ２１４１３１ ０ ． ． ．向虚拟主机２ ２１４１ １ ９ ３ ０． ． ． ９ ４ １ 发起Ｆ Ｐ Ｔ 连接服务 。 （） 由器 （ Ａ 设备） ２路 Ｎ Ｔ 接收￣ Ｆ Ｐ Ｊ Ｉ Ｔ 连接请 求包 ，建 立一个ＮＡ 转换记录，为 内部全局地址２ ２１４１ １ Ｔ ０． ． ． ９ ４ １
２ １ 年第２ 期 ０ １ ３ 总第１ ５ ３ 期
中 砚代 蒙 国 孝 各
２ ２１４１ １ 发送 响应 包 。 ０． ． ． ９ ４ １
ＳＮ ４２４ Ｃ１７１８ Ｓ１９９４／ Ｎ６ －Ｔ ３
－
（１ ４外部主机２ ２１４１３１ ０ ． ． ．接收到数据报后 ，将 向 ９ ３ 主机２ ２１４１ １ 发送 响应包 。 ０． ． ． ９ ４ １ ’ （） ５ 当路 由器 接 收 到 目的地 址 为 内 部全 局 地 址
内部全 局地址 复用 的整 个过程如 图２ 示 。详细 所
过 程 描 述 如下 ：
工Ｌ ＝
＿、 ／ Ｊ
＿＿ ２０ ． ９ ４ ２１４１１１
Ｔ Ｐ Ｃ 负载重分配 的整个过程如 图３ 所示 。
ｎ
’ 一
、
～
… …
ｆｌ － ＿ ＿
＿ ∞
ｊ
＼ ／ Ｌ
ｌ２ １ ８ １２ ＿ ９ ６ ． ． 卜一
１ ２．６８ １３。 ９ １ ．．
１ Ｃ 负载重分配（ Ｃ ｏｄ ｉｒ ｕｉｇ －Ｔ Ｐ ３ Ｔ ＰＬ ａ ｓ ｉ ｔ ） Ｄ ｔｂ ｎ Ｎ Ｔ Ａ 设备创建 一台虚拟主机对外提供Ｔ Ｐ￣务 ， Ｃ ］ 该虚拟主机（ 分配有 内部全局地 址） 对应 内部多台实 际 的主机 ，当外部主机 向虚拟主机通讯 时，Ｎ Ｔ Ａ 设备接 受外 部主机 的连接请求 ，并依据Ｎ Ｔ Ａ 映射表建立与 内 部主机 的连接 ，把来 自外部 网络 的数据报的 目的地址 （ 内部全局 地址） 照轮 询的原则转换成不 同的 内部本 按 地地 址，将Ｔ Ｐ Ｃ 请求 定位 到不 同的内部主机 ，达到负
Ｊａ ｇＧｕｉｉ ｇ ， ａ ｇＳｏ ｇ ， ｎ ｕ ｎｄ ｎｇ ， ａ ｉｎ ｐ ｎ Ｚｈ ｎ ｎ Ｙａ ｇ Ｃｈ ａ ｏ Ｗ ｎｇＬｕ
１Ｓ ａ ｄ ｎ ｇ ｉｕ ｔ ｒ ｌ ｎ ｖ ｒ ｉ ， ａａ ， ７ ０ ８ Ｃｈ ｎ ． ｈ ｔ ｍ ｅ ｆ ｒ ａｉ ｎ ｒ ｓ ａ ｃ ｅ ｔ ｔ ｅｐ ｂ ｉ ｆ ｒ ａ ｉ ｎ ． ｈ ｎ ｏ ｇ ａ ｒｃ ｌ ａ ｉ ｅ ｓ ｙ Ｔ ｉｎ ２ １ １ ， ｉ ａ ２ Ｔ ｅｉ ｅ ｔ ｎ ｏ ｍ ｔ ｅ ｅ ｒ ｈ ｃ ｎ ｒ ｈ ｕ ｌ ｉ ｏ ｕ ｕ ｔ ｎ ｉ ｏ ｅ， ｃｎ ｍ ｔ ｏ