公務(wù)員期刊網(wǎng) 論文中心 正文

典型NAT實驗環(huán)境設(shè)計研究

前言:想要寫出一篇引人入勝的文章?我們特意為您整理了典型NAT實驗環(huán)境設(shè)計研究范文,希望能給你帶來靈感和參考,敬請閱讀。

典型NAT實驗環(huán)境設(shè)計研究

摘要:作為一種在企業(yè)網(wǎng)絡(luò)邊界常用的技術(shù),NAT為企業(yè)網(wǎng)絡(luò)在合法IP地址有限的情況下連接互聯(lián)網(wǎng)以及對外服務(wù)提供了技術(shù)上的實現(xiàn)途徑。給出了一種同時存在靜態(tài)NAT和EasyIP的典型實驗環(huán)境,并對其進行配置和測試,分析了其兩次地址轉(zhuǎn)換的過程。對于理解和掌握nat的工作原理、在企業(yè)網(wǎng)絡(luò)中應(yīng)用NAT技術(shù)提供了參考。

關(guān)鍵詞:網(wǎng)絡(luò);網(wǎng)絡(luò)地址轉(zhuǎn)換;IP地址;EasyIP轉(zhuǎn)換;端口

1NAT的基本原理

網(wǎng)絡(luò)地址轉(zhuǎn)換(NetworkAddressTranslation,NAT)技術(shù)最初是作為緩解IPv4地址空間緊張的一種解決方案引入的,其主要作用就是通過將私有IP地址轉(zhuǎn)換為合法公有IP地址,使私有網(wǎng)絡(luò)中的主機可以通過共享少量的公有IP地址訪問Internet。另外,NAT技術(shù)在客觀上屏蔽了企業(yè)內(nèi)部網(wǎng)絡(luò)的真實IP地址,一定程度上保護了內(nèi)部網(wǎng)絡(luò)不受到外部網(wǎng)絡(luò)的主動攻擊。例如,在使用動態(tài)NAT技術(shù)進行地址轉(zhuǎn)換時,內(nèi)部網(wǎng)絡(luò)主機可以訪問外部網(wǎng)絡(luò)主機,但外部網(wǎng)絡(luò)主機將無法主動訪問內(nèi)部網(wǎng)絡(luò)中的主機,因此也提高了企業(yè)內(nèi)部網(wǎng)絡(luò)的安全性。網(wǎng)絡(luò)地址轉(zhuǎn)換一般在網(wǎng)絡(luò)的邊界由網(wǎng)絡(luò)地址轉(zhuǎn)換設(shè)備,例如配置了地址轉(zhuǎn)換功能的路由器或防火墻來實現(xiàn)。網(wǎng)絡(luò)地址轉(zhuǎn)換設(shè)備使用地址轉(zhuǎn)換表保存私有IP地址和公有IP地址的映射關(guān)系,并根據(jù)保存的映射關(guān)系對IP地址進行轉(zhuǎn)換。典型的網(wǎng)絡(luò)地址轉(zhuǎn)換過程如圖1所示。在PC1訪問外部網(wǎng)絡(luò)主機時,其產(chǎn)生的數(shù)據(jù)報文的源IP地址是PC1在內(nèi)部網(wǎng)絡(luò)的私有IP地址(內(nèi)部本地地址)192.168.1.10,當數(shù)據(jù)報文到達出口路由器的出接口時,路由器將數(shù)據(jù)報文的源IP地址轉(zhuǎn)換為內(nèi)部全局地址202.207.120.10,使數(shù)據(jù)報文可以在公共網(wǎng)絡(luò)上路由,并將內(nèi)部本地地址和內(nèi)部全局地址的映射關(guān)系保存在地址轉(zhuǎn)換表中;在返回的數(shù)據(jù)報文中,目的IP地址為內(nèi)部全局地址202.207.120.10,在路由器接收到該報文后,根據(jù)地址轉(zhuǎn)換表中保存的映射關(guān)系將目的IP地址轉(zhuǎn)換為內(nèi)部本地地址192.168.1.10,并路由給內(nèi)部網(wǎng)絡(luò)的目的主機PC1,從而實現(xiàn)PC1和外部網(wǎng)絡(luò)主機之間的通信。

2NAT的類型

按照網(wǎng)絡(luò)地址轉(zhuǎn)換的原理、轉(zhuǎn)換方式以及應(yīng)用場合的不同,可以將網(wǎng)絡(luò)地址轉(zhuǎn)換分為如表1所示的5種。使用哪一種網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)來進行地址的轉(zhuǎn)換需要根據(jù)網(wǎng)絡(luò)的具體需求來確定。很多時候在同一個網(wǎng)絡(luò)中可能會涉及到多種網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù),例如某一企業(yè)中大量的內(nèi)部網(wǎng)絡(luò)主機都有訪問Internet的需求,而且企業(yè)內(nèi)部網(wǎng)絡(luò)還需要提供可以從Internet進行訪問的HTTP服務(wù)來進行企業(yè)宣傳,這時候就會同時用到EasyIP和靜態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換兩種網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)。

3NAT實驗環(huán)境設(shè)計

3.1NAT實驗拓撲結(jié)構(gòu)

考慮到在實際的企業(yè)網(wǎng)絡(luò)應(yīng)用中往往會同時存在EasyIP和靜態(tài)NAT兩種地址轉(zhuǎn)換形式,因此在進行實驗環(huán)境設(shè)計時應(yīng)包含這兩種NAT類型,并能夠?qū)ζ涞刂忿D(zhuǎn)換進行監(jiān)控和測試。這就需要給出多個以太網(wǎng)段來模擬多個需要進行NAT的企業(yè)內(nèi)網(wǎng)。假設(shè)企業(yè)內(nèi)部網(wǎng)絡(luò)使用的IP地址段為192.168.1.0/24的多個子網(wǎng)段,將其轉(zhuǎn)換為10.0.0.0/8網(wǎng)段的某對應(yīng)子網(wǎng)段,設(shè)計網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖2所示。

3.2NAT實驗配置

按照圖2所示為路由器、交換機和PC配置IP地址,其中路由器的G0/0/0接口使用相應(yīng)網(wǎng)段中的最后一個可用地址,PC1~PC4暫時使用相應(yīng)網(wǎng)段中的第一個可用地址,路由器的G0/0/1接口和相連的交換機SWA的接口分別使用相應(yīng)網(wǎng)段的前兩個可用地址,PC5的網(wǎng)關(guān)地址設(shè)置為交換機SWA的接口G0/0/24的IP地址10.0.1.2。在4臺路由器和交換機SWA上配置默認路由保障整個網(wǎng)絡(luò)的連通性。此時,在四臺路由器上使用PING命令測試與外部網(wǎng)絡(luò)的連通性,應(yīng)該可以PING通。但需要注意此時PC1~PC4均無法連通外部網(wǎng)絡(luò),因為交換機SWA并不知道PC所在網(wǎng)段的存在。在實際網(wǎng)絡(luò)應(yīng)用中也是如此:需要進行地址轉(zhuǎn)換的內(nèi)部網(wǎng)絡(luò)對外部網(wǎng)絡(luò)而言是透明的(或者說是不存在的),外部網(wǎng)絡(luò)不會知道使用私有IP地址的內(nèi)部網(wǎng)絡(luò)的存在,以防止私有IP地址在公共合法網(wǎng)絡(luò)上的泄露。在路由器上進行NAT的配置,要求將路由器連接PC的網(wǎng)段中的第一個可用IP地址靜態(tài)轉(zhuǎn)換到路由器與交換機相連的網(wǎng)段中的最后一個可用IP地址上,使外部網(wǎng)絡(luò)可以主動訪問PC上的HTTP服務(wù)。對于路由器連接PC的網(wǎng)段中的其他地址使用EasyIP進行轉(zhuǎn)換,使內(nèi)網(wǎng)主機可以訪問外部網(wǎng)絡(luò)。參考配置命令如下:注意在進行EasyIP使用的ACL的配置中,對于不需要進行EasyIP轉(zhuǎn)換的內(nèi)部本地地址要首先deny掉。配置完成后,在PC5的IE中分別輸入PC1~PC4的內(nèi)部全局地址來訪問其上的HTTP服務(wù),應(yīng)該可以訪問。

3.3NAT實驗結(jié)果測試

將PC1和PC2劃分到一組,PC3和PC4劃分到一組,將PC2/PC4的IP地址修改為相應(yīng)網(wǎng)段中非第一個地址的任意合法地址,例如第二個地址,然后在PC2和PC4的IE中分別輸入同組的PC1或PC3的內(nèi)部全局地址來訪問其上的HTTP服務(wù),應(yīng)該可以訪問。在進行訪問的同時,在4臺路由器上使用命令debuggingnatall查看地址轉(zhuǎn)換的過程,并使用命令displaynatsessionprotocoltcpdestination10.1.1.6/14查看NAT會話情況,具體如下:注意:在PC2/PC4訪問同組的PC1/PC3的HTTP服務(wù)過程中,實際上經(jīng)過了兩次地址轉(zhuǎn)換。分別為在路由器RTB/RTD上進行的EasyIP的轉(zhuǎn)換,以及在路由器RTA/RTC上進行的靜態(tài)地址轉(zhuǎn)換。具體如圖3所示。

4結(jié)語

作為在企業(yè)網(wǎng)絡(luò)邊界常用的一種IP地址節(jié)約技術(shù),NAT有著非常廣泛的應(yīng)用,尤其是多種不同NAT類型的綜合應(yīng)用,為企業(yè)網(wǎng)絡(luò)訪問外網(wǎng)以及對外進行網(wǎng)絡(luò)服務(wù)提供了底層技術(shù)的支持。作為企業(yè)網(wǎng)絡(luò)管理人員,有必要通過實際網(wǎng)絡(luò)環(huán)境測試了解NAT的底層實現(xiàn)原理,以更好地維護網(wǎng)絡(luò),使其在可用IP地址有限的情況下能夠高效、安全地運行,為企業(yè)提供優(yōu)質(zhì)的網(wǎng)絡(luò)服務(wù)。

參考文獻

[1]王達.華為路由器學習指南[M].2版.北京:人民郵電出版社,2020:346-348.

[2]吳樹.基于網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)的實驗設(shè)計及仿真實現(xiàn)[J].山西能源學院學報,2020,(02):100-102.

[3]孫宇,嵩天.網(wǎng)絡(luò)地址轉(zhuǎn)換環(huán)境下的隱蔽通道構(gòu)建方法[J].信息網(wǎng)絡(luò)安全,2019,(07):59-66.

[4]路景貴,成樹崗,寇超軍,等.VLAN劃分與NAT地址轉(zhuǎn)換教學實驗設(shè)計[J].實驗室科學,2018,(06):51-56,60.

[5]楊禮.ACL和NAT技術(shù)在局域網(wǎng)中的應(yīng)用與實踐[J].喀什大學學報,2018,(03):108-111.

作者:劉延鋒 王月春 張少芳 單位:石家莊郵電職業(yè)技術(shù)學院