nat解决方案

NAT的完全分析及其UDP穿透的完全解决方案一:基本术语防火墙防火墙限制了私网与公网的通信，它主要是将（防火墙）认为未经授权的的包丢弃，防火墙只是检验包的数据，并不修改数据包中的IP地址和TCP/UDP端口信息。

网络地址转换（NAT）当有数据包通过时，网络地址转换器不仅检查包的信息，还要将包头中的IP地址和端口信息进行修改。

以使得处于NAT之后的机器共享几个仅有的公网IP地址（通常是一个）。

网络地址转换器主要有两种类型.P2P应用程序P2P应用程序是指，在已有的一个公共服务器的基础上，并分别利用自己的私有地址或者公有地址（或者两者兼备）来建立一个端到端的会话通信。

P2P防火墙P2P防火墙是一个提供了防火墙的功能的P2P代理，但是不进行地址转换.P2P-NATP2P-NAT 是一个P2P代理,提供了NAT的功能,也提供了防火墙的功能,一个最简的P2P代理必须具有锥形NAT对Udp通信支持的功能,并允许应用程序利用Udp打洞技术建立强健的P2P连接。

回环转换当NAT的私网内部机器想通过公共地址来访问同一台局域网内的机器的时，NAT设备等价于做了两次NAT的事情，在包到达目标机器之前，先将私有地址转换为公网地址，然后再将公网地址转换回私有地址。

我们把具有上叙转换功能的NAT设备叫做“回环转换”设备。

二:NAT分类可以分为基础NAT与网络地址和端口转换(NAPT)两大类(一):基础NAT基础NAT将私网主机的私有IP地址转换成公网IP地址，但并不将TCP/UDP端口信息进行转换。

基础NAT一般用在当NAT拥有很多公网IP地址的时候，它将公网IP地址与内部主机进行绑定，使得外部可以用公网IP地址访问内部主机。

（实际上是只将IP 转换，192.168.0.23 <-> 210.42.106.35,这与直接设置IP地址为公网IP还是有一定区别的，特别是对于企业来说，外部的信息都要经过统一防火墙才能到达内部，但是内部主机又可以使用公网IP）(二):网络地址和端口转换（NAPT）这是最普遍的情况，网络地址/端口转换器检查、修改包的IP地址和TCP/UDP端口信息，这样，更多的内部主机就可以同时使用一个公网IP地址。

50２００５．８网络安全网络安全技术与应用０　引言ＩＰＳＥＣ作为网络实时通信的安全协议，已经成为ＩＮＴＥＲＮＥＴ的实际安全标准；而ＮＡＴ也有效解决了目前ＩＰＶ４地址的严重不足。

当ＩＰＳＥＣ数据包穿越ＮＡＴ设备时，会产生严重的兼容性问题。

ＮＡＴ－Ｔ（ＮＡＴ－Ｔｒａｖｅｒｓａｌ）是目前较为流行的一种解决两者兼容性问题的方案，并越来越被广泛采用。

１　ＩＰＳＥＣ、ＮＡＴ工作原理１．１　ＩＰＳＥＣＩＰＳＥＣ是ＩＥＴＦ制定的保障ＩＮＴＥＲＮＥＴ通信安全的标准。

该标准主要由安全协议ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）和ＥＳＰ（ＥｎｃａｐｓｕｌａｔｉｎｇＳｅｃｕｒｉｔｙ　Ｐａｙｌｏａｄ），密钥交换协议ＩＫＥ（Ｉｎｔｅｒｎｅｔ　Ｋｅｙ　Ｅｘｃｈａｎｇｅ）两大部份组成。

为在Ｉｎｔｅｒｎｅｔ上进行数据通讯的用户提供加密、数据完整性、认证ＩＰ报文及防止重放攻击等安全服务。

ＩＰＳＥＣ规范定义了两种保护通信数据包的模式：传输模式（Ｔｒａｎｓｐｏｒｔ　Ｍｏｄｅ）：在数据包的ＩＰ报头和其余部分之间插入ＩＰＳＥＣ信息。

图１　传输模式隧道模式（Ｔｕｎｎｅｌ　Ｍｏｄｅ）：保留原有的ＩＰ数据包，然后在数据包外面封装新的ＩＰ报头和ＩＰＳＥＣ信息。

图２　隧道模式１．２　ＮＡＴ（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｉｏｎ）ＮＡＴ是为了缓解日益紧张的Ｉｎｔｅｒｎｅｔ公网地址匮乏的问题，而采用的一种将内部私有网络ＩＰ地址映射为外部公网ＩＰ地址的技术标准。

主要可以划分为静态ＮＡＴ，动态ＮＡＴ和网络地址端口转换ＮＡＰＴ三种类型。

其基本工作原理（以ＮＡＰＴ为例）为：ＮＡＴ设备接受内部主机的数据包，将该包的内部ＩＰ地址和ＴＣＰ／ＵＤＰ端口号转换为自身的公网ＩＰ地址和特定的端口号，然后将数据包送往目标主机；同时，将此映射关系存表。

当ＮＡＴ收到目标主机的应答后，查表，修改目标主机的ＩＰ地址和端口号并回送给相应的客户端。

２　ＩＰＳＥＣ、ＮＡＴ的兼容性问题ＩＰＳＥＣ和ＮＡＴ的设计思想存在矛盾。

址 转 化为合 法 Ｉ 址 的转 换 技术， 被广 泛应 用于 各种类 型 Ｉｔｒｅ 接 人 方式 和各种 类 型的 网络 中． Ｐ地 它 ｎｅｎｔ 在
计 算 机专业 网 络实训 课程 中 ， Ａ Ｎ Ｔ实验 有助 于 学生 理解 网络 地址 转 换 的概 念 和意 义． Ａ Ｎ Ｔ不 仅 完 美地
解决了 ｌ Ｐ地址 不 足 的问题 ， 而且 能够 有效地 避免 来 自网络 外部 的攻 击 ， 藏并保 护 网络 内部 的计 算机 ． 隐 掌 握 Ｎ Ｔ的多种配 置原理 和方法 ， 是《 Ａ 也 网络组建》 学习过 程 中的重要 部 分． Ｎ Ｔ将 网络划 分为 内部 网络 （ｎｉｅ 和外部 网络 （ｕｓ ｅ 两 部 分 ． 在 一个 内 部 网络 中 ， Ａ ｉｓ ） ｄ ｏｔｄ ） ｉ 通常 计算 机 之 间可 以通 过 内部 的私 有 Ｉ 址 通信 ，而 当 内部 的计算 机 要 与外 部 ｉｔｒｅ 网络进 行 通信 时 ，具 有 Ｐ地 ｎｅｎｔ
式 让学生 在实体 实训 中理 解 Ｎ Ｔ的作 用及 意义． Ａ
根据 学校 网络实训 室提 供 的设备 ，构 建模 拟实训
环 境 网络 拓扑 图 。 图 １ 见 ． 模拟 实训环境 ： 两 台 路 由 器 之 间 的 网络 模 拟 为 外 网 ，Ｃ 、Ｃ 、 Ｐ １Ｐ ２ Ｐ ３上各 自用 Ｉ 搭 建 一个简单 的网页 ，Ｃ 、Ｃ Ｃ Ｉ Ｓ Ｐ １Ｐ ２属 于
Ｅ ｍａ ｌ ３ ８ ０ ５２ ｑ．Ｏｌ — ｉ： ４ ９ ９ ＠ｑ Ｃ ｌ ｅ ｌ
中 图分 类 号 ： Ｔ ９ ． 文 献标 码 ： Ａ Ｐ ３ ３０ ９ 文 章 编 号 ： １ ０ — ９ １（ ０ １ ０ － １ ８ ０ ０ ４ ２ １ ２ １ ） ２ ０ ６— ３ －

ip不够的解决方案篇一：NAT端口不足解决方案环境需求描述在dynamicport模式下，1个公网IP只能够提供：TCP ports 64512 个+ UDP ports 64512 个,共约13 万个port 资源。

做SNAT的时候，只要TCP或者UDP的port资源超出64512个，就需要第2个公网IP地址才行。

特别是在没有做session-limit 的情况下，TCP或者UDP的port资源是非常容易突破64512个的。

实现原理Hillstone 针对上面问题开发expanded-port-pool 端口扩展功能改善动态端口转换模式下端口不够用的情况；端口资源复用只适应于目的地址不同的情况，如果同时访问同一个地址，端口范围不会增加。

操作方法开启/关闭扩展功能PAT端口池当SNAT的转换模式为dynamicport时，用户可以开启扩展PAT端口池功能，扩展NAT转换后的网络地址端口资源。

默认情况下，该功能是关闭的。

开启扩展PAT端口池功能，在配置模式下使用以下命令:expanded-port-pool （重启设备，使配置生效。

）在配置模式下，使用该命令no的形式关闭扩展PAT noexpanded-port-pool （重启设备，使配置生效。

）篇二：IP冲突的原因及解决方案IP冲突的原因及解决方案在Internet 和Intranet 网络上，是通过TCP/IP协议来对网络资源进行访问的，使用TCP/IP协议进行通讯，又是以传送IP数据包的形式来实现的，每个数据包中除了携有数据外，在包头上还附加有发送方的源地址、接收方的目的地址、以及一些表示包状态的标志和辅助信息等，这其中比较重要的是附加在包头上的源地址和目标地址。

目标地址决定了所访问资源的目的地，而源地址则提供所访问资源信息的回送地址，在网络设备上，这些地址都是以IP地址的形式出现的，英特网规定所有设备的IP地址必须唯一，其目的就是为了便于区分网上的每台设备，提供网络的正常通讯环境。