文章開頭，先提一個(gè)小問題：你認(rèn)為，一個(gè)企業(yè)網(wǎng)的基本配置有哪些？
有小白會(huì)疑惑，企業(yè)網(wǎng)絡(luò)和家庭網(wǎng)絡(luò)有啥區(qū)別？
又或者是：家里的網(wǎng)絡(luò)不就是一個(gè)網(wǎng)線+路由器嗎，企業(yè)能多復(fù)雜？
這就是對(duì)咱網(wǎng)工的世界一無所知的最佳案例。
每個(gè)企業(yè)架構(gòu)是不同的，網(wǎng)絡(luò)工程師需要確定的東西很多，比如防火墻模式、交換機(jī)類型、網(wǎng)關(guān)位置等等。
而在這其中，有一個(gè)企業(yè)網(wǎng)必備技術(shù)，就是NAT。
2011年2月3日中國農(nóng)歷新年， IANA對(duì)外宣布：IPv4地址空間最后5個(gè)地址塊已經(jīng)被分配給下屬的5個(gè)地區(qū)委員會(huì)。
2011年4月15日，亞太區(qū)委員會(huì)APNIC對(duì)外宣布，除了個(gè)別保留地址外，本區(qū)域所有的IPv4地址基本耗盡。
正是在這樣一個(gè)背景之下，救世主NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）閃亮登場。
NAT是一項(xiàng)神奇的技術(shù)，說它神奇就在于，它的出現(xiàn)幾乎使IPv4起死回生。
01
NAT是個(gè)啥？
NAT（Network Address Translations）網(wǎng)絡(luò)地址轉(zhuǎn)換，就是替換IP報(bào)文頭部的地址信息。
NAT通常部署在一個(gè)組織的網(wǎng)絡(luò)出口位置，通過將內(nèi)部網(wǎng)絡(luò)IP地址替換為出口的IP地址提供公網(wǎng)可達(dá)性和上層協(xié)議的連接能力。
覺得NAT抽象？讓你“身臨其境”一下?，F(xiàn)在打開電腦操作：
（1）打開命令行輸入ipconfig查詢IP地址
（2）打開百度，輸入IP查詢，查詢IP地址
你會(huì)發(fā)現(xiàn)一個(gè)很奇妙的事情，這倆IP查出來居然是不同的
其實(shí)是因?yàn)?，ipconfig查出來的是你本機(jī)的IP地址，也就是內(nèi)網(wǎng)私有地址，此類地址僅在局域網(wǎng)使用，不能聯(lián)通外網(wǎng)。
百度查出來的地址是你上網(wǎng)的公有地址，也許并不是你主機(jī)的地址，而是電信或聯(lián)通分給你的地址，用于連接互聯(lián)網(wǎng)。
NAT主要就是用來實(shí)現(xiàn)公私有IP地址的轉(zhuǎn)換的，所以，一般是路由器或者防火墻上來完成，不建議在三層交換機(jī)上配置。
02
NAT原理給你捋捋
你看上面這張圖：
192.168想訪問200.2，到路由器后，路由或者三層設(shè)備將192.168映射到外網(wǎng)地址，也就是換成外網(wǎng)地址200.1，外網(wǎng)地址（公網(wǎng)地址是需要到運(yùn)營商購買的，你買的寬帶，其實(shí)付得是租用公網(wǎng)IP地址的錢）。
200.1 訪問 200.2 ，到服務(wù)器所在路由后，200.1也是不能直接訪問200.2的內(nèi)網(wǎng)服務(wù)器，所以這時(shí)候，也需要做地址轉(zhuǎn)換，200.1 換成172.16。
最后，200.1 訪問到了172.16，也就是192.168訪問到200.1。
回包的時(shí)候，道理一樣，一出一進(jìn)，做兩次地址映射（地址轉(zhuǎn)換）。
其實(shí)，網(wǎng)絡(luò)地址轉(zhuǎn)換就是，解封裝三層包頭，更換源IP或者目標(biāo)IP。
順便說一嘴，mac地址也會(huì)改變，但不是因?yàn)镹AT，mac地址過個(gè)路由就會(huì)變一次。
03
NAT的分類
三張圖搞定
01 靜態(tài)NAT（靜態(tài)映射）
手動(dòng)寫入IP地址映射條目，配置NAT表，一個(gè)內(nèi)網(wǎng)地址對(duì)應(yīng)著一個(gè)外網(wǎng)地址。
舉個(gè)例子，192.168 對(duì)應(yīng) 1.1。
當(dāng)192.168向外網(wǎng)發(fā)包，則過路由的時(shí)候，會(huì)根據(jù)靜態(tài)NAT表，將192.168更換為1.1。
缺點(diǎn)：內(nèi)網(wǎng)這么多人，一個(gè)內(nèi)網(wǎng)IP對(duì)應(yīng)一個(gè)外網(wǎng)IP，我得花多少錢，買多少個(gè)公網(wǎng)ip才夠使。
動(dòng)態(tài)NAT解決了這個(gè)問題，請(qǐng)往下看。
路由器并不會(huì)想防火墻一樣，有策略，阻止私網(wǎng)IP，私網(wǎng)IP會(huì)過路由跑到公網(wǎng)上去，但是公望路由不認(rèn)識(shí)私網(wǎng)IP，所以私網(wǎng)IP也就廢掉了，直接丟棄。
02 動(dòng)態(tài)NAT （動(dòng)態(tài)映射）
一個(gè)網(wǎng)段對(duì) 一個(gè)外網(wǎng)地址，舉個(gè)例子：
192.1681.0/24 這個(gè)網(wǎng)段對(duì)應(yīng)著 100.1；
192.168.1.1來了。
在NAT地址轉(zhuǎn)換里，形成了一條映射（條目），就是，192.168.1.1映射100.1。
這個(gè)時(shí)候，重點(diǎn)來了，由于192.168.1.1占用著100.1，則別人無法再使用這個(gè)100.1，直到192.168.1.1不再發(fā)包后的24小時(shí)之后，則可以把100.1給別人。
別人無法使用的原因是，如果別人也在使這個(gè)100.1， 回包回不來。
但是并沒有解決，多人同時(shí)上網(wǎng)的問題，所以廢掉。
但是PAT解決了這個(gè)問題。
03 端口網(wǎng)絡(luò)地址轉(zhuǎn)換PAT（ port address translation ）
道理很簡單，在ip地址的基礎(chǔ)上，在加上端口號(hào)，加以區(qū)分。
舉個(gè)例子：
192.168.1.0/24，這個(gè)網(wǎng)段映射到外網(wǎng)ip100.1。
192.168.1.1這個(gè)ip向外網(wǎng)發(fā)了一個(gè)http的包，過路由器的時(shí)候，路由器隨機(jī)配置了端口號(hào)，192.168.1.1 ：1000 — 100.1.1.1：100。
只要這個(gè)ip地址的這個(gè)端口號(hào) 一直占用著 100.1.1.1 的這個(gè)端口號(hào)，則別人就不能再使用100.1.1.1:100 這個(gè)IP+端口號(hào)。
其實(shí)就是加上端口號(hào)，進(jìn)行復(fù)用，用端口號(hào)，加以區(qū)分每個(gè)私網(wǎng)IP的對(duì)應(yīng)相同公網(wǎng)IP。
192.168.1.1:1000, 1000和1000.1.1.1:100
1000和100這兩個(gè)端口號(hào)是路由器配置的臨時(shí)端口，這個(gè)端口范圍0-65535，如果過了這個(gè)范圍的話，再有人上網(wǎng)的話，只能候著了。
NAT地址轉(zhuǎn)換表
只有由內(nèi)網(wǎng) 往 外網(wǎng)走的時(shí)候，會(huì)生成NAT地址轉(zhuǎn)換表中新的條目；
外網(wǎng)向內(nèi)網(wǎng)走的時(shí)候，是根據(jù)NAT轉(zhuǎn)換表，進(jìn)行回包。
以上解決的問題是，員工內(nèi)網(wǎng)訪問外網(wǎng)，地址轉(zhuǎn)化問題。
以下解決的問題是，外面人外網(wǎng)訪問內(nèi)網(wǎng)，地址轉(zhuǎn)化問題。
04 PAT + 靜態(tài)NAT （靜態(tài)PAT 端口映射）
端口映射
把內(nèi)網(wǎng)的某個(gè)端口映射出去，叫做端口映射。
一般公司都會(huì)準(zhǔn)備兩個(gè)以上的外網(wǎng)網(wǎng)址，一個(gè)用于，內(nèi)網(wǎng)去外網(wǎng)，另外一個(gè)，用于外網(wǎng)訪問內(nèi)網(wǎng)服務(wù)器。
外網(wǎng)訪問內(nèi)網(wǎng)服務(wù)器的解決方案，再來舉個(gè)例子：
將100.2的ip和端口映射到100.1的ip上，同時(shí)，加上80端口限制，這就叫做靜態(tài)pat，其實(shí)就是，靜態(tài)nat+pat，也叫端口映射。
舉例①
S 192.3 — 100.2 80—80
S 182.4 — 100.2 23—23（rdp）remote destop protocol
不同服務(wù)器 映射到 外網(wǎng)同一個(gè)IP上
舉例②
S 192.3 — 100.2 80—80
S 192.4 — 100.2 80—81
內(nèi)網(wǎng)兩臺(tái)服務(wù)器，都想開80端口，則由于，外網(wǎng)ip一樣，所有端口號(hào)就不能一樣了。
這個(gè)缺點(diǎn)很明顯了，外網(wǎng)需要訪問100.2:81 ，加上81端口，才能訪問到 192.4。
05 VIP 虛擬公網(wǎng)IP地址 Vritual IP
100.2 就叫做虛擬IP地址，因?yàn)?，它們本身不配在路由器上，而是映射到?nèi)網(wǎng)服務(wù)器上，所以叫做虛擬IP地址。
我們通過一個(gè)例子，來說說作用：
A公司的內(nèi)網(wǎng)有100臺(tái)電腦，網(wǎng)段為192.168.1.0/24，某些電腦需要訪問互聯(lián)網(wǎng)，但是內(nèi)網(wǎng)地址是無法訪問到互聯(lián)網(wǎng)，怎么辦呢？
公司有拉了一條聯(lián)通的專線連接到防火墻，專線的ip地址為58.1.1.1，此時(shí)我們將內(nèi)網(wǎng)的某些192.168.1.x地址通過NAT轉(zhuǎn)換成58.1.1.1就可以訪問到互聯(lián)網(wǎng)。
看到這里如果還有不解的地方，這里還有更簡單粗暴的解釋，直接用3張圖解釋一下它們的原理和不同
靜態(tài)NAT
最重要的特點(diǎn)是一對(duì)一，而且是靜態(tài)指定的（一個(gè)內(nèi)網(wǎng)ip對(duì)應(yīng)一個(gè)外網(wǎng)ip是固定好的），常用于將內(nèi)網(wǎng)服務(wù)器的ip地址映射到外網(wǎng)ip。
動(dòng)態(tài)NAT
特點(diǎn)是多個(gè)內(nèi)網(wǎng)ip組成的地址池，指向到多個(gè)外網(wǎng)ip組成的地址池，當(dāng)內(nèi)網(wǎng)ip需要訪問外網(wǎng)時(shí)，就從外網(wǎng)ip地址池中取一個(gè)外網(wǎng)ip地址（每次取的ip地址可能不同），兩個(gè)地址池中的ip個(gè)數(shù)可以不同。
PAT
特點(diǎn)是將多個(gè)內(nèi)網(wǎng)ip地址指向到同一個(gè)外網(wǎng)ip地址的不同端口，通過訪問外網(wǎng)ip的不同端口就可以訪問到內(nèi)網(wǎng)ip。
比如：192.168.1.1 -->58.1.1.1:2233 192.168.1.2-->58.1.1.1:2234
曾經(jīng)在網(wǎng)上看到過這樣一種言論，什么隨著IPV6技術(shù)的到來，NAT已經(jīng)out了。
咋說呢，技術(shù)革命一定是一步一步實(shí)現(xiàn)的。
肯定是先局部后整體，局部先使用IPV6，然后再逐步擴(kuò)大規(guī)模，并減少IPv4的規(guī)模，這個(gè)時(shí)候，NAT技術(shù)在過渡階段肯定是需要的。
下個(gè)階段，網(wǎng)絡(luò)里就會(huì)混雜著IPV4和IPV6兩種地址，這個(gè)時(shí)候更需要NAT技術(shù)了，談何out？
需要各類智能化弱電、弱電系統(tǒng)集成、網(wǎng)絡(luò)信息技術(shù)知識(shí)文檔、技術(shù)方案、視頻教學(xué)的，可以私聊我，謝謝！
聯(lián)系客服
