NAT框架

旧城等待， 2022-09-04 04:54 221阅读 0赞

随着Internet的发展和网络应用的增多，IPv4地址枯竭已成为制约网络发展的瓶颈。尽管IPv6可以从根本上解决IPv4地址空间不足问题，但目前网络设备和网络应用大多是基于IPv4的，因此在IPv6广泛应用之前，一些过渡技术的使用是解决这个问题最主要的技术手段。

作为一种过渡方案，NAT通过地址重用的方法来满足IP地址的需要，可以在一定程度上缓解IPv4地址空间枯竭的压力，从而保证IPv4的用户和业务能平稳过渡到IPv6。

NAT（Network Address Translation）是一种IP地址共享的技术，即可以实现多用户共享少量公网IPv4地址访问外部网络。用户访问外部网络时，NAT设备会将用户私有IPv4地址转换为公网的IPv4地址，暂时性记录这种映射关系。

静态NAT

静态NAT又称为Basic NAT，它是一种映射IP地址的技术，可以实现私网地址和公网地址一对一转换，且NAT转换后的公网端口号与私网端口号保持不变。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70][]

两个带有内部地址的数据报文到达NAT设备，其中报文1和报文2来自不同的内部地址和不同的源端口号，通过静态NAT映射，两个数据报文的源IP地址分别转换成不同的外部地址，源端口号保持不变。

对安全性要求高的行业会采用静态NAT 转换方式，比如金融行业客户要求对内部地址进行隐藏，而且某些金融应用对端口有固定要求，因此经过NAT转换后端口号不能修改.

动态NAT

动态NAT又称为NAPT（Network Address Port Translation），它是一种映射IP地址和端口号的技术，可以将私网IP和私网端口映射到公网IP和公网端口，即将带有内部地址的IP数据报文的源地址映射到同一外部地址，同时将这些源地址的源端口号转换为不同端口号。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 1][]

三个带有内部地址的数据报文到达NAT设备，其中报文1和报文2来自同一个内部地址但有不同的源端口号，报文1和报文3来自不同的内部地址但具有相同的源端口号。通过NAPT映射，三个数据报文的源IP地址都被转换到同一个外部地址，但每个数据包都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

在NAPT方式时，NAT设备进行地址转换的时候，不仅要对IP报文中的地址进行转换，还要对报文中的端口号进行转换，采用NAPT可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问，并且支持对分片报文做NAT。

应用静态NAT时，每个私网IP都需要一个公网地址，对地址同样比较浪费，因此，实际应用中多采用NAPT方式。

**NAT ALG**

NAT ALG（Application Layer Gateway，NAT应用层网关）在NAT实现中为特殊的应用程序提供透明转换的功能。

很多应用层协议在协议报文中包含了用户IP地址、端口等信息，当做NAT转换时，由于未对协议报文内部的IP地址、端口做识别和转换，可能造成协议交互失败。当使用NAT ALG技术时，NAT不仅针对IP地址、端口号做地址端口映射，同时还对应用层协议中包含的IP地址、端口号等做同步转换。

NAT ALG支持的应用协议有ICMP、基于UDP的SIP、基于TCP的RTSP、PPTP、DNS和[FTP][][。][FTP]

[下面][FTP][以][FTP][FTP][]为例：

FTP协议有被动模式和主动模式两种方式，按照其特点称为PORT模式（主动）、PASV模式（被动）。

FTP的NAT ALG需要按照如下两种分类对FTP协议进行处理：

Ø FTP 服务器在外部网络、使用 PORT 方式 访问

---》客户端发送PORT命令，携带IP和端口号

Ø FTP 服务器在内部网络、使用 PASV 方式 访问

---》客户端发送PASV命令，然后服务器发送IP地址和端口号

如下图，FTP服务器在外部网络，私网侧的主机通过PORT方式访问外网的FTP服务器。如果没有ALG对报文载荷如下图所示的处理，私网主机发送的Port报文到达服务器端后，服务器无法识别该报文载荷中的私网地址，也就无法建立正确的数据连接。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 2][]

1. ALG 的 FTP 连接建立过程 : 私网主机和公网 FTP 服务器之间通过 TCP 三次握手成功建立控制 连接。

2. 控制连接建立后，私网主机向 FTP 服务器发送 Port 报文，报文中携带私网主机指定的数据连接的目的地址和端口，用于通知服务器使用该地址和端口和自己进行数据 连接。

3. Port 报文在经过支持 ALG 特性的 NAT 设备时，报文载荷中的私网地址和端口会被转换成对应的公网地址和端口，也就是设备收到的 Port 报文载荷中的私网地址 192.168.0.10 转换成公网地址 10.10.10.10 ，端口 1024 转换成 5000 。

4. 公网的 FTP 服务器收到 Port 报文后，解析其内容，并向私网主机发起数据连接，该数据连接的目的地址为 10.10.10.10 ，端口为 5000 。

5. 由于该目的地址是一个公网地址，在经过 NAT 设备时可以被转换为内部主机的私有地址和端口，因此后续的数据连接就能够成功建立，从而实现私网主机对公网服务器的访问。

**Cisco NAT**

**除了华为和华****3****由于历史原因，没有使用思科的****NAT****的命令格式，其余的基本都是使用思科的命令格式，我们来了解下思科的命令格式，对我们的****NAT****的实现会有进一步的了解**

**[https://][https]****[www.cisco.com/c/zh\_cn/support/docs/ip/network-address-translation-nat/13772-12.html][https]**

很多在Cisco配置过NAT的人都有过一个疑问，那就是inside和outside的区别！以下是Cisco官方文档上关于NAT执行顺序的说明，对于inside-outside而言，NAT发生在路由之后，而对于outside-inside而言，NAT发生在路由之前，这点我们需要首先明确记住。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 3][]

觉得疑惑的原因，就在inside，outside这个名字取得不好，实际上如果将inside-outside换成POST-ROUTING，将outside-inside换成PRE-ROUTING的话，就非常好理解了，最重要的是，换了名字之后，NAT看起来不再和设备的inside/outside网口域相关，而和路由发生了关系，虽然本质上没有任何变化。

比如在linux实现中的NAT和路由的关系是强相关的！考虑以下的数据流，我们以路由这个动作为中心点：  
**正向包：****-->NAT point1-->****路由****-->NAT point2-->**  
**返回包：****<--NAT point1<--****路由****<--NAT point2****<--**

Linux实际上就定义了两种NAT，即：

Ø **SNAT** **，源地址** **转换**

Ø **DNAT** **，目标** **地址转换**  
**路由前执行** **DNAT** **，路由后执行** **SNAT** **。**

Cisco没有像Linux那样使用pre/post路由这么技术化的术语来定义NAT的行为，而是完全根据Domain来定义，所谓的Domain，即路由器两边一边属于inside，另一边属于outside。那么所有的NAT无外乎就以下4种类型：  
**1>****从****inside****到****outside****时转换源地址**  
**2>****从****inside****到****outside****时****转换****目的****地址**  
**3>****从****outside****到****inside****时转换源地址**  
**4>****从****outside****到****inside****时****转换****目的****地址**  
对于Cisco而言，为了将4种NAT配置界面全部导出给工程师，需要一个前提操作，那就是定义inside接口和outside接口，即在哪个接口上应用inside nat，在哪个接口上应用outside nat。到此，所有的4种NAT都必须能和任意类型(inside/outside)的接口单独组合。

现在，我们可以来总结一下 思科**ip** **nat** **inside|outside** **source|destination**的含义了。我把这个命令公式化：**ip** **nat** **P H**  
其中H代表要做源转换还是要做目标转换，H还有一个更加隐蔽的含义，那就是它和P指名了数据的方向，也就是说：数据是以P为H的。

ip nat inside source  
数据是以inside为源（inside\->outside), 做源NAT转换，按照前面的说明，那么必然发生在路由之后。(1) (SNAT)

ip nat inside destination

数据是以inside为目的(outside\->inside)，做目的地址转换，按照前面的说明，那么必然发生在路由之前。(4)(DNAT)

ip nat outside destination

数据是以outside为目的（inside\->outside)，做目的地址转换，按照前面的说明，必然发生在路由后。(2)

**ip** **nat** **outside source**  
数据以outside为源(outside\->inside) ，做源NAT转化，按照前面的说明，必然发生在路由之前。（3）

其中1和4互相隐含，2和3互相隐含

我们以NAT场景下比较复杂的FTP的场景来分析NAT处理的场景

FTP 简化的TOPO图如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 4][]

A试图与B的21端口建立一个FTP控制通道连接，然后B反连A的23端口，创建FTP数据通道连接，中间经过一个NAT的设备，旨在实现地址隔离，将***1.1.1.1/2.2.2.2******元组***转换为***172.16.1.1/192.168.2.2******元组***，TOPO比较简单，可以让我们不纠结细节，从整体框架把握。

来自A的TCP建链包首次从NAT 网口1到达时，这是首次到达的SYN包，显然在此之前，NAT 设备上没有关于该连接的任何记录：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 5][]

**当来自****B****的****SYN/ACK****返回包从****NAT** **网****口****2****到达时**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 6][]

**当来自****A****的带有反连命令的数据包从****NAT** **网****口****1****到达****时，**这里的重点是应用层数据的解析，即Helper开始发挥作用

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 7][]

**当来自****B****的反连****A****的****SYN****包从****NAT Box****网口****2****到达****时，**这是Helper使能的核心：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 8][]

后面的部分就不在画图，从上面的FTP的处理4个流程，我们应该对NAT的整体框架处理，有了一个全面的了解，剩余的就是对照这个图去看代码。

以上框架性的东西，无需解释，如果想知道help回调里到底做了什么，请参考FTP的help回调，一般人都是懂FTP协议的，所以理解起来超级典型，超级简便，比那些SIP之类的强多了，敢问除了搞视频，语音相关的，哪位能精通SIP，可是FTP可是大学标准要学习的玩意儿，要是不会，那是要考试挂科的。大体上，FTP的help回调逻辑如下：

help()

1.解析数据包内容，看能不能发现注册的正则模式，如果不能，则返回

2.如果发现了，则：

exp = nf\_ct\_expect\_alloc(ct);

if (其Mater发生了NAT) \{

修正新发现的exp的数据

修正数据包中关于exp内容的IP地址，端口相关的内存

如果数据包修改前和修改后的长度不同，则标记此数据包需要调整整个TCP数据段的序               列号信息，并且重新计算校验和

...

也怪复杂的，然而配合上面的图示以及抓包，也是很容易理解的，毕竟这是唯一的解释，即便你不看代码，只要你能对FTP和NAT有了很好的把握，你自己也能设计出这个逻辑，如果你设计出的不是这个逻辑，那说明你错了。

一点总结：

1、做之前一定要把原理和框架、怎么做确定好，画图从框架去理解，在去填充细节

2、从整体到细节，自顶向下，从抽象到具体的框架思维是通用的，学习任何知识都是高效的。

3、开始都要高标准要求自己（代码就是自己的脸面^~^），一开始把事情做好，说后面XXXX，都是扯淡的

• 怎么 让代码简单、模块化  ？？

• 怎么 让代码抽象化、减少冗余  ？？

• 怎么 让代码扩展性好，便于后期增加新的功能  ？？

• 怎么 让可维护性好，减少后期维护时间 ？？

4、代码写完后，不要一来就开始测试，需要多走读下代码，走读过程中：

• 修改 下编码 规范

• 函数 、变量命令、实现等不好的 修改

• 过 下现在的 8 道工序，把问题全部 解决，利用好现有的工具

• 大 脑模拟下计算机执行的代码逻辑，检查下是否有 ：死锁 、内存泄漏 / 越界、乱序、逻辑错误、等等简单问题

• 然后 在开始测试，前期的这些检查，把问题发现在最前面

5、性能也要一开始都要去想，以免后期伤筋动骨，做转发软件的，不能满足于功能正常，那只是最基本的要求

6、写代码的时候多想想：

ü 代码的执行上下文 ( 单线程还是多线程？单核 or 多核？进程的优先级是否合理？是否需要绑定核？ )

ü 当前的算法是否是最优的，是否还有更优的算法，数据少的时候和数据多的时候，性能是否一样？

ü 能否实现 lock-free

ü 时间，空间局部性 ( 包括数据和指令，数据结构的大小？ )

ü 对 CACHE 是否优化， CACHE 命中率是否更高，是否存在伪共享，多核争抢的热点怎么处理？

在这里再次感谢DOG250 大牛。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70]: /images/20220829/b803ff1b9c3d4b8fa39b3c86bdfa5860.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 1]: /images/20220829/7eae45d3ba6544efb30c58c9e57f2dec.png
[FTP]: ftp://ftp.xn--ftp-y28d02bg900a/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 2]: /images/20220829/dc5ca38210b541bcbc104eba15d3a3d3.png
[https]: https://www.cisco.com/c/zh_cn/support/docs/ip/network-address-translation-nat/13772-12.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 3]: /images/20220829/5673ec315cc14ade89e6f6aa5e4c4600.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 4]: /images/20220829/e0bb2927d1184f9bbef7a906777a5fa0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 5]: /images/20220829/222aecd47b1c481ca87d3f08406b444a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 6]: /images/20220829/c2ab7cc65eb24ea9aaf247db01854a4d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 7]: /images/20220829/341655df2fdf4741812cfdafe1844229.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FybWxpbnV4d3c_size_16_color_FFFFFF_t_70 8]: /images/20220829/e0e08fe0dcdc4eeaa1061d803bb95cca.png