近七千字！从里到外剖析三种网络地址转换NAT：静态NAT、动态NAT、PAT
来源：网络技术联盟站
你好，这里是网络技术联盟站。
网络地址转换（Network Address Translation，NAT）是一种在计算机网络中广泛使用的技术，它允许将一个网络地址映射到另一个网络地址。静态NAT、动态NAT和端口地址转换（Port Address Translation，PAT）是NAT的常见实现方式。
本文将详细介绍这三种技术的原理、应用、优缺点，同时还会介绍每种技术在华为、思科、Juniper设备上应该如何配置，可以这样说，看了本文一定会对这三种NAT技术熟记于心！
目录：
静态 NAT
介绍
原理
应用场景
静态NAT的优点和缺点
静态NAT配置
小结
动态 NAT
介绍
原理
应用场景
动态NAT的优点和缺点
动态NAT配置
小结
PAT
介绍
原理
应用场景
PAT的优点和缺点
PAT配置
小结
静态 NAT、动态 NAT、PAT对比
总结
静态 NAT
介绍
静态网络地址转换（Static Network Address Translation，静态 NAT）是一种常见的网络地址转换技术。它允许将一个内部IP地址映射到一个外部IP地址，从而实现内部主机与外部网络的通信。静态NAT的实现通常在网络边界设备上，例如路由器或防火墙。
原理
静态NAT通过建立一对一的地址映射关系来实现内外网之间的通信。具体而言，内部主机的私有IP地址被映射为一个公有IP地址，使得内部主机可以通过这个公有IP地址与外部网络进行通信。
静态NAT的工作原理如下：
内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。 NAT设备接收到数据包后，检查数据包中的源IP地址。 NAT设备查询静态NAT转换表，查找与源IP地址匹配的映射规则。 如果找到匹配的映射规则，NAT设备将源IP地址替换为映射后的外部IP地址。 修改后的数据包被发送到外部网络。
当外部网络的响应数据包返回时，静态NAT设备会将目标IP地址还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。
以下是静态NAT的简易工作原理过程图：
以上过程图简要描述了静态NAT的工作原理。内部主机发送带有源IP地址的数据包到静态NAT设备。静态NAT设备检查源IP地址，并在NAT转换表中查找与源IP地址匹配的映射规则。如果找到匹配的映射规则，静态NAT设备将源IP地址替换为映射后的外部IP地址，并将修改后的数据包发送到外部网络。
这样，静态NAT实现了内部主机与外部网络之间的通信，同时保护了内部网络的真实拓扑结构和内部主机的真实IP地址的安全性。
应用场景
静态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用静态NAT的情况：
1. 服务器映射
静态NAT常用于将内部服务器映射到一个或多个公网IP地址。通过将服务器的私有IP地址映射为公有IP地址，外部网络可以直接访问服务器，而无需暴露内部网络的其他主机。
服务器映射可以用于各种服务，例如Web服务器、邮件服务器、FTP服务器等。这样，用户可以通过公网IP地址访问服务器提供的服务。
2. 安全控制
静态NAT还可用于网络安全控制的目的。通过将特定的内部主机映射为一个公有IP地址，可以对该主机的访问进行严格控制。例如，内部网络中的某个重要主机可以被映射为一个公有IP地址，而其他主机则无法直接访问。
这种安全控制机制有助于保护内部网络免受未经授权的访问和攻击。
3. 路由优化
静态NAT还可以用于路由优化的目的。当内部网络使用非路由的私有IP地址范围时，通过静态NAT将内部主机的私有IP地址映射为公有IP地址，可以使得内部主机可以直接与外部网络通信，无需经过网络地址转换和路由器的处理。
这种路由优化可以减少网络中的路由表项和转发处理，提高网络性能和效率。
4. 特殊应用需求
某些特殊的应用程序可能需要使用固定的公有IP地址进行通信。通过静态NAT，可以将特定的内部主机映射为固定的公有IP地址，以满足这些应用的需求。
例如，某些视频会议系统、VoIP应用或其他需要与特定IP地址进行通信的应用程序，可以通过静态NAT将其内部主机的私有IP地址映射为指定的公有IP地址。
静态NAT的优点和缺点
静态NAT具有以下优点：
简单易懂：静态NAT的实现相对简单，易于理解和配置。 一对一映射：每个内部主机都可以具有唯一的公有IP地址，避免了IP地址冲突和重复问题。 安全性：通过映射内部主机的私有IP地址为公有IP地址，可以隐藏内部网络的真实拓扑结构和内部主机的真实IP地址。
然而，静态NAT也存在一些缺点：
IP地址消耗：静态NAT需要为每个需要映射的内部主机分配一个公有IP地址，因此会占用较多的IP地址资源。 可伸缩性：静态NAT不适用于大规模网络中的动态地址映射需求，因为需要手动配置每个映射规则。 配置复杂性：当内部网络的拓扑结构发生变化时，需要手动更新和维护静态NAT的配置，增加了管理和维护的复杂性。
静态NAT配置
华为设备
nat static {内部IP地址} {公共IP地址} mapping
例如：
nat static 10.0.0.1 203.0.113.1 mapping
思科设备
ip nat inside source static {内部IP地址} {公共IP地址}
例如：
ip nat inside source static 10.0.0.1 203.0.113.1
Juniper设备
set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号}
set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} match destination-address {内部IP地址}
set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} then static-nat prefix {公共IP地址}
例如：
set security nat static rule-set nat-rules from zone internal rule 1
set security nat static rule-set nat-rules from zone internal rule 1 match destination-address 10.0.0.1
set security nat static rule-set nat-rules from zone internal rule 1 then static-nat prefix 203.0.113.1
小结
静态NAT是一种常见的网络地址转换技术，用于将内部主机的私有IP地址映射为公有IP地址。它在服务器映射、安全控制、路由优化和特殊应用需求等场景中发挥着重要作用。
静态NAT通过一对一的地址映射关系实现内外网之间的通信，并具有简单易懂、安全性等优点。然而，它也存在IP地址消耗、可伸缩性和配置复杂性等缺点。
动态 NAT
介绍
动态网络地址转换（Dynamic Network Address Translation，动态 NAT）是一种常见的网络地址转换技术。与静态NAT不同，动态NAT允许内部网络中的多个主机共享一组公共IP地址。动态NAT通常在网络边界设备上实现，例如路由器或防火墙。
原理
动态NAT通过使用地址池和端口号来实现内外网之间的通信。它维护一个地址池，其中包含一组可用的公共IP地址。当内部主机发送数据包到外部网络时，动态NAT从地址池中分配一个公共IP地址和唯一的端口号，并将内部主机的私有IP地址替换为分配的公共IP地址和端口号。这样，内部主机可以通过动态NAT的转换实现与外部网络的通信。
动态NAT的工作原理如下：
内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。 NAT设备接收到数据包后，检查数据包中的源IP地址。 NAT设备从地址池中选择一个可用的公共IP地址和端口号。 NAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址。 修改后的数据包被发送到外部网络。
当外部网络的响应数据包返回时，动态NAT设备会将目标IP地址和端口号还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。
以下是动态NAT的简易工作原理过程图：
以上过程图简要描述了动态NAT的工作原理。内部主机发送带有源IP地址和端口号的数据包到动态NAT设备。动态NAT设备检查数据包中的源IP地址和端口号，并在NAT转换表中查找与源IP地址和端口号匹配的动态映射关系。如果找到匹配的映射关系，动态NAT设备将源IP地址和端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。
这样，动态NAT实现了内部主机与外部网络之间的通信，并通过动态分配的公共IP地址和端口号实现了多个内部主机共享一组公共IP地址的功能。
应用场景
动态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用动态NAT的情况：
1. 多主机共享公共IP地址
动态NAT允许内部网络中的多个主机共享一组公共IP地址。通过分配唯一的端口号，动态NAT可以将多个内部主机映射到不同的端口上，并使用同一个公共IP地址与外部网络通信。这样，内部主机可以共享有限的公共IP地址资源，而无需为每个主机分配独立的公共IP地址。
2. IP地址管理
动态NAT在IP地址管理方面也非常有用。通过使用动态NAT，网络管理员可以更灵活地管理和分配IP地址。他们可以根据需要配置和调整地址池，动态分配公共IP地址给内部主机。
这种IP地址管理机制有助于提高IP地址的利用率，并简化网络管理过程。
3. 临时连接
动态NAT还可以用于支持临时连接的需求。有些场景下，内部主机需要临时与外部网络建立连接，但并不需要保持长期的通信。动态NAT可以分配临时的公共IP地址和端口号给内部主机，使其能够与外部网络进行临时连接。
例如，在一些P2P应用中，内部主机需要与其他对等方直接通信。通过动态NAT，内部主机可以获取一个临时的公共IP地址和端口号，与其他对等方建立直接连接，完成数据传输后，连接可以被释放，公共IP地址和端口号可以重新分配给其他内部主机使用。
动态NAT的优点和缺点
动态NAT具有以下优点：
IP地址资源共享：动态NAT允许多个内部主机共享一组公共IP地址，提高IP地址资源的利用率。 灵活性和可伸缩性：动态NAT可以根据需要配置和调整地址池，适应网络规模的变化。 管理简便：动态NAT自动分配和管理公共IP地址和端口号，简化了网络管理的工作量。
然而，动态NAT也存在一些缺点：
端口耗尽：动态NAT使用端口号来区分不同的内部主机，当内部主机数量较多时，可能会导致端口号耗尽的问题。 无法建立持久连接：由于动态NAT使用临时分配的公共IP地址和端口号，无法建立长期的持久连接。 可预测性差：动态NAT的端口号分配是动态的，对于某些需要确定性的应用程序或协议，可能导致可预测性差的问题。
动态NAT配置
华为设备
nat dynamic {内部IP地址池名称} interface
例如：
nat dynamic pool1 interface
思科设备
ip nat pool {IP地址池名称} {起始IP地址} {结束IP地址} netmask {子网掩码}
ip nat inside source list {访问列表号} pool {IP地址池名称} overload
例如：
ip nat pool pool1 203.0.113.10 203.0.113.20 netmask 255.255.255.0
ip nat inside source list 1 pool pool1 overload
Juniper设备
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match source-address {内部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match destination-address {外部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} then source-nat interface
例如：
set security nat source rule-set nat-rules from zone internal to zone external
set security nat source rule-set nat-rules from zone internal to zone external rule 1
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match source-address 10.0.0.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match destination-address 203.0.113.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 then source-nat interface
小结
动态NAT是一种常见的网络地址转换技术，允许多个内部主机共享一组公共IP地址。它通过使用地址池和端口号实现内外网之间的通信，并在IP地址资源共享、灵活性和管理简便性方面具有优势。
动态NAT适用于多主机共享公共IP地址、IP地址管理和临时连接等场景。然而，它也存在端口耗尽、无法建立持久连接和可预测性差等缺点。
PAT
介绍
端口复用PAT（Port Address Translation）是一种网络地址转换技术，也被称为端口地址转换或端口映射。它是在NAT（Network Address Translation）的基础上发展而来，用于解决IPv4地址不足的问题。端口复用PAT通过将源IP地址和端口号的组合映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。
原理
端口复用PAT的工作原理类似于动态NAT，但是它还涉及到端口号的转换和复用。当内部主机发送数据包到外部网络时，端口复用PAT会为每个数据包分配一个唯一的端口号，并将内部主机的私有IP地址和端口号替换为分配的公共IP地址和端口号。在返回的响应数据包中，端口复用PAT会将目标IP地址和端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。
端口复用PAT的工作原理可以分为以下几个步骤：
内部主机发送一个数据包到外部网络，数据包中包含源IP地址和源端口号。 端口复用PAT设备接收到数据包后，检查数据包中的源IP地址和源端口号。 端口复用PAT设备从地址转换表中选择一个可用的公共IP地址和端口号，并建立映射关系。 端口复用PAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址和源端口号。 修改后的数据包被发送到外部网络。
当外部网络的响应数据包返回时，端口复用PAT设备会根据映射关系将目标IP地址和目标端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。
以下是端口复用PAT的简易工作原理过程图：
以上过程图简要描述了端口复用PAT的工作原理。内部主机发送带有源IP地址和源端口号的数据包到端口复用PAT设备。端口复用PAT设备检查数据包中的源IP地址和源端口号，并在地址转换表中查找与源IP地址和源端口号匹配的端口映射关系。如果找到匹配的映射关系，端口复用PAT设备将源IP地址和源端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。
这样，端口复用PAT实现了内部主机与外部网络之间的通信，并通过端口号的转换和复用实现了多个内部主机共享一组公共IP地址的功能。
应用场景
端口复用PAT在以下场景中具有广泛的应用：
1. 家庭网络和小型办公室网络
在家庭网络和小型办公室网络中，通常使用单个公共IP地址连接多个内部主机。端口复用PAT允许多个内部主机共享一个公共IP地址，并通过不同的端口号实现地址和端口的复用。
这样，家庭网络或小型办公室网络中的多个设备（例如个人电脑、手机、智能家居设备等）可以同时访问互联联网，并与外部网络进行通信，而无需为每个设备分配独立的公共IP地址。
2. 云计算和虚拟化环境
在云计算和虚拟化环境中，端口复用PAT可以用于为虚拟机分配公共IP地址。由于云计算环境中虚拟机数量庞大，使用端口复用PAT可以实现多个虚拟机共享一组公共IP地址。
这种方式可以节省公共IP地址资源，并简化IP地址管理和配置的复杂性。同时，通过端口复用PAT，虚拟机可以直接与外部网络进行通信，实现网络连接和数据传输。
3. 服务器负载均衡
端口复用PAT也可以用于服务器负载均衡环境中。在负载均衡集群中，多个服务器共享一个公共IP地址，通过端口复用PAT将客户端请求转发到不同的服务器上。
通过使用不同的端口号映射到不同的服务器，端口复用PAT可以实现负载均衡和请求分发，提高系统的性能和可扩展性。
PAT的优点和缺点
端口复用PAT具有以下优点：
节省IP地址资源：端口复用PAT允许多个内部主机共享一个公共IP地址，减少了对公共IP地址资源的需求，提高了IP地址的利用率。 灵活性和可扩展性：通过端口复用PAT，可以动态地分配和管理公共IP地址和端口号，适应网络规模的变化。 简化配置和管理：端口复用PAT可以简化IP地址配置和管理的工作量，减少了对网络设备的配置需求。
然而，端口复用PAT也存在一些缺点：
端口耗尽：端口复用PAT使用端口号来区分不同的内部主机和应用程序，当内部主机或应用程序数量较多时，可能会导致端口号耗尽的问题。 不支持对称流量：由于端口复用PAT是基于端口号的映射，它对称流量（即源端口和目标端口相同的流量）无法进行正确的处理。 限制应用程序类型：某些应用程序或协议对端口复用PAT的支持有限，可能需要进行额外的配置或使用其他解决方案。
PAT配置
华为设备
nat address-group {地址组名称} interface {出口接口}
例如：
nat address-group group1 interface GigabitEthernet0/0/0
思科设备
ip nat inside source list {访问列表号} interface {出口接口} overload
例如：
ip nat inside source list 1 interface GigabitEthernet0/0/0 overload
Juniper设备
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match source-address {内部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} then source-nat pool {地址池名称}
例如：
set security nat source rule-set nat-rules from zone internal to zone external
set security nat source rule-set nat-rules from zone internal to zone external rule 1
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match source-address 10.0.0.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 then sourcenat pool pool1
小结
端口复用PAT是一种用于解决IPv4地址不足问题的网络地址转换技术。它通过将源IP地址和端口号映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。
静态 NAT、动态 NAT、PAT对比
| 特点 | 静态 NAT | 动态 NAT | PAT（端口地址转换） |
|---|---|---|---|
| 工作原理 | 将内部主机的私有IP地址静态映射为公共IP地址 | 将内部主机的私有IP地址动态映射为公共IP地址 | 将内部主机的私有IP地址和端口号映射为公共IP地址和端口号 |
| IP地址需求 | 需要足够的公共IP地址 | 需要足够的公共IP地址 | 需要较少的公共IP地址 |
| 管理和配置复杂性 | 较高 | 中等 | 较低 |
| 端口号需求 | 不需要端口号 | 不需要端口号 | 需要端口号 |
| 对称流量支持 | 支持 | 支持 | 不支持 |
| 安全性 | 高 | 中等 | 中等 |
| 适用场景 | 小型网络 | 中型网络 | 大型网络 |
总结
静态NAT、动态NAT和PAT是常见的NAT实现方式，用于解决IPv4地址短缺问题并实现网络连接。静态NAT适用于需要将特定内部IP地址映射到特定外部IP地址的场景，而动态NAT允许内部主机动态获取可用的外部IP地址。PAT进一步引入了端口号的转换，实现多个内部主机共享一个公共IP地址。
根据不同的网络需求和规模，选择适合的NAT方式非常重要。静态NAT适用于少量的固定映射，动态NAT适用于多个内部主机的共享，而PAT则适用于大规模的网络中多主机共享公共IP地址和端口号的场景。
往期推荐