Техническое руководство по NAT — обзор преобразования сетевых адресов

Как работает преобразование NAT Данный документ содержит флэш-анимацию. Содержание Общие сведения Предварительные условия Требования Используемые компоненты Условные обозначения Что скрывается за маской Динамическое преобразование сетевых адресов и примеры перегрузки Флэш-анимация: динамическое преобразование сетевых адресов (NAT) Безопасность и администрирование Многоканальное подключение Дополнительные сведения Общие сведения Если вы читаете данный документ, то, скорее всего, вы подключены к Интернету и весьма велика вероятность того, что вы используете преобразование сетевых адресов (NAT) непосредственно сейчас. Интернет разросся до таких размеров, о которых никто и не предполагал.

Несмотря на то, что точный размер его неизвестен, согласно текущим оценкам в Интернете в активном состоянии находится около 100 миллионов хостов и более 350 миллионов пользователей. Это больше, чем все население США! Фактически скорость расширения такова, что ежегодно размер Интернета удваивается. А какое отношение NAT имеет к размеру Интернет? Самое непосредственное! Чтобы компьютер мог обмениваться информацией с другими компьютерами и веб-серверами в Интернет, у него должен быть IP-адрес . IP-адрес (IP расшифровывается как "протокол Интернета", англ. - "Internet Protocol") представляет собой уникальное 32-битовое число, которое указывает на расположение вашего компьютера в сети.

В основном он используется так же, как адрес вашей улицы: это способ определения вашего точного местоположения для отправки вам данных. Когда IP-адреса только появились, то все думали, что адресов достаточно для удовлетворения любых потребностей. Теоретически можно использовать 4 294 967 296 уникальных адресов (2 32 ). Реально доступно меньше адресов (в диапазоне от 3,2 до 3,3 миллиардов). Их число ограничивается следующими факторами: способом разделения адресов на классы и необходимостью резервировать некоторые адреса для многоадресной передачи, тестирования или иных целей.

Из-за стремительного расширения использования Интернета и увеличением домашних и коммерческих сетей, количества доступных IP-адресов стало просто не хватать. Очевидное решение – переделать формат адреса так, чтобы появилась возможность использования большего количества адресов. Работа над этой проблемой идет ( IPv6 ), но реализация решения займет как минимум несколько лет, поскольку для этого требуется изменить всю инфраструктуру Интернета. Маршрутизатор NAT преобразует трафик, входящий в частную сеть и покидающий ее.

Стр. 1

Вот где большую пользу оказывает преобразование NAT (RFC 1631 ). В основном преобразование сетевых адресов позволяет одному устройству, например, маршрутизатору, выступать в качестве агента между Интернетом ("сетью общего пользования") и локальной (или "частной") сетью. Это означает, что для представления всей группы компьютеров кому-либо находящемуся за пределами этой сети требуется только один уникальный IP-адрес. Нехватка IP-адресов является только одной из причин для использования NAT. Есть еще две веских причины: Безопасность; Администрирование. Вы узнаете больше о том, как получить преимущества от использования NAT, но сначала давайте рассмотрим NAT и его возможности ближе…

Предварительные условия Требования Для понимания данного документа требуется наличие следующих знаний: Принципы IP-адресации и маршрутизации. Используемые компоненты Данный документ не ограничен отдельными версиями программного и аппаратного обеспечения. Условные обозначения Дополнительные сведения об условных обозначениях в документах см. в документе "Технические рекомендации Cisco. Условные обозначения". Что скрывается за маской NAT похоже на секретаря в большом офисе. Предположим, секретарь получил указания переадресовать вам звонки только по вашему требованию. Позже вы звоните потенциальному клиенту и оставляете ему сообщение о том, чтобы он вам перезвонил.

Вы сообщаете секретарю, что ожидается звонок от данного клиента, с которым вас следует соединить. Клиент набирает общий номер офиса, поскольку клиент знает только этот номер. Когда клиент сообщает секретарю имя разыскиваемого человека, секретарь просматривает таблицу поиска, которая содержит имя человека и дополнительный номер. Секретарь знает, что этот вызов был запрошен, поэтому он переадресует звонящего на ваш дополнительный номер. Технология преобразования сетевых адресов, разработанная Cisco, используется в устройстве (брандмауэре, маршрутизаторе или компьютере), который находится между внутренней сетью и остальным миром.

Механизм преобразования NAT представлен в различных формах и может работать несколькими способами:

Стр. 2

Статическое NAT – сопоставление незарегистрированного IP-адреса зарегистрированному IP-адресу как один к одному. Это особенно полезно, когда необходимо предоставить доступ к устройству из-за пределов сети. В статическом NAT IP-адрес 192.168.32.10 компьютера всегда будет преобразовываться в 213.18.123.110: Динамическое NAT – сопоставление незарегистрированного IP-адреса зарегистрированному IP-адресу из группы зарегистрированных адресов. Динамическое NAT также устанавливает соответствие "один к одному" между незарегистрированным и зарегистрированным IP-адресами, однако сопоставление может меняться в зависимости от доступности зарегистрированных адресов в пуле во время обмена информацией.

В динамическом NAT IP-адрес 192.168.32.10 будет преобразовываться в первый доступный адрес из диапазона от 213.18.123.100 до 213.18.123.150: Перегрузка – форма динамического NAT, когда несколько незарегистрированных IP-адресов сопоставляются одному IP-адресу посредством использования различных портов. Также известно как PAT (преобразование портов в адреса), одноадресное NAT или NAT с мультиплексированием по портам. При перегрузке адрес каждого компьютера частной сети преобразуется в один и тот же IP-адрес (213.18.123.100), но с назначением различных номеров портов:

Наложение – когда IP-адреса, используемые во внутренней сети, являются зарегистрированными IP-адресами, используемыми в другой сети, маршрутизатор должен хранить таблицу подстановки этих адресов, чтобы он мог их перехватывать и заменять на зарегистрированные уникальные IP-адреса. Важно отметить, что маршрутизатор NAT должен преобразовывать "внутренние" адреса в зарегистрированные уникальные адреса, а также должен преобразовывать "внешние" зарегистрированные адреса в адреса, уникальные для частной сети. Это можно сделать либо с использованием статического NAT, либо с использованием DNS и реализацией динамического NAT.

Внутренний диапазон IP-адресов (237.16.32.xx) также является зарегистрированным диапазоном, используемым другой сетью. Поэтому маршрутизаторы преобразуют адреса во избежание потенциальных конфликтов с другой сетью. Когда информация передается во внутреннюю сеть, он также преобразует зарегистрированные глобальные IP-адреса обратно в незарегистрированные локальные IP-адреса.

Стр. 3

Обычно внутренней сетью является ЛВС (локальная вычислительная сеть) , часто называемая тупиковым доменом . Тупиковый домен представляет собой ЛВС, IP-адреса внутри которой используются внутренним образом. Большинство сетевого трафика тупикового домена является локальным, он не выходит за пределы внутренней сети. Тупиковый домен может содержать как зарегистрированные, так и незарегистрированные IP-адреса. Естественно, для связи с остальным миром все компьютеры, использующие незарегистрированные IP-адреса, должны использовать преобразование сетевых адресов. Преобразование NAT можно настроить различными способами.

В примере ниже маршрутизатор NAT настроен на преобразование незарегистрированных IP-адресов (среди локальных адресов), которые находятся в частной (внутренней) сети, в зарегистрированные IP-адреса. Это происходит всякий раз, когда устройству с незарегистрированным адресом, находящемуся внутри, необходимо осуществить обмен информацией с сетью (внешней) общего пользования. ISP назначает вашей компании диапазон IP-адресов. Назначенный блок адресов представляет собой зарегистрированные уникальные IP-адреса и называется внутренними глобальными адресами . Незарегистрированные частные IP-адреса разбиты на две группы:

маленькая группа ( внешние локальные адреса ), которая будет использоваться маршрутизаторами NAT, и большая группа, которая будет использоваться в тупиковом домене, известная как внутренние локальные адреса . Внешние локальные адреса используются для преобразования уникальных IP-адресов, известных как внешние глобальные адреса , устройств сети общего пользования. Дополнительные сведения по определениям глобальных и локальных адресов см. в документе NAT: определения терминов локальный и глобальный. NAT преобразует только трафик, который проходит между внутренней и внешней сетью и указывается как подлежащий преобразованию.

Любой трафик, не соответствующий критериям преобразования или трафик, пересылаемый между другими интерфейсами маршрутизатора, никогда не преобразуется, поскольку он и так пересылается. IP-адреса обозначаются по-разному. Это зависит от того, находятся они в частной сети (в тупиковом домене) или в сети общего пользования (Интернет), а также от типа трафика, входящего или исходящего: Большинство компьютеров тупикового домена обмениваются друг с другом информацией при помощи локальных адресов. Некоторые из компьютеров тупикового домена обмениваются большим количеством информации с внешней сетью. Эти компьютеры имеют внутренние глобальные адреса, поэтому им преобразование не требуется.

Когда компьютеру в домене частной сети, имеющий внутренний локальный адрес, необходим обмен данными с компьютером, находящимся за пределами сети, пакеты передаются маршрутизаторам NAT посредством обычной маршрутизации к шлюзу по умолчанию. Маршрутизатор NAT проверяет, есть ли в таблице маршрутизации запись для адреса места назначения. Если адрес места назначения отсутствует в таблице маршрутизации, пакет сбрасывается. Если запись есть, маршрутизатор проверяет, идет ли пакет из внутренней сети во внешнюю, а также проверяет, соответствует ли пакет критериям, заданным для преобразования.

Затем маршрутизатор проверяет таблицу преобразования адресов, чтобы проверить наличие записи для внутреннего локального адреса со связанным внутренним глобальным адресом. Если запись найдена, он преобразует пакет с использованием внутреннего глобального адреса. Если настроена только статическое NAT и запись не найдена, оно пересылает пакет без преобразования. Используя внутренний глобальный адрес, маршрутизатор посылает пакет на адрес места назначения. Компьютер сети общего пользования посылает пакет в частную сеть. Адрес источника пакета является внешним глобальным адресом. Адрес места назначения является внутренним глобальным адресом.

Когда пакет поступает во внешнюю сеть, маршрутизатор NAT по таблице преобразования адресов определяет наличие адреса места назначения, сопоставленного с компьютером тупикового домена. Маршрутизатор NAT преобразует внутренний глобальный адрес пакета во внутренний локальный адрес, после чего проверяет таблицу маршрутизации перед тем, как отправить пакет на компьютер места назначения. Когда запись для адреса не найдена в таблице преобразования, он не преобразуется, а выполняется проверка наличия адреса места назначения в таблице маршрутизации. Пакет сбрасывается, если в таблице маршрутизации не удалось найти маршрут до адреса места назначения.

Дополнительную информацию по порядку обработки транзакций при помощи NAT см. в документе Порядок работы NAT.

Стр. 4