详解P2P技术中的NAT穿透原理(转载)

如何配置路由和远程访问NAT服务器
当内部网络客户端发送要连接Internet的请求时，NAT协议驱动程序会截取该请求，并将其转发到目标Internet服务器。所有请求看上去都像是来自NAT服务器的外部IP地址。这样就隐藏您的内部IP地址配置。
配置“路由和远程访问”NAT服务器：
在管理工具菜单中，选中“路由和远程访问”。
在“路由和远程访问”MMC中，展开您的服务器名称(其中服务器名称是您要配置服务器的名称，然后展开左窗格中的IP路由。
选中常规，然后选择新建路由协议。
单击NAT/基本防火墙复选框，将其选中，然后点确定。
右键单击左窗格中的NAT/基本防火墙，然后单击新建接口。
单击表示内部网络接口的接口，然后单击确定。
在“网络地址转换”属性中，单击“专用接口连接到专用网络”，然后单击确定。
右键单击左窗格中的NAT/基本防火墙，然后点新建接口。
单击表示外部网络接口的接口，然后点确定。
在“网络地址转换”属性中，单击“公用接口连接到Internet”。
单击“在此接口上启用NAT”复选框，将其选中，点确定。
NAT服务器可以自动为内部网络客户端分配IP地址。如果您没有已给内部网络上的客户端分配了地址信息的DHCP服务器，则可能会需要使用此功能。
如何配置路由和远程访问NAT服务器以分配IP地址和执行代理DNS查询NAT服务器还可以代表NAT客户端执行域名系统(DNS)查询。“路由和远程访问”NAT服务器对包括在客户端请求中的Internet主机名进行解析，然后将该IP地址转发给该客户端。
要配置“路由和远程访问”NAT服务器来分配IP地址并且代表内部网络客户端执行代理DNS查询，请按以下步骤 *** 作：
右键单击左窗格中的NAT/基本防火墙，然后单击属性。
单击地址分配选项卡，然后单击“使用DHCP自动分配IP地址”复选框，将其选中。

由于网络的飞速发展和网络应用的极速增多，致使IPv4可用地址空间逐渐枯竭。尽管IPv6可以在根本上解决地址枯竭问题，但IPv4发展到IPv6还需要一个过渡，而这便产生了NAT。

IP地址分为公网IP与私网IP。一般情况下，在互联网中，公网IP可直接访问，私网IP无法直接访问。而NAT则是将私网IP地址转换为公网IP地址（将IP报文头部的私网IP地址改为可以提供访问的公网IP地址），从而实现用户上网功能或服务器在互联网上提供服务。NAT还可以使得一个公网IP代表多个不同的内网IP，这样便节省了IP地址资源。

NAT分为静态转换、动态转换、端口转换

公司（有固定公网IP地址）上网访问某网站简易过程

实现SNAT和DNAT都需要开启内核数据转发功能

基于nat表的target，适用于固定的公网IP

SNAT选项：

语法：

范例：

nat表的target，适用于端口映射，即可重定向到本机，也可以支持重定向至不同主机的不同端口，但不支持多目标，即不支持负载均衡功能

DNAT选项：

DNAT语法：

范例：

CentOS 7、8

CentOS 6

iptables-restore选项

用规则文件保存各规则，开机时自动载入此规则文件中的规则

在/etc/rcd/rclocal文件添加

范例: CentOS 7，8 使用 iptables-services

LVS由前端的负载均衡器(Load Balancer，LB)和后端的真实服务器(Real Server，RS)群组成。RS间可通过局域网或广域网连接。LVS的这种结构对用户是透明的，用户只能看见一台作为LB的虚拟服务器(Virtual Server)，而看不到提供服务的RS群。当用户的请求发往虚拟服务器，LB根据设定的包转发策略和负载均衡调度算法将用户请求转发给RS。RS再将用户请求结果返回给用户。

1当客户端的请求到达负载均衡器的内核空间时，首先会到达PREROUTING链。

2当内核发现请求数据包的目的地址是本机时，将数据包送往INPUT链。

3LVS由用户空间的ipvsadm和内核空间的IPVS组成，ipvsadm用来定义规则，IPVS利用ipvsadm定义的规则工作，IPVS工作在INPUT链上,当数据包到达INPUT链时，首先会被IPVS检查，如果数据包里面的目的地址及端口没有在规则里面，那么这条数据包将被放行至用户空间。

4如果数据包里面的目的地址及端口在规则里面，那么这条数据报文将被修改目的地址为事先定义好的后端服务器，并送往POSTROUTING链。

5最后经由POSTROUTING链发往后端服务器。

注意：在NAT模式中，Real Server的网关必须指向LVS，否则报文无法送达客户端。

注意：需要设置lo接口的VIP不能响应本地网络内的arp请求。

①客户端将请求发往前端的负载均衡器，请求报文源地址是CIP，目标地址为VIP。

②负载均衡器收到报文后，发现请求的是在规则里面存在的地址，那么它将在客户端请求报文的首部再封装一层IP报文,将源地址改为DIP，目标地址改为RIP,并将此包发送给RS。

③RS收到请求报文后，会首先拆开第一层封装,然后发现里面还有一层IP首部的目标地址是自己lo接口上的VIP，所以会处理次请求报文，并将响应报文通过lo接口送给eth0网卡直接发送给客户端。

注意：需要设置lo接口的VIP不能在共网上出现。

LVS的调度算法分为静态与动态两类。

NAT概述：网络地址转换（Network Address Translation, NAT）通过将内部网络的的私有IP 地址翻译成唯一的公网IP地址，使内部的网络可以连接到互联网等外部网络上NAT的优点§ 节省公有合法IP地址§ 处理地址交叉§ 增强灵活性§ 安全性（隐藏内部网络的细节，避免来自外部网络的攻击）NAT的缺点§ 延迟增大§ 配置和维护的复杂性§ 不支持某些应用NAT的类型：静态转换（Static Translation）动态装换（Dynamic Translation）端口多路复用（Port Address Translation ）NAT的基本原理：改变IP包头，使目的地址、源地址或两个地址在包头中被不同地址替换NAT的术语：内部局部IP地址（inside local address）：在内部网络中分配给主机的私有ip地址，也就是说，在内部的所有私有地址内部全局IP地址（inside global IP address ）：一个合法的IP地址，它对外代表一个或者多个内部局部IP地址，也就是说，在内部的私有地址通向外部的一个网关，即分配给内部私有地址的公有地址，能代替内部的私有地址外部全局IP地址（outside global IP address）：由其所有者给外部网络上的主机分配的IP地址，也就是说，在外部的所有私有地址外部局部IP地址(outside local IP address)：外部主机表现在内部网络的IP地址，也就是说，在外部的主机分配的一个能代替所有私有的地址NAT的个作原理：以下图来讲原理：NAT工作原理拓扑图首先，我们要清楚，在局域网内部的私有地址是不能访问外网的，必须通过转换成公有地址才可以访问Internet，以上所图，是两个公司之间的Inter网络互相交流，下面来谈谈它的工作原理19216810网络的PC1想要访问192168100网络的User11PC1向RA（网关）发送请求，告诉自己的私有IP地址和MAC地址，并且要求自己要到达192168100网络的User1主机2RA收到请求后，把PC1的源IP地址进行转换，变成内部全局地址，即公有地址20216581，并且为PC1制定一个随机产生的端口号（来识别某台主机），发送到Inter网3Inter网络收到了内部全局IP地址的请求，之间进行路由选择，被RB接收，RB通过查看RA发送过来的内部全局IP地址和端口号等信息，直接发送给192168100网络的网关4网关路由器RB收到了信息，根据对方发过来的目标主机信息，把数据传输给192168100网络的User1主机5根据ICMP协议，user1主机需要回应，对数据进行相应的处理，把数据封装后发送给网关6网关把user1的私有IP地址转换成外部局部IP地址，即公有地址20216582，通过这个公有地址，转发到路由器RA7RA收到数据包，查看自己缓存里的对应的主机和端口，并对19216810网络的PC1进行转发思考：如果两个局域网的主机网络是一样的怎么办呢？这样就构成了地址交叉，我们知道，在一个网络或者子网中，IP地址一样会产生冲突，就那上图来说把，假如192168100网络也是19216810网络，两个公司合并了，那该怎么去解决这个IP冲突呢？其原理和上述原理一样，只不过多了个地址交叉的过程，在这里两个网关，其中的一个充当一个善意的欺骗者，告诉网络中一个假的消息，其实自己是很清楚的，只是把自己当成了一个代理作用，帮别人转发信息NAT的几个用法：复用内部LAN地址（PAT）：通过允许对TCP连接或者UDP会话进行转换，从而达到节省内部全局地址集中的合法地址TCP负载均衡：利用NAT技术，用对外的IP地址来代表多个同样的服务器

---