近七千字！从里到外剖析三种网络地址转换NAT：静态NAT、动态NAT、PAT

你好，这里是网络技术联盟站。

网络地址转换（Network Address Translation，NAT）是一种在计算机网络中广泛使用的技术，它允许将一个网络地址映射到另一个网络地址。静态NAT、动态NAT和端口地址转换（Port Address Translation，PAT）是NAT的常见实现方式。

本文将详细介绍这三种技术的原理、应用、优缺点，同时还会介绍每种技术在华为、思科、Juniper设备上应该如何配置，可以这样说，看了本文一定会对这三种NAT技术熟记于心！

目录：

静态 NAT

介绍

静态网络地址转换（Static Network Address Translation，静态 NAT）是一种常见的网络地址转换技术。它允许将一个内部IP地址映射到一个外部IP地址，从而实现内部主机与外部网络的通信。静态NAT的实现通常在网络边界设备上，例如路由器或防火墙。

原理

静态NAT通过建立一对一的地址映射关系来实现内外网之间的通信。具体而言，内部主机的私有IP地址被映射为一个公有IP地址，使得内部主机可以通过这个公有IP地址与外部网络进行通信。

静态NAT的工作原理如下：

1. 内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。
2. NAT设备接收到数据包后，检查数据包中的源IP地址。
3. NAT设备查询静态NAT转换表，查找与源IP地址匹配的映射规则。
4. 如果找到匹配的映射规则，NAT设备将源IP地址替换为映射后的外部IP地址。
5. 修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，静态NAT设备会将目标IP地址还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。

以下是静态NAT的简易工作原理过程图：

以上过程图简要描述了静态NAT的工作原理。内部主机发送带有源IP地址的数据包到静态NAT设备。静态NAT设备检查源IP地址，并在NAT转换表中查找与源IP地址匹配的映射规则。如果找到匹配的映射规则，静态NAT设备将源IP地址替换为映射后的外部IP地址，并将修改后的数据包发送到外部网络。

这样，静态NAT实现了内部主机与外部网络之间的通信，同时保护了内部网络的真实拓扑结构和内部主机的真实IP地址的安全性。

应用场景

静态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用静态NAT的情况：

1. 服务器映射

静态NAT常用于将内部服务器映射到一个或多个公网IP地址。通过将服务器的私有IP地址映射为公有IP地址，外部网络可以直接访问服务器，而无需暴露内部网络的其他主机。

服务器映射可以用于各种服务，例如Web服务器、邮件服务器、FTP服务器等。这样，用户可以通过公网IP地址访问服务器提供的服务。

2. 安全控制

静态NAT还可用于网络安全控制的目的。通过将特定的内部主机映射为一个公有IP地址，可以对该主机的访问进行严格控制。例如，内部网络中的某个重要主机可以被映射为一个公有IP地址，而其他主机则无法直接访问。

这种安全控制机制有助于保护内部网络免受未经授权的访问和攻击。

3. 路由优化

静态NAT还可以用于路由优化的目的。当内部网络使用非路由的私有IP地址范围时，通过静态NAT将内部主机的私有IP地址映射为公有IP地址，可以使得内部主机可以直接与外部网络通信，无需经过网络地址转换和路由器的处理。

这种路由优化可以减少网络中的路由表项和转发处理，提高网络性能和效率。

4. 特殊应用需求

某些特殊的应用程序可能需要使用固定的公有IP地址进行通信。通过静态NAT，可以将特定的内部主机映射为固定的公有IP地址，以满足这些应用的需求。

例如，某些视频会议系统、VoIP应用或其他需要与特定IP地址进行通信的应用程序，可以通过静态NAT将其内部主机的私有IP地址映射为指定的公有IP地址。

静态NAT的优点和缺点

静态NAT具有以下优点：

• 简单易懂：静态NAT的实现相对简单，易于理解和配置。
• 一对一映射：每个内部主机都可以具有唯一的公有IP地址，避免了IP地址冲突和重复问题。
• 安全性：通过映射内部主机的私有IP地址为公有IP地址，可以隐藏内部网络的真实拓扑结构和内部主机的真实IP地址。

然而，静态NAT也存在一些缺点：

• IP地址消耗：静态NAT需要为每个需要映射的内部主机分配一个公有IP地址，因此会占用较多的IP地址资源。
• 可伸缩性：静态NAT不适用于大规模网络中的动态地址映射需求，因为需要手动配置每个映射规则。
• 配置复杂性：当内部网络的拓扑结构发生变化时，需要手动更新和维护静态NAT的配置，增加了管理和维护的复杂性。

静态NAT配置

华为设备

nat static {内部IP地址} {公共IP地址} mapping

例如：

nat static 10.0.0.1 203.0.113.1 mapping

思科设备

ip nat inside source static {内部IP地址} {公共IP地址}

例如：

ip nat inside source static 10.0.0.1 203.0.113.1

Juniper设备

set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号}
set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} match destination-address {内部IP地址}
set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} then static-nat prefix {公共IP地址}

例如：

set security nat static rule-set nat-rules from zone internal rule 1
set security nat static rule-set nat-rules from zone internal rule 1 match destination-address 10.0.0.1
set security nat static rule-set nat-rules from zone internal rule 1 then static-nat prefix 203.0.113.1

小结

静态NAT是一种常见的网络地址转换技术，用于将内部主机的私有IP地址映射为公有IP地址。它在服务器映射、安全控制、路由优化和特殊应用需求等场景中发挥着重要作用。

静态NAT通过一对一的地址映射关系实现内外网之间的通信，并具有简单易懂、安全性等优点。然而，它也存在IP地址消耗、可伸缩性和配置复杂性等缺点。

动态 NAT

介绍

动态网络地址转换（Dynamic Network Address Translation，动态 NAT）是一种常见的网络地址转换技术。与静态NAT不同，动态NAT允许内部网络中的多个主机共享一组公共IP地址。动态NAT通常在网络边界设备上实现，例如路由器或防火墙。

原理

动态NAT通过使用地址池和端口号来实现内外网之间的通信。它维护一个地址池，其中包含一组可用的公共IP地址。当内部主机发送数据包到外部网络时，动态NAT从地址池中分配一个公共IP地址和唯一的端口号，并将内部主机的私有IP地址替换为分配的公共IP地址和端口号。这样，内部主机可以通过动态NAT的转换实现与外部网络的通信。

动态NAT的工作原理如下：

1. 内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。
2. NAT设备接收到数据包后，检查数据包中的源IP地址。
3. NAT设备从地址池中选择一个可用的公共IP地址和端口号。
4. NAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址。
5. 修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，动态NAT设备会将目标IP地址和端口号还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。

以下是动态NAT的简易工作原理过程图：

以上过程图简要描述了动态NAT的工作原理。内部主机发送带有源IP地址和端口号的数据包到动态NAT设备。动态NAT设备检查数据包中的源IP地址和端口号，并在NAT转换表中查找与源IP地址和端口号匹配的动态映射关系。如果找到匹配的映射关系，动态NAT设备将源IP地址和端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。

这样，动态NAT实现了内部主机与外部网络之间的通信，并通过动态分配的公共IP地址和端口号实现了多个内部主机共享一组公共IP地址的功能。

应用场景

动态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用动态NAT的情况：

1. 多主机共享公共IP地址

动态NAT允许内部网络中的多个主机共享一组公共IP地址。通过分配唯一的端口号，动态NAT可以将多个内部主机映射到不同的端口上，并使用同一个公共IP地址与外部网络通信。这样，内部主机可以共享有限的公共IP地址资源，而无需为每个主机分配独立的公共IP地址。

2. IP地址管理

动态NAT在IP地址管理方面也非常有用。通过使用动态NAT，网络管理员可以更灵活地管理和分配IP地址。他们可以根据需要配置和调整地址池，动态分配公共IP地址给内部主机。

这种IP地址管理机制有助于提高IP地址的利用率，并简化网络管理过程。

3. 临时连接

动态NAT还可以用于支持临时连接的需求。有些场景下，内部主机需要临时与外部网络建立连接，但并不需要保持长期的通信。动态NAT可以分配临时的公共IP地址和端口号给内部主机，使其能够与外部网络进行临时连接。

例如，在一些P2P应用中，内部主机需要与其他对等方直接通信。通过动态NAT，内部主机可以获取一个临时的公共IP地址和端口号，与其他对等方建立直接连接，完成数据传输后，连接可以被释放，公共IP地址和端口号可以重新分配给其他内部主机使用。

动态NAT的优点和缺点

动态NAT具有以下优点：

• IP地址资源共享：动态NAT允许多个内部主机共享一组公共IP地址，提高IP地址资源的利用率。
• 灵活性和可伸缩性：动态NAT可以根据需要配置和调整地址池，适应网络规模的变化。
• 管理简便：动态NAT自动分配和管理公共IP地址和端口号，简化了网络管理的工作量。

然而，动态NAT也存在一些缺点：

• 端口耗尽：动态NAT使用端口号来区分不同的内部主机，当内部主机数量较多时，可能会导致端口号耗尽的问题。
• 无法建立持久连接：由于动态NAT使用临时分配的公共IP地址和端口号，无法建立长期的持久连接。
• 可预测性差：动态NAT的端口号分配是动态的，对于某些需要确定性的应用程序或协议，可能导致可预测性差的问题。

动态NAT配置

华为设备

nat dynamic {内部IP地址池名称} interface

例如：

nat dynamic pool1 interface

思科设备

ip nat pool {IP地址池名称} {起始IP地址} {结束IP地址} netmask {子网掩码}
ip nat inside source list {访问列表号} pool {IP地址池名称} overload

例如：

ip nat pool pool1 203.0.113.10 203.0.113.20 netmask 255.255.255.0
ip nat inside source list 1 pool pool1 overload

Juniper设备

set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match source-address {内部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match destination-address {外部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} then source-nat interface

例如：

set security nat source rule-set nat-rules from zone internal to zone external
set security nat source rule-set nat-rules from zone internal to zone external rule 1
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match source-address 10.0.0.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match destination-address 203.0.113.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 then source-nat interface

小结

动态NAT是一种常见的网络地址转换技术，允许多个内部主机共享一组公共IP地址。它通过使用地址池和端口号实现内外网之间的通信，并在IP地址资源共享、灵活性和管理简便性方面具有优势。

动态NAT适用于多主机共享公共IP地址、IP地址管理和临时连接等场景。然而，它也存在端口耗尽、无法建立持久连接和可预测性差等缺点。

PAT

介绍

端口复用PAT（Port Address Translation）是一种网络地址转换技术，也被称为端口地址转换或端口映射。它是在NAT（Network Address Translation）的基础上发展而来，用于解决IPv4地址不足的问题。端口复用PAT通过将源IP地址和端口号的组合映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。

原理

端口复用PAT的工作原理类似于动态NAT，但是它还涉及到端口号的转换和复用。当内部主机发送数据包到外部网络时，端口复用PAT会为每个数据包分配一个唯一的端口号，并将内部主机的私有IP地址和端口号替换为分配的公共IP地址和端口号。在返回的响应数据包中，端口复用PAT会将目标IP地址和端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。

端口复用PAT的工作原理可以分为以下几个步骤：

1. 内部主机发送一个数据包到外部网络，数据包中包含源IP地址和源端口号。
2. 端口复用PAT设备接收到数据包后，检查数据包中的源IP地址和源端口号。
3. 端口复用PAT设备从地址转换表中选择一个可用的公共IP地址和端口号，并建立映射关系。
4. 端口复用PAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址和源端口号。
5. 修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，端口复用PAT设备会根据映射关系将目标IP地址和目标端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。

以下是端口复用PAT的简易工作原理过程图：

以上过程图简要描述了端口复用PAT的工作原理。内部主机发送带有源IP地址和源端口号的数据包到端口复用PAT设备。端口复用PAT设备检查数据包中的源IP地址和源端口号，并在地址转换表中查找与源IP地址和源端口号匹配的端口映射关系。如果找到匹配的映射关系，端口复用PAT设备将源IP地址和源端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。

这样，端口复用PAT实现了内部主机与外部网络之间的通信，并通过端口号的转换和复用实现了多个内部主机共享一组公共IP地址的功能。

应用场景

端口复用PAT在以下场景中具有广泛的应用：

1. 家庭网络和小型办公室网络

在家庭网络和小型办公室网络中，通常使用单个公共IP地址连接多个内部主机。端口复用PAT允许多个内部主机共享一个公共IP地址，并通过不同的端口号实现地址和端口的复用。

这样，家庭网络或小型办公室网络中的多个设备（例如个人电脑、手机、智能家居设备等）可以同时访问互联联网，并与外部网络进行通信，而无需为每个设备分配独立的公共IP地址。

2. 云计算和虚拟化环境

在云计算和虚拟化环境中，端口复用PAT可以用于为虚拟机分配公共IP地址。由于云计算环境中虚拟机数量庞大，使用端口复用PAT可以实现多个虚拟机共享一组公共IP地址。

这种方式可以节省公共IP地址资源，并简化IP地址管理和配置的复杂性。同时，通过端口复用PAT，虚拟机可以直接与外部网络进行通信，实现网络连接和数据传输。

3. 服务器负载均衡

端口复用PAT也可以用于服务器负载均衡环境中。在负载均衡集群中，多个服务器共享一个公共IP地址，通过端口复用PAT将客户端请求转发到不同的服务器上。

通过使用不同的端口号映射到不同的服务器，端口复用PAT可以实现负载均衡和请求分发，提高系统的性能和可扩展性。

PAT的优点和缺点

端口复用PAT具有以下优点：

• 节省IP地址资源：端口复用PAT允许多个内部主机共享一个公共IP地址，减少了对公共IP地址资源的需求，提高了IP地址的利用率。
• 灵活性和可扩展性：通过端口复用PAT，可以动态地分配和管理公共IP地址和端口号，适应网络规模的变化。
• 简化配置和管理：端口复用PAT可以简化IP地址配置和管理的工作量，减少了对网络设备的配置需求。

然而，端口复用PAT也存在一些缺点：

• 端口耗尽：端口复用PAT使用端口号来区分不同的内部主机和应用程序，当内部主机或应用程序数量较多时，可能会导致端口号耗尽的问题。
• 不支持对称流量：由于端口复用PAT是基于端口号的映射，它对称流量（即源端口和目标端口相同的流量）无法进行正确的处理。
• 限制应用程序类型：某些应用程序或协议对端口复用PAT的支持有限，可能需要进行额外的配置或使用其他解决方案。

PAT配置

华为设备

nat address-group {地址组名称} interface {出口接口}

例如：

nat address-group group1 interface GigabitEthernet0/0/0

思科设备

ip nat inside source list {访问列表号} interface {出口接口} overload

例如：

ip nat inside source list 1 interface GigabitEthernet0/0/0 overload

Juniper设备

set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match source-address {内部IP地址}
set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} then source-nat pool {地址池名称}

例如：

set security nat source rule-set nat-rules from zone internal to zone external
set security nat source rule-set nat-rules from zone internal to zone external rule 1
set security nat source rule-set nat-rules from zone internal to zone external rule 1 match source-address 10.0.0.0/24
set security nat source rule-set nat-rules from zone internal to zone external rule 1 then sourcenat pool pool1

小结

端口复用PAT是一种用于解决IPv4地址不足问题的网络地址转换技术。它通过将源IP地址和端口号映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。

静态 NAT、动态 NAT、PAT对比

特点	静态 NAT	动态 NAT	PAT（端口地址转换）
工作原理	将内部主机的私有IP地址静态映射为公共IP地址	将内部主机的私有IP地址动态映射为公共IP地址	将内部主机的私有IP地址和端口号映射为公共IP地址和端口号
IP地址需求	需要足够的公共IP地址	需要足够的公共IP地址	需要较少的公共IP地址
管理和配置复杂性	较高	中等	较低
端口号需求	不需要端口号	不需要端口号	需要端口号
对称流量支持	支持	支持	不支持
安全性	高	中等	中等
适用场景	小型网络	中型网络	大型网络

总结

静态NAT、动态NAT和PAT是常见的NAT实现方式，用于解决IPv4地址短缺问题并实现网络连接。静态NAT适用于需要将特定内部IP地址映射到特定外部IP地址的场景，而动态NAT允许内部主机动态获取可用的外部IP地址。PAT进一步引入了端口号的转换，实现多个内部主机共享一个公共IP地址。

根据不同的网络需求和规模，选择适合的NAT方式非常重要。静态NAT适用于少量的固定映射，动态NAT适用于多个内部主机的共享，而PAT则适用于大规模的网络中多主机共享公共IP地址和端口号的场景。