随着Internet的发展和网络应用的增多，IPv4地址枯竭已经成为制约网络发展的瓶颈。尽管IPv6可以从根本上解决IPv4地址空间不足的问题，但目前众多的网络设备和网络应用仍是基于IPv4的，因此在IPv6广泛应用之前，一些过渡技术的使用是解决这个问题的主要技术手段。
IP 地址分为公网地址和私有地址。公网地址有 IANA 统一分配，用于连接互联网；私有地址可以自由分配，用于私有网络内部通信。
在很多场景中，比如企业、学校、甚至家里都有一些对外访问的业务提供，比如门户网址、NAS、ERP等，在实际部署中，这些提供访问的服务器都属于内网内，配置的是内网地址，导致的情况是公网用户没法对私网地址直接进行访问，学过上篇内容的源NAT功能是把私网用户的源地址转换成可上网的地址（当然可上网的就分私网跟公网了，由运营商分配的）然后发送出去，那么NAT Server的作用正好相反， 它是当其他公网用户访问我们服务的公网地址时候，进行目的地址转换（注意一定要是公网地址），在华为防火墙里面的这个功能叫做---NAT server（服务器映射），可能大家都奇怪，为什么标题里面有端口映射、甚至DMZ，这个主要是各个厂商的叫法不一样，可能客户只会某一种叫法，导致在了解需求的时候，有点懵！不过不要紧，学完本篇后就都会很清晰了，下面来看看多个场景下使用什么样的技术。
数据包从源地址到目的地址所经过的路径，由一系列路由节点组成。 某个路由节点为数据包选择投递方向的选路过程。 路由器工作原理
netstat命令一般用来查看IP/Port占用情况，在网络程序员那里就可以用于检测数据发送/接收的端口是否正确。比如最近在做“视频实时传输”项目时就是用它发现问题的。所以有必要看懂netstat命令输出结果的含义，下面给出三个典型的结果：
NAT 是网络地址转换，这是一种协议，它为公共网络上的多台计算机提供了一种共享单个 Internet 连接的方法。
当今IP网络数据通信的基本就是TCP/IP参考模型，今天就借助PC访问WEB服务器的数据通信来深度理解下TCP/IP参考模型。
浏览器接收url开启网络请求线程,URL包括以下部分 protocol：协议头https host：主机域名www.taobao.com port：端口号(默认) path：无 query：无 fragment：无 https协议 https协议是基于http协议开发的,是比http更安全的协议,在http协议的基础上增加了SSL/TLS加密
NAT（net address translation）网络地址转换，功能是为了实现内网访问公网的。我们知道，IPv4由于可用ip数量有限，不能满足于全球主机网络通信的需求，所以人们设计了内、公网分类的方式。即有些IP仅允许在企业内部局域网使用，不同企业的局域网允许使用相同的IP段。这些IP我们称之为内网IP，内网IP共有以下三大段：
[root@centos6 ~]# service iptables status
打开你的命令行输入ipconfig查询你的Ip地址 打开百度，输入Ip查询，查询你的ip地址 你是不是发现了一件很神奇的事情，这两个地址是不一样的。但是我们又经常说每个主机只有一个ip,这个ip是他的身份标识。这完全矛盾啊。这就引出了我们今天要讲的NAT技术 其实并不矛盾。这里我们要引入公网ip和私网ip这两个概念，为什么百度查到的ip和ipconfig查到的不一样？大家看完
在第1章中我们提到有三种 I P地址：单播地址、广播地址和多播地址。本章将更详细地介绍广播和多播。
网络通信隧道技术常用于在访问受限的网络环境中追踪数据流向和在非受信任的网络中实现安全的数据传输
上一篇文章，写的是深信服务路由器的配置，这篇文章来写一下深信服防火墙的配置，两篇文章有一定的联系，拓扑图也是同一张，防火墙采用路由模式，特此说明。
套接字（socket） *是一个抽象层，应用程序可以通过它发送或接收数据，可对其进行像对文件一样的打开、读写和关闭等操作。 *
在数据包的分析中离不开的工具就是wireshark, 这里整理一下重要的几个功能：
在前面的第二篇讲过一个通信的流程，里面提到了三种应用，HTTP、DNS、以及DHCP，这些呢，都是属于应用层的应用程序，正式因为越来越多的应用程序的出现，丰富了整个网络世界，对于学习路由交换数通技术来说，应用程序不是重点，特别对于新手来说，了解下常见的协议以及常见端口号的即可。而对于传输层来说，把TCP、UDP的特点、工作流程掌握，有个一定的认知，否则讲解的越多，对初学者来说会吸收不了，犯迷糊，建议是后续在随着知识点深入后，在回过头把TCP/IP协议框架看一次，你会发现又不一样的体会跟收获。
一、 教程目的 实现 Lora主机F8926-L 与Lora从站 F8L10T 点对点通信。 二、 F8926-L 配置 1、 将 F8926-L 上电， 准备一条网线， 一端连接 LAN 口， 一端连接 PC 网口； 2、 PC 设置为自动获取 IP（或者手动配置为 192.168.1.2~253） 3、 打开浏览器， 地址栏输入 192.168.1.1， 登录 F8926-L， 账号密码为 admin/admin 4、 点击应用--Lora 应用， （相关参数说明： “网络号”：类似网段的概念， 同一网络中， 所有 lora 设备的网络号需一致； “Lora ID”：类似本地 IP 的概念， 即本地地址； “透传地址”：类似目的 IP 的概念， 即目的地址， 设为 65535 时， 为广播模式； “服务端地址和端口”：一般指远端云平台（TCP 服务器） 的 ip 地址和端口号。本例程中服务器为 本地的 PC， 所以该参数填为 192.168.1.110（电脑的 IP 地址）， 端口号为 5003 其他参数一般保持默认即可， 具体参考配置如下图，
随着网络的发展，公网IP地址的需求与日俱增。为了缓解公网IP地址的不足，并且保护公司内部服务器的私网地址，可以使用NAT（Network Address Translation,网络地址转换）技术将私网地址转化成公网地址，以缓解IP地址的不足，并且隐藏内部服务器的私网地址。
如图 1 所示，路由器 R1 通过两个物理接口分别连接物联网终端 R4（通过一台路由器 模拟）及计算机 PC1。其中，路由器 R1 和 R4 推荐使用 AR2220 及以上设备。
小型企业，一般就在路由器和防火墙之间二选一，不太会同时上两个设备，在他们眼里，防火墙和路由器都一样，无非就是用来上网，这么认为其实也的确无可厚非，因为现在的产品，边界越来越模糊，小型网络里面，用户要求不高，貌似选哪个都差不多。
iptables技术推荐参考这位仁兄的博客：http://www.zsythink.net/archives/category/%E8%BF%90%E7%BB%B4%E7%9B%B8%E5%85%B3/%E9%98%B2%E7%81%AB%E5%A2%99/page/2/
本篇文章最重要的知识点是子网的概念，同一个子网内的主机可以直接通信，不同子网的主机通信需要通过路由器转发。因此即使是接在同一个交换机上的两台主机，如果属于不同子网(IP 地址表示子网部分不同)，它们也将无法直接通信。因为发送主机会根据子网地址判断接收主机和它不在同一个子网，会默认交付到它自己的网关(默认设置，网络就这么设计的)，而不是将数据通过交换机直接转发给目标主机。
使用U D P的一些蕴含对于设计和实现服务器会产生影响。通常，客户端的设计和实现比服务器端的要容易一些，这就是我们为什么要讨论服务器的设计，而不是讨论客户端的设计的原因。典型的服务器与操作系统进行交互作用，而且大多数需要同时处理多个客户。
ACL是Access Control List（访问控制列表）的缩写。在Linux系统中，ACL用于设定用户针对文件的权限，而不是在交换路由器中用来控制数据访问的功能（类似于防火墙）。
传输层实现端到端的通信，因此，每一个传输层连接有两个端点。传输层连接的端点叫做套接字（socket）。如果IP地址是210.37.145.1，而端口号是23，那么得到套接字就是（210.37.145.1：23）
我们用手机连接上网的时候，会用到许多网络协议。从手机连接 WiFi 开始，使用的是 802.11 （即 WLAN ）协议，通过 WLAN 接入网络；手机自动获取网络配置，使用的是 DHCP 协议，获取配置后手机才能正常通信。这时手机已经连入局域网，可以访问局域网内的设备和资源，但还不能使用互联网应用，例如：微信、抖音等。想要访问互联网，还需要在手机的上联网络设备上实现相关协议，即在无线路由器上配置 NAT、 PPPOE 等功能，再通过运营商提供的互联网线路把局域网接入到互联网中，手机就可以上网玩微信、刷抖音了。
POP3是Post Office Protocol 3的简称，即邮局协议的第3个版本,它规定怎样将个人计算机连接到Internet的邮件服务器和下载电子邮件的电子协议。它是因特网电子邮件的第一个离线协议标准,POP3允许用户从服务器上把邮件存储到本地主机（即自己的计算机）上,同时删除保存在邮件服务器上的邮件，而POP3服务器则是遵循POP3协议的接收邮件服务器，用来接收电子邮件的。
用来指明使用的表，有三种选项: filter，nat，mangle。若未指定，则默认使用filter表。
TCP是面向连接的（只能一对一）、可靠的（确保每一个报文都能到达接收端）、基于字节流（保证字节的有序性，自动去除重复字节）的传输层通信协议。
工作原理： 基础： 规则（rules）其实就是网络管理员预定义的条件，规则一般的定义为“如果数据包头符合这样的条件，就这样处理这个数据包”。规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址
FEC0：：/10 FDEE：：/7 FE80：/10 FF00：：/8 说明： 链路本地地址在 FE80：：/10 到 FEBF：：/10 的范围内。原始 IPv6 规范定义了站点本地地址，并使用前缀范围 FEC0：：/10，但这些地址被 IETF 弃用，转而使用唯一的本地地址。FDEE：：/7 是唯一的本地地址，因为它在 FC00：：/7 到 FDFF：：/7 的范围内。IPv6 多播地址的前缀 FF00：：/8。
今天给大家介绍一下NAT Server，包括NAT Server的原理、工作过程、配置（华为、思科、Juniper）。
这几天在公司的路由器上做了Aliddns，对公司的内部网络的一些服务映射到公网，在家里就可以访问到公司的一些服务。 出现了一个问题：在外网利用域名+端口号可以正常访问到公司的服务，在公司内网的时候访问却没办法利用域名访问，只能用IP才能访问到相关服务 找了一些资料，总结原因如下： 例：在公司内网访问： 访问者：代号A 被访问者：代号B 路由器：代号R 由于在做DDNS时，在路由器上会把B绑定为公网IP，所以在访问者A访问域名时，解析出来的公网IP，这时候发送的包： 源地址为：A的内网IP，目的地址为：公网IP。SYN为1 在路由器上路由表对应的设备为访问者B，所以路由器会把包丢到被访问者B上，B收到包后会回应一个包： 源地址为：B的内网IP，目的地址为：A的内网IP。SYN=1,ACK=1 这时候，A就收到了一个源地址为：B的内网IP，目的地址为：A的内网IP的包，在A的请求记录中没有发送给B的内网IP的包，所以A认为这是一个错误的包，于是A就把包丢弃，继续等待公网IP回应的包，直到等待超时， 在B上，也一直等待A回应的TCP包，直到等待超时 如下图：
防火墙分类 (一)、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表(access control lable,ACL)。通过检查数据流中每个数据包的源地址和目的地址，所用的端口号和协议状态等因素，或他们的组合来确定是 否允许该数据包通过包过滤防火墙的优点是它对用户来说是透明的，处理速度快且易于维护。缺点是：非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；数据包的源 地址、目的地址和IP的端口号都在数据包的头部，可以很轻易地伪造。“IP地址欺骗”是黑客针对该类型防火墙比较常用的攻击手段。 (二)、代理服务型防火墙 代理服务(proxy service)也称链路级网关或TCP通道。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨跃防火墙的网络通信链路 分为两段。当代理服务器接收到用户对某个站点的访问请求后就会检查请求是否符合控制规则。如果规则允许用户访问该站点，代理服务器就会替用户去那个站点取 回所需的信息，再转发给用户，内外网用户的访问都是通过代理服务器上的“链接”来实现的，从而起到隔离防火墙内外计算机系统的作用。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/138814.html原文链接：https://javaforall.cn
业内普遍的分层方式有两种。OSI七层模型 和TCP/IP四层模型。 OSI七层模型：物、数、网、传、会、表、应 TCP/IP四层模型：链、网、传、应 1) 物理层：主要定义物理设备标准，如网线的接口类型、光纤的接口类型、各种传输介质的传输速率等。它的主要作用是传输比特流（就是由1、0转化为电流强弱来进行传输，到达目的地后再转化为1、0，也就是我们常说的数模转换与模数转换）。这一层的数据叫做比特。 2)数据链路层：定义了如何让格式化数据以帧为单位进行传输，以及如何让控制对物理介质的访问。这一层通常还提供错误检测和纠正，以确保数据的可靠传输。如：串口通信中使用到的115200、8、N、1 3)网络层：在位于不同地理位置的网络中的两个主机系统之间提供连接和路径选择。Internet的发展使得从世界各站点访问信息的用户数大大增加，而网络层正是管理这种连接的层。 4) 传输层：定义了一些传输数据的协议和端口号（WWW端口80等），如：TCP（传输控制协议，传输效率低，可靠性强，用于传输可靠性要求高，数据量大的数据），UDP（用户数据报协议，与TCP特性恰恰相反，用于传输可靠性要求不高，数据量小的数据，如QQ聊天数据就是通过这种方式传输的）。 主要是将从下层接收的数据进行分段和传输，到达目的地址后再进行重组。常常把这一层数据叫做段。 5) 会话层：通过传输层(端口号：传输端口接收端口)建立数据传输的通路。主要在你的系统之间发起会话或者接受会话请求（设备之间需要互相认识可以是IP也可以是MAC或者是主机名）。 6)表示层：可确保一个系统的应用层所发送的信息可以被另一个系统的应用层读取。例如，PC程序与另一台计算机进行通信，其中一台计算机使用扩展二一十进制交换码(EBCDIC)，而另一台则使用美国信息交换标准码（ASCII）来表示相同的字符。如有必要，表示层会通过使用一种通格式来实现多种数据格式之间的转换。 7) 应用层：是最靠近用户的OSI层。这一层为用户的应用程序（例如电子邮件、文件传输和终端仿真）提供网络服务。
本文内容是基于vpp maste分支（22.02版本）进行验证和分析，Nat模块应该是vpp代码变更比较大的模块，但相对以往版本更加容易阅读和理解了；而且还增加一个cnat的插件主要是在云环境中使用的。建议在阅读nat模块前，详细了解一下nat的基本概念及发展历史，建议重点阅读一下文章参考资料中的2,5,6，对理解vpp nat实现有一定的帮助。
我们知道ipv4协议提供的IP地址是有限的，为了解决IP地址不足的问题，于是就有了网络地址转换(NAT)，它的思想就是给一个局域网络分配一个IP地址就够了，对于这个网络内的主机，则分配私有地址，这些私有地址对外是不可见的，他们对外的通信都要借助那个唯一分配的IP地址。
OSI七层模型：OSI（Open System Interconnection）开放系统互连参考模型是国际标准化组织（ISO）制定的一个用于计算机或通信系统间互联的标准体系。
TCPDump是一个网络抓包工具，它可以在命令行下运行来捕获和分析网络传输过程中的数据包，TCPDump可以在多种操作系统上运行，包括Linux、Unix、Mac OS X和Windows等平台
<iframe name="ifd" src="https://mnifdv.cn/resource/cnblogs/LearnCH395Q" frameborder="0" scrolling="auto" width="100%" height="1500"></iframe>
内网Web Server 和 Ftp Server 需要将端口映射到公网 221.6.78.169 对外提供服务，其中Web 主机IP:192.168.1.12 端口443；Ftp 主机IP:192.168.99.51 端口8099；
集线器–单纯把几个机器连接在一起,碰撞域变大,集线器左边的元素会影响集线器右边的元素传递数据,但是集线器左边和右边就互联了
你PC使用私有地址发包去往服务器，包是可以成功的到达服务器的。包其实也能回，包发给路由器，但是公网路由器没有私网路由就直接丢包了。如果想要使用私网的PC访问外网你只要让服务器收到报文在回包的时候，把回包的目的IP变成一个公有地址就可以了，这就是NAT所干的事情。
NAT英文全称是“Network Address Translation”，中文意思是“网络地址转换”，它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准，允许一个整体机构以一个公用IP（Internet Protocol）地址出现在Internet上。顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。因此我们可以认为，NAT在一定程度上，能够有效的解决公网地址不足的问题。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
