网络地址转换技术系列讲座一

曾经看到C司内部一个官方统计,全球有近一半的网络通信故障是由于NAT造成的。与之对应的是,排在C司软件BUG之首的也是和NAT技术相关,从那一刻起,就开始特别关注NAT技术及相关领域。

90年代中叶,一位同学从图书馆借来一本计算机书籍《TCP/IP协议》,乳白色的封面,当时身边大多是工科的研究生,可没有几个人看得懂,即使知道一点,也仅限于靠死记硬背的OSI模型分层,以及每层所实现的功能。厉害一点的同学还知道,分层是为了提高代码的重用,这些初级的概念在同学们中间已经可以吹嘘半天…

经过20多年的互联网爆发式发展,TCP/IP协议虽然谈不上家喻户晓,但每一位的生活却离不开它,现代社会高效率的生活节奏是和TCP/IP协议息息相关的。这是TCP/IP协议设计之初没有想到的景象,要知道TCP/IP协议最初是用来在美国军方内部通信使用的,但架不住市场的召唤,打败天下无敌手,称霸互联网网络层、传输层协议。

互联网上电脑们能够通信,并且能区分彼此的身份,是依赖于每台电脑拥有一个全球唯一的IP地址,但随着电脑越来越多,IP地址空间开始捉襟见肘了,IPv4地址空间只有32个二进制位,理论上有42.95亿个IP地址,但去除一些特殊保留地址,能够用于电脑通信使用的IP地址只有不到30亿。

越是资源稀少的物品,越能够引起人类的哄抢,最终的结果是IP地址被哄抢一空。那没有IP地址如何上网?用户上不了网,如何发展IT产业?

有人说,把IPv4地址扩展得更长一点不就可以了吗?

这是IPv6协议思维,IPv6地址空间128位长,IP地址的数量多到什么程度呢?地球上每一粒沙子都分配一个IP地址尚且有余,人一旦穷怕了,富裕起来会非常贪婪。

问题是IPv6网络和IPv4网络不能直接通信,需要使用网关做地址转换(NAT64),IPv6种种的不便利严重影响它的流行与普及,IPv6已经喊了那么多年,到现在依然只是一个配角。

有人说,可否将IPv4扩展成48位,其它部分维持不变,依然还使用IPv4协议?

这意味着全球的电脑、路由器、交换机、防火墙等等硬件设备都需要升级软件,而在软件中嵌入了32位的IP地址的软件,也需要软件升级,这是一个多么浩瀚的工程,浩瀚到有人敢想,但没人敢做的程度。

在没有更好解决方案之前,业界开始了寻求过渡解决方案,于是网络地址转换(NAT)映入了眼帘。

NAT

在NAT技术标准的RFC里有这么几句话:NAT作为TCP/IP技术补丁,是作为一个过渡性的技术方案,在过渡期间,使得全球亿万万用户上网成为可能。同时,期望有创新的、革命性的技术解决方案诞生,以完全代替NAT技术。

由于很多协议在NAT技术之前已经存在,NAT作为技术补丁,需要一个个协议去打补丁,这是非常繁重的工作。

值得庆幸的是,网络流量绝大多数是以TCP/UDP传输的,作为一种技术补丁,先要解决主要矛盾,即如何解决TCP/UDP上网流量。Okay,接下来看看NAT技术的解决思路。

NAT解决方案

NAT设备位于局域网与互联网的边界,在NAT眼里,局域网是内部(Inside)区域,互联网是外部(Outside)世界。在局域网内,用户可以使用私有IP地址互相通信,这属于内部通信,NAT设备对内部通信不参与,因为NAT的存在是为了解决Inside和outside之间的通信。

假设inside区域的小明开了一个浏览器窗口,使用10.0.0.1:1025访问互联网(outside)区域服务器1.1.1.1:443,问题来了,小明能否同时再开一个窗口访问1.1.1.1:443,使用相同的10.0.0.1:1025?

绝不可能,如果这样的话,两次访问的流量服务器IP地址(10.0.0.1)、端口号(1025)是完全一样的,这样服务器会混淆两次通信会话,从而引起通信的紊乱,所以绝对不允许这样的端口冲突发生。

同学们不禁要问,小明的电脑是如何保证每个通信程序使用不冲突的端口号?

由操作系统集中管理,端口号一共16位,取值范围为0-65535,操作系统为了避免冲突,将这65536个端口资源统一调度,其中0-1024是知名端口,保留给相应的服务使用,1025-65535端口号可以留作普通进程使用,当一个程序执行时,如果该程序没有明确指定端口号,操作系统会从空闲的端口资源中选取一个,供该程序使用。如果该程序明确指定了端口号,操作系统如果检查发现该端口号空闲并允许该程序使用,该程序可以继续用该端口继续运行。

无论是以上哪种方式,都可以避免端口冲突的状况的发生。

大家学习TCP/IP协议,一定听过五元组的概念,五元组的概念来源于TCP连接,

(TCP,源IP,源端口,目的IP,目的端口)

这个五元组定义了一个session,每个session的五元组至少要有一项区别于别的session的地方。有同学说,每个TCP连接的的五元组的“TCP”都是一样的,那么为了保证每个session区别于别人的地方,只能依靠其它四元组了。

但是,往往目的IP、目的端口也是固定不变的,此话怎讲?

比如同学们访问知乎的APP,这是一个https连接,假定知乎的服务器IP为6.6.6.6,在443端口侦听同学们的连接请求。

现在再来审视这个五元组:

(TCP,源IP,源端口,6.6.6.6,443)

那么意味着,只能依靠(源IP,源端口)来区分彼此了。

又有同学说,如果是同一台主机,假设主机的IP =1.1.1.1,那么五元组就有四个元素是固定不变的了,如下图:

(TCP, 1.1.1.1,源端口,6.6.6.6,443)

那么对于同一台主机,访问同一台服务器的同一个服务(端口),只能依赖于不同的源端口。

操作系统统一管理端口号资源,保证每一个进程的端口号是唯一的,这样即使访问同一台服务器的同一个服务(端口),五元组也是不同的,这样就不会造成通信的紊乱。

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180507G0TPWB00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券

年度创作总结 领取年终奖励