网络应用技巧——合理设置NAT
作者: TT, 出处:IT专家网, 责任编辑: 张帅, 2007-09-10 14:06
随着网络在商业应用中的普遍，越来越多的企业同时拥有了内网和外网，如何保证外部网络用户无法获取内部网络的结构呢……
随着网络在商业应用中的普遍，越来越多的企业同时拥有了内网(局域网)和外网(Internet网)。如何保证外部网络用户无法获取内部网络的结构呢?通过设置NAT可将内网与外网分离，这样外部接入用户就很难获取网络的情况，而内部用户可随时访问这两个网络中的资源。
NAT定义
NAT(Network Address Translation)网络地址转换，允许一个公司或机构以一个公用IP(Internet Protocol)地址出现在Internet上。在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请(如192.168.*.*)等。NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关处，将内部地址替换成公用地址，从而在外部公网(internet)上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共IP地址紧缺的问题。在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备(比如：路由器)负责将其内部的IP地址转换为合法的IP地址(即经过申请的IP地址)进行通信。NAT主要的处理方式是通过修改UDP或TCP报文头部地址信息实现地址的转换。
我们知道防火墙的主要工作原理是，判断IP报头中包含的TCP端口号、信宿地址、信源地址以及附属信息来决定是否让该数据包通过。黑客在入侵的时候，通常会使NAT误认为其连接请求是被允许的，从而以一个授权用户的身份对你的网络进行访问。另外VPN(虚拟专用网络)越来越多被企业特别是大企业所认可，如果错误的配置NAT设备，则可能会产生严重的后果。正确配置NAT既可以保证网络通讯的正常，也可以可以保证网络更安全。
NAT的设置
根据NAT设置类型，大致可以分为静态地址转换、动态地址转换、复用动态地址转换。
一、静态地址转换：
静态地址转换将内部本地地址与内部地址进行一对一的转换，并需指定与哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等需要用来为外部用户提供的服务，这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。静态地址转换基本配置如下：
(1)在内部本地地址与内部合法地址之间建立静态地址转换。在全局设置状态下输入：ip nat inside source static 内部本地地址 内部合法地址。
(2)指定连接网络的内部端口 在端口设置状态下输入： ip nat inside。
(3)指定连接外部网络的外部端口 在端口设置状态下输入：ip nat outside。
在实际操作中可以根据实际需要,定义多个内部端口及外部端口。
二、动态地址转换：
动态地址转换也是将本地地址与内部合法地址一对一的转换，但是动态地址转换是从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换。动态地址转换基本配置步骤：
(1)在全局设置模式下，定义内部合法地址池、ip nat pool 地址池名称、起始IP地址、终止IP地址、子网掩码，其中地址池名称可以任意设定。
(2)在全局设置模式下，定义一个标准的access-list规则以允许哪些内部地址可以进行动态地址转换。
(3)在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。
(4)指定与内部网络相连的内部端口在端口设置状态下：ip nat inside
(5)指定与外部网络相连的外部端口：Ip nat outside
三、复用动态地址转换：
复用动态地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。当多个用户同时使用一个IP地址，外部网络通过路由器内部利用上层的如TCP或UDP端口号等唯一标识某台计算机。
在网络发展的今天，不管使用那种地址转换，都是为了在实现企业或机构的内部网络组建和应用。然而对于网络安全来说，却是一种严峻的考验。正确配置并应用网络地址转换NAT技术，可以更好的为企业用户服务，也可以更好的保证企业的信息安全。
