NAT 如何共享一个公有 IP

互联网使用 IPv4 地址，但这类地址只有约 43 亿个，远少于如今在线的 device 数量。要为每部手机、笔记本电脑和各种设备购买一个公共地址是不可能的。

NAT（网络地址转换）提供了巧妙的解决方案：它允许私有网络中的多个 device 共享一个公共 IP 地址访问互联网，从而节省有限的地址资源。

网络在内部使用私有 IP 地址范围（10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16）。这些地址无法在公共互联网上路由，因此不能直接用于在线通信。

公共 IP 地址具有全球唯一性，并且可以在互联网上路由。NAT 连接了这两个世界，在私有内部地址与互联网所看到的公共地址之间进行转换。

NAT 通常运行在网络边缘的路由器或防火墙上，也就是私有 LAN 与公共互联网之间的边界。您家中的路由器此刻就正在执行 NAT。

这个边缘 device 在外部接口上持有一个由 ISP 分配的公共地址，在内部连接私有网络，并为其后的每个 device 执行地址转换。

内部 device 向互联网发送数据包时，NAT 会将源地址重写为路由器的公共 IP。对于目标服务器而言，这些流量看起来像是来自该公共地址。

回复返回时，NAT 会将目标地址重写回正确的私有地址，并将数据透明地传送给相应的内部 device。

NAT 会维护一张转换表，将每个内部通信映射到外部通信，这样返回的数据包就能匹配到正确的设备。没有这张表，路由器就不知道返回的数据包属于哪个内部主机。

每条记录都会跟踪内部地址、外部地址以及用于识别的详细信息，因此几十个同时建立的连接可以共享一个公共 IP，而不会发生混淆。

NAT 主要有以下几种形式：

• 静态 NAT：一个私有地址与一个公共地址之间固定的一对一映射。
• 动态 NAT：私有地址根据需要映射到公共地址池中的地址。
• PAT（端口地址转换）：许多设备通过使用端口号共享一个公共 IP，这是家庭网络中最常见的形式。

NAT 的创建初衷是节省地址，但它还带来了额外的安全好处。由于内部设备使用私有且不可路由的地址，并隐藏在一个公共 IP 后面，互联网无法直接向这些设备发起连接。

这并不是真正的防火墙，因此不应把它当作防火墙依赖；不过，它确实会自然地隐藏内部网络，并默认阻止未经请求的入站流量。

由于 IPv4 地址十分稀缺，NAT 变得不可或缺。拥有巨大地址空间的 IPv6 可以为每台设备提供唯一的全球地址，因此传统 NAT 在 IPv6 中基本没有必要。

不过，IPv4 远未退出历史舞台，所以 NAT 仍然无处不在。即使全世界正缓慢转向地址资源充足的 IPv6，理解 NAT 仍然至关重要。

设想一个家庭网络，其中有多台设备，每台设备都有一个类似 192.168.1.10 和 192.168.1.11 的私有地址。路由器从 ISP 获得一个公共地址，例如 203.0.113.5。

当任意设备浏览网页时，路由器会先将其私有源地址改写为 203.0.113.5，再把数据包发送出去。所有设备在网上共享这一个公共身份，而路由器的转换表会确保每个回复都能返回正确的设备。

NAT 并非没有问题。对于将 IP 地址嵌入自身数据中，或需要入站连接的协议，NAT 可能会造成其无法正常工作，例如某些语音（VoIP）和点对点应用。

解决办法包括端口转发、应用层网关，以及专门设计用于穿越 NAT 的协议。为了尽可能延展有限的 IPv4 地址空间而付出的代价，就是这些额外的复杂性。

NAT 让许多私有设备共享一个公共 IP，从而节省稀缺的 IPv4 地址。它运行在网络边界的路由器或防火墙上，会改写源地址和目标地址，并在转换表中跟踪通信。NAT 分为静态、动态和PAT几种形式，还会带来附带的安全效果；在 IPv6 环境下，它基本没有必要。

测试您对 NAT 基础知识的掌握情况。

NAT 在私有内部地址与共享的公共 IP 之间进行转换，从而节省稀缺的 IPv4 地址空间。它运行在网络边界的路由器/防火墙上，会改写地址，并以静态、动态或PAT的形式在转换表中跟踪通信流。它还会隐藏内部主机，使其免受未经请求的入站流量影响；在 IPv6 环境下，它基本没有必要。