1、Network Working Group P. SrisureshRequest for Comments: 3022 Jasmine NetworksObsoletes: 1631 K. EgevangCategory: Informational Intel Corporation January 2001傳統(tǒng)IP網(wǎng)絡地址轉換（傳統(tǒng)NAT）(RFC3022 Traditional IP Network Address Translator (Traditional NAT)備忘錄狀態(tài) 這個備忘錄為因特網(wǎng)社區(qū)提供信息。它沒有詳細說明任何一種網(wǎng)絡標準。這個備忘錄的發(fā)布沒有限制。版權聲明版權屬

2、于因特網(wǎng)社會（2001）。保留所有權利。前言 在這個文檔中描述的IP地址轉換操作擴展了RFC1631介紹的地址轉換和包括了一類的網(wǎng)絡地址和TCP/UDP端口轉換。另外，這個文檔更正了RFC1631的校驗適用算法和試圖詳細討論NAT操作和限制。摘要：基于基本NAT的基本網(wǎng)絡地址轉換是IP地址從一個組到另外一個組映射的一種方式，對終端用戶是透明的。網(wǎng)絡地址端口轉換或NAPT是很多網(wǎng)絡地址和它們的TCP/UDP（傳輸控制協(xié)議/用戶數(shù)據(jù)報協(xié)議）端口轉換成一個唯一的網(wǎng)絡地址和它的TCP/UDP端口。同時，參考傳統(tǒng)NAT這兩個操作提供一種機制，這種機制用全球唯一注冊地址連接私人地址領域到外部領域。1介紹I

3、P地址轉換的需要的提出是因為一個網(wǎng)絡的IP內(nèi)部地址不能用在外部網(wǎng)不論是因為人原因還是因為它們在外部網(wǎng)不合法。在一個局域網(wǎng)的網(wǎng)絡拓補學可以用很多方式改變，顧客可以改變他們的提供商，公司骨干可能重組或則提供商可能合并或分裂。不論外部網(wǎng)隨著時間何時改變，局域網(wǎng)所在的節(jié)點被附以的地址肯定隨著外部網(wǎng)的改變而改變。用戶可能在這種方式的改變被隱藏在區(qū)域里，因為集中改變到單一地址轉換路由器中。基本地址轉換將（在很多情況下，除了NAT-TERM和這個文檔第6部分所有指的）允許在局域網(wǎng)中的主機可以透明的連接外部網(wǎng)和可以連接外部網(wǎng)中可選的主機。網(wǎng)絡組織的建立首先是為了局域網(wǎng)內(nèi)部的應用，還有和廣域網(wǎng)的連接需要是這個規(guī)

4、劃的很好候補。許多小公司，家庭辦公室（SOHO）用戶和電信員工在它們的辦公室有多個網(wǎng)絡節(jié)點運行TCP/UDP應用程序，但是服務提供商只有給他們在遠程連通路由提供唯一的IP地址。這個遠程連接用戶漸增的社區(qū)將從NAPT中獲得好處，NAPT將允許在局域網(wǎng)中有多個節(jié)點同時用路由器附以的唯一IP地址連接遠程網(wǎng)絡。用這種方式有許多局限性。屬于一個會議的所有請求和應答強制路游通過相同的NAT路由器。一種確認的方式將是有一個基于唯一殘缺網(wǎng)段路由的NAT，在那所有的IP包或者從那個起始或者以那個為目的地。還有其他方法用多NAT設備來確保這個規(guī)則。例如，一個單一能夠擁有兩個不同的出口到不同的提供者和局部網(wǎng)絡的主機

5、之間的會議能夠穿過NAT設備到達外部主機的最好途徑。當一個NAT路由器不正常 ，其他的路由器能夠路由所有連接。但是在這中方法下有可能有一個警告，因為再次路由的流量可能在新的NAT路由交換時間里交換失敗。一種解決這個問題的方法是路由器共享相同的NAT配置和交換狀態(tài)信息一保證互相失敗備份。 地址轉換是獨立的應用，經(jīng)常伴隨特殊應用網(wǎng)關（ALOGS）執(zhí)行有效負荷檢測和變換。FTP是NAT設備里最常用ALG功能。要求ALG干涉的應用一定不能有他們自己的有效負荷編碼，因為那樣可能影響到使ALG失笑，直到ALG有解密有效負荷的主鍵。 這個方法有個缺陷是取消了IP地址點對點的意義，和在網(wǎng)絡中用增加的狀態(tài)來補償

6、。總之，通過IPSec保證的點對點IP網(wǎng)絡層安全不能適用于終端主機，如果有NAT設備路由。但是，這個方法的優(yōu)點是它在不需要變換主機和路由器的情況下安裝。在這篇文章里一些概念的定義例如“地址域”，“透明路由”，“TV端口”，“ALG”和其它概念可以在NAT-TERM里找到。2傳統(tǒng)NAT概述： 在這個文檔里描述的地址轉換操作是根據(jù)“傳統(tǒng)NAT”。其它的NAT在這個文檔里沒有給以描述。在大部分情況下，傳統(tǒng)NAT允許在局域網(wǎng)的主機透明的和外部主機連接。在傳統(tǒng)NAT中，從局域網(wǎng)到廣域網(wǎng)方式是單一方向的。相反方向的兩個任務可能允許預選擇主機狀態(tài)地址影射的異常。基本NAT和NAPT是不同的兩種傳統(tǒng)NAT，因

7、為基本NAT地址轉換只是限于IP地址，然而NAPT的地址轉換包括IP地址轉換和傳輸認證（例如TCP/UDP端口或ICMP詢問ID）。 除了提到的那些外，貫穿這篇文章的地址轉換或NAT屬于傳統(tǒng)NAT，也就是基本NAT和NAPT。只有如底下圖一中所描述的殘段網(wǎng)可能配置成執(zhí)行地址轉換。基本NAT的概述：基本NAT的操作如下。擁有一系列IP地址的殘域能夠和外部網(wǎng)絡通訊，通過映射本地地址成全球統(tǒng)一地址。如果本地節(jié)點數(shù)量等于或小于有效通用地址的數(shù)量，每個本地地址都能保證映射到。另外，能夠多個出口到廣域網(wǎng)的節(jié)點數(shù)受通用地址的數(shù)量限制。單一本地地址應該映射成一個專門的全球通用地址來保證連通外部或者通過一個公共

8、地址來與外部連接。多路同時任務可以從一個本地節(jié)點進行初始化，用相同的地址映射。在一個殘域里的地址只是在本地有效而在此域外卻是無效的。但是，在一個殘域里的地址可以被任何其他的殘域從新使用。例如，一個單一類A地址能夠被許多殘域地址所使用。在每一個殘域和主干網(wǎng)的出口點安裝NAT。如果有多個出口，每個出口應該有相同的轉換表。例如，如圖2，殘域A和B內(nèi)部都用類A地址段/8RFC1918。殘域A的NAT附議C類地址段，而殘域B的NAT附議C類地址段。C類地址是全球通用的唯一地址，其他NAT都不能用它們。當殘域A主機試圖發(fā)送一個包到殘域B主機時，用全球通用地址作為目標主機地址，然后送包到第一

9、個路由器。殘域路由器對網(wǎng)絡有一個靜態(tài)所以包可以繼續(xù)往前到廣域網(wǎng)路由器。但是，NAT在包被繼續(xù)向前送之前轉換源地址成。相應的，IP包往回傳時依據(jù)相同的地址轉換。 需要注意的是主機或路由器不要改變。例如，針對殘域A主機，是殘域B中的地址。在絕大多數(shù)情況下，地址轉換對目標主機是通明的。當然，這個只是一個簡單的例子。還有很多問題待解決。2.2 NAPT概述： 有一種說法，一個組織有一個局域網(wǎng)和一個廣域網(wǎng)連接到服務提供商。局域網(wǎng)絡的殘域路由器附議在廣域網(wǎng)連接中的有效地址而此組織中剩余的節(jié)點擁有只是在本地有效的IP地址。在這種情況下，局域網(wǎng)的多個節(jié)點允許多個連接到廣域網(wǎng)，在NAPT的幫助下用登記的唯一IP

10、地址。NAPT允許映射兩個類型（登記IP地址，TV端口數(shù)）到兩個類型（ 登記IP地址，TV端口數(shù)）。這種模型符合大部分小公司家庭公司（SOHO）團體用服務提供商提供的登記IP地址連接廣域網(wǎng)的要求。這個模型能夠擴展趁允許內(nèi)部連接通過映射登記IP地址的每一個服務TV端口的本地節(jié)點。 在下面的圖3中，殘域A內(nèi)部用A類地址段。殘域路由器接口被服務提供商附以IP地址. 當殘域A主機發(fā)送一個遠程登陸包到主機,用全球通用地址作為目標地址，然后送包到第一個路由器。殘域路由器有一個子網(wǎng)靜態(tài)路由，所以包可以繼續(xù)往前傳送到廣域網(wǎng)。但是，在包被網(wǎng)前傳之前，NAPT 轉換IP

11、和TCP包頭里源地址和源TCP端口3017成通用唯一地址和唯一TCP端口。在往回傳的包經(jīng)過同樣的地址和TCP端口轉換。和上邊一樣，我們必修注意，這個轉換不需要改變主機或路由器。這個轉換是完全透明的。 在這個設置中，只有TCP/UDP任務允許且必須從本地局域網(wǎng)中初始化。但是，有些服務例如DNS要求內(nèi)部訪問。還有其它服務一個組織想允許內(nèi)部任務訪問。在路由器上，靜態(tài)配置一個殘域網(wǎng)眾所周知的端口是可能的RFC 1700，可以直接連向專門的局域網(wǎng)節(jié)點。 除了重定向信息類型，TCP/UDP任務和ICMP信息都可以通過NAPT路由器來控制。ICMP查詢類型包和TCP/UDP包的轉換類型一樣，在于ICMP包頭

12、的標志域一對一地和登記IP地址的查詢標志對應。在ICMP查詢信息中的標志域由發(fā)送者設置并且從查詢問答端毫無改變的反饋。所以，一對地址（本地IP地址，本地ICMP查詢標志）通過NAPT路由器映射成一對（登記IP地址，附議的ICMP查詢標志），這個過程保證從任何本地主機來的任何類型有唯一的標志。ICMP錯誤信息的更改在以后的章節(jié)中給以討論，包括ICMP有效負荷的改變和IP和ICMP報頭。 在NAPT設置中，任何登記IP地址和殘域網(wǎng)路由器的廣域網(wǎng)接口的IP地址一樣的地方，路由器必須保證區(qū)分發(fā)生于自己的TCP，UDP或ICMP查詢?nèi)蝿?和那些發(fā)生于局域網(wǎng)節(jié)點的任務。所有內(nèi)部任務（包括TCP，UDP和I

13、CMP查詢?nèi)蝿眨┍患僭O為直接到NAT路由器作為終節(jié)點，除非目標服務端口靜態(tài)映射于局域網(wǎng)中的不同節(jié)點。 除了TCP，UDP和ICMP查詢類型的任務不允許從本地節(jié)點由NAPT路由器傳輸。3.0 任務傳輸過程傳統(tǒng)NAT的傳輸過程和NAT-TERM中描述的一樣。下面的部分說明和傳統(tǒng)NAT的特殊的內(nèi)容。3.1 地址綁定： 用基本NAT，當?shù)谝粋€外傳任務從私有主機初始化時，一個內(nèi)部私有地址綁定一個外部地址。后來，所有其它的外傳任務從相同的私有地址初始化將用相同的地址綁定來傳輸包數(shù)據(jù)。 對NAPT而言，在許多私有地址映射一個全球唯一地址時，綁定是從成對地址（私有IP地址，私有TV端口）到另外一對地址（指派地

14、址，指派TV端口）。和基本NAT一樣，綁定是在第一個外傳任務有一對地址（私有IP地址，私有TV端口）發(fā)動時決定的。由于不是一個普通實踐，有可能同時多個任務初始化一對相同地址（私有地址，私有端口）在一個私有主機中建立是可能的。在這種情況下，一對地址（私有地址，私有TV端口）的一個唯一綁定可能用于所有從相同地址主機中的任務傳送的包。3.2 地址查詢和轉換：在一個地址綁定或地址對綁定（假設NAPT以建立），一個軟狀態(tài)將用綁定來維持任何連接。屬于相同任務的包將服從轉換目的的任務查詢。轉換的確切屬性將在接下去的章節(jié)中進行討論。33解開地址 當基于單個地址或成對地址綁定的最后一個任務終止時，綁定自己將終止

15、。4.0 包傳輸屬于NAT管理任務的包經(jīng)歷任何方向的轉換。對立包數(shù)據(jù)任務在接下去進行詳細的描述。4.1IP，TCP，UDP 和ICMP報頭操作： 在基本NAT模型，每個包的IP頭必須改變，包括IP地址（外傳包的源IP地址，往里傳的目的IP地址）和IP校驗和。 對TCP和UDP任務，改變包括TCP和UDP報頭的校驗和的更正。這是因為TCP/UDP校驗和同時有一個假頭包含源和目的IP地址。有一個例外，校驗和為0的UDP報頭不需要改變。至于ICMP查詢包，由于在ICMP報頭中不包含IP地址，所以不需要額外的變化。 在NAPT模型中，IP頭的變化和基本NAT中的相同。對TCP/UDP任務，在報頭中變化

16、必須擴展成包含轉換TV端口（外傳數(shù)據(jù)的源TV端口和內(nèi)傳的目的TV端口）的轉換。在ICMP查詢包中ICMP報頭必須改變來代替查詢ID和ICMP報頭校驗和。私有主機查詢ID必須轉換成外傳的指派ID和內(nèi)傳的相信轉換。ICMP報頭校驗和必須更正來說明查詢ID轉換。4.2校驗和調(diào)整NAT修正以每個包為準的，能夠準確計算，因為除了簡單域轉換外，它們包括一個或多個校驗和修正。幸運的是，我們有一個算法，它能簡單有效地調(diào)整IP，TCP，UDP和ICMP報頭校驗和。因為所有這些報頭用一個輔助校驗和在轉換時計算差距和把它加到校驗和是足夠的。下面的算法只有對偶偏移有效（如：下面optr是從報頭開始必須是偶偏移）和偶數(shù)

17、長度（如，下面的olen和nlen）。樣本代碼如下： Void checksumadjust(unsigned char *chksum, unsigned char *optr, int olen, unsigned char *nptr, int nlen)/assuming:unsigned char is 8 bits, long is 32 bits.-chksum points to the chksum in the packet-optr points to the old data in the packet-nptr points to the new data in th

18、e packet */ long x,old,new;x=chksum0*256+chksum1;x=x&0xFFFF;while(olen) old = optr0*256+optr1;optr+=2;x-=old&oxffff;if(x<=0 ) x-; x&=0xffff;olen-=2;while(nlen)new=nptr0*256+nptr1;nptr+=2;x+= new& 0xffff; if(x & 0x10000) x+; x&=0xffff;nlen-=2;x=x& 0xffff;chksum0=x/256;c

19、hksum1=x&0xff;4.3 ICMP包錯誤修正：ICMP錯誤信息的變化包括在外層的IP和ICMP報頭的變化和嵌入在ICMP錯誤信息有效負荷報頭的改變。為了使NAT對目的主機是透明的，嵌入在ICMP錯誤信息里的IP報頭里的IP地址必須改變，嵌入IP報頭的校驗和域也必須改變，最后ICMP報頭校驗和也必須隨著有效負荷的變化而變化。在NAPT設置中，如果嵌入在ICMP里的IP信息和TCP，UDP或ICMP查詢包同時發(fā)生，你必須改變在TCP/UDP報頭里的相應的TV端口數(shù)或ICMP查詢報頭里的查詢標志域。最后，傳輸ICMP包的IP頭必須改變。4.3FTP支持 作為最通用的一種應用之一，F(xiàn)

20、TP要求一個ALG來管理控制任務有效負荷來決定保證數(shù)據(jù)傳輸參數(shù)。FTP ALG是大部分NAT執(zhí)行的一個整數(shù)部分。 FTP ALG表需要一個一個專門的表來糾正TCP系列和確認源FTP或目的FTP端口數(shù)。這個表里頭應該有源地址，目的地址，源端口，目的端口，系列號和時間戳。新的內(nèi)容只是在FTP端口命令或PASV反饋時才增加。對每一個FTP端口命令或PASV反饋系列數(shù)有可能增加或減少。系列數(shù)在外傳時增加和確認數(shù)隨往內(nèi)傳時減少。對任何NAT，F(xiàn)TP有效負荷局限于私有地址和它們指派的外部地址（編碼成ASCII碼8進制）。但是對NAPT設置，這個轉換必須同時包括TCP端口（ASCII）。4.5 DNS支持；

21、 考慮傳統(tǒng)NAT任務主要是從本地外傳數(shù)據(jù)，DNS ALG可能避免和下面的傳統(tǒng)NAT相關使用。在局域網(wǎng)內(nèi)部的DNS服務器維持內(nèi)部主機地址或有可能外部主機地址和名字的映射。外部DNS服務器只是維持外部主機地址和名字的映射，而不對內(nèi)部主機進行映射。如果一個局域網(wǎng)沒有內(nèi)部DNS服務器，所有DNS請求直接到外部DNS服務器去找外部主機的映射。4.6 IP選項處理一個含有任何IP選項記錄路由，嚴格源路由或松散源路由的IP數(shù)據(jù)包括記錄和使用中間路由器的IP地址。NAT中間路由器可能不支持這些選項或者處理這些選項時不對地址進行轉換。不對地址進行轉換的結果將是在源路由中私有地址一直暴露出來。這個不會危害報文的傳

22、輸路徑，因為每個路由器只看下一跳的路由器。5 混雜的問題本地和通用地址的劃分在這個文檔里描述的NAT操作，有必要劃分IP地址空間為兩部分在內(nèi)部殘域里使用的私有地址和通用唯一的地址。不論是私有地址還是全球通用地址給定的話，都不能重疊。交迭的問題為如下。假設在殘域A的一個主機試圖傳送數(shù)據(jù)報到殘域B中的主機，但是殘域B中的全球地址和殘域A的私有地址交迭。在這種情況下，在殘域A中的路由器不能夠從分辨它自己的私有地址和殘域B的全球通用地址。推薦的私有地址空間RFC1918已經(jīng)對地址空間的分配作了推薦。因特網(wǎng)授權數(shù)量權威（IANA）有3個IP地址空間塊，相應的為：/8,

23、/12,和。在pre-CIDR符號中，第一個為唯一的A類網(wǎng)絡塊，第二塊為有16個相鄰的B類網(wǎng)絡塊，第三塊為有256個C類網(wǎng)絡的網(wǎng)絡塊。一個組織內(nèi)部需要用如上的IP地址不需要和IANA或因特網(wǎng)注冊機構有任何調(diào)和。這些地址空間能夠同時被許多對立組織使用，用邊界路由器來執(zhí)行NAT操作。5.3NAT上路由 路由器運行NAT不應該用局域網(wǎng)影響到主干網(wǎng)。只有有通用地址的網(wǎng)絡才能在殘域網(wǎng)外被識別。但是，NAT從殘域邊界路由器獲得的全球信息能夠進入殘域。特別的是，NAT殘域路由器有一個靜態(tài)路由配置來通過廣域網(wǎng)連接傳送外部流量到服務商路由器，和服務商路由器有一個靜態(tài)路由配置在廣域網(wǎng)連接來傳輸NAT報文（如，目標

24、IP地址在NAT管理通用地址范圍列表里）到NAT路由器。5.4從基本NAT到NAPT的交換 在基本NAT設置里，當私有節(jié)點比通用地址數(shù)量多時（也就是說，一個B類私有網(wǎng)絡映射一個C類地址網(wǎng)絡塊），外面網(wǎng)絡連接本地節(jié)點有可能突然中斷在最后一個通用地址用完之后。這個是非常不方便和受限制的。這樣的情況能夠安全的避免通過有選擇地允許基本NAT路由器為在地址表最后一個通用地址交換成NAPT設置。這能保證局域網(wǎng)里主機能夠和外部節(jié)點和服務能夠在大部分應用中連續(xù)的連接。但是記住，如果一些基于基本NAT的應用由于交換到NAPT突然中斷有可能引起混亂。6.0NAT局限性 廣泛的說，NAT-TERM包括所有NAT類型

25、的局限性。下面的部分說明傳統(tǒng)NAT的局限性。6.1私有和安全 傳統(tǒng)NAT被認為提供一種私有機制，因為任務是從主機出發(fā)的單向連接和私有主機地址的確切地址對外部網(wǎng)絡是不可見的。增強私有性的相同特性使調(diào)試問題更加困難（包括安全問題）。如果私有網(wǎng)絡里的一個主機用某種方式亂用因特網(wǎng)（例如試圖攻擊另外一臺機器或甚至發(fā)送大的垃圾數(shù)據(jù)報），那么更加困難追擊確實的原因因為主機隱藏在NAT服務器中）。62在局域網(wǎng)中根據(jù)映射通用地址NAT的ARP接口 NAT必須只能在邊緣路由器或殘域中。在這個文檔中提供的例子壽命了基本NAT和NAPT可以從NAT路由器維持一個廣域網(wǎng)連接到外部路由器中。（如，服務提供商路由器）。但是

26、，如果廣域網(wǎng)連接由局域網(wǎng)連接代替和如果所有NAT映射的通用地址屬于局域網(wǎng)段有相同的IP子網(wǎng)，NAT路由器將提供屬于相同子網(wǎng)的地址范圍ARP支持。根據(jù)ARP要求NAT映射通用地址用它自己的MAC地址 在基本NAT中是必須的設置。如果一個NAT路由器不適應這些要求，在網(wǎng)絡中沒有其它節(jié)點擁有這些地址然后沒有反映。 這些設想不可能用NAPT設置除了當在NAPT映射中的單個地址不是NAT路由器的接口地址。（例如，在上面5。4中談到的從基本NAT到NAPT 的交換一樣）。用NAT地址映射直接連接的子網(wǎng)范圍內(nèi)的一個地址可以避免在服務提供商路由器的靜態(tài)路由設置。作者的意見是一個局域網(wǎng)連接到服務提供商路由器不是

27、非常普通的。但是，銷售商在這種情況下對支持代理ARP比較感興趣。63在NAPT設置中外發(fā)TCP/UDP數(shù)據(jù)報的轉換在NAPT設置中外發(fā)TCP/UDP數(shù)據(jù)報的轉換（如，那些從私有主機發(fā)出的地址）注定要失敗。它的原因如下：只有第一個數(shù)據(jù)片包含TCP/UDP報頭，而這個數(shù)據(jù)報頭對數(shù)據(jù)報的發(fā)送又是必須的。接下去的片段不包含TCP/UDP端口信息，但是包含其它第一個數(shù)據(jù)報中包含的一些標志信息。也就是說，兩個私有主機發(fā)送TCP/UDP數(shù)據(jù)報到相同的目的主機。和，它們用相同的片標志。當目的主機收到這兩個沒有相關的數(shù)據(jù)報，它們有相同的片標志，和相同的指派主機地址，所以不可能決定數(shù)據(jù)報是屬于哪個發(fā)送任務。相應的

28、，兩個任務同時崩潰。70 當前實現(xiàn)很多行業(yè)應用商業(yè)應用，這些商業(yè)應用和這個文檔中描述的NAT緊密關聯(lián)。LINUX公眾軟件在IP偽裝下有NAT。FreeBSD公眾軟件用NAPT來運行用作郵件收發(fā)的后臺程序。但是必須注意，LINUX源程序包含GNU聲明，而FreeBSD軟件包含UC Berkeley 聲明。8。0 安全考慮在NAT-TERM描述中的對任何NAT的安全考慮對傳統(tǒng)NAT也是適用的。參考資料NAT-TERM Srisuresh, P. and M. Holdrege, "IP Network Address Translator (NAT) Terminology and Co

29、nsiderations", RFC 2663, August 1999. RFC 1918 Rekhter, Y., Moskowitz, B., Karrenberg, D., de Groot, G. and E. Lear, "Address Allocation for Private Internets", BCP 5, RFC 1918, February 1996. RFC 1700 Reynolds, J. and J. Postel, "Assigned Numbers", STD 2, RFC 1700, October 1994. RFC 1122 Braden, R., "Requirements for Internet Hosts -