近七千字！从里到外剖析三种网络地址转换NAT：静态NAT、动态NAT、PAT

蔚落 2024-03-17 15:47 97阅读 0赞

你好，这里是网络技术联盟站。

网络地址转换（Network Address Translation，NAT）是一种在计算机网络中广泛使用的技术，它允许将一个网络地址映射到另一个网络地址。静态NAT、动态NAT和端口地址转换（Port Address Translation，PAT）是NAT的常见实现方式。

![c87cc920a7c8804d689a2055c1884a11.png][]

本文将详细介绍这三种技术的原理、应用、优缺点，同时还会介绍每种技术在华为、思科、Juniper设备上应该如何配置，可以这样说，看了本文一定会对这三种NAT技术熟记于心！

#### 文章目录 ####

*   *  静态 NAT
     *   *  介绍
         *  原理
         *  应用场景
         *   *  1. 服务器映射
             *  2. 安全控制
             *  3. 路由优化
             *  4. 特殊应用需求
         *  静态NAT的优点和缺点
         *  静态NAT配置
         *   *  华为设备
             *  思科设备
             *  Juniper设备
         *  小结
     *  动态 NAT
     *   *  介绍
         *  原理
         *  应用场景
         *   *  1. 多主机共享公共IP地址
             *  2. IP地址管理
             *  3. 临时连接
         *  动态NAT的优点和缺点
         *  动态NAT配置
         *   *  华为设备
             *  思科设备
             *  Juniper设备
         *  小结
     *  PAT
     *   *  介绍
         *  原理
         *  应用场景
         *   *  1. 家庭网络和小型办公室网络
             *  2. 云计算和虚拟化环境
             *  3. 服务器负载均衡
         *  PAT的优点和缺点
         *  PAT配置
         *   *  华为设备
             *  思科设备
             *  Juniper设备
         *  小结
     *  静态 NAT、动态 NAT、PAT对比
     *  总结

### 静态 NAT ###

#### 介绍 ####

静态网络地址转换（Static Network Address Translation，静态 NAT）是一种常见的网络地址转换技术。它允许将一个内部IP地址映射到一个外部IP地址，从而实现内部主机与外部网络的通信。静态NAT的实现通常在网络边界设备上，例如路由器或防火墙。

![684a43eb8f28181a823de90dde9af7a2.png][]

#### 原理 ####

静态NAT通过建立一对一的地址映射关系来实现内外网之间的通信。具体而言，内部主机的私有IP地址被映射为一个公有IP地址，使得内部主机可以通过这个公有IP地址与外部网络进行通信。

静态NAT的工作原理如下：

1.  内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。
2.  NAT设备接收到数据包后，检查数据包中的源IP地址。
3.  NAT设备查询静态NAT转换表，查找与源IP地址匹配的映射规则。
4.  如果找到匹配的映射规则，NAT设备将源IP地址替换为映射后的外部IP地址。
5.  修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，静态NAT设备会将目标IP地址还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。

以下是静态NAT的简易工作原理过程图：

![7ecb9394257ab01745ba006c4ef0fe8a.png][]

以上过程图简要描述了静态NAT的工作原理。内部主机发送带有源IP地址的数据包到静态NAT设备。静态NAT设备检查源IP地址，并在NAT转换表中查找与源IP地址匹配的映射规则。如果找到匹配的映射规则，静态NAT设备将源IP地址替换为映射后的外部IP地址，并将修改后的数据包发送到外部网络。

这样，静态NAT实现了内部主机与外部网络之间的通信，同时保护了内部网络的真实拓扑结构和内部主机的真实IP地址的安全性。

#### 应用场景 ####

静态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用静态NAT的情况：

##### 1. 服务器映射 #####

静态NAT常用于将内部服务器映射到一个或多个公网IP地址。通过将服务器的私有IP地址映射为公有IP地址，外部网络可以直接访问服务器，而无需暴露内部网络的其他主机。

服务器映射可以用于各种服务，例如Web服务器、邮件服务器、FTP服务器等。这样，用户可以通过公网IP地址访问服务器提供的服务。

##### 2. 安全控制 #####

静态NAT还可用于网络安全控制的目的。通过将特定的内部主机映射为一个公有IP地址，可以对该主机的访问进行严格控制。例如，内部网络中的某个重要主机可以被映射为一个公有IP地址，而其他主机则无法直接访问。

这种安全控制机制有助于保护内部网络免受未经授权的访问和攻击。

##### 3. 路由优化 #####

静态NAT还可以用于路由优化的目的。当内部网络使用非路由的私有IP地址范围时，通过静态NAT将内部主机的私有IP地址映射为公有IP地址，可以使得内部主机可以直接与外部网络通信，无需经过网络地址转换和路由器的处理。

这种路由优化可以减少网络中的路由表项和转发处理，提高网络性能和效率。

##### 4. 特殊应用需求 #####

某些特殊的应用程序可能需要使用固定的公有IP地址进行通信。通过静态NAT，可以将特定的内部主机映射为固定的公有IP地址，以满足这些应用的需求。

例如，某些视频会议系统、VoIP应用或其他需要与特定IP地址进行通信的应用程序，可以通过静态NAT将其内部主机的私有IP地址映射为指定的公有IP地址。

![fd677accee210d5ebfec80d09fd8f854.png][]

#### 静态NAT的优点和缺点 ####

静态NAT具有以下优点：

*  简单易懂：静态NAT的实现相对简单，易于理解和配置。
 *  一对一映射：每个内部主机都可以具有唯一的公有IP地址，避免了IP地址冲突和重复问题。
 *  安全性：通过映射内部主机的私有IP地址为公有IP地址，可以隐藏内部网络的真实拓扑结构和内部主机的真实IP地址。

然而，静态NAT也存在一些缺点：

*  IP地址消耗：静态NAT需要为每个需要映射的内部主机分配一个公有IP地址，因此会占用较多的IP地址资源。
 *  可伸缩性：静态NAT不适用于大规模网络中的动态地址映射需求，因为需要手动配置每个映射规则。
 *  配置复杂性：当内部网络的拓扑结构发生变化时，需要手动更新和维护静态NAT的配置，增加了管理和维护的复杂性。

#### 静态NAT配置 ####

##### 华为设备 #####

nat static {内部IP地址} {公共IP地址} mapping

例如：

nat static 10.0.0.1 203.0.113.1 mapping

##### 思科设备 #####

ip nat inside source static {内部IP地址} {公共IP地址}

例如：

ip nat inside source static 10.0.0.1 203.0.113.1

##### Juniper设备 #####

set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号}
    set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} match destination-address {内部IP地址}
    set security nat static rule-set {规则集名称} from zone {内部区域} rule {规则号} then static-nat prefix {公共IP地址}

例如：

set security nat static rule-set nat-rules from zone internal rule 1
    set security nat static rule-set nat-rules from zone internal rule 1 match destination-address 10.0.0.1
    set security nat static rule-set nat-rules from zone internal rule 1 then static-nat prefix 203.0.113.1

#### 小结 ####

静态NAT是一种常见的网络地址转换技术，用于将内部主机的私有IP地址映射为公有IP地址。它在服务器映射、安全控制、路由优化和特殊应用需求等场景中发挥着重要作用。

静态NAT通过一对一的地址映射关系实现内外网之间的通信，并具有简单易懂、安全性等优点。然而，它也存在IP地址消耗、可伸缩性和配置复杂性等缺点。

### 动态 NAT ###

#### 介绍 ####

动态网络地址转换（Dynamic Network Address Translation，动态 NAT）是一种常见的网络地址转换技术。与静态NAT不同，动态NAT允许内部网络中的多个主机共享一组公共IP地址。动态NAT通常在网络边界设备上实现，例如路由器或防火墙。

![21e2b206c609e032f3d0ca2e51a22700.png][]

#### 原理 ####

动态NAT通过使用地址池和端口号来实现内外网之间的通信。它维护一个地址池，其中包含一组可用的公共IP地址。当内部主机发送数据包到外部网络时，动态NAT从地址池中分配一个公共IP地址和唯一的端口号，并将内部主机的私有IP地址替换为分配的公共IP地址和端口号。这样，内部主机可以通过动态NAT的转换实现与外部网络的通信。

动态NAT的工作原理如下：

1.  内部主机发送一个数据包到外部网络，数据包中包含源IP地址和目标IP地址。
2.  NAT设备接收到数据包后，检查数据包中的源IP地址。
3.  NAT设备从地址池中选择一个可用的公共IP地址和端口号。
4.  NAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址。
5.  修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，动态NAT设备会将目标IP地址和端口号还原为内部主机的私有IP地址，并将数据包传递给正确的内部主机。

以下是动态NAT的简易工作原理过程图：

![4b574a45699f2dda8f4c21528f68e9f4.png][]

以上过程图简要描述了动态NAT的工作原理。内部主机发送带有源IP地址和端口号的数据包到动态NAT设备。动态NAT设备检查数据包中的源IP地址和端口号，并在NAT转换表中查找与源IP地址和端口号匹配的动态映射关系。如果找到匹配的映射关系，动态NAT设备将源IP地址和端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。

这样，动态NAT实现了内部主机与外部网络之间的通信，并通过动态分配的公共IP地址和端口号实现了多个内部主机共享一组公共IP地址的功能。

#### 应用场景 ####

动态NAT在网络设计和管理中具有广泛的应用场景。以下是一些常见的使用动态NAT的情况：

##### 1. 多主机共享公共IP地址 #####

动态NAT允许内部网络中的多个主机共享一组公共IP地址。通过分配唯一的端口号，动态NAT可以将多个内部主机映射到不同的端口上，并使用同一个公共IP地址与外部网络通信。这样，内部主机可以共享有限的公共IP地址资源，而无需为每个主机分配独立的公共IP地址。

##### 2. IP地址管理 #####

动态NAT在IP地址管理方面也非常有用。通过使用动态NAT，网络管理员可以更灵活地管理和分配IP地址。他们可以根据需要配置和调整地址池，动态分配公共IP地址给内部主机。

这种IP地址管理机制有助于提高IP地址的利用率，并简化网络管理过程。

##### 3. 临时连接 #####

动态NAT还可以用于支持临时连接的需求。有些场景下，内部主机需要临时与外部网络建立连接，但并不需要保持长期的通信。动态NAT可以分配临时的公共IP地址和端口号给内部主机，使其能够与外部网络进行临时连接。

例如，在一些P2P应用中，内部主机需要与其他对等方直接通信。通过动态NAT，内部主机可以获取一个临时的公共IP地址和端口号，与其他对等方建立直接连接，完成数据传输后，连接可以被释放，公共IP地址和端口号可以重新分配给其他内部主机使用。

![580cfc22b64c5fe5a30cf8324047ac35.png][]

#### 动态NAT的优点和缺点 ####

动态NAT具有以下优点：

*  IP地址资源共享：动态NAT允许多个内部主机共享一组公共IP地址，提高IP地址资源的利用率。
 *  灵活性和可伸缩性：动态NAT可以根据需要配置和调整地址池，适应网络规模的变化。
 *  管理简便：动态NAT自动分配和管理公共IP地址和端口号，简化了网络管理的工作量。

然而，动态NAT也存在一些缺点：

*  端口耗尽：动态NAT使用端口号来区分不同的内部主机，当内部主机数量较多时，可能会导致端口号耗尽的问题。
 *  无法建立持久连接：由于动态NAT使用临时分配的公共IP地址和端口号，无法建立长期的持久连接。
 *  可预测性差：动态NAT的端口号分配是动态的，对于某些需要确定性的应用程序或协议，可能导致可预测性差的问题。

#### 动态NAT配置 ####

##### 华为设备 #####

nat dynamic {内部IP地址池名称} interface

例如：

nat dynamic pool1 interface

##### 思科设备 #####

ip nat pool {IP地址池名称} {起始IP地址} {结束IP地址} netmask {子网掩码}
    ip nat inside source list {访问列表号} pool {IP地址池名称} overload

例如：

ip nat pool pool1 203.0.113.10 203.0.113.20 netmask 255.255.255.0
    ip nat inside source list 1 pool pool1 overload

##### Juniper设备 #####

set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域}
    set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号}
    set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match source-address {内部IP地址}
    set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} match destination-address {外部IP地址}
    set security nat source rule-set {规则集名称} from zone {内部区域} to zone {外部区域} rule {规则号} then source-nat interface

例如：

set security nat source rule-set nat-rules from zone internal to zone external
    set security nat source rule-set nat-rules from zone internal to zone external rule 1
    set security nat source rule-set nat-rules from zone internal to zone external rule 1 match source-address 10.0.0.0/24
    set security nat source rule-set nat-rules from zone internal to zone external rule 1 match destination-address 203.0.113.0/24
    set security nat source rule-set nat-rules from zone internal to zone external rule 1 then source-nat interface

#### 小结 ####

动态NAT是一种常见的网络地址转换技术，允许多个内部主机共享一组公共IP地址。它通过使用地址池和端口号实现内外网之间的通信，并在IP地址资源共享、灵活性和管理简便性方面具有优势。

动态NAT适用于多主机共享公共IP地址、IP地址管理和临时连接等场景。然而，它也存在端口耗尽、无法建立持久连接和可预测性差等缺点。

### PAT ###

#### 介绍 ####

端口复用PAT（Port Address Translation）是一种网络地址转换技术，也被称为端口地址转换或端口映射。它是在NAT（Network Address Translation）的基础上发展而来，用于解决IPv4地址不足的问题。端口复用PAT通过将源IP地址和端口号的组合映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。

![79b06e0bbb8c3f6f399d73d804aff59b.png][]

#### 原理 ####

端口复用PAT的工作原理类似于动态NAT，但是它还涉及到端口号的转换和复用。当内部主机发送数据包到外部网络时，端口复用PAT会为每个数据包分配一个唯一的端口号，并将内部主机的私有IP地址和端口号替换为分配的公共IP地址和端口号。在返回的响应数据包中，端口复用PAT会将目标IP地址和端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。

端口复用PAT的工作原理可以分为以下几个步骤：

1.  内部主机发送一个数据包到外部网络，数据包中包含源IP地址和源端口号。
2.  端口复用PAT设备接收到数据包后，检查数据包中的源IP地址和源端口号。
3.  端口复用PAT设备从地址转换表中选择一个可用的公共IP地址和端口号，并建立映射关系。
4.  端口复用PAT设备将选定的公共IP地址和端口号替换数据包中的源IP地址和源端口号。
5.  修改后的数据包被发送到外部网络。

当外部网络的响应数据包返回时，端口复用PAT设备会根据映射关系将目标IP地址和目标端口号还原为内部主机的私有IP地址和端口号，并将数据包传递给正确的内部主机。

以下是端口复用PAT的简易工作原理过程图：

![1b6192582809d4b57caf32256891dacc.png][]

以上过程图简要描述了端口复用PAT的工作原理。内部主机发送带有源IP地址和源端口号的数据包到端口复用PAT设备。端口复用PAT设备检查数据包中的源IP地址和源端口号，并在地址转换表中查找与源IP地址和源端口号匹配的端口映射关系。如果找到匹配的映射关系，端口复用PAT设备将源IP地址和源端口号替换为分配的公共IP地址和端口号，并将修改后的数据包发送到外部网络。

这样，端口复用PAT实现了内部主机与外部网络之间的通信，并通过端口号的转换和复用实现了多个内部主机共享一组公共IP地址的功能。

#### 应用场景 ####

端口复用PAT在以下场景中具有广泛的应用：

##### 1. 家庭网络和小型办公室网络 #####

在家庭网络和小型办公室网络中，通常使用单个公共IP地址连接多个内部主机。端口复用PAT允许多个内部主机共享一个公共IP地址，并通过不同的端口号实现地址和端口的复用。

这样，家庭网络或小型办公室网络中的多个设备（例如个人电脑、手机、智能家居设备等）可以同时访问互联联网，并与外部网络进行通信，而无需为每个设备分配独立的公共IP地址。

##### 2. 云计算和虚拟化环境 #####

在云计算和虚拟化环境中，端口复用PAT可以用于为虚拟机分配公共IP地址。由于云计算环境中虚拟机数量庞大，使用端口复用PAT可以实现多个虚拟机共享一组公共IP地址。

这种方式可以节省公共IP地址资源，并简化IP地址管理和配置的复杂性。同时，通过端口复用PAT，虚拟机可以直接与外部网络进行通信，实现网络连接和数据传输。

##### 3. 服务器负载均衡 #####

端口复用PAT也可以用于服务器负载均衡环境中。在负载均衡集群中，多个服务器共享一个公共IP地址，通过端口复用PAT将客户端请求转发到不同的服务器上。

通过使用不同的端口号映射到不同的服务器，端口复用PAT可以实现负载均衡和请求分发，提高系统的性能和可扩展性。

![e372d2a99e41d90bfa226f2c2427fcc8.png][]

#### PAT的优点和缺点 ####

端口复用PAT具有以下优点：

*  节省IP地址资源：端口复用PAT允许多个内部主机共享一个公共IP地址，减少了对公共IP地址资源的需求，提高了IP地址的利用率。
 *  灵活性和可扩展性：通过端口复用PAT，可以动态地分配和管理公共IP地址和端口号，适应网络规模的变化。
 *  简化配置和管理：端口复用PAT可以简化IP地址配置和管理的工作量，减少了对网络设备的配置需求。

然而，端口复用PAT也存在一些缺点：

*  端口耗尽：端口复用PAT使用端口号来区分不同的内部主机和应用程序，当内部主机或应用程序数量较多时，可能会导致端口号耗尽的问题。
 *  不支持对称流量：由于端口复用PAT是基于端口号的映射，它对称流量（即源端口和目标端口相同的流量）无法进行正确的处理。
 *  限制应用程序类型：某些应用程序或协议对端口复用PAT的支持有限，可能需要进行额外的配置或使用其他解决方案。

#### PAT配置 ####

##### 华为设备 #####

nat address-group {地址组名称} interface {出口接口}

例如：

nat address-group group1 interface GigabitEthernet0/0/0

##### 思科设备 #####

ip nat inside source list {访问列表号} interface {出口接口} overload

例如：

ip nat inside source list 1 interface GigabitEthernet0/0/0 overload

##### Juniper设备 #####

例如：

#### 小结 ####

端口复用PAT是一种用于解决IPv4地址不足问题的网络地址转换技术。它通过将源IP地址和端口号映射到唯一的公共IP地址和端口号上，实现多个内部主机共享一个公共IP地址。

### 静态 NAT、动态 NAT、PAT对比 ###

![99357fbc8fa35ab48ec8eb35b2ac7222.png][]

<table> 
 <thead> 
  <tr> 
   <th>特点</th> 
   <th>静态 NAT</th> 
   <th>动态 NAT</th> 
   <th>PAT（端口地址转换）</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>工作原理</td> 
   <td>将内部主机的私有IP地址静态映射为公共IP地址</td> 
   <td>将内部主机的私有IP地址动态映射为公共IP地址</td> 
   <td>将内部主机的私有IP地址和端口号映射为公共IP地址和端口号</td> 
  </tr> 
  <tr> 
   <td>IP地址需求</td> 
   <td>需要足够的公共IP地址</td> 
   <td>需要足够的公共IP地址</td> 
   <td>需要较少的公共IP地址</td> 
  </tr> 
  <tr> 
   <td>管理和配置复杂性</td> 
   <td>较高</td> 
   <td>中等</td> 
   <td>较低</td> 
  </tr> 
  <tr> 
   <td>端口号需求</td> 
   <td>不需要端口号</td> 
   <td>不需要端口号</td> 
   <td>需要端口号</td> 
  </tr> 
  <tr> 
   <td>对称流量支持</td> 
   <td>支持</td> 
   <td>支持</td> 
   <td>不支持</td> 
  </tr> 
  <tr> 
   <td>安全性</td> 
   <td>高</td> 
   <td>中等</td> 
   <td>中等</td> 
  </tr> 
  <tr> 
   <td>适用场景</td> 
   <td>小型网络</td> 
   <td>中型网络</td> 
   <td>大型网络</td> 
  </tr> 
 </tbody> 
</table>

### 总结 ###

静态NAT、动态NAT和PAT是常见的NAT实现方式，用于解决IPv4地址短缺问题并实现网络连接。静态NAT适用于需要将特定内部IP地址映射到特定外部IP地址的场景，而动态NAT允许内部主机动态获取可用的外部IP地址。PAT进一步引入了端口号的转换，实现多个内部主机共享一个公共IP地址。

根据不同的网络需求和规模，选择适合的NAT方式非常重要。静态NAT适用于少量的固定映射，动态NAT适用于多个内部主机的共享，而PAT则适用于大规模的网络中多主机共享公共IP地址和端口号的场景。

[c87cc920a7c8804d689a2055c1884a11.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/b41309ae3a31427ebc9f763bff8edea7.png
[684a43eb8f28181a823de90dde9af7a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/01da4df99cb743b482a0c2b27cb333f5.png
[7ecb9394257ab01745ba006c4ef0fe8a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/3bb67a9a1778460985171abfe68984a6.png
[fd677accee210d5ebfec80d09fd8f854.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/26ca58489e2c45c3bd65b55f06cc1891.png
[21e2b206c609e032f3d0ca2e51a22700.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/27a968f03ca149f093c0ea6b4b044da0.png
[4b574a45699f2dda8f4c21528f68e9f4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/dd433cb7aadd414f92ea0404a46ceec4.png
[580cfc22b64c5fe5a30cf8324047ac35.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/f410b4f13efd4337a9a1b16abd37e977.png
[79b06e0bbb8c3f6f399d73d804aff59b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/82dbe86adfe942f0bc8bd6a08df79128.png
[1b6192582809d4b57caf32256891dacc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/31433a1c0d5548dabea2816ec8b3a091.png
[e372d2a99e41d90bfa226f2c2427fcc8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/5d2c5c1aa5f14f93979bfa90bf57bc9b.png
[99357fbc8fa35ab48ec8eb35b2ac7222.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/8f29757877ed437b9ad2eaacaa0550be.png