資訊與網路安全技術第十章 防火牆  上一頁   

 

10-12 網路位址轉譯

『網路位址轉譯』(Network Address Translator, NAT是屬於防火牆的一種設施,它主要的功能是做內部網路位址和外部網路位址之間的轉譯,一般企業將它作為合法 IP 位址和私有位址之間的轉譯功能。目前 IP 位址漸漸不足,因此對外網路位址不可能分配太多,便利用 NAT 來建構私有網路空間。一般 ISP 公司為了克服 IP 位址不足的問題,都給予客戶動態 IP 位址,我們也可以透過 NAT 將動態 IP 轉譯成私有網路空間。

NAT 的基本原理是多個連線共用一個 IP 位址來往外傳送封包,既然我們瞭解 IP 連線是由IP 位址 + TCP 傳輸埠口』所構成,因此對內的每一個 IP 位址對應到一個 IP 連線(IP + TCP Port),並且在主機內維護一只對照表,便可達到 NAT 的功能。我們用圖 10-24 來說明 NAT 的運作程序,其中主機 A 作為 NAT 主機,外部網路位址是 168.15.0.50,而轉譯內部網路 165.15.2.0/24NAT 主機的內部位址是 165.15.2.62。假設內部主機 B165.15.3.30)連結到外部主機 M147.15.3.12)的 Telnet ServerPort 23);另外主機 C165.15.2.34)連結到 Web Server180.3.2.67:80)。我們來觀察主機 B 連線的轉譯運作,首先主機 B 連結(165.15.2.30:4520)到 NAT 主機上的某一傳輸埠口(165.15.2.62:1458),並將其填入內部對照表,由 NAT 主機的內部位址(165.15.2.62:1458)轉換到外部位址(168.15.0.50:3045),也將其填入 NAT 轉譯表內。再由 NAT 主機要求連線到主機 M Web Server,連線成功後將其填入外部對照表。因此由主機 B 到主機 M 之間的連線,就利用 NAT 主機內三個對照表建立而成,如果由主機 M 下載資料到主機 B之間連線運作就經由: 147.15.3.12:23 168.15.0.50:3045,再轉送到 165.15.2.62:1458,最後再轉送到 165.15.2.30:4520。同樣的道理,上傳資料也是經由這條連線傳送。對外部網路而言,連線是經由 168.15.0.50 的位址通訊,外部網路無法知道內部網路的 IP 位址,如此便可達到內部網路主機的隱密性,因此,也稱之為IP 偽裝』(IP Masquerade。主機 C 連結到主機 K 的運作程序亦相同,不再另述。

10-24 NAT 運作原理

當內部網路位址透過 NAT 轉換之後,內部網路位址有可能流露於外,一般為了分辨是合法位址或內部虛擬位址,都將私有位址的範圍設定在:(RFC 1918

  • Class A10.0.0.0 ~ 10.255.255.255IP Mask255.0.0.0

  • Class B172.16.0.0 ~ 172.31.255.255IP Mask255.240.0.0

  • Class C192.168.0.0 ~ 192.168.255.255IP Mask255.255.255.0

當外部路由器接收到一個目的位址為上述範圍內的封包,便將它拋棄不予轉送。

翻轉工作室:粘添壽

 

 

資訊與網路安全技術

 

 

翻轉電子書系列: