- 詳解：NAT原理及在VxWorks上的實(shí)現(xiàn)

　　3.5.1　TCP SYN/FIN/RST 狀態(tài)

　　對于一個(gè)TCP連接，如果NAT收到一個(gè)帶有RST標(biāo)志的TCP數(shù)據(jù)包，我們將NAT映射表中對應(yīng)表項(xiàng)的定時(shí)器超時(shí)值置1，那么這個(gè)映射表很快將被刪除。如果收到一個(gè)FIN數(shù)據(jù)包，那么就重新設(shè)置對應(yīng)表項(xiàng)的定時(shí)器超時(shí)值為120s。否則，我們設(shè)置對應(yīng)映射表項(xiàng)的定時(shí)器超時(shí)值為5min。

　　3.5.2　TCP sequence number 調(diào)整

　　NAT的原理就是通過修改過往IP數(shù)據(jù)包的內(nèi)容，來達(dá)到偽裝IP數(shù)據(jù)包的目的。

　　在對部分基于TCP的應(yīng)用協(xié)議（如FTP）的數(shù)據(jù)包進(jìn)行NAT變換時(shí)，如果由于應(yīng)用程序支持模塊改變了TCP數(shù)據(jù)包的內(nèi)容，導(dǎo)致數(shù)據(jù)包的長度發(fā)生變化，那么，為了使當(dāng)前的TCP連接能夠繼續(xù)正常連接，就必須重新調(diào)整TCP的序列號（見圖4）。

　　TCP連接的序列號是在兩個(gè)方向上進(jìn)行調(diào)整的。調(diào)整的原則如下：

　　如果外出的數(shù)據(jù)包長度減小，那么當(dāng)前外出的TCP數(shù)據(jù)包的序列號將減小，反之則增加。

　　對于收到的來自于外部網(wǎng)絡(luò)的ACK 序列號，就要相應(yīng)地增加和減小了。

　　這里我們需要注意，由于VxWorks沒有使用Real Time來初始化TCP連接的初始序列號，而是使用一個(gè)固定的值來初始化它，導(dǎo)致每次重啟之后VxWorks的第一次TCP連接都會以相同的序列號開始遞增。由于VxWorks的TCP/IP協(xié)議棧的這種特征，我們在接收到TCP連接的第一個(gè)TCP數(shù)據(jù)包（帶有SYN標(biāo)志，沒有ACK標(biāo)志）時(shí)，要重新初始化已經(jīng)匹配的NAT映射表項(xiàng)，避免因?yàn)門CP連接序列號調(diào)整出錯(cuò)。

　　3.6　端口轉(zhuǎn)發(fā)功能

　　3.6.1　為什么需要端口轉(zhuǎn)發(fā)功能

　　如果有某個(gè)處在Internet上的主機(jī)想訪問NAT服務(wù)器后的某個(gè)主機(jī)，這個(gè)連接必須已經(jīng)被記錄在NAT映射表中，但由于某些安全原因，NAT僅僅對由內(nèi)部網(wǎng)絡(luò)發(fā)起的網(wǎng)絡(luò)連接有效。當(dāng)外部IP數(shù)據(jù)包進(jìn)入允許NAT功能的接口時(shí)，如果NAT找不到合適的映射表項(xiàng)，IP數(shù)據(jù)包將交給VxWorks協(xié)議棧來處理。

　　為了使NAT能夠處理這種由外部網(wǎng)絡(luò)首先發(fā)起的網(wǎng)絡(luò)連接，NAT允許手工配置一些NAT的映射表項(xiàng)。這項(xiàng)功能就叫端口轉(zhuǎn)發(fā)。

　　3.6.2　端口轉(zhuǎn)發(fā)實(shí)現(xiàn)過程

　　由外到內(nèi)的IP包指的是從公網(wǎng)通過NAT發(fā)送到私有網(wǎng)絡(luò)的IP包。它的源IP是公共IP，目的IP是NAT的公共IP。當(dāng)截獲到一個(gè)由外到內(nèi)的IP包時(shí)，NAT就以IP包的目的IP和目的Port加上包的協(xié)議類型作為NAT映射表項(xiàng)的匹配查詢條件進(jìn)行搜索。如果找到一個(gè)對應(yīng)的表項(xiàng)，就用表項(xiàng)的Real Src IP和Real Src Port來替換IP包的目的IP和目的Port，而保持IP包的源IP和源Port不變。然后，重新計(jì)算TCP或UDP的校驗(yàn)和，再計(jì)算IP頭的校驗(yàn)和，最后把IP包重新歸還給VxWorks的網(wǎng)絡(luò)協(xié)議棧。如果在映射表中沒有搜索到對應(yīng)的表項(xiàng)，則對IP包不作任何處理，直接歸還給VxWorks網(wǎng)絡(luò)協(xié)議棧。

　　3.7　NAT配置接口

　　為了使NAT能夠適應(yīng)某些變化，我們在實(shí)現(xiàn)過程當(dāng)中加入了對NAT的配置接口，主要對以下兩方面需要進(jìn)行配置。

　　NAT接口配置：配置在那個(gè)允許NAT功能的網(wǎng)絡(luò)接口上。這個(gè)接口是和外部網(wǎng)絡(luò)相連的，有唯一的全局IP地址。

　　端口轉(zhuǎn)發(fā)映射表配置：配置NAT可以對那些由外部網(wǎng)絡(luò)發(fā)起的網(wǎng)絡(luò)連接進(jìn)行地址轉(zhuǎn)換，以及如何進(jìn)行地址轉(zhuǎn)換。

　　3.8　NAT如何處理IP分片

　　NAT本身還應(yīng)該考慮IP數(shù)據(jù)包的分片。但是在分片的IP數(shù)據(jù)包中，除了第一個(gè)IP數(shù)據(jù)包帶有源、目的端口信息以外，后續(xù)的IP分片都沒有端口信息。

　　這樣，IP數(shù)據(jù)包分片的這個(gè)特征給我們的NAT處理帶來了很多不便。因此，在這次的實(shí)現(xiàn)過程中，我們的NAT實(shí)現(xiàn)暫時(shí)不支持分片的IP數(shù)據(jù)包。

　　3.9　NAT的測試

　　如圖3所示，主機(jī)A通過NAT訪問主機(jī)B上的HTTP服務(wù)器，主機(jī)B通過手工配置在NAT上的映射表項(xiàng)訪問主機(jī)A上的TFTP服務(wù)器。

　　整個(gè)過程非常良好，TCP包和UDP包以及Port-Forward功能也成功得到了驗(yàn)證。

　　4　NAT的未來

　　NAT這項(xiàng)技術(shù)主要是為了解決IP地址空間不足。在NAT功能的支持下，內(nèi)部網(wǎng)絡(luò)可以使用一個(gè)公共的IP地址訪問外部網(wǎng)絡(luò)，因此，它很好地隱藏內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，也使網(wǎng)絡(luò)更安全。由于這些特點(diǎn)，NAT也常常是作為Firewall的重要部分一起提供的，但是它并不是Firewall。由于NAT可以帶來一定的安全性，相信即使在IPv6的時(shí)代，它還是能夠繼續(xù)應(yīng)用。