网络地址转换

网络地址转换（，縮寫：；又称網絡掩蔽、掩蔽）在計算機網絡中是一種在封包通過路由器或防火牆時重寫來源或目的地址的技術。這種技術被普遍使用在有多台主機但只通過一個公有IP地址訪問網際網路的私有網絡中。它是一個方便且得到了廣泛應用的技術。當然，也讓主機之間的通信變得複雜，導致了通信效率的降低。

概述 

1990年代中期，是作为一种解决IPv4地址短缺以避免保留IP地址困难的方案而流行起来的。网络地址转换在很多国家广泛使用。所以NAT就成了家庭和小型办公室网络连接上的路由器的一个标准特征，因为对他们来说，申请独立的IP地址的代价要高于所带来的效益。

在一个典型的配置中，一个本地网络使用一个专有网络的指定子网（比如192.168.x.x或10.x.x.x）和连在这个网络上的一个路由器。这个路由器占有这个网络地址空间的一个专有地址（比如192.168.0.1），同时它还通过一个或多个因特网服务提供商提供的公有的地址（叫做“过载”）连接到因特网上。当信息由本地网络向因特网传递时，源地址从专有地址转换为公用地址。由路由器跟踪每个连接上的基本数据，主要是目的地址和端口。当有回复返回路由器时，它通过输出阶段记录的连接跟踪数据来决定该转发给内部网的哪个主机；如果有多个公用地址可用，当数据包返回时，TCP或UDP客户机的端口号可以用来分解数据包。对于因特网上的通信，路由器本身充当源和目的。

流行在网络上的一种看法认为，IPv6的廣泛採用將使得NAT不再需要，因為NAT只是一個處理IPv4的地址空間不足的方法。

缺点 
在一个具有NAT功能的路由器下的主机并没有建立真正的IP位址，并且不能参与一些因特网协议。一些需要初始化从外部网络建立的TCP连接和无状态协议（比如UDP）无法实现。除非NAT路由器管理者预先设置了规则，否则送来的数据包将不能到达正确的目的地址。一些协议有时可以在应用层网关（见下）的辅助下，在参与的主机之间容纳一个的实例，比如。NAT也会使安全协议变得复杂，比如。

端对端连接是被IAB委員會（）支持的核心因特网协议之一，因此有些人据此认为是对公用因特网的一个破坏。一些因特网服务提供商（ISP）只向他们的客户提供本地IP地址，所以他们必须通过来访问网络以外的服务，并且这些公司能不能算得上真正的提供了因特网服务的话题也被谈起。

優點 
NAT除了帶來方便和低成本之外，對全雙工連接支持的缺少在一些情況下可以看作是優點而不是限制。在一定程度上，NAT依賴於本地網絡上的一台機器來初始化和路由器另一邊的主機的所有連接，它可以阻止外部網絡上的惡意活動。這樣就可以阻止網絡蠕蟲病毒來提高本地系統的可靠性，阻擋惡意瀏覽來提高本地系統的私密性。很多具有NAT功能的防火牆都是使用這種功能來提供核心保護的。另外，它也為UDP的跨局域網的傳輸提供了方便性。

基本和端口号转换

基本网络地址转换（Basic NAT） 

这一种也可称作或“静态”，在中提供了信息。它在技术上比较简单，仅支持地址转换，不支持端口映射。Basic NAT要求对每一个当前连接都要对应一个公网地址，因此要维护一个公网的地址池。宽带（broadband）路由器通常使用这种方式来允许一台指定的设备去管理所有的外部链接，甚至当路由器本身只有一个可用外部IP时也如此，这台路由器有时也被标记为DMZ主机。由于改变了IP源地址，在重新封装数据包时候必须重新计算校验和，网络层以上的只要涉及到IP地址的头部校验和都要重新计算。

Basic NAT要维护一个无端口号NAT表，结构如下。

网络地址端口转换（NAPT） 
这种方式支持端口的映射，并允许多台主机共享一个公网地址。

支持端口转换的NAT又可以分为两类：源地址转换和目的地址转换。前一种情形下发起连接的计算机的IP地址将会被重写，使得内网主机发出的数据包能够到达外网主机。后一种情况下被连接计算机的IP地址将被重写，使得外网主机发出的数据包能够到达内网主机。实际上，以上两种方式通常会一起被使用以支持双向通信。

NAPT维护一个带有IP以及端口号的NAT表，结构如下。

受到NAT影响的应用程序 
一些高层协议（比如，，）在IP包的有效数据内发送网络层（第三层）信息。比如，主动模式的FTP使用单独的端口分别来控制命令传输和数据传输。当请求一个文件传输时，主机在发送请求的同时也通知对方自己想要在哪个端口接受数据。但是，如果主机是在一个简单的NAT防火墙后发送的请求，那么由于端口的映射，将会使对方接收到的信息无效。

一个應用層閘道（，ALG）可以修正这个问题。运行在防火墙设备上的软件模块可以更新任何由地址转换而导致无效的信息。显然，ALG需要明白它所要修正的上层协议，所以每个有这种问题的协议都需要有一个单独的。

但是，除外的大多数传统的客户机－服务器协议不需要发送网络层（第三层）信息，也就不需要。

这个问题的另一个可能的解决方法是使用像这样的技术，但是这只针对建立在上的高层协议，并且需要它内建这种技术。这种技术对於对称也是无效的。还有一种可能的方案是，但它需要和设备配合起来使用。

不同類型的

其他用途实例 
 负载均衡：目的地址转换可以重定向一些服务器的连接到其他随机选定的服务器。
 失效终结：目的地址转换可以用来提供高可靠性的服务。如果一个系统有一台通过路由器访问的关键服务器，一旦路由器检测到该服务器當机，它可以使用目的地址转换透明的把连接转移到一个备份服务器上。
 透明代理：可以把连接到因特网的连接重定向到一个指定的代理服务器以缓存数据和过滤请求。一些因特网服务提供商就使用这种技术来减少带宽的使用而不用让他们的客户配置他们的浏览器支持代理连接。

参见 
 NAT穿越
 端口地址轉換
 防火牆
 路由
 IPv4
 IPv6
 IPv4地址枯竭
 专用网络
 網際網路連接共享
 代理伺服器
 端口转发
 电信级NAT
 ：的簡單穿越
 TURN：的簡單中繼
 ICE：結合STUN與TURN的的簡單穿越與中繼

外部链接 
 Network Address Translation Traversal of MSDN 
 http://www.windowsnetworking.com/articles_tutorials/NAT_Windows_2003_Setup_Configuration.html –这篇文章介绍了怎样在中建立和配置
 http://www.cisco.com/en/US/about/ac123/ac147/archived_issues/ipj_7-3/anatomy.html 
 http://computer.howstuffworks.com/nat.htm/printable 
 – – 中的被管理对象的定义
 –传统
 –已作废–
 http://freshmeat.net/projects/nat-traverse/ 

N