淺析中大型企業(yè)網(wǎng)的互聯(lián)網(wǎng)架構(gòu)

唐國光

摘要：由于互聯(lián)網(wǎng)上分配的IP地址日益短缺，申請(qǐng)得到多個(gè)IP地址都是很困難的事情，申請(qǐng)一個(gè)專線上網(wǎng)只能得1到2個(gè)的IP地址，但是按照傳統(tǒng)的上網(wǎng)技術(shù)來看，1到2個(gè)IP地址最多同時(shí)只能2個(gè)用戶訪問互聯(lián)網(wǎng)，如果本地用戶較多，如10～100人的企業(yè)或上百個(gè)用戶的網(wǎng)吧，這么多的用戶如何解決同時(shí)上網(wǎng)。網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）技術(shù)就是針對(duì)這樣的情況產(chǎn)生的。

關(guān)鍵詞：NAT；PAT ；互聯(lián)網(wǎng)接入

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2017）34-0271-02

1 NAT技術(shù)的相關(guān)介紹

1.1 NAT技術(shù)的概述

NAT（Network Address Translation）網(wǎng)絡(luò)地址轉(zhuǎn)換，可以將使用私有地址的企業(yè)網(wǎng)、家庭網(wǎng)，通過地址轉(zhuǎn)換功能，與互聯(lián)網(wǎng)通信。在內(nèi)網(wǎng)絡(luò)中，計(jì)算機(jī)之間通過私有IP地址進(jìn)行通訊。而當(dāng)內(nèi)網(wǎng)計(jì)算機(jī)要與互聯(lián)網(wǎng)進(jìn)行通訊時(shí)，利用具有NAT功能的設(shè)備（比如：路由器、軟路由RouterOS以及網(wǎng)絡(luò)操作系統(tǒng)），將其內(nèi)部私有IP地址轉(zhuǎn)換為全局IP地址（即電信運(yùn)營商分配的IP地址）進(jìn)行通信。

1.2NAT的工作過程

1.3 NAT技術(shù)的優(yōu)勢(shì)和不足

1.3.1 NAT的優(yōu)勢(shì)

（1） 內(nèi)網(wǎng)使用私有地址，不使用公網(wǎng)地址，有效解決IP地址短缺的問題。

（2） 提高了內(nèi)網(wǎng)的安全性，使用NAT的網(wǎng)絡(luò)，在大多數(shù)情況下，通信是由內(nèi)部網(wǎng)絡(luò)發(fā)起，外網(wǎng)無法主動(dòng)向內(nèi)網(wǎng)發(fā)起遠(yuǎn)程攻擊。

（3） 可以使用PAT功能，有效隱藏內(nèi)部服務(wù)器開放端口。

1.3.2 NAT的不足

（1） NAT會(huì)使網(wǎng)絡(luò)延遲增大。每個(gè)數(shù)據(jù)包都要進(jìn)行地址轉(zhuǎn)換，要改變IP或TCP包頭信息，增大了網(wǎng)絡(luò)傳輸時(shí)間。

（2） 失去了終端到服務(wù)器的端到端連接。由于外部用戶看到的地址是內(nèi)部全局地址，看不到內(nèi)部局部地址，由NAT進(jìn)行轉(zhuǎn)換后實(shí)現(xiàn)跳板式通信。

1.4 NAT的設(shè)置方法

1.4.1 靜態(tài)地址轉(zhuǎn)換

靜態(tài)地址轉(zhuǎn)換將內(nèi)部本地地址與內(nèi)部合法地址進(jìn)行一對(duì)一的轉(zhuǎn)換。

內(nèi)網(wǎng)中如有需要向外提供的服務(wù)器，靜態(tài)地址轉(zhuǎn)換可以為外部用戶提供地址映射服務(wù)。

1.4.2 PAT

PAT轉(zhuǎn)換也是一種動(dòng)態(tài)地址轉(zhuǎn)換，它允許多個(gè)內(nèi)部本地地址通過端口號(hào)共用一個(gè)內(nèi)部全局地址。用最少的公網(wǎng)IP地址，為更對(duì)的內(nèi)網(wǎng)地址提供轉(zhuǎn)換服務(wù)，極大的減少了公網(wǎng)地址的占用。

在全局設(shè)置模式下，設(shè)置在內(nèi)部的本地地址與內(nèi)部全球IP地址間建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。

2 NAT 技術(shù)應(yīng)用

2.1 網(wǎng)絡(luò)環(huán)境

互聯(lián)網(wǎng)服務(wù)提供商分配5個(gè)公網(wǎng)IP地址給該公司，IP地址分別是：58.241.218.178-58.241.218.182子網(wǎng)掩碼長(zhǎng)度28。網(wǎng)絡(luò)管理員可以通過NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）技術(shù)，通過這幾個(gè)公網(wǎng)IP地址提供整個(gè)企業(yè)網(wǎng)的互聯(lián)網(wǎng)接入服務(wù)、為了確保財(cái)務(wù)處的網(wǎng)絡(luò)安全，不允許財(cái)務(wù)處所在的網(wǎng)絡(luò)（172.16.12.0）接入公網(wǎng)。

2.2 拓?fù)鋱D

S7交換機(jī)用于連接總經(jīng)理辦公室、副經(jīng)理辦公室1、副經(jīng)理辦公室2和財(cái)務(wù)處的終端接入，S8交換機(jī)用于連接客服中心和信息中心的終端接入。S7和S8交換機(jī)匯總到S2交換機(jī)。

S5交換機(jī)用于連接倉庫管理中心的終端設(shè)備，S6交換機(jī)用于連接主營業(yè)廳的終端設(shè)備。S5和S6交換機(jī)匯總到S3交換機(jī)，其中S6和S3核心交換間使用雙鏈路連接，可以保證數(shù)據(jù)可靠性。

S2和S3核心交換機(jī)連接到S1交換機(jī)中心交換機(jī)。S4交換機(jī)用連接內(nèi)部服務(wù)器區(qū)計(jì)算機(jī)，并且連接到S1交換機(jī)。

S1交換機(jī)連接到R1出口路由器，R1出口路由器開啟NAT功能，提供互聯(lián)網(wǎng)接入服務(wù)。

2.3 NAT路由器配置

步驟1：配置連接外網(wǎng)端口（FA0/0）。

步驟2：確定fa0/1接口為連接內(nèi)網(wǎng)端口。

步驟3：配置訪問控制列表，實(shí)現(xiàn)只禁止財(cái)務(wù)處聯(lián)入互聯(lián)網(wǎng)。

步驟4：?jiǎn)⒂肞AT功能，并引用access-list 1訪問控制列表。

步驟5：在NAT路由器（R1）中配置默認(rèn)路由。

步驟6：在R1路由器中向OSPF網(wǎng)絡(luò)注入默認(rèn)路由。

3 結(jié)束語

NAT的地址轉(zhuǎn)換使一個(gè)局域網(wǎng)僅使用較少公網(wǎng)IP地址，就能獲得互聯(lián)網(wǎng)接入的能力，有效地緩解了地址不足的問題，同時(shí)提供了一定的安全性。在內(nèi)部網(wǎng)絡(luò)通過NAT訪問外部網(wǎng)絡(luò)時(shí)，將產(chǎn)生一個(gè)映射記錄。外部網(wǎng)絡(luò)回應(yīng)包傳回NAT路由器時(shí)，根據(jù)映射關(guān)系轉(zhuǎn)換為內(nèi)網(wǎng)地址，完成通信。增加網(wǎng)絡(luò)可靠性。

參考文獻(xiàn)：

[1] 蔡立軍，李立明，李峰.計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)[M].中國水利水電出版社，2004.endprint