全部博文（76）
分类：
2010-03-17 20:38:23
随着越来越多的家庭和小型企业添置计算机，它们会发现网络是一种非常强大的计算机资源共享工具。Internet 连接则是网络上更珍贵的资源，有可能被共享。为共享 Internet 连接，同时利用价格便宜、管理简单的家庭或小型办公网络，需要部署 Internet 网关。Internet 网关通常将 NAT (网络地址转换) 作为将多个主机连接到 Internet 以共享单个公共 IP 地址的途径。但不幸的是，该解决方案却会破坏多种网络应用程序。我们将在本文中对此加以说明。
现有的“NAT 穿越”技术允许网络应用程序检测是否存在本地 NAT 设备。检测到后，应用程序随即对 NAT 进行配置，定义相应的映射来解决兼容性问题。
本 文属于概述性文章，将向网络应用程序的用户和开发人员简要介绍一下 NAT，介绍如何识别常见 NAT 问题，同时介绍应用程序如何使用 “NAT 穿越”解决这些问题。需要关注的 Internet 网关设备的一个重要特征是 UPnP 认证。使用者购买或从服务提供商那里租借 Internet 网关设备时，强烈建议只考虑那些通过用于 NAT 穿越的 UPnP 认证的设备，这是因为该功能对于满足用户、降低支持费用及使用更有创新性的服务和应用程序而言至关重要。
对网关设备厂商而言，在 Internet 网关设备中加入对 NAT 穿越的 UPnP 技术支持并不复杂，费用不高，也不用花大量的时间。通过使用 UPnP (已经是基于 Internet 标准和协议的)，Internet 网关设备制造商就可以解决 NAT 穿越问题，并将优点延伸至大多数经过该设备的应用程序。这同许多应用程序开发人员或网关设备制造商不得不为解决上述问题而提供一次性解决方案形成鲜明的对 比。本文并非旨在为希望在 Internet 网关设备中实施“NAT 穿越”的硬件制造商提供详细的指南。有关此信息，请参阅 UPnP 论坛 Web 站点。
Windows 体系结构、网络以及 UPnP 体系结构方面的知识会对充分理解本文会有所帮助，但并不是必需的。
网络地址转换 (NAT) 是一个 Internet 工程任务组 (Internet Engineering Task Force，IETF) 标准，用于允许专用网络上的多台 PC (使用专用地址段，例如 10.0.x.x、192.168.x.x、172.x.x.x) 共享单个、全局路由的 IPv4 地址。IPv4 地址日益不足是经常部署 NAT 的一个主要原因。Windows XP 和 Windows Me 中的“Internet 连接共享”及许多 Internet 网关设备都使用 NAT，尤其是在通过 DSL 或电缆调制解调器连接宽带网的情况下。
NAT 对于解决 IPv4 地址耗费问题 (在 IPv6 部署中却没必要) 尽管很有效，但毕竟属于临时性的解决方案。这种 IPv4 地址占用问题在亚洲及世界其他一些地方已比较严重，且日渐成为北美地区需要关注的问题。这就是人们为什么长久以来一直关注使用 IPv6 来克服这个问题的原因所在。
除了减少所需的 IPv4 地址外，由于专用网络之外的所有主机都通过一个共享的 IP 地址来监控通信，因此 NAT 还为专用网络提供了一个隐匿层。NAT 与防火墙或代理服务器不同，但它确实有利于安全。
NAT 设备后面的客户端通常通过 DHCP (动态主机配置协议) 分配到专用的 IP 地址，或者由管理员进行静态配置。在该专用网络的外面进行通信时，通常会发生下列事情。
当 应用程序想同服务器通信时，它将打开与源 IP 地址、源端口、目标 IP 地址、目标端口及网络协议相关联的套接字。这样可以识别通信所需的两个端点。当应用程序利用该套接字传输信息时，客户机的专用 IP 地址 (源 IP 地址) 和端口 (源端口) 将被插入数据包的源字段中。数据包的目标字段将包含服务器的 IP 地址 (远程主机 - 目标 IP 地址) 和端口。由于该数据包的目的地是该专用网络之外的某个位置，因此客户机将把该数据包转发给默认的网关。这种情况下的默认网关就是 NAT 设备。
NAT 设备将截获该输出数据包，然后利用目标 IP 地址 (服务器)、目标端口、NAT 设备的外部 IP 地址、外部端口、网络协议及客户机的内部 IP 地址和端口来创建端口映射。
NAT 设备将维护这些映射组成的表，并将该端口的映射存储在表中。外部 IP 地址和端口就是该数据通信用于取代内部客户机 IP 地址和端口的公共 IP 地址和端口。
NAT 设备随即将来自客户机专用内部 IP 地址和端口的数据包的源字段转换为 NAT 设备的公共 IP 地址和端口，从而对这些数据包进行转换。
然后，数据包将通过外部网络发送出去，并最终到达目标服务器。
当服务器接收到数据包时，它认为自己是在和一台具有可全球路由 IP 地址的计算机进行通信。它会利用自己源字段中的 IP 地址和端口将响应数据包定向到 NAT 设备的外部 IP 地址和端口。
NAT 从服务器那接收到这些数据包，然后将数据包与其端口映射表进行比较。如果 NAT 发现某个端口映射的远程主机 IP 地址、远程端口、外部端口及网络协议与输入数据包的源 IP 地址、源端口、目标端口和网络协议匹配，NAT 就会进行反向转换。NAT 将把数据包目标字段中的外部 IP 地址和外部端口替换为客户机的专用 IP 地址和内部端口。
然后，NAT 将内部网络上的数据包发送给客户机。然而，如果 NAT 找不到对应的端口映射，它就会丢弃输入数据包并中断连接。
NAT 的作用是，客户机将能在全球 Internet 上与专用 IP 地址进行通讯，而应用程序或客户机却无需做任何额外的工作。这意味着应用程序不必调用额外的 API，客户机也不必执行附加的配置。在这种情况下，NAT 对客户机和服务器应用程序来说都是透明的 - 所有对象都正常工作。
但是，并非所有网络应用程序都使用能与 NAT 协同工作的协议。这就是问题的所在。
如果客户机在开始连接和接收回复时都使用同一端口，则让客户机利用 NAT 来共享单个可全局路由的 IP 地址不会有什么问题。但是，许多应用程序所用策略的假定条件在 NAT 设备用于连接 Internet 时都不成立。这里将讨论其中一些问题。
很 多网络服务或服务器假定，如果建立监听套接字，则 Internet 上的所有客户机都可以与之联系。如果在网络的边界上有 NAT 设备，为了将通信引入到内部网络服务，NAT 需要存在端口映射。但在网络边缘上有 NAT 设备时，NAT 却要求进行端口映射，以便将输入通讯转发给内部网络上的服务。因此，该服务仅对专用网络上的客户机有效。它对于 Internet 其余部分而言不可用。
该问题最常见的解决办法是手动配置端口映射，使 NAT 设备将定向给 NAT 特定外部 IP 地址和端口的通信转发给该服务所用的内部 IP 地址和端口。
利用该端口映射，服务可以接收输入数据包，从而使服务可被专用网络外部的客户机所使用。建立端口映射之前，网络是断开的。
手 动配置映射通常很复杂，为了正确配置映射需要较有经验的用户。因此，除非是联系自己宽带 Internet 服务提供商、PC 制造商、零售商或 Internet 网关制造商的客户服务中心以尝试找到问题的根源及解决方案，否则许多一般用户或小型企业用户将无法使用所需的应用程序或服务。上述情况还会造成映射的不严 格：许多外部客户机都可以使用该映射来连接服务器。
有些网络应用程序假定客户机所分配的 IP 地址和端口将始终可进行全局路由，并可直接在 Internet 上使用。许多情况下，它们属于 IETF 保留地址范围内的专用 IP 地址。应用程序会在发送给服务器的数据包的负载中包含该专用 IP 地址或端口。服务器可以将该嵌入地址用作联系客户机时所用的地址。
如果 服务器试图用嵌入 IP 地址和端口进行回复，而非 NAT 提供的映射地址和端口，系统就会丢弃该数据包。这是因为嵌入 IP 地址是无法路由的。如果网络应用程序能找到 NAT 设备并检索到所要使用的外部 IP 地址和外部端口映射，应用程序就可以在数据包中嵌入正确的信息。
还有一些网络应用程序使用端口 "X" 上的套接字向服务器或对等计算机发送通讯信息，然后等待将服务器的通讯信息接收到端口 "Y" 的独立监听套接字上。NAT 将监视输出通讯并为端口 "X" 创建端口映射，但并不对寻址到端口 "Y" 的返回数据包进行端口映射。寻址到端口 "Y" 的输入数据包将被丢弃。
有 些网络协议假定始终有可全局路由的已知端口可用。当多个客户机共享 IP 地址时，每次将只有一个客户机能使用已知端口。例如，每次只有一个 Web 服务能使用本地网络上的端口 80。如果不是这样，NAT 设备将无法确定外部请求所适用的客户机。即使在配置端口映射的用户的帮助下，如果从本地网络的外部能找到多个客户机，也必须采取某些特殊的措施。
对于客户机位于一个 NAT 后面的 NAT 的后面这个问题已经超出了本文所涵盖的范围。
上一段介绍了与 NAT 穿越有关的技术问题。从用户的角度讲，它所造成的影响比较简单：人们再也无法使用受 NAT 干扰的服务或应用程序。
现 在，大多数用户甚至没有意识到自己已成为这种 NAT 问题的“受害者”。他们只是知道，当试图玩多人游戏或者使用对等应用程序 (例如进行实时通讯) 或其他某些应用程序时，却无法玩或无法使用。他们可能会在 PC 上看到类似“无法连接”等的错误消息，或者在试图使用应用程序时，程序却出现故障。
有 时，具有拨号调制解调器 Internet 连接的用户在使用拨号调制解调器时不会出现上述问题。但当用户使用宽带服务并将 DSL 或电缆调制解调器设备与 NAT 一起使用时，却出现故障。在进行快速 Internet 连接的情况下，这些用户尤其会受到 NAT 问题的困扰：它们会突然导致用户无法玩游戏或使用其他服务。
这导致了用户的不满，矛头指向 PC 生产商、ISP、Internet 网关提供商等等。通常，用户并不知道问题的根源，而技术支持人员也并不总能知道如何通过电话解决这些问题。
这 已不仅是用户的问题。它也成为向用户提供产品和服务的制造商的问题。用户在试图解决这些由 NAT 引起的问题时会拨打支持电话，而这部分费用会减少制造商或零售商的利润，甚至使其无利可图。这些问题会导致用户对试用服务的不满，从而使某些用户降低了对 后续的新服务或新应用程序的兴趣。因此，NAT 会妨碍其他创新产品/服务的推出和使用。
鉴于上述因素，解决 NAT 问题已成为业界的一项重要任务。
“NAT 穿越”是这样一组功能：它允许网络应用程序能明确自己位于 NAT 设备的后面，获得外部 IP 地址，并将端口映射配置为将 NAT 外部端口的数据包转发给应用程序所用的内部端口，而所有这些都是自动完成的，因此用户不必手动配置端口映射或其他类似的方面。
相 对与目前所用的、面向特定应用程序的其他方法而言，这对于解决由 NAT 引起的连接问题确实是一种更为全面的解决方案。目前使用的那些专门解决方案有的要求用户具有一定的技术知识，有的要求应用程序开发人员或 Internet 网关提供商进行专门的开发工作，也有的则对二者都要求。
虽然 NAT 穿越可以解决一些 NAT 问题，但它不是万能药，不能解决所有问题。尽管如此,在提高用户满意度、减少用户支持呼叫的次数和支持新的、具有创造性的服务和应用程序方面，这种自动化的 NAT 穿越代表了非常重要的一步，尤其对于家庭网络环境而言。
NAT 穿越应视为一种在需要时使用的处理机制，而非在所有情况下都发挥作用。在 IPv6 中，每个客户机都具有可全局路由的 IP 地址，因此已不再需要 NAT 及 NAT 穿越。就 IPv6 能在多长时间得到普遍部署这一问题，有各种不同的预测。在业界，包括 Microsoft，已投入巨资推进 IPv6，但在现在及未来的几年内，本文后面所述的 NAT 穿越解决方案对于希望解决 NAT 问题的一般用户和小型企业用户而言却意义非凡。
