本帖最后由 xuwang 于 2019-9-14 20:09 编辑
一、什么是NAT NAT（Network Address Translation，网络地址转换）是1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但现在又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。 这种方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球IP地址，才能和因特网连接。 另外，这种通过使用少量的公有IP 地址代表较多的私有IP 地址的方式，将有助于减缓可用的IP地址空间的枯竭。在RFC1632中有对NAT的说明。
二、NAT的作用 NAT不仅能解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。 1.宽带分享：这是 NAT 主机的最大功能。 2.安全防护：NAT 之内的 PC 联机到 Internet 上面时，他所显示的 IP 是 NAT 主机的公共 IP，所以 Client 端的 PC 当然就具有一定程度的安全了，外界在进行 portscan（端口扫描） 的时候，就侦测不到源Client 端的 PC 。
三、NAT的实现方式 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。 静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。
动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。
端口多路复用（Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。
ALG（Application Level Gateway），即应用程序级网关技术：传统的NAT技术只对IP层和传输层头部进行转换处理，但是一些应用层协议，在协议数据报文中包含了地址信息。为了使得这些应用也能透明地完成NAT转换，NAT使用一种称作ALG的技术，它能对这些应用程序在通信时所包含的地址信息也进行相应的NAT转换。例如：对于FTP协议的PORT/PASV命令、DNS协议的 "A" 和 "ｐTR" queries命令和部分ICMP消息类型等都需要相应的ALG来支持。
如果协议数据报文中不包含地址信息，则很容易利用传统的NAT技术来完成透明的地址转换功能，通常我们使用的如下应用就可以直接利用传统的NAT技术：HTTP、TELNET、FINGER、NTP、NFS、ARCHIE、RLOGIN、RSH、RCP等。
四、NAT的四种类型以及检测方法 考虑到UDP的无状态特性，目前针对其的NAT实现大致可分为Full Cone、Restricted Cone、Port Restricted Cone和Symmetric NAT四种。值得指出的是，对于TCP协议而言，一般来说，目前NAT中针对TCP的实现基本上是一致的，其间并不存在太大差异，这是因为TCP协议本身 便是面向连接的，因此无需考虑网络连接无状态所带来复杂性。 用语定义 1.内部Tuple：指内部主机的私有地址和端口号所构成的二元组，即内部主机所发送报文的源地址、端口所构成的二元组 2.外部Tuple：指内部Tuple经过NAT的源地址/端口转换之后，所获得的外部地址、端口所构成的二元组，即外部主机收到经NAT转换之后的报文时，它所看到的该报文的源地址（通常是NAT设备的地址）和源端口 3.目标Tuple：指外部主机的地址、端口所构成的二元组，即内部主机所发送报文的目标地址、端口所构成的二元组
详细释义 1. Full Cone NAT：所有来自同一 个内部Tuple X的请求均被NAT转换至同一个外部Tuple Y，而不管这些请求是不是属于同一个应用或者是多个应用的。除此之外，当X-Y的转换关系建立之后，任意外部主机均可随时将Y中的地址和端口作为目标地址 和目标端口，向内部主机发送UDP报文，由于对外部请求的来源无任何限制，因此这种方式虽然足够简单，但却不那么安全 2. Restricted Cone NAT： 它是Full Cone的受限版本：所有来自同一个内部Tuple X的请求均被NAT转换至同一个外部Tuple Y，这与Full Cone相同，但不同的是，只有当内部主机曾经发送过报文给外部主机（假设其IP地址为Z）后，外部主机才能以Y中的信息作为目标地址和目标端口，向内部 主机发送UDP请求报文，这意味着，NAT设备只向内转发（目标地址/端口转换）那些来自于当前已知的外部主机的UDP报文，从而保障了外部请求来源的安 全性
3. Port Restricted Cone NAT：它是Restricted Cone NAT的进一步受限版。只有当内部主机曾经发送过报文给外部主机（假设其IP地址为Z且端口为P）之后，外部主机才能以Y中的信息作为目标地址和目标端 口，向内部主机发送UDP报文，同时，其请求报文的源端口必须为P，这一要求进一步强化了对外部报文请求来源的限制，从而较Restrictd Cone更具安全性
4. Symmetric NAT：这是一种比所有Cone NAT都要更为灵活的转换方式：在Cone NAT中，内部主机的内部Tuple与外部Tuple的转换映射关系是独立于内部主机所发出的UDP报文中的目标地址及端口的，即与目标Tuple无关； 在Symmetric NAT中，目标Tuple则成为了NAT设备建立转换关系的一个重要考量：只有来自于同一个内部Tuple 、且针对同一目标Tuple的请求才被NAT转换至同一个外部Tuple，否则的话，NAT将为之分配一个新的外部Tuple；打个比方，当内部主机以相 同的内部Tuple对2个不同的目标Tuple发送UDP报文时，此时NAT将会为内部主机分配两个不同的外部Tuple，并且建立起两个不同的内、外部 Tuple转换关系。与此同时，只有接收到了内部主机所发送的数据包的外部主机才能向内部主机返回UDP报文，这里对外部返回报文来源的限制是与Port Restricted Cone一致的。不难看出，如果说Full Cone是要求最宽松NAT UDP转换方式，那么，Symmetric NAT则是要求最严格的NAT方式，其不仅体现在转换关系的建立上，而且还体现在对外部报文来源的限制方面。
P2P的NAT研究 第一部分：不同NAT实现方法的介绍 各种不同类型的NAT(according to RFC)
完全圆锥型NAT( Full Cone NAT ): 内网主机建立一个UDP socket(LocalIｐ ocalPort) 第一次使用这个socket给外部主机发送数据时NAT会给其分配一个公网(PublicIｐ ：PublicPort),以后用这个socket向外面任何主机发送数据都将使用这对(PublicIP ublicPort)。此外，任何外部主机只要知道这个(PublicIP ：PublicPort)就可以发送数据给(PublicIP ：PublicPort)，内网的主机就能收到这个数据包
地址限制圆锥型NAT( Address Restricted Cone NAT ): 内网主机建立一个UDP socket(LocalIｐ ：LocalPort) 第一次使用这个socket给外部主机发送数据时NAT会给其分配一个公网(PublicIｐ ：PublicPort),以后用这个socket向外面任何主机发送数据都将使用这对(PublicIPublicPort)。此外，如果任何外部主机想要发送数据给这个内网主机，只要知道这个(PublicIｐ ：PublicPort)并且内网主机之前用这个socket曾向这个外部主机IP发送过数据。只要满足这两个条件，这个外部主机就可以用自己的(IP,任何端口)发送数据给(PublicIｐublicPort)，内网的主机就能收到这个数据包
端口限制圆锥型NAT( Port Restricted Cone NAT ): 内网主机建立一个UDP socket(LocalIｐ ：LocalPort) 第一次使用这个socket给外部主机发送数据时NAT会给其分配一个公网(PublicIｐ ：PublicPort),以后用这个socket向外面任何主机发送数据都将使用这对(PublicIPublicPort)。此外，如果任何外部主机想要发送数据给这个内网主机，只要知道这个(PublicIｐ ：PublicPort)并且内网主机之前用这个socket曾向这个外部主机(IP,Port)发送过数据。只要满足这两个条件，这个外部主机就可以用自己的(IP,Port)发送数据给(PublicIP ：PublicPort)，内网的主机就能收到这个数据包
对称型NAT( Symmetric NAT): 内网主机建立一个UDP socket(LocalIP,LocalPort),当用这个socket第一次发数据给外部主机1时,NAT为其映射一个(PublicIP-1,Port-1),以后内网主机发送给外部主机1的所有数据都是用这个(PublicIP-1,Port-1)，如果内网主机同时用这个socket给外部主机2发送数据，第一次发送时，NAT会为其分配一个(PublicIP-2,Port-2), 以后内网主机发送给外部主机2的所有数据都是用这个(PublicIP-2,Port-2).如果NAT有多于一个公网IP，则PublicIP-1和PublicIP-2可能不同，如果NAT只有一个公网IP,则Port-1和Port-2肯定不同，也就是说一定不能是PublicIP-1等于 PublicIP-2且Port-1等于Port-2。此外，如果任何外部主机想要发送数据给这个内网主机，那么它首先应该收到内网主机发给他的数据，然后才能往回发送，否则即使他知道内网主机的一个(PublicIP,Port)也不能发送数据给内网主机，这种NAT无法实现UDP-P2P通信。
第二部：NAT类型检测 前提条件:有一个公网的Server并且绑定了两个公网IP(IP-1,IP-2)。这个Server做UDP监听(IP-1,Port-1),(IP-2,Port-2)并根据客户端的要求进行应答。
第一步：检测客户端是否有能力进行UDP通信以及客户端是否位于NAT后？ 客户端建立UDP socket然后用这个socket向服务器的(IP-1,Port-1)发送数据包要求服务器返回客户端的IP和Port, 客户端发送请求后立即开始接受数据包，要设定socket Timeout（300ms），防止无限堵塞. 重复这个过程若干次。如果每次都超时，无法接受到服务器的回应，则说明客户端无法进行UDP通信，可能是防火墙或NAT阻止UDP通信，这样的客户端也就 不能P2P了（检测停止）。
当客户端能够接收到服务器的回应时，需要把服务器返回的客户端（IP,Port）和这个客户端socket的 （LocalIP，LocalPort）比较。如果完全相同则客户端不在NAT后，这样的客户端具有公网IP可以直接监听UDP端口接收数据进行通信（检 测停止）。否则客户端在NAT后要做进一步的NAT类型检测(继续)。
第二步：检测客户端NAT是否是Full Cone NAT？ 客户端建立UDP socket然后用这个socket向服务器的(IP-1,Port-1)发送数据包要求服务器用另一对(IP-2,Port-2)响应客户端的请求往回 发一个数据包,客户端发送请求后立即开始接受数据包，要设定socket Timeout（300ms），防止无限堵塞. 重复这个过程若干次。如果每次都超时，无法接受到服务器的回应，则说明客户端的NAT不是一个Full Cone NAT，具体类型有待下一步检测(继续)。如果能够接受到服务器从(IP-2,Port-2)返回的应答UDP包，则说明客户端是一个Full Cone NAT，这样的客户端能够进行UDP-P2P通信（检测停止）。
第三步：检测客户端NAT是否是Symmetric NAT？ 客户端建立UDP socket然后用这个socket向服务器的(IP-1,Port-1)发送数据包要求服务器返回客户端的IP和Port, 客户端发送请求后立即开始接受数据包，要设定socket Timeout（300ms），防止无限堵塞. 重复这个过程直到收到回应（一定能够收到，因为第一步保证了这个客户端可以进行UDP通信）。 用同样的方法用一个socket向服务器的(IP-2,Port-2)发送数据包要求服务器返回客户端的IP和Port。
比 较上面两个过程从服务器返回的客户端(IP,Port),如果两个过程返回的(IP,Port)有一对不同则说明客户端为Symmetric NAT，这样的客户端无法进行UDP-P2P通信（检测停止）。否则是Restricted Cone NAT，是否为Port Restricted Cone NAT有待检测(继续)。
第四步：检测客户端NAT是否是Restricted Cone NAT还是Port Restricted Cone NAT？ 客户端建立UDP socket然后用这个socket向服务器的(IP-1,Port-1)发送数据包要求服务器用IP-1和一个不同于Port-1的端口发送一个UDP 数据包响应客户端, 客户端发送请求后立即开始接受数据包，要设定socket Timeout（300ms），防止无限堵塞. 重复这个过程若干次。如果每次都超时，无法接受到服务器的回应，则说明客户端是一个Port Restricted Cone NAT，如果能够收到服务器的响应则说明客户端是一个Restricted Cone NAT。以上两种NAT都可以进行UDP-P2P通信。
注：以上检测过程中只说明了可否进行UDP-P2P的打洞通信，具体怎么通信一般要借助于Rendezvous Server。另外对于Symmetric NAT不是说完全不能进行UDP-P2P达洞通信，可以进行端口预测打洞，不过不能保证成功。
五、提升NAT类型的好处和方法 提升NAT类型的好处： 浏览网页、观看视频、游戏等更顺畅，下载速度更稳定快速， 特别是对那些玩ED2K/PT下载、PS4/XBox主机游戏的， 提升NAT类型后更有可能获取到HigtID、更容易进入游戏房间连线等。 提升NAT类型的方法 要提升NAT类型，我们必须知道程序显示的NAT的4个类型的全称：NAT1、NAT2、NAT3、NAT4。 它们分别对应： NAT1 → Full Cone NAT NAT2 → Address-Restricted Cone NAT NAT3 → Port-Restricted Cone NAT NAT4 → Symmetric NAT 说些比较重要的前话：路由器少一层是一层，这样越有可能得到NAT1和NAT2这两类NAT类型。
一般建议家里的网路是以下两种拓扑类型： 1、光猫桥接→主路由（拨号连接外网用）→副路由（纯AP模式，扩展信号） 2、光猫拨号（直接充当主路由）→副路由（纯AP模式，扩展信号）
这样的好处是桥接和纯AP是不进行NAT的，而是SWitch，所以不会导致多一层NAT。 如果你的网络是NAT1，那这是最宽松的网络环境，你想做什么，基本没啥限制； 如果是NAT4的话，这是最严格的网络环境，可能会玩不了游戏、下载都没速度； 一般，我们家里的设备都是通过光猫桥接+无线路由器拨号的形式连接到外网的， 此时，基本是NAT2和NAT3，正常情况对看网页、游戏及下载都没有过多的限制。 但是，现在个别网络游戏严格要求你的网络环境必须是“NAT2”以上（NAT2和NAT1），才能进行游戏。 而你的网络环境又是"NAT3”及“NAT4",那到底该怎么办呢？
下面我们介绍一些简单提升NAT类型的方法，其实就是进行NAT穿透（NAT Traversal）： 1、如果你的路由器有启用“Full Cone”、“STUN”、“TURN”、“ICE”、“uPnP”等功能，全部都启用了。
2、如果你的路由器没有以上功能，那可以找下有没有“DMZ”功能（DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。该缓冲区位于企业内部网络和外部网络之间的小网络区域内。） 有的话，可以启用它，并把你要提升NAT类型的主机IP地址设置好。
（一般建议有“Full Cone”、“uPnP”等，就不要开"DMZ”了，除非是PS4/XBox这类游戏主机要提升NAT类型）
3、在Windows上把以下三个服务设置为自动启动，并启动该服务： 一般这三个服务都会被奇虎360等带启动项优化的软件当做无用启动项被“优化”成禁止启动。 Function Discovery Provider Host Function Discovery Resource Publication SSDP Discovery
4、在 Windows 防火墙，放行你需要提升NAT类型的软件或者游戏程序（EXE程序或者UWP程序）， 如果你不会放行，也可以直接关闭 Windows 防火墙。（一般不推荐这样做） 第4步很重要，这步没做，等于其它的全是在做无用功。
5、如果你的设备是通过电脑共享网络的形式上网的，建议把这个服务也打开：UPnP Device Host 以上，能弄的都弄了，这样你的网络环境就会越好，甚至NAT1（也就是Full Cone NAT）都没有
| 
发表于 2019-9-14 19:58:15
发表于 2019-9-14 20:05:09
楼主