第三章網(wǎng)絡(luò)隔離技術(shù)-端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)計算機系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)什么叫端口端口（Port）在TCP/IP協(xié)議中，端口是用來區(qū)分服務(wù)的方法。比如，端口號為80，往往對應WEB服務(wù)。端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)什么叫端口映射NAT？端口轉(zhuǎn)換NAT（NATP）端口轉(zhuǎn)換NAT是將內(nèi)部主機的IP地址映射為外部IP地址和一個特定端口號的技術(shù)。NAPT與動態(tài)NAT不同，它將內(nèi)部連接映射到外部網(wǎng)絡(luò)中的一個單獨的IP地址上，同時在該地址上加上一個由NAT設(shè)備選定的TCP或UDP端口號將中小型的網(wǎng)絡(luò)隱藏在一個合法的IP地址后面端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射NAT實例例如，外網(wǎng)地這個外網(wǎng)地址其1025~65535的端口（一般來說1024以下端口保留）可以對應/16的地址塊即多個內(nèi)網(wǎng)IP地址復用同一個IP地址來訪問Internet。當內(nèi)部主機的數(shù)據(jù)包通過NAT設(shè)備時，NAT設(shè)備為其隨機分配一個端口號即將該內(nèi)部主機視為NAT對外提供的一種服務(wù)根據(jù)端口號，雖然IP地址相同，但也可以區(qū)分不同的主機。端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口轉(zhuǎn)換NAT的特點是，一個內(nèi)部IP地址與一個外部IP地址的一個端口對應，即一個IP地址的多個端口對應內(nèi)部的一個IP地址，是“一對多”的關(guān)系。端口轉(zhuǎn)換NAT的特點端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射NAT中的出站數(shù)據(jù)包處理過程InternetIntranetPrivateIPPublicIP(,1025)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,80)-(TCP)-(Y.Y.Y.Y,80)(,1025)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,80)-(TCP)-(Y.Y.Y.Y80)y.y.y.y:80端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射NAT中的出站數(shù)據(jù)包處理過程InternetIntranetPrivateIPPublicIP(,1035)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,6666)-(TCP)-(Y.Y.Y.Y,80)(,1025)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,80)-(TCP)-(Y.Y.Y.Y80)(,1035)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,6666)-(TCP)-(Y.Y.Y.Y80)y.y.y.y:80端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射NAT中的入站數(shù)據(jù)包處理過程2025/8/9InternetIntranetPrivateIPPublicIP(Y.Y.Y.Y,80)-(TCP)-(X.X.X.X,80)(,1025)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,80)-(TCP)-(Y.Y.Y.Y80)(Y.Y.Y.Y,1025)-(TCP)-(X.X.X.X,1025)(,1035)-(TCP)-(Y.Y.Y.Y,80)(X.X.X.X,6666)-(TCP)-(Y.Y.Y.Y80)y.y.y.y:80端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口轉(zhuǎn)換NAT的全過程（1）管理員配置外部IP地址。（2）當內(nèi)部主機的數(shù)據(jù)包到達NAT設(shè)備時，NAT設(shè)備為該主機分配外部可用IP地址和一個隨機分配一個未使用的端口號，并將內(nèi)部主機所使用的傳輸層協(xié)議、內(nèi)部主機的地址、分配的外部IP地址及端口號之間的映射關(guān)系將寫入本地的NAT映射表。（3）將收到的IP包中的源IP地址和源端口替換為轉(zhuǎn)換后的IP地址和端口后發(fā)送到互聯(lián)網(wǎng)上的目的主機。（4）當外部主機的數(shù)據(jù)包到達NAT設(shè)備時，依據(jù)該數(shù)據(jù)包中的目的IP地址、目的端口以及傳輸層協(xié)議，查詢NAT映射表，找到對應的內(nèi)部地址和端口（5）將收到的IP包中的目的IP地址和目的端口替換為該內(nèi)部地址和端口后發(fā)送給內(nèi)部網(wǎng)絡(luò)中的目的主機。端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射NAT在端口轉(zhuǎn)換中端口是不是一定要隨機分配？端口映射采用端口NAT設(shè)備在分配端口時，不是隨機分配，而是采用內(nèi)部主機的端口作為分配端口。映射方式的好處在于內(nèi)部主機可以通過固定端口向外部用戶提供特定服務(wù)。端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口映射轉(zhuǎn)換例如，內(nèi)網(wǎng)提供WEB服務(wù)的服務(wù)器IP地址為：80（服務(wù)端口80）NAT設(shè)備進行端口映射后，假如映射為81:80，即建立了固定的端口映射表:80<——>81:80。外網(wǎng)用戶可以通過http://81的方式即可訪問到提供的WEB服務(wù)。實際上是http://81:80，http協(xié)議默認將使用80端口端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口轉(zhuǎn)換NAT的優(yōu)點（1）可以將中小型的網(wǎng)絡(luò)隱藏在一個合法的IP地址后面，可以減少上網(wǎng)費用，而不僅節(jié)約了IP資源，而且也起到了很好的網(wǎng)絡(luò)隱藏作用。（2）由于端口轉(zhuǎn)換不需要人工干預，因此也具有易管理的優(yōu)點。（3）借助于端口轉(zhuǎn)換中特殊的端口映射方法，也可以實現(xiàn)局域網(wǎng)內(nèi)部機器向外提供特定網(wǎng)絡(luò)服務(wù)的功能。端口轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)端口轉(zhuǎn)換NAT的缺點（1）由于所有內(nèi)部主機使用一個IP地址，因此當主機數(shù)量較多時，可