Nat穿透方法分析.doc

Nat穿透方法分析
一、nat分类
静态NAT(StaticNAT)
内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。
动态地址NAT(PooledNAT)
在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。
网络地址端口转换NAPT（Port-LevelNAT）
把内部地址映射到外部网络的一个IP地址的不同端口上。
二、基本nat分类
（1）FullConeNAT(完全圆锥型)
NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定任何包都可以通过地址{A:b}送到客户主机的{X:y}地址上

（2）AddressRestrictedConeNAT(地址限制圆锥型)
NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定只有来自主机{P}的包才能和主机{X:y}通信

（3）PortRestrictedConeNAT(端口限制圆锥型)
NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定只有来自主机{P,q}的包才能和主机{X:y}通信

（4）SymmetricNAT(对称型)
NAT会将客户机地址{X:y}转换成公网地址{A:b}并绑定为{X:y}|{A:b}<->{P:q}NAT只接受来自{P:q}的incomingpacket，将它转给{X:y}每次客户机请求一个不同的公网地址和端口，NAT会新分配一个端口号{C,d}

三、Nat穿透方法分析

A机器在私网（192.168.0.4）A侧NAT服务器（210.21.12.140）B机器在另一个私网（192.168.0.5）B侧NAT服务器（210.15.27.140）C机器在公网（210.15.27.166）作为A和B之间的中介A机器连接过C机器，假使是A（192.168.0.4:5000）->A侧NAT（转换后210.21.12.140:8000）->C（210.15.27.166:2000）B机器也连接过C机器，假使是B（192.168.0.5:5000）->B侧NAT（转换后210.15.27.140:8000）->C（210.15.27.166:2000）A机器连接过C机器后，A向C报告了自己的内部地址（192.168.0.4:5000），此时C不仅知道了A的外部地址（C通过自己看到的210.21.12.140:8000）、也知道了A的内部地址。同理C也知道了B的外部地址（210.15.27.140:8000）和内部地址（192.168.0.5:5000）。之后，C作为中介，把A的两个地址告诉了B，同时也把B的两个地址告诉了A。假设A先知道了B的两个地址，则A从192.168.0.4:5000处同时向B的两个地址192.168.0.5:5000和210.15.27.140:8000发包，由于A和B在两个不同的NAT后面，故从A（192.168.0.4:5000）到B（192.168.0.5:5000）的包肯定不通，现在看A（192.168.0.4:5000）到B（210.15.27.140:8000）的包，分如下两种情况：1、B侧NAT属于FullConeNAT则无论A侧NAT属于ConeNAT还是SymmetricNAT，包都能顺利到达B。如果P2P程序设计得好，使得B主动到A的包也能借用A主动发起建立的通道的话，则即使A侧NAT属于SymmetricNAT，B发出的包也能顺利到达A。结论1：只要单侧NAT属于FullConeNAT，即可实现双向通信。2、B侧NAT属于RestrictedCone或PortRestrictedCone则包不能到达B。再细分两种情况（1）、A侧NAT属于RestrictedCone或PortRestrictedCone虽然先前那个初始包不曾到达B，但该发包过程已经在A侧NAT上留下了足够的记录：A（192.168.0.4:5000）->（210.21.12.140:8000）->B（210.15.27.140:8000）。如果在这个记录没有超时之前，B也重复和A一样的动作，即向A（210.21.12.140:8000）发包，虽然A侧NAT属于RestrictedCone或PortRestrictedCone，但先前A侧NAT已经认为A已经向B（210.15.27.140:8000）发过包，故B向A（210.21.12.140:8000）发包能够顺利到达A。同理，此后A到B的包，也能顺利到达。结论2：只要两侧NAT都不属于SymmetricNAT，也可双向通信。换种说法，只要两侧NAT都属于ConeNAT，即可双向通信。（2）、A侧NAT属于SymmetricNAT因为A侧NAT属于SymmetricNAT，且最初A到C发包的过程在A侧NAT留下了如下记录：A（192