星级打分
平均分: 0 参与人数: 0 我的评分: 未评
有朋友留言,买了一部某品牌BE7200级别的路由器,发现设置里有个NAT类型,里面几个选项不知道怎么选。以前的入门级路由器简单设置拨号就行了,这种情况怎么办?别急,我来解释!
! ^5 E& W: o' Q
8 W7 R" C- u c' [, F' }
4 e, n4 b. i& V# J NAT是什么?
, q; G$ Y6 J3 V& c* ?* |: K+ k
- \% F9 K# Y( @' G+ c9 | ! V& K- I! S2 }5 M& d0 U8 v6 S- X) Z
这位朋友碰到的问题是固件和APP设置中出现了NAT类型的选项。而且里面“全锥形NAT”和“端口受限型NAT”还有警告语,警告前者可能有安全隐患,吓得他不敢去看前者。但是好像不开,玩网游似乎更容易登录失败和掉线了,所以来问小狮子是不是这个东西造成的。
! |5 ^& _: u+ W1 u& w; w ' I6 \" I3 z U+ E% V; w
无独有偶,另外一个朋友的华硕AX92U路由器也出现了NAT类型设置,不过变成了“全锥形NAT”和“对称型NAT”(变成了英文)选项。
: N4 \. t8 O5 F9 b% c2 L & ]7 w( f9 k3 s0 p$ z3 d0 r- L
这里先来解释下NAT。NAT是一种“网络地址转换”技术,它可以将IP数据报文头中的IP地址转换为另一个IP地址,并通过转换端口号达到地址重用的目的。
?) T, o+ v7 U( j3 I
! x* G& ~5 s7 [7 ^; n+ l! Z4 j: i 当私网用户访问公网的报文到达网关设备后,如果网关设备上部署了NAT功能,设备会将收到的IP数据报文头中的IP地址转换为另一个IP地址,端口号转换为另一个端口号之后转发给公网。在这个过程中,设备可以用同一个公网地址来转换多个私网用户发过来的报文,并通过端口号来区分不同的私网用户,从而达到地址复用的目的。
' Q% i: ^- j! G# J- R* i
8 v$ q. _0 X4 m7 j$ b9 z6 ` 实际上,现在的NAT已经转变为NAPT,也就是主要通过“Port”,也就是“端口”的映射,来来完成网络地址转换了。这样就实现多个私网用户共同使用一个公网IP地址上网。NAPT根据端口来区分不同用户,真正做到了地址复用。
2 P/ L8 c0 m4 N U' W9 _' W% O2 L
6 s9 n$ [7 L& @4 A7 P0 I. A. [; W 简单来说,就是路由器的NAT,能让你的局域网上的每个设备,都变成一个在互联网上有“独立公网IP”的设备,从而让很多服务,比如网络游戏、视频和语音通话、IPTV等服务,能够更好更流程的变成某种意义的“点对点”转发工作,从而提高效率和连接成功率。
" Q& I" D+ k: } ~1 D6 j0 r+ M
2 t, _1 {! |8 M( h" [6 P) z) P 四种NAT服务,越来越严格
6 H' x& S0 |( c# U. X
: `0 d. \/ e& O: W, D! @. D/ T& ? 现在NAT服务在网络协议规范中,有四种工作模式。分别是完全锥形NAT、限制锥形NAT、端口受限NAT和对称NAT。其中,家用中高端路由器中,最常见是完全锥形NAT、端口受限NAT和对称NAT。该怎么选,你需要先了解它们的意义。
6 |& [7 h2 e% M) _" \( [ # Z3 y/ |) `, y* t* @
Full Cone NAT(完全锥型NAT)
# S. k! U7 |4 E1 C( c 0 P; e2 w" t( j7 b7 G
所有从同一个私网IP地址和端口(IP1
ort1)发送过来的请求都会被映射成同一个公网IP地址和端口(IP
ort)。并且,任何外部主机通过向映射的公网IP地址和端口发送报文,都可以实现和内部主机进行通信。
_3 R6 l6 V$ b3 t n+ s: b
_$ i& X F# b3 W. }" a) K' R( R
7 F5 ^* M: U& ?8 Z 这是一种比较宽松的策略,只要建立了私网IP地址和端口与公网IP地址和端口的映射关系,所有的Internet上的主机都可以访问该NAT之后的主机。可以说是“局域网设备可以让路由器自由转换网络地址”。如果要使用内网穿透的工具和部分NAS软件,必须借助全锥形NAT的这个特性实现。
# b5 p- C- P0 W9 F$ g
! x9 M/ n0 z( [# f Restricted Cone NAT(限制锥型NAT)
+ q( e; n3 P# Q, [
& _" P/ C% \# `- H, b 所有从同一个私网IP地址和端口(IP1
ort1)发送过来的请求都会被映射成同一个公网IP和端口号(IP
ort)。
8 |* K6 t( |4 L/ t. t& T
r4 x6 g" z% h8 Y( d
与全锥形NAT不同,只有在内部主机之前向IP地址X发送过数据包时,外部主机(具有IP地址X)才能向内部主机发送数据包,因此对新的UDP协议的程序(如部分网游和聊天程序),并不友好。
6 ?% [. S3 p8 |8 s7 E& G
; t' _2 f, q; A& `* o Port Restricted Cone NAT(端口限制锥型NAT)
0 m! h: F8 }0 R: V+ a, C Z 4 k" [7 E F" p
与限制锥型NAT很相似,只不过它包括端口号。也就是说,一台公网主机(IP2
ort2)想给私网主机发送报文,必须是这台私网主机先前已经给这个IP地址和端口发送过报文。相对限制锥形NAT,要求更严格了。部分网游使用这个模式的话,更难连接成功。
% ^) k5 c' t' d7 G# T
' p/ p9 |3 H/ o+ H3 K& V Symmetric NAT(对称NAT)
2 ]( K# d. q- e; _+ M
# B S7 W9 P* t$ X. W
所有从同一个私网IP地址和端口发送到一个特定的目的IP地址和端口的请求,都会被映射到同一个IP地址和端口。如果同一台主机使用相同的源地址和端口号发送报文,但是发往不同的目的地,NAT将会使用不同的映射。此外,只有收到数据的公网主机才可以反过来向私网主机发送报文。
' o; ?2 L7 C& ?* `0 l0 X # }3 P9 Q: u) N6 o
% k; A+ v" Q: N: Y) R/ {8 W
这和端口限制锥型NAT不同,端口限制锥型NAT是所有请求映射到相同的公网IP地址和端口,而对称NAT是不同的请求有不同的映射。换句话说,对称NAT允许内部主机之间直接通信,而不必通过外部服务器中转。
' P3 c6 m r; F0 E4 y7 L( ~
+ [) g# q0 a Y# ?
华硕大部分中高端家用路由器,默认设置都是“对称NAT”。
7 ?. X) `0 i" f" \& c6 ?
0 Z0 {1 s" A$ q4 P 四种NAT怎么设置?
& T0 j! L: ?; q5 t- }2 k! s
& N2 ]9 @) C. ~0 K* x& Z IPv4的NAT,相当于半个防火墙。
2 H9 I* {' B- a, Q
0 A' X7 W6 j0 ]' J, t
& e1 j4 l0 C$ Q W+ l) m8 |
因为路由器不会主动对外提供服务,所以,外网黑客无法通过直接和路由器建立连接来和内网机器主动通讯。全锥NAT或者各种受限NAT情况下开uPnP进行较少限制的端口映射,就容易给黑客这样的机会(前提是你感染了相关病毒、木马进行了端口映射或者系统被注入攻击打开了端口映射)。
+ d5 j* B1 k5 A0 N5 W9 x 2 e4 b, o8 X6 a( R
那么,如何设置NAT呢?
$ W% p. Y% e# |3 W P2 C
) w7 ` @6 i6 Q4 U 一般来说,如果上网设备仅用于娱乐和一般上网,没有涉密数据情况下,建议打开全锥形NAT,特别是网游和电竞联网游戏玩家,但建议关闭uPnP,防止部分软件比如在线影音程序把本机映射出去当CDN节点做持续上传服务。
; [ R: R. T9 W- `9 A, m
8 {% N& T4 A- l; m
宽带网络本身没有公网IP的,可以考虑直接设置为受限锥形NAT或者端口受限NAT,但是打开路由器的uPnP或者DMZ功能,保证连接兼容性。
) `" |2 G; P) w1 _
f4 |* Y& L* q& B- Y! ^3 F9 ~ 内网交换较多,有安全需求的,建议平时主要使用对称NAT设置,同时在网游、NAS软件或者在线影音程序使用不正常时候,暂时改为全锥形NAT,使用完毕后再恢复为对称NAT。
3 q8 M* M+ {" F' C/ e+ J 3 x/ M" Y) Y5 Z5 `