|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來(lái)的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體，實(shí)現(xiàn)資源的全面共享和有機(jī)協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計(jì)算機(jī)、存儲(chǔ)資源、數(shù)據(jù)資源、信息資源、知識(shí)資源、專家資源、大型數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 前言：隨著Internet技術(shù)的不斷以指數(shù)級(jí)速度增長(zhǎng)，珍貴的網(wǎng)絡(luò)地址分配給專用網(wǎng)絡(luò)終于被視作是一種對(duì)寶貴的虛擬房地產(chǎn)的浪費(fèi)。因此出現(xiàn)了網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)標(biāo)準(zhǔn)，就是將某些IP地址留出來(lái)供專用網(wǎng)絡(luò)重復(fù)使用。本文將詳細(xì)告訴你如何正確應(yīng)用網(wǎng)絡(luò)地址轉(zhuǎn)換NAT技術(shù)。一、NAT技術(shù)的定義 NAT英文全稱是Network Address Translation，稱是網(wǎng)絡(luò)地址轉(zhuǎn)換，它是一個(gè)IETF標(biāo)準(zhǔn)，允許一個(gè)機(jī)構(gòu)以一個(gè)地址出現(xiàn)在Internet上。NAT將每個(gè)局域網(wǎng)節(jié)點(diǎn)的地址轉(zhuǎn)換成一個(gè)IP地址，反之亦然。它也可以應(yīng)用到防火墻技術(shù)里，把個(gè)別IP地址隱藏起來(lái)不被外界發(fā)現(xiàn)，使外界無(wú)法直接訪問(wèn)內(nèi)部網(wǎng)絡(luò)設(shè)備，同時(shí)，它還幫助網(wǎng)絡(luò)可以超越地址的限制，合理地安排網(wǎng)絡(luò)中的公有Internet 地址和私有IP地址的使用。 二、NAT技術(shù)的基本原理和類型 1、NAT技術(shù)基本原理 NAT技術(shù)能幫助解決令人頭痛的IP地址緊缺的問(wèn)題，而且能使得內(nèi)外網(wǎng)絡(luò)隔離，提供一定的網(wǎng)絡(luò)安全保障。它解決問(wèn)題的辦法是：在內(nèi)部網(wǎng)絡(luò)中使用內(nèi)部地址，通過(guò)NAT把內(nèi)部地址翻譯成合法的IP地址在Internet上使用，其具體的做法是把IP包內(nèi)的地址域用合法的IP地址來(lái)替換。 NAT功能通常被集成到路由器、防火墻、ISDN路由器或者單獨(dú)的NAT設(shè)備中。NAT設(shè)備維護(hù)一個(gè)狀態(tài)表，用來(lái)把非法的IP地址映射到合法的IP地址上去。每個(gè)包在NAT設(shè)備中都被翻譯成正確的IP地址，發(fā)往下一級(jí)，這意味著給處理器帶來(lái)了一定的負(fù)擔(dān)。但對(duì)于一般的網(wǎng)絡(luò)來(lái)說(shuō)，這種負(fù)擔(dān)是微不足道的。 2、NAT技術(shù)的類型 NAT有三種類型：靜態(tài)NAT(Static NAT)、動(dòng)態(tài)地址NAT(Pooled NAT)、網(wǎng)絡(luò)地址端口轉(zhuǎn)換NAPT（Port－Level NAT）。其中靜態(tài)NAT設(shè)置起來(lái)最為簡(jiǎn)單和最容易實(shí)現(xiàn)的一種，內(nèi)部網(wǎng)絡(luò)中的每個(gè)主機(jī)都被永久映射成外部網(wǎng)絡(luò)中的某個(gè)合法的地址。而動(dòng)態(tài)地址NAT則是在外部網(wǎng)絡(luò)中定義了一系列的合法地址，采用動(dòng)態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò)。NAPT則是把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個(gè)IP地址的不同端口上。根據(jù)不同的需要，三種NAT方案各有利弊。 動(dòng)態(tài)地址NAT只是轉(zhuǎn)換IP地址，它為每一個(gè)內(nèi)部的IP地址分配一個(gè)臨時(shí)的外部IP地址，主要應(yīng)用于撥號(hào)，對(duì)于頻繁的遠(yuǎn)程聯(lián)接也可以采用動(dòng)態(tài)NAT。當(dāng)遠(yuǎn)程用戶聯(lián)接上之后，動(dòng)態(tài)地址NAT就會(huì)分配給他一個(gè)IP地址，用戶斷開時(shí)，這個(gè)IP地址就會(huì)被釋放而留待以后使用。 網(wǎng)絡(luò)地址端口轉(zhuǎn)換NAPT（Network Address Port Translation）是人們比較熟悉的一種轉(zhuǎn)換方式。NAPT普遍應(yīng)用于接入設(shè)備中，它可以將中小型的網(wǎng)絡(luò)隱藏在一個(gè)合法的IP地址后面。NAPT與動(dòng)態(tài)地址NAT不同，它將內(nèi)部連接映射到外部網(wǎng)絡(luò)中的一個(gè)單獨(dú)的IP地址上，同時(shí)在該地址上加上一個(gè)由NAT設(shè)備選定的TCP端口號(hào)。 在Internet中使用NAPT時(shí)，所有不同的TCP和UDP信息流看起來(lái)好像來(lái)源于同一個(gè)IP地址。這個(gè)優(yōu)點(diǎn)在小型辦公室內(nèi)非常實(shí)用，通過(guò)從ISP處申請(qǐng)的一個(gè)IP地址，將多個(gè)連接通過(guò)NAPT接入Internet。實(shí)際上，許多SOHO遠(yuǎn)程訪問(wèn)設(shè)備支持基于PPP的動(dòng)態(tài)IP地址。這樣，ISP甚至不需要支持NAPT，就可以做到多個(gè)內(nèi)部IP地址共用一個(gè)外部IP地址上Internet，雖然這樣會(huì)導(dǎo)致信道的一定擁塞，但考慮到節(jié)省的ISP上網(wǎng)費(fèi)用和易管理的特點(diǎn)，用NAPT還是很值得的。 三、在Internet中使用NAT技術(shù) NAT技術(shù)可以讓你區(qū)域網(wǎng)路中的所有機(jī)器經(jīng)由一臺(tái)通往Internet的server 線出去，而且只需要注冊(cè)該server的一個(gè)IP就夠了。 在以往沒(méi)有NAT技術(shù)以前，我們必須在server上安裝sockd，并且所有的clients都必須要支援sockd，才能夠經(jīng)過(guò)server的sockd連線出去。這種方式最大的問(wèn)題是，通常只有telnet/ftp/www-browser支援sockd，其它的程式都不能使用；而且使用sockd的速度稍慢。因此我們使用網(wǎng)絡(luò)地址轉(zhuǎn)換NAT技術(shù)，這樣client不需要做任何的更動(dòng)，只需要把gateway設(shè)到該server上就可以了，而且所有的程式(例如kali/kahn等等) 都可以使用。最簡(jiǎn)單的NAT設(shè)備有兩條網(wǎng)絡(luò)連接：一條連接到Internet，一條連接到專用網(wǎng)絡(luò)。專用網(wǎng)絡(luò)中使用私有IP地址（有時(shí)也被稱做Network 10地址，地址使用留做專用的從10.0.0.0開始的地址）的主機(jī)，通過(guò)直接向NAT設(shè)備發(fā)送數(shù)據(jù)包連接到Internet上。與普通路由器不同NAT設(shè)備實(shí)際上對(duì)包頭進(jìn)行修改，將專用網(wǎng)絡(luò)的源地址變?yōu)镹AT設(shè)備自己的Internet地址，而普通路由器僅在將數(shù)據(jù)包轉(zhuǎn)發(fā)到目的地前讀取源地址和目的地址。 四、應(yīng)用NAT技術(shù)的安全策略 1、應(yīng)用NAT技術(shù)的安全問(wèn)題 在使用NAT時(shí)，Internet上的主機(jī)表面上看起來(lái)直接與NAT設(shè)備通信，而非與專用網(wǎng)絡(luò)中實(shí)際的主機(jī)通信。輸入的數(shù)據(jù)包被發(fā)送到NAT設(shè)備的IP地址上，并且NAT設(shè)備將目的包頭地址由自己的Internet地址變?yōu)檎嬲哪康闹鳈C(jī)的專用網(wǎng)絡(luò)地址。而結(jié)果是，理論上一個(gè)全球唯一IP地址后面可以連接幾百臺(tái)、幾千臺(tái)乃至幾百萬(wàn)臺(tái)擁有專用地址的主機(jī)。但是，這實(shí)際上存在著缺陷。例如，許多Internet協(xié)議和應(yīng)用依賴于真正的端到端網(wǎng)絡(luò)，在這種網(wǎng)絡(luò)上，數(shù)據(jù)包完全不加修改地從源地址發(fā)送到目的地址。比如，IP安全架構(gòu)不能跨NAT設(shè)備使用，因?yàn)榘糏P 源地址的原始包頭采用了數(shù)字簽名。如果改變?cè)吹刂返脑�，�?shù)字簽名將不再有效。 NAT還向我們提出了管理上的挑戰(zhàn)。盡管NAT 對(duì)于一個(gè)缺少足夠的全球唯一Internet地址的組織、分支機(jī)構(gòu)或者部門來(lái)說(shuō)是一種不錯(cuò)的解決方案，但是當(dāng)重組、 合并或收購(gòu)需要對(duì)兩個(gè)或更多的專用網(wǎng)絡(luò)進(jìn)行整合時(shí)，它就變成了一種嚴(yán)重的問(wèn)題。甚至在組織結(jié)構(gòu)穩(wěn)定的情況下，NAT系統(tǒng)不能多層嵌套，從而造成路由噩夢(mèng)。 2、應(yīng)用NAT技術(shù)的安全策略 當(dāng)我們改變網(wǎng)絡(luò)的IP地址時(shí)，都要仔細(xì)考慮這樣做會(huì)給網(wǎng)絡(luò)中已有的安全機(jī)制帶來(lái)什么樣的影響。如，防火墻根據(jù)IP報(bào)頭中包含的TCP端口號(hào)、信宿地址、信源地址以及其它一些信息來(lái)決定是否讓該數(shù)據(jù)包通過(guò)�？梢砸繬AT設(shè)備所處位置來(lái)改變防火墻過(guò)濾規(guī)則，這是因?yàn)镹AT改變了信源或信宿地址。如果一個(gè)NAT設(shè)備，如一臺(tái)內(nèi)部路由器，被置于受防火墻保護(hù)的一側(cè)，將不得不改變負(fù)責(zé)控制NAT設(shè)備身后網(wǎng)絡(luò)流量的所有安全規(guī)則。在許多網(wǎng)絡(luò)中，NAT機(jī)制都是在防火墻上實(shí)現(xiàn)的。它的目的是使防火墻能夠提供對(duì)網(wǎng)絡(luò)訪問(wèn)與地址轉(zhuǎn)換的雙重控制功能。除非可以嚴(yán)格地限定哪一種網(wǎng)絡(luò)連接可以被進(jìn)行NAT轉(zhuǎn)換，否則不要將NAT設(shè)備置于防火墻之外。任何一個(gè)淘氣的黑客，只要他能夠使NAT誤以為他的連接請(qǐng)求是被允許的，都可以以一個(gè)授權(quán)用戶的身份對(duì)你的網(wǎng)絡(luò)進(jìn)行訪問(wèn)。如果企業(yè)正在邁向網(wǎng)絡(luò)技術(shù)的前沿，并正在使用IP安全協(xié)議（IPSec）來(lái)構(gòu)造一個(gè)虛擬專用網(wǎng)（VPN）時(shí)，錯(cuò)誤地放置NAT設(shè)備會(huì)毀了計(jì)劃。原則上，NAT設(shè)備應(yīng)該被置于VPN受保護(hù)的一側(cè)，因?yàn)镹AT需要改動(dòng)IP報(bào)頭中的地址域，而在IPSec報(bào)頭中該域是無(wú)法被改變的，這使可以準(zhǔn)確地獲知原始報(bào)文是發(fā)自哪一臺(tái)工作站的。如果IP地址被改變了，那么IPSec的安全機(jī)制也就失效了，因?yàn)榧热恍旁吹刂范伎梢员桓膭?dòng)，那么報(bào)文內(nèi)容就更不用說(shuō)了。那么NAT技術(shù)在系統(tǒng)中我們應(yīng)采用以下幾個(gè)策略： ①網(wǎng)絡(luò)地址轉(zhuǎn)換模塊 NAT技術(shù)模塊是本系統(tǒng)核心部分，而且只有本模塊與網(wǎng)絡(luò)層有關(guān)，因此，這一部分應(yīng)和Unix系統(tǒng)本身的網(wǎng)絡(luò)層處理部分緊密結(jié)合在一起，或?qū)ζ渲苯舆M(jìn)行修改。本模塊進(jìn)一步可細(xì)分為包交換子模塊、數(shù)據(jù)包頭替換子模塊、規(guī)則處理子模塊、連接記錄子模塊與真實(shí)地址分配子模塊及傳輸層過(guò)濾子模塊。 �、诩性L問(wèn)控制模塊 集中訪問(wèn)控制模塊可進(jìn)一步細(xì)分為請(qǐng)求認(rèn)證子模塊和連接中繼子模塊。請(qǐng)求認(rèn)證子模塊主要負(fù)責(zé)和認(rèn)證與訪問(wèn)控制系統(tǒng)通過(guò)一種可信的安全機(jī)制交換各種身份鑒別信息，識(shí)別出合法的用戶，并根據(jù)用戶預(yù)先被賦予的權(quán)限決定后續(xù)的連接形式。連接中繼子模塊的主要功能是為用戶建立起一條最終的無(wú)中繼的連接通道，并在需要的情況下向內(nèi)部服務(wù)器傳送鑒別過(guò)的用戶身份信息，以完成相關(guān)服務(wù)協(xié)議中所需的鑒別流程。 �、叟R時(shí)訪問(wèn)端口表 為了區(qū)分?jǐn)?shù)據(jù)包的服務(wù)對(duì)象和防止攻擊者對(duì)內(nèi)部主機(jī)發(fā)起的連接進(jìn)行非授權(quán)的利用，網(wǎng)關(guān)把內(nèi)部主機(jī)使用的臨時(shí)端口、協(xié)議類型和內(nèi)部主機(jī)地址登記在臨時(shí)端口使用表中。由于網(wǎng)關(guān)不知道內(nèi)部主機(jī)可能要使用的臨時(shí)端口，故臨時(shí)端口使用表是由網(wǎng)關(guān)根據(jù)接收的數(shù)據(jù)包動(dòng)態(tài)生成的。對(duì)于入向的數(shù)據(jù)包，防火墻只讓那些訪問(wèn)控制表許可的或者臨時(shí)端口使用表登記的數(shù)據(jù)包通過(guò)。 �、苷J(rèn)證與訪問(wèn)控制系統(tǒng) 認(rèn)證與訪問(wèn)控制系統(tǒng)包括用戶鑒別模塊和訪問(wèn)控制模塊，實(shí)現(xiàn)用戶的身份鑒別和安全策略的控制。其中用戶鑒別模塊采用一次性口令（One-Time Password）認(rèn)證技術(shù)中Challenge/Response機(jī)制實(shí)現(xiàn)遠(yuǎn)程和當(dāng)?shù)赜脩舻纳矸蓁b別，保護(hù)合法用戶的有效訪問(wèn)和限制非法用戶的訪問(wèn)。它采用Telnet和WEB兩種實(shí)現(xiàn)方式，滿足不同系統(tǒng)環(huán)境下用戶的應(yīng)用需求。訪問(wèn)控制模塊是基于自主型訪問(wèn)控制策略（DAC），采用ACL的方式，按照用戶（組）、地址（組）、服務(wù)類型、服務(wù)時(shí)間等訪問(wèn)控制因素決定對(duì)用戶是否授權(quán)訪問(wèn)。 ⑤網(wǎng)絡(luò)安全監(jiān)控系統(tǒng) 監(jiān)控與入侵檢測(cè)系統(tǒng)作為系統(tǒng)端的監(jiān)控進(jìn)程，負(fù)責(zé)接受進(jìn)入系統(tǒng)的所有信息，并對(duì)信息包進(jìn)行分析和歸類，對(duì)可能出現(xiàn)的入侵及時(shí)發(fā)出報(bào)警信息；同時(shí)如發(fā)現(xiàn)有合法用戶的非法訪問(wèn)和非法用戶的訪問(wèn)，監(jiān)控系統(tǒng)將及時(shí)斷開訪問(wèn)連接，并進(jìn)行追蹤檢查。 �、藁赪EB的防火墻管理系統(tǒng) 管理系統(tǒng)主要負(fù)責(zé)網(wǎng)絡(luò)地址轉(zhuǎn)換模塊、集中訪問(wèn)控制模塊、認(rèn)證與訪問(wèn)控制系統(tǒng)、監(jiān)控系統(tǒng)等模塊的系統(tǒng)配置和監(jiān)控。它采用基于WEB的管理模式，由于管理系統(tǒng)所涉及到的信息大部分是關(guān)于用戶帳號(hào)等敏感數(shù)據(jù)信息，故應(yīng)充分保證信息的安全性，我們采用JAVA APPLET技術(shù)代替CGI技術(shù)，在信息傳遞過(guò)程中采用加密等安全技術(shù)保證用戶信息的安全性。 結(jié)尾：盡管NAT技術(shù)可以給我們帶來(lái)各種好處，例如無(wú)需為網(wǎng)絡(luò)重分IP地址、減少ISP帳號(hào)花費(fèi)以及提供更完善的負(fù)載平衡功能等，NAT技術(shù)對(duì)一些管理和安全機(jī)制的潛在威脅仍在，看你如何正確應(yīng)用好網(wǎng)絡(luò)地址轉(zhuǎn)換NAT技術(shù). 網(wǎng)絡(luò)的神奇作用吸引著越來(lái)越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來(lái)越嚴(yán)峻的考驗(yàn)―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項(xiàng)技術(shù)都需要適時(shí)應(yīng)勢(shì)，對(duì)應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。 |
溫馨提示：喜歡本站的話，請(qǐng)收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個(gè)人學(xué)習(xí)測(cè)試使用，請(qǐng)?jiān)谙螺d后24小時(shí)內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負(fù)，請(qǐng)支持購(gòu)買微軟正版軟件！
本站所有資源全部來(lái)自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請(qǐng)及時(shí)通知我們(),我們會(huì)及時(shí)處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機(jī)站 關(guān)于本站
