计算机网络 · 从零开始

外观

全世界有数百亿台联网设备，为什么只有 43 亿个 IPv4 地址却没有崩溃？ ​

在第 14 课中我们得知：32 位的 IPv4 地址理论上限仅有约 42.9 亿个。早在 2011 年，全球 IANA 的 IPv4 顶层地址池就已经彻底宣告枯竭。 然而今天，每家每户都有智能手机、电视、平板、智能音箱；每个企业园区都有成千上万台工作站，它们都在顺畅地冲浪。

支撑全球互联网在 IPv6 全面普及前平稳运转二十余年的最大功臣，就是 网络地址转换（NAT）（网络地址转换，RFC 1631 / RFC 3022）！

学完本课后，你将能够：

  1. 辨析 私网保留地址（RFC 1918）与公网可路由地址的核心界限。
  2. 掌握 源 NAT 三大形态：No-PAT、NAPT 与 Easy IP 的演进逻辑与适用场景。
  3. 理解 目的 NAT（NAT Server）将内网业务服务器安全发布到公网的静态映射原理。
  4. 牢记 华为 ICT 大赛与工程排障的经典流水线考点：防火墙首包报文处理顺序（目的NAT → 查路由 → 查安全策略 → 源NAT）。

1. 根基：私网地址与 NAT 的诞生背景 ​

为了缓解公网 IP 的消耗，IETF 在 RFC 1918 中划出了三段任何人都可以免费在内部使用的 私有 IP 地址（Private IP）：

  • A 类私网：10.0.0.0 ~ 10.255.255.255（掩码 /8，约 1677 万个）
  • B 类私网：172.16.0.0 ~ 172.31.255.255（掩码 /12，约 104 万个）
  • C 类私网：192.168.0.0 ~ 192.168.255.255（掩码 /16，约 6.5 万个）

WARNING

全球所有公网运营商的骨干核心路由器上，绝对禁止出现去往私网 IP 的路由，收到私网目的报文一律直接丢弃！ 因此，私网报文如果想游向公网 Internet，必须在企业出口边界的路由器或防火墙上，将报文头部的“私网身份证”强行脱下，换上一张“公网合法身份证”。

2. 源 NAT（Source NAT）：内网主动出海访问公网 ​

当企业内部 PC 访问外网服务器时，修改的是 IP 报文头部的 源 IP 地址（Source IP）。源 NAT 经历了三大发展阶段：

NAT核心分类与报文转换原理

(1) No-PAT（一对一静态/动态源 NAT） ​

  • 机制：只修改 IP 报文的源 IP 地址，绝不修改四层源端口号（Port）。
  • 缺点：1 个公网 IP 在同一时刻只能被 1 台内网主机独占使用。内网如果有一百台电脑同时上网，出口就必须购买一百个极其昂贵的公网 IP，根本无法缓解公网 IP 匮乏。

(2) NAPT（网络地址端口转换 / PAT） ​

  • 机制：既修改源 IP 地址，又同时修改四层的传输层源端口号（Port）。
  • 神级收益：利用四层传输层高达 65535 个端口号的充沛资源，数千台内网主机可以同时并发复用同一个公网 IP 地址上网！
    • PC-A（192.168.1.10:5001）发出的包，在出口被转换成 202.100.1.1:10001；
    • PC-B（192.168.1.20:5001）发出的包，在出口被转换成 202.100.1.1:10002；
    • 外网回包到达时，防火墙只需查看目的端口是 10001 还是 10002，便能精准送回给 PC-A 还是 PC-B。

(3) Easy IP（接口地址复用型源 NAT） ​

  • 机制：在小型企业、家庭宽带或分支机构中，出口路由器通过电信光猫 PPPoE 拨号或 DHCP 动态获取外网 IP（每天都在变动，甚至连固定的公网 IP 地址池都没有）。
  • Easy IP 的妙处：配置源 NAT 时，直接指定出接口（Outbound Interface）的名字，命令防火墙“当前这个接口拿到什么 IP，你就自动拿它作为 NAPT 的源公网 IP”！
  • 命令极简：完全无需配置复杂的 nat address-group 地址池，一条命令即可生效。

3. 目的 NAT / NAT Server：公网用户访问内网服务器 ​

企业搭建了内部官网服务器（私网 IP 为 192.168.1.10:80），公网用户无法直接路由到该私网 IP。 此时必须在出口防火墙上配置 NAT Server（服务器静态映射）：

  • 配置映射：将内网服务器发布为公网地址 202.100.1.100:80。
  • 转换过程：
    1. 公网访客发送报文：源: 120.24.1.5:4321 $\to$ 目的: 202.100.1.100:80；
    2. 防火墙收到后，查找 Server-map 表项，将目的地址和目的端口修改为真实内网服务器：目的: 192.168.1.10:80；
    3. 报文被路由转发给 DMZ 区真实服务器处理；
    4. 服务器回包时，防火墙根据会话表反向将源 IP 改回 202.100.1.100:80 回送给访客。

4. 华为防火墙首包处理顺序（大赛王炸必考点） ​

当一个外部报文首次抵达华为防火墙时，防火墙硬件芯片内部的处理流水线存在严格且逻辑必然的先后顺序：

华为防火墙首包报文处理流水线

IMPORTANT

深度推演为什么必须是这个顺序：

  1. 为什么先做目的 NAT？ 如果不先把公网虚 IP（如 202.100.1.100）换成内网真实 IP（192.168.1.10），防火墙查路由表时，根本不知道这个包最终应该送往哪个内网接口和 DMZ 区域！
  2. 为什么查完路由才做安全策略？ 只有查了路由，才知道出接口隶属于哪一个安全区域（例如从 Untrust 到 DMZ），进而才能针对性匹配该区域间的安全策略规则！
  3. 为什么源 NAT 放在安全策略之后？ 安全策略中配置的源 IP 规则通常是针对内网发起方的真实私网 IP；如果提前改掉了源 IP，安全策略将无法识别真实发起员工！

5. 课堂小结与真题实战 ​

  1. 源 NAT 用于内网主动上网（改源 IP/端口）；目的 NAT（NAT Server）用于公网访问内网服务器（改目的 IP/端口）。
  2. Easy IP 是最通用的源 NAT，直接借用外网出接口当前动态 IP，零公网地址池开销。
  3. 状态防火墙首包处理五步顺序：目的NAT → 查路由 → 安全策略建会话 → 源NAT → 发送/IPSec。

华为 ICT 大赛真题精练 ​

华为 ICT 大赛 2024–2025 省初赛 · 真题 · 单选

关于华为网络设备中 Easy IP 技术的描述，以下哪一项是正确的？

真题衍生 · 考点避坑 ​

真题衍生 · 判断题 · 单选

防火墙执行源 NAT（如 Easy IP）后，外网的回包到达防火墙时，防火墙必须重新从头匹配安全策略规则库，才能决定是否放行回包。