(18)-4.6 VPN和NAT計(jì)算機(jī)網(wǎng)絡(luò)計(jì)算機(jī)網(wǎng)絡(luò)

4.6VPN與NAT本講要點(diǎn)虛擬專(zhuān)用網(wǎng)VPN網(wǎng)絡(luò)地址轉(zhuǎn)換NAT重（難）點(diǎn)：VPN與NAT的工作原理4.6VPN與NAT

4.6.1虛擬專(zhuān)用網(wǎng)VPN專(zhuān)用網(wǎng)(專(zhuān)用互聯(lián)網(wǎng),本地互連網(wǎng))目的:節(jié)省全球IP地址,內(nèi)部網(wǎng)絡(luò)安全性屬于一個(gè)單位內(nèi)部的網(wǎng)絡(luò)關(guān)于地址本地地址——僅在機(jī)構(gòu)內(nèi)部使用的IP地址，可以由本機(jī)構(gòu)自行分配，而不需要向因特網(wǎng)的管理機(jī)構(gòu)申請(qǐng)。全球地址——全球惟一的IP地址，必須向因特網(wǎng)的管理機(jī)構(gòu)申請(qǐng)。RFC1918指明的專(zhuān)用地址(privateaddress)

10.0.0.0到10.255.255.255172.16.0.0到172.31.255.255192.168.0.0到192.168.255.255這些地址只能用于一個(gè)機(jī)構(gòu)的內(nèi)部通信，而不能用于和因特網(wǎng)上的主機(jī)通信。專(zhuān)用地址只能用作本地地址而不能用作全球地址。在因特網(wǎng)中的所有路由器對(duì)目的地址是專(zhuān)用地址的數(shù)據(jù)報(bào)一律不進(jìn)行轉(zhuǎn)發(fā)。虛擬專(zhuān)用網(wǎng)VPN(VirtualPrivateNetwork)目的:使兩個(gè)物理位置不相鄰的專(zhuān)用網(wǎng)連接成一個(gè)網(wǎng)絡(luò)效果上與一個(gè)專(zhuān)用網(wǎng)絡(luò)一樣,實(shí)際不是。用隧道技術(shù)實(shí)現(xiàn)虛擬專(zhuān)用網(wǎng)X10.1.0.1部門(mén)A因特網(wǎng)部門(mén)BR1R2隧道125.1.2.3194.4.5.6Y10.2.0.3使用隧道技術(shù)本地地址本地地址全球地址網(wǎng)絡(luò)地址=10.1.0.0（本地地址）網(wǎng)絡(luò)地址=10.2.0.0（本地地址）隧道技術(shù) 如海底隧道，輪渡X10.1.0.1用隧道技術(shù)實(shí)現(xiàn)虛擬專(zhuān)用網(wǎng)部門(mén)A因特網(wǎng)部門(mén)BR1R2隧道125.1.2.3194.4.5.6Y10.2.0.3使用隧道技術(shù)加密的從

X

到

Y

的內(nèi)部數(shù)據(jù)報(bào)外部數(shù)據(jù)報(bào)的數(shù)據(jù)部分源地址：125.1.2.3目的地址：194.4.5.6數(shù)據(jù)報(bào)首部部門(mén)A部門(mén)BXYR1R2125.1.2.3194.4.5.610.1.0.110.2.0.3虛擬專(zhuān)用網(wǎng)VPN內(nèi)聯(lián)網(wǎng)intranet和外聯(lián)網(wǎng)extranet

（都是基于TCP/IP協(xié)議）

由部門(mén)A和B的內(nèi)部網(wǎng)絡(luò)所構(gòu)成的虛擬專(zhuān)用網(wǎng)VPN又稱(chēng)為內(nèi)聯(lián)網(wǎng)(intranet)，表示部門(mén)A和B都是在同一個(gè)機(jī)構(gòu)的內(nèi)部。一個(gè)機(jī)構(gòu)和某些外部機(jī)構(gòu)共同建立的虛擬專(zhuān)用網(wǎng)VPN又稱(chēng)為外聯(lián)網(wǎng)(extranet)。部門(mén)A部門(mén)BXYR1R2125.1.2.3194.4.5.610.1.0.110.2.0.3虛擬專(zhuān)用網(wǎng)VPNinternet服務(wù)器群一系二系……圖書(shū)館分校區(qū)VPN主校區(qū)內(nèi)聯(lián)網(wǎng)應(yīng)用舉例遠(yuǎn)程接入VPN

(remoteaccessVPN)

在外地工作的員工撥號(hào)接入因特網(wǎng)，而駐留在員工PC機(jī)中的VPN軟件可在員工的PC機(jī)和公司的主機(jī)之間建立VPN隧道，因而外地員工與公司通信的內(nèi)容是保密的，員工們感到好像就是使用公司內(nèi)部的本地網(wǎng)絡(luò)。課后延伸VPN服務(wù)器和客戶(hù)端上應(yīng)該設(shè)置些什么？請(qǐng)通過(guò)查閱資料完成！4.6.2網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

(NetworkAddressTranslation)提出時(shí)間：1994年解決問(wèn)題：專(zhuān)用網(wǎng)與外部網(wǎng)絡(luò)通信。技術(shù)支持：路由器、NAT軟件需要在專(zhuān)用網(wǎng)連接到因特網(wǎng)的路由器上安裝NAT軟件。裝有NAT軟件的路由器叫做NAT路由器，它至少有一個(gè)有效的外部全球地址IPG。所有使用本地地址的主機(jī)在和外界通信時(shí)都要在NAT路由器上將其本地地址轉(zhuǎn)換成IPG

才能和因特網(wǎng)連接。NAT的基本方法多臺(tái)主機(jī)同時(shí)上網(wǎng)怎么解決？如果NAT路由器有多個(gè)全球IP地址，就可以同時(shí)將多個(gè)本地地址轉(zhuǎn)換為全球IP，使多個(gè)擁有本地地址的主機(jī)能夠和因特網(wǎng)上的主機(jī)進(jìn)行通信。通過(guò)端口復(fù)用用一個(gè)全球IP地址使多個(gè)擁有本地地址的主機(jī)同時(shí)和因特網(wǎng)上的不同主機(jī)進(jìn)行通信。網(wǎng)絡(luò)地址與端口號(hào)轉(zhuǎn)換由于端口號(hào)字段有16比特，因此一個(gè)外部IP地址可支持60000多對(duì)內(nèi)部主機(jī)與外部主機(jī)的通信。本講小結(jié)：VPN與NAT