010-NAT-代理服务-内网穿透

NAT、代理服务、内网穿透

1. NAT

1.1 NAT 技术背景

IPv4 协议中，IP 地址数量并不充足，而 NAT 技术就是当前解决 IP 地址不够用的主要手段，是路由器的一个重要功能。

• NAT 能够将私有 IP 对外通信时转为全局 IP，也就是就是一种将私有 IP 和全局 IP 相互转化的技术方法。
• 很多学校、家庭、公司内部采用每个终端设置私有 IP，而在路由器或必要的服务器上设置全局 IP。
• 全局 IP 要求唯一，但是私有 IP 不需要，在不同的局域网中可以出现相同的私有 IP。

1.2 NAT IP 转换过程

如上图：

• NAT 路由器将源地址从10.0.0.10 替换成全局的 IP 202.244.174.37
• NAT 路由器受到外部数据时，优惠把目标 IP 从 202.244.174.37 替换回 10.0.0.10。
• 在 NAT 路由器内部，有一张自动生成的、用于地址转换的表。
• 当 10.0.0.10 第一次向 163.221.120.9 发送数据时就会生成表中的映射关系。

1.3 NAPT

那么问题来了，如果局域网内，有多个主机都访问同一个外网服务器，那么对于服务器返回的数据中，目的 IP 都是相同的，那么 NAT 路由器如何判定将这个数据包转发给局域网的哪个主机？

NAPT就是解决这个问题的，使用IP+port就可与建立这个关联关系。

这种关联关系也是由 NAT 路由器自动维护的，例如在 TCP 的情况下，建立连接时，就会生成这个表项，在断开连接后，就会删除这个表项。

1.4 NAT 的技术缺陷

由于 NAT 依赖这个转换表，所以有诸多限制：

• 无法从 NAT 外部向内部服务器建立链接。
• 转换表的生成和销毁都需要开销。
• 通信过程中一旦 NAT 设备异常，即使存在热备，所有的 TCP 连接也会断开。

2. 代理服务

2.1 正向代理

2.1.1 概念

正向代理（Forward Proxy）是一种常见的网络代理方式，它位于客户端和目标服务器之间，代表客户端向目标服务器发送请求。正向代理服务器接收客户端的请求，然后将请求转发给目标服务器，最后将目标服务器的响应返回给客户端。通过这种方式，正向代理可以实现多种功能，如提高访问速度、隐藏客户端身份、实施访问控制等。

2.1.2 工作原理

• 客户端将请求发送给正向代理服务器。
• 正向代理服务器接收请求，并根据配置进行处理，如缓存查找、内容过滤等。
• 正向代理服务器将处理后的请求转发给目标服务器。
• 目标服务器处理请求， 并将响应返回给正向代理服务器。
• 正向代理服务器将响应返回给客户端。

2.1.3 功能特点

• 缓存功能：正向代理服务器可以缓存经常访问的资源，当客户端再次请求这些资源时，可以直接从缓存中获取，提高访问速度。
• 内容过滤：正向代理可以根据预设的规则对请求或响应进行过滤，如屏蔽广告、阻止恶意网站等。
• 访问控制：通过正向代理，可以实现对特定网站的访问控制，如限制员工在工作时间访问娱乐网站。
• 隐藏客户端身份：正向代理可以隐藏客户端的真实 IP 地址，保护客户端的隐私。
• 负载均衡：在多个目标服务器之间分配客户端请求，提高系统的可扩展性和可靠性。

2.2 反向代理

2.2.1 概述

反向代理服务器是一种网络架构模式，其作为 Web 服务器的前置服务器，接收来自客户端的请求，并将这些请求转发给后端服务器，然后将后端服务器的响应返回给客户端。这种架构模式可以提升网站性能、安全性和可维护性等。

2.2.2 基本原理

• 反向代理服务器位于客户端和 Web 服务器之间。
• 当客户端发起请求时，它首先会到达反向代理服务器。
• 反向代理服务器会根据配置的规则将请求转发给后端的 Web 服务器， 并将 Web 服务器的响应返回给客户端。
• 在这个过程中，客户端并不知道实际与哪个 Web 服务器进行了交互，它只知道与反向代理服务器进行了通信。

2.2.3 应用场景

• 负载均衡：反向代理服务器可以根据配置的负载均衡策略，将客户端的请求分发到多个后端服务器上，以实现负载均衡。这有助于提升网站的整体性能和响应速度，特别是在高并发场景下。
• 安全保护：反向代理服务器可以隐藏后端 Web 服务器的真实 IP 地址，降低其被直接攻击的风险。同时，它还可以配置防火墙、访问控制列表（ACL） 等安全策略，对客户端的请求进行过滤和限制，以保护后端服务器的安全。
• 缓存加速：反向代理服务器可以缓存后端 Web 服务器的响应内容，对于重复的请求， 它可以直接从缓存中返回响应，而无需再次向后端服务器发起请求。这可以大大减少后端服务器的负载，提升网站的响应速度。
• 内容过滤和重写：反向代理服务器可以根据配置的规则对客户端的请求进行过滤和重写，例如添加或删除请求头、修改请求路径等。这有助于实现一些特定的业务需求，如 URL 重写、用户认证等。
• 动静分离：在大型网站中，通常需要将静态资源和动态资源分开处理。通过将静态资源部署在反向代理服务器上，可以直接从反向代理服务器返回静态资源的响应，而无需再次向后端服务器发起请求。这可以大大提升静态资源的访问速度。
• CDN（Content Delivery Network，内容分发网络）就是采用了反向代理的原理。

2.3 NAT 和代理服务器

路由器往往都具备 NAT 设备的功能，通过 NAT 设备进行中转，完成子网设备和其他子网设备的通信过程代理服务器看起来和 NAT 设备有一点像，客户端像代理服务器发送请求，代理服务器将请求转发给真正要请求的服务器，服务器返回结果后，代理服务器又把结果回传给客户端。

那么NAT和代理服务器的区别有哪些？

• 从应用上讲，NAT 设备是网络基础设备之一，解决的是 IP 不足的问题，代理服务器则是更贴近具体应用，比如像游戏加速器这样的加速器，也是使用代理服务器。
• 从底层实现上讲，NAT 是工作在网络层，直接对 IP 地址进行替换，代理服务器往往工作在应用层。
• 从使用范围上讲，NAT 一般在局域网的出口部署，代理服务器可以在局域网做，也可以在广域网做，也可以跨网。
• 从部署位置上看，NAT 一般集成在防火墙，路由器等硬件设备上，代理服务器则是一个软件程序，需要部署在服务器上。

3. 内网穿透/内网打洞

3.1 内网穿透

根据之前的理论我们可以知道，所有主机都可以直接去访问公网中有公网IP的主机，但是无法访问到内网中的主机。

此时有一种方法，可以让其他主机访问到内网的主机（这里以有公网IP的云服务器为例）：

1. 让内网的主机和云服务器建立TCP连接
2. 把本地对应的端口（如 192.168.0.1:22）映射到云服务器的指定端口上（如 12.34.56.78:8888）
3. 此时如果有其他主机想要访问内网的这个主机，就可以直接访问12.34.56.78:8888，然后由云服务器将其他主机发送来的数据转发到内网的192.168.0.1:22（实际上应该是发给内网主机连接的运营商出入口路由器的指定端口，然后根据NAPT进行转换，最终转发到内网主机的192.168.0.1:22），内网向外发送的信息先发送到服务器，然后由服务器再转发到外网对应的主机

这种方式就叫做内网穿透。

3.2 内网打洞

上面的内网穿透，两端的主机通信还是要经过服务器这个中转站，这样就会降低通信的效率。

我们可以想到（下面称两台相互通信的主机为A和B）：

1. 当以内网穿透的方式访问的时候，云服务器既有主机A对应的出入口路由器对应的IP+port，也有主机B的出入口IP+port
2. 那么如果服务器将它们进行交换，也就是把A的IP+port发给B，然后把B的IP+port发给A
3. AB之间通信直接向对方的IP+port发送信息即可，这样就不用在经过服务器，就可以实现内网-内网通信了

而这种方式，我们就称为内网打洞。