干网络这一行谁还没被NAT坑过几次我记得有一次深夜割接客户在群里发来一张抓包截图内网用户访问一个视频服务卡成幻灯片公网侧却完全正常。排查到最后问题出在出口路由器上一条NAT策略的端口复用方式没选对导致大量并发会话被挤在同一个公网端口上互相踩踏。那一晚上我盯着NAT地址映射表翻来覆去看了三个小时才真正把静态NAT、动态NAT、NAPT、Easy-ip这些看似基础的东西吃透。说实话NATNetwork Address Translation网络地址转换大概是所有网络工程师最早接触、也最容易被低估的技术。很多人觉得NAT不就是把私网地址换成公网地址嘛配置几条命令就完事。但真到排障的时候你就发现里面藏着大量细节映射表项怎么生成、老化时间怎么调、回流流量怎么处理、双出口下选路和转换的先后顺序、虚拟化环境里hyper-v虚拟交换机NAT和桥接的差异、甚至防火墙vsys系统里的路由环路风险全是在教科书上写得轻描淡写、实际却让人头疼的东西。这篇文章我想把NAT从基础概念到实际排障的完整链路梳理一遍覆盖静态NAT、动态NAT、NATServer、NAPT、Easy-ip这几种主流形态再把NAT地址映射表的查看方法和常见问题排查经验拿出来分享。适合刚入门的朋友建立完整认知也适合有几年经验的老手对照自己的理解查漏补缺。1. NAT到底是什么一个把地址翻译成另一个地址的机制1.1 NAT的本质像公司前台的访客登记NAT说白了就是一台设备在IP报文转发过程中把报文头里的源地址或目的地址改写成另一个地址。为什么要改写最直白的理由是IPv4地址不够用了。私网地址段比如192.168.0.0/16、10.0.0.0/8、172.16.0.0/12可以在公司内部随意使用但出了你的网络运营商的骨干网上根本不认这些地址。所以你必须在网络的出口设备上把内网一堆私有地址统一映射成公司买来的那几个公网IP报文才能正常发到互联网上。用一个生活化的类比NAT就像公司前台的访客登记制度。外访客公网IP要进公司找人前台先打电话确认、登记身份证然后发一个临时访客牌映射后的公网地址访客离开时再回收。内网员工要出去办事前台核验身份后给一张门禁卡转换后的源地址回来的时候凭卡进入。前台手里的那本登记簿就是NAT地址映射表。1.2 为什么必须要NAT不只是地址不够用地址节约确实是NAT诞生的初衷但实际用起来之后大家发现它的价值远不止于此。隐藏内网结构对外只暴露一到几个公网IP内网的真实拓扑、主机数量、操作系统类型默认不可见攻击者少了很多侦察线索。灵活变更内网规划只要NAT映射规则不变内网扩容、调整网段、更换服务器IP外部用户完全感知不到。实现简单的出入方向控制在配置NAT甚至NATServer的过程中你可以顺便限定哪些内网用户可以出去、哪些公网端口可以进来相当于带了一层过滤能力。解决地址重叠两家公司合并后如果都用了192.168.1.0/24在互联时通过NAT改写一方地址就可以避免路由冲突。不过NAT带来的副作用也很明显P2P通信困难、端到端透明性被破坏、某些应用层协议比如FTP的主动模式、SIP携带IP地址的协议需要额外做ALG处理。这些副作用造成了后来大量的优化技术也让IPv6的推进有了更硬的理由。1.3 一句话分清五种NAT形态在真正上手配置之前先把框架搭起来。NAT按转换方向和复用方式通常分成以下几类静态NATStatic NAT一个内网地址固定映射一个公网地址一对一双向主动发起都支持。动态NATDynamic NAT内网地址从公网地址池里动态获取一个映射也是一对一但映射关系不固定。NAPTNetwork Address Port Translation也叫PAT或端口复用多个内网地址共用一个或几个公网IP靠端口号区分不同会话这是企业出口最常用的方式。Easy-ipNAPT的一种简化形态直接复用出接口的公网IP地址作为转换后的源地址不需要额外配置地址池。NATServer端口映射/服务器映射把公网IP的某个端口映射到内网某台服务器的IP和端口让外部用户主动访问内网服务。后面我逐一展开讲同时会结合NAT地址映射表来说明每种形态下会话是怎么记录的。2. 静态NAT与动态NAT一对一的两种玩法2.1 静态NAT给服务器发一张长期出入证静态NAT的配置最简单就是在出口设备上建立一条固定的内网IP—公网IP绑定关系。我最常用的场景是把内网web服务器、邮件服务器、ERP系统发布到公网且这些服务器需要被外部设备稳定访问。因为是一对一绑定公网用户在访问指定的公网IP时报文的目的地址被改写成对应的内网IP服务器回程时源地址又被改回去全程不需要端口变化。以华为VRP为例在接口视图下配置interface GigabitEthernet0/0/0 ip address 202.100.1.1 255.255.255.0 nat static global 202.100.1.2 inside 192.168.1.10 nat static global 202.100.1.3 inside 192.168.1.11这里的global地址必须是设备上真实可路由的公网地址可以是接口主地址也可以是额外绑定的公网地址段。华三的设备命令类似但稍有区别一般是在接口下用nat static outbound 192.168.1.10 202.100.1.2这种方向性写法本质是一样的。静态NAT的好处是可控性强、排障直观。看到某个公网IP的流量你立刻知道它对应哪台内网机器。坏处也很明显如果你有1000台内网终端就必须拥有至少1000个公网IP这在一开始地址资源紧张的大背景下就是奢侈行为。所以静态NAT通常只用在数量有限的服务器场景。2.2 动态NAT地址池里的短时租约动态NAT解决的场景是机构有一小段公网IP但内网同时上网的终端数量比这段地址多且大多数终端不需要被外部主动访问。动态NAT允许内网用户上线时从公网地址池中临时领用一个公网IP会话结束或老化后释放供其他人复用。配置上通常要配合一个ACL访问控制列表来界定哪些内网IP可以被转换再用一个地址池定义可用的公网IP范围。acl number 2000 rule 5 permit source 192.168.1.0 0.0.0.255 nat address-group 1 202.100.1.10 202.100.1.20 interface GigabitEthernet0/0/0 ip address 202.100.1.1 255.255.255.255 nat outbound 2000 address-group 1 no-pat注意最后一行末尾的no-pat意思是只做地址转换不做端口转换即一对一的动态映射。如果你不加no-pat设备会自动退化为NAPT模式靠端口复用来区分更多会话。动态NAT的真实存在感其实越来越低因为对于内网终端上网这个最主要需求NAPT一个公网IP就能解决根本不需要一个地址池。动态NAT更多出现在旧文档、老考试题以及某些特殊的客户专线需求中。但从理解NAT原理的角度它依然很有价值——你在NAT地址映射表里会看到动态NAT的表项是活的空闲超时后就会被回收。2.3 静态和动态NAT的实战注意点在配置静态NAT和动态NAT时有几个容易被忽视的地方静态NAT全局与接口绑定的优先级不同华为VRP后面版本推荐在接口下配置便于与策略路由、QoS、流量统计联动。如果内网服务器同时还要访问外网不要忘了配置回程路由。静态NAT的回程报文会查找路由表如果缺一条指向内网网段的明细路由映射后的报文根本到达不了服务器。动态NAT地址池的地址不能与接口地址冲突也不要跟对端运营商分配的地址段有重叠否则会出现地址冲突的黑洞现象排查起来极其烦躁。当你同时配置静态NAT和动态NAT并且ACL放通的范围有重叠时华为设备默认优先匹配静态表项这一点在故障判断时要能想到。3. NAPT与Easy-ip端口复用NAT真正的大招3.1 NAPT的原理用同一个公网IP扛起整个内网绝大多数企业上网用的都是NAPT也叫PAT、端口复用。它的核心是多个内网用户共享同一个公网IP但每个连接使用不同的源端口来区分。这样一台公网IP理论上可以提供65536个端口扣除保留和已用端口同时支撑上千上万个TCP/UDP会话是完全可以做到的。我看到很多新人会问端口就那么多如果内网同时发起的连接超过端口数量怎么办实际上绝大多数场景不会触顶。单个用户的网页浏览、即时通讯、视频会话通常只消耗几个到十几个端口而且会话空闲后60秒到5分钟不等就会被老化回收。真正触发端口耗尽的是P2P下载、大并发连接抓包测试、或者某个内网中了蠕虫病毒疯狂外连的情况。真要是遇到你的NAT会话表会迅速膨胀设备CPU和内存双双告警。3.2 Easy-ip把出接口地址直接当公网池Easy-ip是NAPT最省事的一种实现。它不需要专门配置地址池直接用路由器出口接口的公网IP作为转换后的源地址。比如你家宽带路由器拨号后获得的动态公网IP是100.100.100.100所有内网设备上网时源地址都变成这个IP只是端口各异。华为VRP上的配置只有两行acl number 2000 rule 5 permit source 192.168.0.0 0.0.0.255 interface GigabitEthernet0/0/0 nat outbound 2000注意这里nat outbound 2000后面没有address-group参数就是Easy-ip模式。如果后面跟着address-group 0或address-group 1则代表引用一个地址池两者完全不同。我排查过一个案例客户明明配置了nat outbound 2000 address-group 0但地址池0里并没有定义公网地址结果大量流量没有完成转换表现为部分网站可以打开、部分网站超时这就是地址池引用错误导致的经典故障。3.3 NAPT和Easy-ip的差异用一个表格说清楚对比维度NAPT带地址池Easy-ip出接口复用公网源地址来源从nat address-group地址池中挑选直接使用出接口公网IP地址池配置需要额外配置不需要公网IP数量可以配置多个同时提供负载分担通常只有一个适用场景拥有多个公网IP的机构或专线出口家庭宽带、小型办公、动态拨号源端口复用是是配置复杂度略高极低实际项目里专线客户通常有多个公网IP我会建议用NAPT带地址池因为一旦某个公网IP被应用服务商封禁或限制可以通过调整地址池快速切换出口源IP。而家庭宽带或小门店就无所谓了Easy-ip最省心。3.4 NAPT会话建立的完整过程用一个小例子演一遍内网PC192.168.1.100:12345访问公网服务器8.8.8.8:80。报文到达出口路由器后路由器查找NAT映射表发现这个五元组还没有对应表项于是从NAPT地址池中挑选一个公网IP比如202.100.1.10为该会话分配一个未占用的源端口比如4096填入映射表项然后改写报文源地址为202.100.1.10:4096转发出去。公网服务器回包的目标地址是202.100.1.10:4096路由器查表后反译为192.168.1.100:12345送还给内网PC。核心就在那张映射表。如果表里没有对应表项回程报文就会被当作未知流量丢弃。这也是为什么很多NAT故障表现为能出去、回不来——要么表项老化太快要么回程路径经过的设备上没有NAT表。4. NATServer把内网服务安全地发布到公网4.1 NATServer解决的痛点内网服务器没有公网IP但你又希望外网用户能够访问它的HTTP、HTTPS、SSH等服务这就是NATServer的用武之地也常被称为端口映射、端口发布。它的原理是在出口设备上建立一个公网IP:端口 → 内网IP:端口的固定映射外部用户访问公网IP的该端口时报文目的地址被改写并送往内网服务器。华为VRP的配置示例interface GigabitEthernet0/0/0 nat server protocol tcp global 202.100.1.1 80 inside 192.168.1.10 8080这条命令的含义是外部访问202.100.1.1的TCP 80端口时设备把目的地址改写成192.168.1.10端口改写成8080。这样内网服务器可以用非80端口跑web服务减少一些扫描关注度。华三设备上的写法通常是nat server protocol tcp global 202.100.1.1 80 inside 192.168.1.10 8080思科则是ip nat inside source static tcp 192.168.1.10 8080 interface GigabitEthernet0/0/0 80形式不同逻辑一样。4.2 NATServer配置之后别忘了回流问题NATServer配置完之后最容易碰到的经典坑就是内网用户访问不了自己发布的网站也就是热词里常说的nat回流。原因是这样内网PC访问公网域名DNS解析出公网地址202.100.1.1报文发到网关。如果网关只做了出方向的源NAT没有针对该公网IP的入方向映射这个去往202.100.1.1的报文会被当作外网流量继续转发到运营商运营商又把流量送回来形成一个路由死角最终访问失败。解决回流有几种主流思路在NATServer配置基础上额外配置一条目的NATDNAT规则让内网访问公网IP:80的报文也被改写到内网服务器。启用运营商设备的NAT hairpin功能通常叫NAT回环或发夹NAT让内网访问外网地址的流量在设备内部完成转换并送回内网。在DNS侧做内网分流把内网用户访问的域名解析结果直接解析成服务器内网IP但这样不利于统一运维。我最推荐的是在出口防火墙上把NATServer和源NAT配合使用对内网用户访问公网IP的报文同时做目的转换和源转换这样既解决回流也保证回程流量能正确返回发起方。比如华为NGFW上可以写安全策略并开启nat server的no-reverse选项再配一条nat outbound让内网到untrust区域的流量做源转换两者叠加就能很好地覆盖内外网用户。4.3 NATServer的扩展玩法NATServer不局限于单一端口映射还支持端口段映射。比如把公网IP的10000-20000端口段映射给内网的同一段端口这对于游戏服务器运营非常实用。nat server protocol tcp global 202.100.1.1 10000 20000 inside 192.168.1.20 10000 20000另外要注意NATServer的global地址如果不指定端口默认是全端口映射相当于把整个公网IP指向内网一台服务器这样会暴露大量端口安全隐患较大。一般建议精确到端口结合安全策略把端口开放范围缩到最小。5. NAT地址映射表排障时最需要看懂的表5.1 一张NAT表项里到底装了什么不管用了哪种NAT形态设备内部都会维护一张NAT地址映射表也叫会话表项。这张表是整个地址转换机制的心脏。一条典型的表项大概包含这些信息协议类型TCP、UDP、ICMP等。转换前地址内网主机的IP和端口源NAT或目的公网地址和端口目的NAT。转换后地址经过NAT改写后的IP和端口。接口信息报文的进出接口、所属安全区域。会话状态TCP会话的SYN、ESTABLISHED、FIN、CLOSE状态等。老化时间表项最后一次被命中的时间超过老化时间后表项会被清理。以华为设备为例查看NAT会话表的命令是display nat session输出会详细显示每条会话的转换前后五元组。而在防火墙上更常用的可能是display firewall session table这两个命令展示的都是当前正在进行的活跃连接。注意区分会话表和配置表display nat outbound配置表是你写的策略规则会话表是实际产生的连接记录两者配合才能定位问题。5.2 表项老化与维护机制NAT表项的每条会话都有一个老化时间超过老化时间没有流量命中表项就被删除。不同厂商、不同协议的默认老化时间有差异TCP多为5分钟华为VRP上是600秒UDP更短一些通常60秒左右。ICMP因为没有连接状态老化时间一般更短10-30秒。这些老化时间并不是越大越好。老化时间太长设备内存里堆积大量僵尸会话表项空间被吃光新会话无法建立老化时间太短长连接比如SSH会话、数据库连接、视频直播推流可能因为中间空闲几秒就被清掉导致连接中断。我处理过一类典型的视频会议掉线问题会议终端和服务器之间每隔20秒发送一次保活包恰好卡在老化时间边界附近只要网络抖动一次保活包没送到会话就被清了。解决的方法很直接把设备上对应UDP端口的老化时间调大或者修改NAT老化配置让长连接会话更稳定。5.3 用NAT表排查问题的几个实用思路在实际排障中我一般遵循这样的顺序先看配置表display nat outbound、display nat server确认策略确实存在且放通的ACL范围和地址池正确。再看会话表display nat session确认报文是否真的命中了NAT转换。如果会话表中只有内网到外的正向表项没有回向表项通常是回程方向没走同一台设备。如果会话表里能看到转换前后地址但业务依旧不通抓包确认回程报文的目的IP是否是转换前的私网地址若是说明报文中途绕行了NAT没生效。查看NAT映射表的统计计数display nat session statistics、display nat outbound statistics看是否有丢弃的报文命中数是否为0这能快速定位到策略根本没有被触达。6. 常见问题与排查技巧实录6.1 排查NAT问题的三板斧NAT问题虽然表现五花八门但归纳下来逃不出三种原因策略配错、路径不对、表项老化。对应的排查三板斧如下抓包定位在内外网两侧同时抓包对比转换前后的IP和端口变化。内网能抓到PC发出的原地址报文外网侧却看不到说明NAT没命中外网侧能抓到转换后的报文但回包没回来问题大概率在路由或对端防火墙。看会话表确认命中会话表里没有对应表项是策略没有命中或ACL没放通会话表有表项但报文仍然不通就要查路由和上下游设备。关掉NAT做对比测试在不影响业务的窗口期临时把NAT策略摘除直接使用真实IP互访。如果通了说明NAT策略本身有问题如果不通问题根本不在NAT。自己的经验是大部分看似NAT的问题最后其实都是路由或安全策略的问题。NAT只是那个替你背锅的角色。6.2 双出口与策略路由下的NAT匹配问题现在的企业组网很多是双运营商出口移动和电信各拉一条专线。在这种拓扑下NAT配置要注意选路和转换的先后顺序。设备处理报文的顺序通常是先查路由/策略路由确定从哪个接口出去然后再做该出接口上的NAT转换。如果你在电信出口配置了nat outbound只转换电信的地址池但策略路由把流量引到了移动出口就会导致流量没做转换就发出去了内网私网源地址直接裸奔到公网业务当然不通。排障时如果发现双出口下某条链路流量异常先确认策略路由是否命中了目标网段再看对应出口接口的NAT统计是否有转换记录。更常见的坑是策略路由把特定流量引走之后NAT策略却只写在物理接口上而经过策略路由出接口的报文没有匹配到任何NAT规则。这时需要在出接口或者全局策略上补充对应的NAT规则。6.3 虚拟化环境与负载均衡设备中的NAT形态辨析现在很多朋友在搞虚拟化、云计算热词里的hyper-v虚拟交换机nat、centos8桥接和nat就是这类场景。以微软Hyper-V为例它内置的Default Switch默认交换机就是一个NAT模式的虚拟交换机。虚拟机通过这个交换机上网时宿主机自动分配一个私有网段通常是172.16.x.x虚拟机发往外网的流量由宿主机的WinNAT组件完成地址转换。如果你需要自定义网段可以用PowerShell创建新的NAT网关New-NetNAT -Name MyNAT -InternalIPInterfaceAddressPrefix 172.16.0.0/12这种方式和真实路由器的NAPT原理完全一致只是承载者变成了Windows主机的虚拟网络组件。再比如F5 BIG-IP负载均衡设备里的NAT概念和普通路由器里的NAT要仔细区分。F5中的NAT通常指目的地址转换和虚拟服务器Virtual Server一样实现DNAT但它和SNAT源地址转换不同。如果你做的是SNAT全地址池转换可以近似理解为多公网IP的NAPT。调试F5上的NAT问题时我最常踩的坑是忘了区分客户端到虚拟服务器的DNAT和服务器回程时SNAT的地址池结果回包源地址不对被后端服务器拒收。CentOS里配置VM虚拟机的桥接和NAT的区别也值得提一句桥接模式下虚拟机直接占用物理网络地址就像一台独立主机NAT模式下虚拟机走的是宿主机的网络地址转换外部设备看不到虚拟机真实IP。两者安全性和灵活性完全不同很多初学者搞混。6.4 运营商级NAT对普通用户的影响还有一个越来越常见的场景是电信级NATCGNCarrier-Grade NAT。运营商会使用保留地址段100.64.0.0/10给普通宽带用户分配地址然后在运营商侧再做一次大范围的NAT把大量用户共享到少量公网IP上。你会发现自己的宽带猫上获得的WAN口IP不是真正的公网IP而是100.64.x.x这样的运营商内网地址。这种情况下内网自己再做一层NAT就是嵌套NAT双NAT对端口受限型应用影响很大。比如P2P下载、部分游戏联机、SIP语音通话很容易出问题。遇到这种场景最好的选择是给运营商打电话申请公网IP或者在业务架构上改用主动外连方式避免被动的公网访问需求。6.5 防火墙vsys虚拟系统中的NAT路由环路风险最后聊一个进阶一点的坑防火墙虚拟系统vsys中的NAT配置。现在高端防火墙支持虚拟化一台物理防火墙可以划分出多个虚拟系统每个vsys拥有独立的接口、路由表和安全策略。在这种架构下配置NAT如果规划不好容易出现NAT路由环路。典型的场景是VSYS-A和VSYS-B共享物理接口VSYS-A对访问某个目的地址的流量做了NAT转换后的地址回程时却查到了VSYS-B的路由表被转发到VSYS-B而VSYS-B又因为存在相应的目的NAT规则把报文又转回VSYS-A一来一回就形成了环路。这种故障的表象是访问时通时不通CPU飙升抓包能看到TTL逐渐减小、报文反复出现。避免这个问题的核心思路是让NAT转换后的流量路径尽量保持有去有回、路径一致。在规划vsys时尽量把内网接口和公网接口规划在同一个虚拟系统内避免跨vsys转发NAT流量。如果必须跨vsys则要仔细核对各个vsys的路由表和NAT策略必要时通过静态路由或黑洞路由来切断环路。6.6 一个印象深刻的NAT表排版经典案例我再分享一个真实的排障案例。客户反映每隔一段时间办公网就会集体卡顿几十秒然后又自动恢复。我去查NAT会话表的时候发现表项数量在短时间内飙到十几万条然后成批消失。顺着抓包一看原来是内网有一台PC中了木马病毒疯狂向外发起大量TCP连接请求瞬间打爆了NAT表项空间。设备为了保证转发性能开始随机淘汰老会话导致正常员工的连接不断被重置造成集体卡顿、间歇抽风的假象。这个案例说明NAT表项其实是出口设备一项非常宝贵的资源。平时我会在关键网关设备上开启NAT会话告警当表项使用率超过80%时提前收到通知避免问题恶化到业务受损。另一个习惯是定期检查NAT老化时间设置不要一味调大也不要放任默认值不管最好结合业务实际做一次梳理。7. 最后说几句我自己的体会NAT技术看似传统但这些年依然在不断演进。从最早的静态一对一到现在各类防火墙、负载均衡、云平台里的SNAT、DNAT、Full NAT、Hairpin NAT本质还是一张映射表和一套完整的生命周期管理流程。你只要把这张表看懂了几乎所有NAT问题都能在两三步之内定位到根因。我自己的工具箱里最常用的三个能力是第一快速看懂各类设备上的NAT配置和会话表第二熟练使用抓包工具对比转换前后特征第三养成在割接前画清拓扑、写明NAT转换关系的习惯。每次割接前把谁转成谁、从哪个口进、从哪个口出写成文字真正执行时能省掉大量返工。如果你对这篇文章里提到的某个细节有疑问或者遇到过更奇葩的NAT故障也欢迎交流。网络这行就是一个不断埋坑、填坑的过程多踩几次坑经验自然就扎实了。