Linux--NAT，代理服务，内网穿透

1.NAT 技术

NAT IP转换过程

2. NAPT（NAT转化表）

NAT 技术的缺陷

3.内网穿透&&内网打洞

内网穿透

内网打洞

两者差别

4.代理服务器

正向代理

反向代理

NAT 和代理服务器

1.NAT 技术

之前我们讨论了, IPv4 协议中, IP 地址数量不充足的问题
NAT 技术当前解决 IP 地址不够用的主要手段, 是路由器的一个重要功能;

NAT 能够将私有 IP 对外通信时转为全局 IP. 也就是就是一种将私有 IP 和全局IP 相互转化的技术方法:
很多学校, 家庭, 公司内部采用每个终端设置私有 IP, 而在路由器或必要的服务器上设置全局 IP;
全局 IP 要求唯一, 但是私有 IP 不需要; 在不同的局域网中出现相同的私有 IP是完全不影响的;

NAT IP转换过程

子网内的主机需要和外网进行通信时, 路由器将 IP 首部中的 IP 地址进行替换(替换成 WAN 口 IP), 这样逐级替换, 最终数据包中的 IP 地址成为一个公网 IP. 这种技术称为 NAT(Network Address Translation，网络地址转换).
NAT技术例子：每台主机都有自己网络层，每台主机也知道自己的子网IP，（以上图为例）比如主机（src）IP：192.168.1.201 要向IP（dst）：122.77.241.3的主机发送消息。该主机会通过CIDR得到网络号：122.77.241.0，发现不是自己网段的，这时就会交给家用路由器处理，家用路由器也有自己WAN口IP，路由器直连的网络号为：10.1.1.0，这是运营商构建的子网，家用路由器会将srcIP，替换成为自己的WAN口IP（NAT），家用路由器交给运营商路由器，运营商发现dstIP不属于自己构建的子网，只能将该报文交给出入口路由器接入公网，此时路由器会进一步将srcIP替换成自己的WAN口IP（NAT），直接通过公网交给目标服务器。这样目标服务器有了出入口路由器的公网IP，就能顺利的应答了。

• NAT 路由器将源地址从 10.0.0.10 替换成全局的 IP 202.244.174.37;
• NAT 路由器收到外部的数据时, 又会把目标 IP 从 202.244.174.37 替换回10.0.0.10;
• 在 NAT 路由器内部, 有一张自动生成的, 用于地址转换的表;
• 当 10.0.0.10 第一次向 163.221.120.9 发送数据时就会生成表中的映射关系;

2. NAPT（NAT转化表）

        那么问题来了, 如果局域网内, 有多个主机都访问同一个外网服务器, 那么对于服务器返
回的数据中, 目的 IP 都是相同的. 那么 NAT 路由器如何判定将这个数据包转发给哪个局域网的主机?
        这时候 NAPT 来解决这个问题了. 使用 IP+port 来建立这个关联关系

左侧是发送主机的源IP:端口和目标主机的IP:端口，右侧则是转换过后的。左侧在内网中唯一的，右侧则是在公网中唯一，那么左侧和右侧是互为键值的，服务器做应答的时候就可以反向查表，发送给内网中的主机。

而且同一个网段的两个主机访问同一个服务器时，NAT不仅会转换IP还会变换端口，以确保NAPT映射的唯一性

        种关联关系也是由 NAT 路由器自动维护的. 例如在 TCP 的情况下, 建立连接时, 就会
生成这个表项; 在断开连接后, 就会删除这个表项

NAT 技术的缺陷

由于 NAT 依赖这个转换表, 所以有诸多限制:
• 无法从 NAT 外部向内部服务器建立连接;
• 装换表的生成和销毁都需要额外开销;
• 通信过程中一旦 NAT 设备异常, 即使存在热备, 所有的 TCP 连接也都会断开;

3.内网穿透&&内网打洞

内网穿透

        假设某公司的员工小李需要在家远程工作，但他需要访问公司内部网络中的文件服务器以获取工作所需的文档和资料。然而，由于公司的文件服务器位于内部网络中，并没有直接暴露给外部网络，因此小李无法直接从家中访问。



设置中转服务器：
公司需要有一个具有公网IP地址的中转服务器，这个服务器将作为内外网通信的桥梁。
在中转服务器上安装并配置内网穿透软件，如FRP（Fast Reverse Proxy）等。
配置内网穿透：
在公司内部文件服务器上配置FRP客户端（frpc），设置其连接到中转服务器的公网IP和端口。
在中转服务器上配置FRP服务端（frps），并设置相应的鉴权信息（如token），以确保连接的安全性。
配置完成后，文件服务器上的frpc会向中转服务器的frps注册其内网地址和端口信息。
远程访问：
小李在家中使用远程访问工具（如SSH、RDP等），通过中转服务器的公网IP和端口进行连接。
由于内网穿透已经建立了从外部到内部网络的隧道，因此小李的请求会被转发到公司内部的文件服务器上。
文件服务器接收到请求后，处理请求并返回结果，结果同样通过内网穿透隧道返回给小李。

        内网穿透的核心原理在于将外网 IP 地址与内网 IP 地址建立联系，市面上常用的如花生壳工具其核心原理就是依靠一台具有公网 IP 的服务器作为请求的中转站以此来达到从公网访问内网主机的目的。

在公司内服务器部署了一个登录服务，端口22，此时我也在中转服务器上也部署了一个服务端口8888，只不过小李访问服务器的xxx：8888服务，服务器会直接寻找并启动公司内部的shh：22的登录服务。也就是从小李所在的内网通过服务器中穿透到了公司的内网，这就是所谓的内网穿透。

内网打洞

        内网打洞主要依赖于NAT技术，但通常需要通过某种方式绕过NAT的限制，使得外网设备能够访问到内网中的资源。

利用UDP协议的无连接特性：UDP协议是面向消息的无连接传输协议，相对于TCP协议，它不需要建立连接，因此打洞时对硬件资源消耗小，是内网穿透的首选协议。
中间服务器协助：内网设备通过中间服务器（如具有公网IP的服务器）进行注册和通信。中间服务器协助内网设备之间建立连接，实现数据的转发和交换。
NAT映射和打洞：内网设备通过发送特定的数据包（如打洞包）到外网，以触发NAT设备建立映射表项。这样，当外网设备向该内网设备发送数据包时，NAT设备能够识别并将其转发给正确的内网设备。

举个例子：

因为客户端向服务器发送消息的时候，服务器会记录客户端的IP和port，服务器也可以将自己的IP和端口发送给客户端。那么如果两个客户端都向服务器发消息，服务求就可以分别记录两个客户端的IP和端口号（这是经过NAT转换过的，在运营商服务器中建立NATP，最终可以找到自己的主机），因为服务器可以向对应的客户端发消息，此时又拿到了两个客户端的信息，那么服务器是否能作为中转站将两个客户端的IP和port，分别发给对方，那么两个客户端就都知道对方的IP和port了（这是经过NAT转换过的，在运营商服务器中建立NATP，最终可以找到自己的主机），那么两个客户端进行通信，就不需要经过服务器了。比如主机A向B发消息，A的消息首先交给自己的运行商服务器，然后通过自己的运营商服务器交给对方的运营商服务器，再交给主机B。这就是P2P通信。

两者差别

内网穿透：
通常需要借助一个具有公网IP的中间服务器（如VPN服务器、FRP服务器等），内网设备通过该服务器与外网进行通信。
数据传输过程中，内网数据被封装在隧道中，通过中间服务器转发到外网目标设备。
内网打洞：
主要利用UDP协议的无连接特性，通过发送特定的数据包（如打洞包）来触发NAT设备建立映射表项。
一旦NAT映射建立成功，内网设备就可以直接与外网设备进行通信，无需经过中间服务器转发。

内网穿透：
广泛应用于远程办公、数据共享、视频监控等多种场景。
适用于需要稳定、可靠且安全的远程访问需求的场景。
内网打洞：
同样适用于需要内网设备与外网通信的场景，但更侧重于轻量级、快速建立连接的需求。
例如，在P2P网络中，内网打洞技术可以帮助节点之间快速建立连接，实现数据的直接交换。

4.代理服务器

正向代理

        正向代理（Forward Proxy）是一种常见的网络代理方式，它位于客户端和目标服务器之间，代表客户端向目标服务器发送请求。正向代理服务器接收客户端的请求，然后将请求转发给目标服务器，最后将目标服务器的响应返回给客户端。通过这种方式，正向代理可以实现多种功能，如提高访问速度、隐藏客户端身份、实施访问控制等。

工作原理

客户端将请求发送给正向代理服务器。
正向代理服务器接收请求，并根据配置进行处理，如缓存查找、内容过滤等。
正向代理服务器将处理后的请求转发给目标服务器。
目标服务器处理请求，并将响应返回给正向代理服务器。
正向代理服务器将响应返回给客户端。

功能特点

缓存功能：正向代理服务器可以缓存经常访问的资源，当客户端再次请求这些资源时，可以直接从缓存中获取，提高访问速度。
内容过滤：正向代理可以根据预设的规则对请求或响应进行过滤，如屏蔽广告、阻止恶意网站等。
访问控制：通过正向代理，可以实现对特定网站的访问控制，如限制员工在工作时间访问娱乐网站。
隐藏客户端身份：正向代理可以隐藏客户端的真实 IP 地址，保护客户端的隐私。
负载均衡：在多个目标服务器之间分配客户端请求，提高系统的可扩展性和可靠性。

应用场景
        企业网络管理：企业可以通过正向代理实现对员工网络访问的管理和控制，确保员工
在工作时间内专注于工作，避免访问不良网站或泄露公司机密。

        公共网络环境：在公共场所如图书馆、学校等提供的网络环境中，通过正向代理可以实现对网络资源的合理分配和管理，确保网络使用的公平性和安全性。
        内容过滤与保护：家长可以通过设置正向代理来过滤不良内容，保护孩子免受网络上的不良信息影响。
        提高访问速度：对于经常访问的网站或资源，正向代理可以通过缓存机制提高访问速
度，减少网络延迟。
        跨境电商与海外访问：对于跨境电商或需要访问海外资源的企业和个人，正向代理可
以帮助他们突破网络限制，顺畅地访问海外网站和资源。

反向代理

        反向代理服务器是一种网络架构模式，其作为 Web 服务器的前置服务器，接收
来自客户端的请求，并将这些请求转发给后端服务器，然后将后端服务器的响应返回
给客户端。这种架构模式可以提升网站性能、安全性和可维护性等’

基本原理
        反向代理服务器位于客户端和 Web 服务器之间，当客户端发起请求时，它首先会到达反向代理服务器。反向代理服务器会根据配置的规则将请求转发给后端的 Web服务器，并将 Web 服务器的响应返回给客户端。在这个过程中，客户端并不知道实际与哪个 Web 服务器进行了交互，它只知道与反向代理服务器进行了通信。
应用场景

负载均衡：反向代理服务器可以根据配置的负载均衡策略，将客户端的请求分发到多个后端服务器上，以实现负载均衡。这有助于提升网站的整体性能和响应速度，特别是在高并发场景下。
安全保护：反向代理服务器可以隐藏后端 Web 服务器的真实 IP 地址，降低其被直接攻击的风险。同时，它还可以配置防火墙、访问控制列表（ACL）等安全策略，对客户端的请求进行过滤和限制，以保护后端服务器的安全。
缓存加速：反向代理服务器可以缓存后端 Web 服务器的响应内容，对于重复的请求，它可以直接从缓存中返回响应，而无需再次向后端服务器发起请求。这可以大大减少后端服务器的负载，提升网站的响应速度。
内容过滤和重写：反向代理服务器可以根据配置的规则对客户端的请求进行过滤和重写，例如添加或删除请求头、修改请求路径等。这有助于实现一些特定的业务需求，如 URL 重写、用户认证等。
动静分离：在大型网站中，通常需要将静态资源和动态资源分开处理。通过将静态资源部署在反向代理服务器上，可以直接从反向代理服务器返回静态资源的响应，而无需再次向后端服务器发起请求。这可以大大提升静态资源的访问速度。
CDN（Content Delivery Network，内容分发网络）就是采用了反向代理的原理

NAT 和代理服务器

        路由器往往都具备 NAT 设备的功能, 通过 NAT 设备进行中转, 完成子网设备和其他子
网设备的通信过程.
        代理服务器看起来和 NAT 设备有一点像. 客户端像代理服务器发送请求, 代理服务器将
请求转发给真正要请求的服务器; 服务器返回结果后, 代理服务器又把结果回传给客户端

那么 NAT 和代理服务器的区别有哪些呢?

从应用上讲, NAT 设备是网络基础设备之一, 解决的是 IP 不足的问题. 代理服务器则是更贴近具体应用, 比如通过代理服务器进行翻墙, 另外像迅游这样的加速器,也是使用代理服务器.
从底层实现上讲, NAT 是工作在网络层, 直接对 IP 地址进行替换. 代理服务器往往工作在应用层.
从使用范围上讲, NAT 一般在局域网的出口部署, 代理服务器可以在局域网做,也可以在广域网做, 也可以跨网.
从部署位置上看, NAT 一般集成在防火墙, 路由器等硬件设备上, 代理服务器则是一个软件程序, 需要部署在服务器上

代理服务器是一种应用比较广的技术

翻墙: 广域网中的代理.
负载均衡: 局域网中的代理