网络地址转换在网络安全中的具体应用

《网络地址转换在网络安全中的具体应用》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、网络地址转换在网络安全中的具体应用～教育资源库　　网络地址转换NAT[NetninRouting)技术的出现而出现的。二者的主要目的都是为了解决当时传统1P网络地址紧张的问题。CIDR技术通过允许用任意长度子网掩码来划分网段，大大提高了对已注册地址的有效利用率。NAT技术则是一个有唯一出口的桩网络(STUBasquerading)。它是在外部网与内部网中某一台主机进行通信时，将内部的这台主机所使用的IP地址映射为网关上的一个特定的TCP端口，使得每次外部网主机访问网关上的某一端口时，其连接中的所有IP包都被转发给这一内部主机。这

2、样整个内部网在与外部进行通信时，再无需任何IP地址了，只需网关对外具有一个IP地址，而不同的内部网主机对外的不同连接使用网关上的不同TCP端口即可。但IP地址掩盖技术并末得到广泛认可，因为它的功能极其有限，当内部网中与外部网联系的主机数量稍有增多时，网关的TCP连接控制部分就难以应付了，而且内部主祝对外映射成不同的网关TCP端口。这对于客户消并没有什么关系，但对于提供服务的主机，就会出现服务端口不符合标淮TCP规范的问题。而NAT技术的出现迅速地取代了IP地址掩盖技术。　　1网络地址转换技术(HAT)　　如上所述，NAT技术的应

3、用环境是一个有唯一出口的桩网络，这样才能保证所有的通信都必须经过NAT技术的网关，地址的转换不发生歧义。它通过地址复用来提高对已注册地址的有效利用率。NAT技术中具体的IP地址复用方法是:在内部网中使用私有的虚拟地址，即由Inter地址分配委员会(IANA)所保留的几段PrivateNet公司的SecureNetworkGateway。　　NAT技术的最初应用是以普通网关的形式出现的。当时功能还很简单，仅仅用于研究实验。之后少数路由器厂商推出了专用的NAT路由器，在功能和设备性能上都有了很大的提高。随着NAT技术的应用越来越广泛

4、，其自身的技术特点在网络安全领域也逐渐显示出其独特的应用价值。　　当人们考察IP包过滤防火墙时，意识到其发挥的功能过于单一，它仅仅是根据IP包中源及目的地址来判定一个包是否可以通过。而这二个地址是很容易披篡改和伪造的，一旦网络的结构暴露给外界后，就很难抵御IP层的攻击行为。改进IP包过滤功能的一个有效途径就是改变这种确定性的过滤规则。采用网络路由中网络地址转换技术、通过在网关上对进出口IP包源与目的地址的转换，完全可以实现过滤规则的动态化，使得外部网中的主机或使用者难以了解和掌握与自己通信的对方的真实网络地址。因为外部网所接收到

5、的数据包中的地址都已被网关改写过了，反映到外部网中就是一个虚拟的主机。这样，一方面通过在网络层(IP层)将内部网与外部网隔离开，使得内部网的拓扑结构、域名及地址信息对外成为不可见或不确定信息，从而保证了内部网中主机的隐蔽性．使绝大多数攻击性的试探失去所需的网络条件；另一方面，以此为基础能非常有效地控制各种出入数据包，不仅能大大提高IP包过滤的灵活性，更重要的是为提高网关系统转发报文的效率提供了一个安全的平台。同时在很大程度上还保证了网络通信的透明性。NAT技术的引入，为传统IP层中的安全技术增加了新的特性，改变了只能按照地址匹配

6、算法进行简单的过滤控制这一状况。NAT只能安装在网关系统上，而这也正是普通防火墙系统通常所处的位置。因此NAT技术的应用很自然地就被集成在防火墙系统内，成为众多的安全防护手段之一。　　2.2基于NAT技术的防火墙的特点　　与其它网络安全技术相比，NAT技术的实现比较安全。它完全局于一种系统底层的功能，不像PROXY等基于应用的方式，其安全性依赖于系统对于应用程序所提供的安全服务水平。在多用户的操作系统中这种安全性一般都难以达到理想条件，由于NAT技术的实现与运行平台十分有关，往往需要直接改动系统本身，再加上商业利益等因素决定了它

7、的实现方式都是不公开的，所以很难被其他人所研究，不会在短时间内发现严重的安全漏洞。另外，NAT技术对网络运作的影响也十分有限，它对TCP／IP协议基本上提供了透明的服务，对网络应用则毫无影响。如果没有被告知，通信双方完全感觉不到NAT网关的存在。而SOCKS或PROXY技术则要求先安装适当的客户端软件，使用者还要了解网关的一些有关信息，以配置客户端软件所需用的参数，否则无法使用。与应用型的安全技术相比，NAT技术还有形式简洁的优点。它仅仅是修改过往的数据包个别信息，与网关两侧的网络环境相适应，无需像PROXY技术那样，要充分了解

8、某一协议内部的各种功能和细节，针对每一种功能提供相关的服务。这些对比都表明NAT技术用于网络安全是具有很大优越性。另外，由于NAT技术所特有的地址转换能力，使得基于这一技术实现的防火墙的安全性也比其它类型的防火墙有很大的提高。　　首先，防火墙在完成中继系统功能的