一、 NAT概述
NAT是将IP数据报报头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。Basic NAT是实现一对一的IP地址转换，而NAPT可以实现多个私有地址映射到同一个公有地址上。
Basic NAT
Basic NAT方式属于一对一的地址转换，在这种方式下只转换IP地址，而对TCP/UDP协议的端口号不处理，一个公网IP地址不能同时被多个用户使用。
图1 Basic NAT示意图
图1描述了Basic NAT的基本原理，处理过程如下：
1. Router收到内网侧Host发送的访问公网侧Server的报文，其源IP地址为10.1.1.100。
2. Router从地址池中选取一个空闲的公网IP地址，建立与内网侧报文源IP地址间的NAT转换表项（正反向），并依据查找正向NAT表项的结果将报文转换后向公网侧发送，其源IP地址是162.105.178.65，目的IP地址是211.100.7.34。
3. Router收到公网侧的回应报文后，根据其目的IP地址查找反向NAT表项，并依据查表结果将报文转换后向私网侧发送，其源IP地址是162.105.178.65，目的IP地址是10.1.1.100。
NAPT
除一对一的NAT转换方式外，网络地址端口转换NAPT（Network Address Port Translation）可以实现并发的地址转换。它允许多个内部地址映射到同一个公有地址上，因此也可以称为“多对一地址转换”或地址复用。
NAPT方式属于多对一的地址转换，它通过使用“IP地址＋端口号”的形式进行转换，使多个私网用户可共用一个公网IP地址访问外网。
图2 NAPT示意图
如图2所示，NAPT方式的处理过程如下：
1. Router收到内网侧Host发送的访问公网侧Server的报文。比如收到Host A报文的源地址是10.1.1.100，端口号1025。
2. Router从地址池中选取一对空闲的“公网IP地址＋端口号”，建立与内网侧报文“源IP地址＋源端口号”间的NAPT转换表项（正反向），并依据查找正向NAPT表项的结果将报文转换后向公网侧发送。比如Host A的报文经Router转换后的报文源地址为162.105.178.65，端口号16384。
3. Router收到公网侧的回应报文后，根据其“目的IP地址＋目的端口号”查找反向NAPT表项，并依据查表结果将报文转换后向私网侧发送。比如Server回应Host A的报文经Router转换后，目的地址为10.1.1.100，端口号1025。
二、NAT实现
Basic NAT和NAPT是私网IP地址通过NAT设备转换成公网IP地址的过程，分别实现一对一和多对一的地址转换功能。在现网环境下，NAT功能的实现还得依据Basic NAT和NAPT的原理，NAT实现主要包括：Easy IP、地址池NAT、NAT Server和静态NAT/NAPT。
地址池NAT和Easy IP类似，此处只介绍Easy IP，关于地址池NAT相关内容请参见NAT概述。
Easy IP
Easy IP方式可以利用访问控制列表来控制哪些内部地址可以进行地址转换。
Easy IP方式特别适合小型局域网访问Internet的情况。这里的小型局域网主要指中小型网吧、小型办公室等环境，一般具有以下特点：内部主机较少、出接口通过拨号方式获得临时公网IP地址以供内部主机访问Internet。对于这种情况，可以使用Easy IP方式使局域网用户都通过这个IP地址接入Internet。
图1 Easy IP示意图
如图3所示，Easy IP方式的处理过程如下：
1. Router收到内网侧主机发送的访问公网侧服务器的报文。比如收到Host A报文的源地址是10.1.1.100，端口号1540。
2. Router利用公网侧接口的“公网IP地址＋端口号”，建立与内网侧报文“源IP地址＋源端口号”间的Easy IP转换表项（正反向），并依据查找正向Easy IP表项的结果将报文转换后向公网侧发送。比如Host A的报文经Router转换后的报文源地址为162.10.2.8，端口号5480。
3. Router收到公网侧的回应报文后，根据其“目的IP地址＋目的端口号”查找反向Easy IP表项，并依据查表结果将报文转换后向内网侧发送。比如Server回应Host A的报文经Router转换后，目的地址为10.1.1.100，端口号1540。
NAT Server
NAT具有“屏蔽”内部主机的作用，但有时内网需要向外网提供服务，如提供WWW服务或FTP服务。这种情况下需要内网的服务器不被“屏蔽”，外网用户可以随时访问内网服务器。
NAT Server可以很好地解决这个问题，当外网用户访问内网服务器时，它通过事先配置好的“公网IP地址+端口号”与“私网IP地址+端口号”间的映射关系，将服务器的“公网IP地址+端口号”根据映射关系替换成对应的“私网IP地址+端口号”。
如图2所示，NAT Server的地址转换过程如下：
1. 在Router上配置NAT Server的转换表项。
2. Router收到公网用户发起的访问请求，设备根据该请求的“目的IP+端口号”查找NAT Server转换表项，找出对应的“私网IP+端口号”，然后用查找结果替换报文的“目的IP+端口号”。外网主机发送的报文，其目的地址是209.102.1.68，端口号80，经Router转换后目的地址转换为192.168.1.68，端口号80。
3. Router收到内网服务器的回应报文后，根据该回应报文的“源IP地址＋源端口号”查找NAT Server转换表项，找出对应的“公网IP+端口号”，然后用查找结果替换报文的“源IP地址＋源端口号”。内网服务器回应外网主机的报文，其源地址是192.168.1.68，端口号80，经Router转换后源地址转换为209.102.1.68，端口号80。
静态NAT/NAPT
静态NAT是指在进行NAT时，内部网络主机的IP同公网IP是一对一静态绑定的，静态NAT中的公网IP只会给唯一且固定的内网主机转换使用。
静态NAPT是指“内部网络主机的IP+协议号+端口号”同“公网IP+协议号+端口号”是一对一静态绑定的，静态NAPT中的公网IP可以为多个私网IP使用。
静态NAT/NAPT还支持将指定范围内的内部主机IP转换为指定的公网网段IP，转换过程中只对网段地址进行转换，保持主机地址不变。当内部主机访问外部网络时，如果主机地址在指定的内部主机地址范围内，会被转换为对应的公网地址；同样，当通过公网网段地址对内部主机进行访问时，可以直接访问到内部主机（该公网地址在转换后在指定的内部主机地址范围内）。
