NAT (Network Address Translation) 是什么？
NAT (网络地址转换) 是一种在路由器/防火墙上将 **私有 IP 地址 (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)** 转换为 **公网 IP 地址** 的技术，使内网设备能访问互联网，同时节约公网 IPv4 地址。
NAT 的核心类型
| 类型 | 全称 | 映射关系 | 典型场景 |
|---|---|---|---|
| Static NAT | 静态 NAT | 1:1 固定映射 (私有 IP ↔ 公网 IP) | 服务器发布 (Web, Mail, VPN 网关) |
| Dynamic NAT | 动态 NAT | 从公网 IP 池动态分配 1:1 | 内网主机访问互联网 (早期方案) |
| PAT / NAPT | 端口地址转换 (NAT Overload) | 多对一：多个私有 IP + 端口 → 1 个公网 IP + 不同端口 | **家庭/企业上网最常用** |
| Destination NAT (DNAT) | 目标 NAT / Port Forwarding | 公网 IP:Port → 内网 Server IP:Port | 端口映射，发布内网服务 |
| Twice NAT / U-Turn NAT | 双向 NAT | 源和目标均转换 | 内网访问内网发布的公网服务、重叠网络合并 |
NAT 如何"改善"安全性？
1. 隐藏内网拓扑 (IP Masquerading)
外部只见公网 IP，看不见内网真实 IP、设备数量、子网结构。增加攻击者侦察难度 (Reconnaissance)。
2. 默认阻断入站连接 (Implicit Deny Inbound)
PAT/NAT 只建立**出站发起**的连接映射表。外部主动发起的连接无匹配映射，**天然被丢弃**。这提供了**基础的边界准入控制**。
3. 减少公网攻击面
整个内网共享极少公网 IP (甚至 1 个)，攻击者无法直接针对内网单台主机发起攻击。
4. 配合防火墙策略
NAT 设备通常集成 Stateful Firewall，可结合 ACL、IPS、App-ID 实现精细控制。
NAT **不提供**的安全性 (常见误区)
| 误区 | 现实 |
|---|---|
| NAT = 防火墙 | NAT 只做地址转换，**不检查 payload、不识别应用层攻击、不防 SQLi/XSS/Malware**。必须配合 Stateful Firewall / NGFW |
| NAT 防止所有入站攻击 | 仅阻断**无状态**入站。若内网主机先发起连接 (如浏览恶意网站、下载木马)，返回流量**会被允许**通过现有映射 |
| NAT 防止数据外泄 | 出站流量默认**全放行** (除非配置出站规则)。恶意软件、内部泄密照常上传数据 |
| NAT 保护 IPv6 | IPv6 设计初衷**不需要 NAT** (地址充足)。IPv6 安全靠 IPv6 Firewall、IPsec、RA Guard、DHCPv6 Guard 等 |
| NAT 防止内网横向移动 | NAT 在边界，**不隔离内网段间通信**。需 VLAN/微隔离/零信任 |
NAT 甚至可能引入的安全问题
- ALG (Application Layer Gateway) 缺陷: FTP, SIP, H.323 等协议需 ALG 解析载荷修改 IP/端口，ALG 常有漏洞 (CVE) 或破坏加密流量
- 端口预测/碰撞: PAT 端口分配算法弱可被利用 (NAT Slipstreaming, NAT Pinning)
- 单点故障: NAT 设备挂掉 = 全网断网
- 日志审计困难: 内网源 IP 被隐藏，追溯攻击者需结合 NAT 日志 + 内网日志
- 协议破坏: 破坏端到端原则，干扰 IPsec AH, 某些 P2P, VoIP, WebRTC (需 STUN/TURN/ICE)
NAT 与 IPv6
- IPv6 **不需要 NAT** 解决地址枯竭 (2^128 地址空间)
- IPv6 推荐 **End-to-End 连通性** + **Stateful IPv6 Firewall** (默认拒绝入站，允许出站及回包)
- 存在 **NPTv6 (Network Prefix Translation)** — 仅转换前缀，保留接口 ID，用于多归属/重编址，**非安全目的**
- **NAT64/DNS64**: IPv6-only 客户端访问 IPv4 服务 — 过渡技术，非长期安全方案
NAT 在现代架构中的定位
| 场景 | NAT 角色 | 配套安全控制 |
|---|---|---|
| 家庭/小企业边界 | PAT (唯一公网 IP) + 基础 SPI Firewall | 关闭 WPS/UPnP/Remote Mgmt、修改默认密码、固件更新 |
| 企业数据中心边界 | DNAT (发布服务) + PAT (出站) + NGFW | NGFW (App-ID, IPS, TLS Decrypt, URL Filtering), DDoS Protection |
| 云 VPC (AWS/Azure/GCP) | Internet Gateway (1:1 NAT), NAT Gateway (出站), EIP | Security Groups (SG), NACL, Firewall (AWS Network Firewall, Azure Firewall, Cloud Armor) |
| 容器/K8s (CNI) | Pod CIDR → Node IP (SNAT), Service VIP (DNAT/kube-proxy) | Network Policies, Cilium/Calico/Isito mTLS, Service Mesh |
| SD-WAN / SASE | PoP 边界 NAT, 隧道终结 | ZTNA, SWG, CASB, FWaaS, DLP |
最佳实践
- NAT ≠ 安全 — 始终部署 **Stateful Firewall / NGFW** 配合
- 出站控制: 仅允许必要目的地/端口 (拒绝默认允许所有)
- DNAT 最小化: 仅发布必须的服务，配合 WAF/IPS
- 日志关联: NAT 日志 (公网 IP:Port ↔ 私有 IP:Port + 时间) + 内网日志 = 完整溯源链
- IPv6 规划: 双栈过渡期同步策略，IPv6 直接用防火墙策略，不依赖 NAT
- 避免 ALG: 关闭不需要的 ALG (FTP, SIP 等)，改用明文端口或应用层代理
总结
NAT 的核心价值是 **地址复用** 和 **隐藏内网拓扑**，它提供了**基础的入站阻断**效果，但**绝不等同于防火墙**，不具备应用层检测、出站管控、威胁情报、防泄露等能力。现代网络安全架构中，NAT 是**基础设施组件**，安全由 **Firewall/NGFW, Zero Trust, Micro-segmentation, EDR, DLP, SIEM** 等专用层承担。IPv6 时代 NAT 将逐步退出历史舞台，回归端到端透明网络。
