江湖小虾关于NAT的实验报告

　　环境：

　　ADSL---NAT（2000）----PC

　　NAT外网IP：219.154.214.150

　　NAT内网IP：10.41.221.2 255.255.255.0

　　PC：10.41.222.6 255.255.255.0 DG10.41.221.2

　　如果直接用这样的设置，PC不能上网，不能PING10.41.221.2

　　但是，我用SNIFFER抓包发现，当PC请求时，NAT还是做了转发，而且得到了应答。发现了有趣的事：这个应答被转发，目的地址换成了10.41.222.6，是在外网卡上捕捉到的。

　　忽然突发奇想：如果这个报文被PC得到是不是就可以建立连接呢？继续做实验，把网络结构改一下：

　　ADSL----HUB----NAT、PC、

　　NAT(2000)和PC都接HUB，其中NAT的内部和外部网卡都接HUB，这里注意，我没有捆绑TCP/IP中的NETBIOS。

　　在PC上继续试图上网，不行，有点丧气，不过，仔细分析报文，发现问题出在：目的MAC不一致导致的！精神头又来了，立即修改PC的MAC为局端的MAC，重新启动计算机，用浏览器打开网页没有任何问题，上MSN也没有问题，有意思吧。此时PING10.41.221.2不能得到回应，这个好理解。

　　显然发送报文走网关经过NAT后可以得到回音，而回应的报文再次被发送出去的时时候，同时被PC接受，通讯就建立了。

　　有点没想通的是：如果不设置PC的网关，居然MSN依然在线，可以正常使用，而此时网页却无法打开了。请高手指教？

　　进入论坛讨论。

　　继续实验，这次是关于变长子网掩码的。环境依然是：

　　ADSL---NAT（2000）----PC

　　NAT外网IP：219.154.214.150

　　NAT内网IP：10.41.221.2 255.255.255.0

　　PC：10.41.221.200 DG10.41.221.2

　　分别设置PC的MASK为255.255.0.0和255.255.25.192

　　结果没什么新鲜。

　　放大以后就有意思了：NAT内网IP：192.168.0.1不变，MASK改为 255.255.0.0

　　PC的IP改为192.168.0.2，MASK改为255.255.255.0，这样的设置可以上网

　　PC的IP改为192.168.1.2，MASK改为255.255.255.0，这样的设置也可以上网

　　翻阅有关文章，一般都在NAT的内部网卡上设置多IP，比如：

　　192.168.0.1/24

　　192.168.1.1/24

　　分别对应192.168.0.0/24和192168.1.0/24网段，做内部PC的网关，是不是有点多余呀，实验表明：只要设置NAT的内部网卡的MASK为255.255.0.0，那么，192.168.0.0/16下的机器设置网关为192.168.0.1就可以上网，我的NAT服务器的操作系统是2000SERVER。

　　进入论坛讨论。

　　继续实验，关于花生壳域名的.

　　网络结构仍然是

　　ADSL+NAT（2000）+HUB——PC1(10.41.221.6/24)

　　|--------pc2(10.41.221.253/24)

　　其中NAT外部IP：219.154.214.150,映射23到PC2的23端口

　　NAT内部IP为10.41.221.2/24

　　PC1的网关10.41.221.2，安装花生壳

　　PC2提供TELNET服务23端口，没有在其上安装花生壳

　　实验过程，在PC1上用超级终端连接PC2

　　1 直接使用IP......................... 可以访问

　　2 使用花生壳域名................... 不能访问

　　抓到的报文分析：使用域名访问时，经过NAT后成功的返回了域名对应的IP219.154.214.150，接着PC1发出目标是219.154.214.150/端口23的数据报文，此时内部NAT网卡发出ICMP重定向报文，重定向指向PC2，PC2发出目标是PC1的呼应报文，而PC1没有接收该报文，因为自己并没有发送目标为PC2的报文，所以丢弃该报文，PC2也就得不到回答。通讯失败。以后PC1还有几次试图连接域名，但是PC2居然拒绝回任何报文，还不如第一次，好歹有个回应，PC2太痴情了。

　　这个过程验证了“唐无敌”的分析：http://bbs.netbuddy.org/network/5384-40.html 。唐无敌在结尾部分有这样一段话：

　　“如果服务器对A的响应包能够又返回防火墙的话，那么防火墙就能够通过状态表得知这是个响应而将响应包的源地址改成210.140.39.225，那么这个响应包再发回A的时候就是源地址210.140.39.225，目的地址192.168.0.2的响应包了。那么A就完成了和服务器的连接。 ”

　　我还真想实现唐无敌的假设：

　　动动网络结构：所有设备都接HUB

　　假设把PC2的网关设置为10.41.221.2，而PC1的IP改为10.41.222.6，也许能实现唐无敌的设想，PC1发出到PC2的请求，可以获得IP，经过重定向后达到PC2，而PC2并不直接回复PC1，因为不在一个网段，于是发到网关，NAT转发，而PC1由于同“上级”网关（外网网关）同MAC，于是可以得到报文，于是就建立连接了。

　　对Linux做的NAT实现同一更简单

　　修改NAT规则，增加这样一行就可以了：

　　iptables -A POSTROUTING -s 10.41.221.0/255.255.255.0 -d 10.41.221.253 -p tcp -m tcp --dport 80 \

　　-j SNAT --to-source 10.41.221.2

　　继续实验：‘两权分立’的FTP工作模式

　　工作环境：

　　ADSL---（219.154.214.150）NAT（10.41.221.2）-----PC（10.41.221.6/FTP SERVER）

　　1、映射21端口到PC，PC安装FTP服务serv-u，用serv-u是因为他可以方便的设置FTP的两种工作模式。外网发起连接为例。

　　PORT方式 能连接，不能列目录

　　PASV方式 能连接，不能列目录

　　分析：FTP 支持两种模式。这两种模式被称为“标准”（或 PORT，或“主动”）和“被动”（或 PASV）。“标准”模式 FTP 客户端会向 FTP 服务器发送PORT 命令。“被动”模式客户端会向 FTP 服务器发送PASV 命令。这些命令是在建立 FTP 会话时通过 FTP 命令通道进行发送的。

　　2种模式 FTP 客户端都要建立一个到 FTP 服务器上 TCP 端口 21 的连接。客户选择大于1024的端口发起连接，此连接会建立 FTP 命令通道。不能列目录是因为FTP使用不同的通道来传递数据，这也是FTP不同于HTTP服务的地方，HTTP需要一条通道就可以 了

　　2、再映射20端口到PC，serv-u默认的方式就是PORT方式。

　　PORT方式 能连接、也能列目录、能下载文件

　　PASV方式 能连接、不能列目录下载文件

　　分析：PORT方式：当 FTP 客户端需要接收数据（如文件夹列表或者文件）时，客户端就会通过FTP 命令通道发送PORT 命令。此PORT 命令包含了 FTP 客户端在哪个端口（比如3328）上接收数据的相关信息。接下来，PC从 TCP 端口 20发起到3328用户端口的连接 ，而这是一个新的连接，也许客户端防火墙会拦截。可以看出是服务器用20端口“主动”连接客户指定的端口，所以PORT方式也叫主动方式。该模式下有2个特点：

　　1 客户是动态的端口，而服务器使用的是固定端口20，而且是服务器发起主动新连接。

　　2 在FTP客户连接服务器的整个过程中，控制信道是一直保持连接的，而数据传输通道是临时建立的。

　　PASV方式不能到达是因为PASV要求服务器用动态的端口来连接，而这个端口一般在1024-5000之间，而且是用户发起连接，虽然PC开了此端口等待连接，但是NAT并没有映射这么多端口，所以通讯中断。

　　3 关闭20端口映射，再映射10001-10004到PC

　　PORT方式 能连接、不能列目录、不能下载文件

　　PASV方式 能连接、 不能列目录 、不能下载文件

　　serv-u很帅，在设置（高级）选项中设置10001-10004，然后启动被动模式，这样就可以建立连接了。

　　分析：

　　以前也做过这个实验，发现有个理解不全面的的地方，原因是他直接在可以见面的2台计算机上做的实验，而我把他们用NAT分开来做，更能看出问题。

　　问题出在所谓的“协商过程”，原文是这样的：

　　“发送PASV指令，在这个指令中，用户告诉服务器自己要连接服务器的某一个端口，如果这个服务器上的这个端口是空闲的可用的，那么服务器会返回ACK的确认信息，之后数据传输通道被建立并返回用户所要的信息（根据用户发送的指令，如ls、dir、get等）；如果服务器的这个端口被另一个资源所使用，那么服务器返回UNACK的信息，那么这时，FTP客户会再次发送PASV命令，这也就是所谓的连接建立的协商过程”

　　其实我抓到的报文是这样的：

　　1 serv-u在设置PASV方式是可以指定端口，而且端口被立即启动到监听状态，比如我设置是10001-10004，可以用有关软件“看到”这些端口已经被置为监听。

　　2 当客户端通过该命令通道发送PASV 命令时，FTP 服务器会打开一个短暂的端口，并通知 FTP 客户端从该端口请求数据传输，而不是协商解决。FTP 服务器通过将该短暂端口用作，数据传输的源端口来对该请求作出响应。显然，这个连接是由用户发起的，过也叫被动方式。

　　3 在FTP客户连接服务器的整个过程中，控制信道是一直保持连接的，而数据传输通道是临时建立的。

　　4 端口在1024-5000之间，不要大于5000，为什么呀，我也不知道，因为我设置5000以上就不能建立TCP连接，实际是这样理论我也不知道。

　　我没有用其它软件做FTP服务器，不能确定是否有协商过程，如果FTP这么弱智，那要协商到什么时候，不如直接告诉客户不就行了。

　　缺点是端口有限，如果多个用户同时连接，这几个端口是不够的。

　　4 解决PASV模式不能传数据的问题的办法：

　　不能传数据的问题出在：服务器向客户端传送了IP。当FTP客户端登录进入服务器的时候，PASV模式服务器会向客户端传送本机的IP地址和数据端口，当服务器放在内网中的时候，服务器会向客户端返回内网的IP，这当然是不能完成连接的，需要让服务器返回外网的地址。

　　serv-u真的很帅，就是serv-u本身具有返回外网地址这样的功能，方法是先选中新建FTP服务器的属性，在domain标签里选择“enable dynamic dns”，此时会出现第二个标签，叫“dynamic dns”，然后到tz0.com申请动态域名，申请后会得到一个key，在此标签中填入此key即可。最后一步，是到新建服务器的settings属性中，选择advanced标签，选中“allow passive mode data transfer”，旁边的IP地址框留空。这个框对于拨号用户不用填，只有出口使用固定地址才需要填。

　　总结：采用什么方式是由用户决定的，而主动和被动之说是相对服务器而言。在FTP客户连接服务器的整个过程中，控制信道是一直保持连接的，而数据传输通道是临时建立的。主动方式下是服务器以20端口发起连接，而被动方式下服务器告诉客户一个动态端口，由客户发起连接。如果你使用FTP客户端程序是只能登录不能传数据，不妨换一种工作模式，当然需要服务器支持。