详解：NAT原理及在VxWorks上的实现

3.3　NAT 映射表及timer管理

3.3.1　NAT 映射表

对于每一个需要进行地址翻译的IP数据包，内核必须知道如何翻译它。NAT 映射表就是用来解决这个问题的。NAT 映射表中记录有足够标识一个连接的所有信息：协议类型、源地址、源端口、目的地址、目的端口、NAT地址、NAT端口等。通过IP数据包中携带的信息可以在NAT表中找到最匹配的一项。在实现当中，我们采用表1的结构来表示一个映射表项。

3.3.2　为什么NAT 映射表项需要设置timer

为了避免通过NAT进行通信的主机突然崩溃后，出现残留的映射表项占据系统资源的情况。在每个NAT映射表项中，我们使用了一个软件定时器来指示这个映射表项是否超时。如果在一段时间内这个表项没有被访问过，从而导致定时器超时，NAT将清除这个表项，以减少系统资源消耗。在这个NAT的实现过程中，为了使TCP/IP协议栈能够正常工作，针对不同的协议以及协议的不同阶段，我们使用了不同的默认超时值。如表2所示。

3.4　NAT 映射表管理

3.4.1　NAT 映射表的创建、查找及删除

在NAT的实现过程当中，如何快速地寻找一个IP包在NAT中是否有对应的映射选项，需要一个高效的数据结构和快速的查找算法。

在实现当中，我们选用采用索引查询的散列表来作为存储NAT映射表项的数据结构。使用协议类型值、内部网络地址和端口来计算散列值，并结合映射表项的标志来确定需要做地址翻译的IP数据包。

如果当前的IP数据包是外出的IP数据包，但是没有匹配到一个合适的映射表项，那么NAT将建立一个新的映射表项，添加到散列表中。

如果当前的IP数据包是来自于外部网络的，要么能够匹配到一项合适的映射表项，要么目的端口已经被配置为端口转发(在这种情况下，NAT将依据端口转发配置，在NAT映射表中静态添加一个入口)，否则，将不会改变这个IP数据包。

为了避免已经出现异常的连接继续占用系统资源，在每个映射表项的定时器超时后，其回掉函数将删除存储在散列表中的对应的NAT映射表项。

3.4.2　如何互斥地访问NAT映射表

在NAT映射表的处理和映射表项超时处理中，都需要对映射表进行查找、添加和删除操作。为了安全地访问映射表，我们必须同步对NAT映射表的访问。在实现当中，我们使用了VxWorks提供的二进制信号量来保护对NAT映射表的操作。

3.5　TCP session state和TCP sequence number管理

3.5.1　TCP SYN/FIN/RST 状态

对于一个TCP连接，如果NAT收到一个带有RST标志的TCP数据包，我们将NAT映射表中对应表项的定时器超时值置1，那么这个映射表很快将被删除。如果收到一个FIN数据包，那么就重新设置对应表项的定时器超时值为120s。否则，我们设置对应映射表项的定时器超时值为5min。

3.5.2　TCP sequence number 调整

NAT的原理就是通过修改过往IP数据包的内容，来达到伪装IP数据包的目的。

在对部分基于TCP的应用协议(如FTP)的数据包进行NAT变换时，如果由于应用程序支持模块改变了TCP数据包的内容，导致数据包的长度发生变化，那么，为了使当前的TCP连接能够继续正常连接，就必须重新调整TCP的序列号(见图4)。

TCP连接的序列号是在两个方向上进行调整的。调整的原则如下：

如果外出的数据包长度减小，那么当前外出的TCP数据包的序列号将减小，反之则增加。

对于收到的来自于外部网络的ACK 序列号，就要相应地增加和减小了。

这里我们需要注意，由于VxWorks没有使用Real Time来初始化TCP连接的初始序列号，而是使用一个固定的值来初始化它，导致每次重启之后VxWorks的第一次TCP连接都会以相同的序列号开始递增。由于VxWorks的TCP/IP协议栈的这种特征，我们在接收到TCP连接的第一个TCP数据包(带有SYN标志，没有ACK标志)时，要重新初始化已经匹配的NAT映射表项，避免因为TCP连接序列号调整出错。

3.6　端口转发功能

3.6.1　为什么需要端口转发功能

如果有某个处在Internet上的主机想访问NAT服务器后的某个主机，这个连接必须已经被记录在NAT映射表中，但由于某些安全原因，NAT仅仅对由内部网络发起的网络连接有效。当外部IP数据包进入允许NAT功能的接口时，如果NAT找不到合适的映射表项，IP数据包将交给VxWorks协议栈来处理。

为了使NAT能够处理这种由外部网络首先发起的网络连接，NAT允许手工配置一些NAT的映射表项。这项功能就叫端口转发。

3.6.2　端口转发实现过程

由外到内的IP包指的是从公网通过NAT发送到私有网络的IP包。它的源IP是公共IP，目的IP是NAT的公共IP。当截获到一个由外到内的IP包时，NAT就以IP包的目的IP和目的Port加上包的协议类型作为NAT映射表项的匹配查询条件进行搜索。如果找到一个对应的表项，就用表项的Real Src IP和Real Src Port来替换IP包的目的IP和目的Port，而保持IP包的源IP和源Port不变。然后，重新计算TCP或UDP的校验和，再计算IP头的校验和，最后把IP包重新归还给VxWorks的网络协议栈。如果在映射表中没有搜索到对应的表项，则对IP包不作任何处理，直接归还给VxWorks网络协议栈。

3.7　NAT配置接口

为了使NAT能够适应某些变化，我们在实现过程当中加入了对NAT的配置接口，主要对以下两方面需要进行配置。

NAT接口配置：配置在那个允许NAT功能的网络接口上。这个接口是和外部网络相连的，有唯一的全局IP地址。

端口转发映射表配置：配置NAT可以对那些由外部网络发起的网络连接进行地址转换，以及如何进行地址转换。

3.8　NAT如何处理IP分片

NAT本身还应该考虑IP数据包的分片。但是在分片的IP数据包中，除了第一个IP数据包带有源、目的端口信息以外，后续的IP分片都没有端口信息。

这样，IP数据包分片的这个特征给我们的NAT处理带来了很多不便。因此，在这次的实现过程中，我们的NAT实现暂时不支持分片的IP数据包。

3.9　NAT的测试

如图3所示，主机A通过NAT访问主机B上的HTTP服务器，主机B通过手工配置在NAT上的映射表项访问主机A上的TFTP服务器。

整个过程非常良好，TCP包和UDP包以及Port-Forward功能也成功得到了验证。