实验预计耗时：30分钟

1. 课程背景

1.1 课程目的

IPv4地址在互联网通信的寻址中发挥重要作用。然而，IPv4地址在初期规划时并不完善，无法满足快速增长的IP地址需求。为延缓IP地址枯竭的速度，有一组IP地址被划分出来专门用于私有网络（内网），这些IP地址被称为私有IP地址，而其余的IP地址则称为公有IP地址。私有IP地址只能在内网使用，要访问Internet上的服务需要使用公有IP地址。因此，产生了私有网络和公有网络的隔离。而NAT地址转换协议可以通过私有IP地址和公有IP地址的转换，实现两者互通。本实验将使用腾讯云NAT网关产品，部署可以访问Internet的内网环境，让学员能够掌握网络规划的基础知识以及NAT地址转换的原理及部署。

1.2 课前知识准备

1.相关概念

• IP地址：IP地址是互联网通信中的地址，用来指定源端和目标端。互联网中的每一个网络和每一台主机都会分配一个IP地址（逻辑地址），在通信的过程中，发送方将以自身的IP地址作为源IP地址，以对方的IP地址作为目标IP地址。
• 点分十进制：IP地址由32位二进制数组成，经过点分十进制的过程转变成我们常见的形式，例如，192.168.10.10。转换的过程大致如下：32位的二进制数中，每八位划分为一个八位体；八位体通过二进制数和十进制数的转换，写成十进制的形式；最后，四个八位体之间用“.”进行分隔。

• 网络地址和主机地址：IP地址由网络地址和主机地址组成。网络地址用于标识该IP地址所在的子网；而主机地址用于标识子网下的不同的主机。通常可以在IP地址后加上一个数字表示该IP地址的网络地址长度，例如，192.168.10.10/24就代表该IP地址的网络地址长度为24位。
• 子网掩码：子网掩码由32位二进制数组成，每一位和IP地址一一对应。当IP地址的某一位为网络地址时，对应的子网掩码写成“1”；而如果是主机地址时，子网掩码写成“0”。通过这样的方式，可以标识IP地址的网络地址和主机地址两部分。子网掩码也可以通过点分十进制的过程写成类似的格式，例如，255.255.255.0。
• 子网：为了便于对整个企业网络进行管理，可以将它划分为了多个小的网络。这些小的网络就称为子网。每个子网都有自己的IP地址，称为子网号。子网号的主机地址全为0。
• 可容纳主机数量：指一个子网中可以容纳的主机数量，也就是可为主机分配的IP地址数量。由于只有主机地址才能用于标识主机，因此可容纳主机数量取决于子网IP地址的主机地址长度。在进行网络规划时，需充分考虑子网的可容纳主机数量能否满足当前以及未来发展的IP地址需求。
• 缺省IP：以“0.0.0.0/0”来表示，可以匹配任意IP地址，常用于配置指向Internet的路由条目。如果使用缺省IP地址配置了路由条目，当数据转发时，首先会尝试匹配其他路由条目，如果没有匹配的条目，将根据缺省IP地址的路由指向进行转发。
• 私有IP地址：私有IP地址是被划分出来，专门用于私有网络的一组IP地址，因此也被称为内网IP。而其余的IP地址可以在Internet上使用，被称为公有IP地址，或公网IP。私有IP地址包括：

• NAT地址转换：由于IP地址划分了私有IP地址和公有IP地址，因此出现了内网环境和Internet间的网络隔离。要实现内网环境中的客户端访问Internet，就需要将私有IP地址转换为公有IP地址。NAT地址转换就可以实现这个过程。当内网客户端访问Internet中的服务器时，它会以自身的内网IP作为源IP地址封装数据发送出去。这个数据在经过NAT设备时，源IP地址会被替换为公网IP地址，然后发送到Internet。对源地址进行转换的过程称为SNAT（Source Network Address Translation）。当Internet上的服务器对该数据回复时，会以NAT的公网IP地址作为目的IP地址。经过路由转发后，NAT设备接收到数据，并将目的地址中的IP地址替换为客户端的内网IP地址，然后转发到内网中。对目的地址进行转换的过程称为DNAT（Destination Network Address Translation）。

• 私有网络VPC：私有网络是腾讯云提供的逻辑隔离网络空间，与传统数据中心运行的内网环境类似。在私有网络内可以托管腾讯云上的服务资源。
• CIDR：无类别域间路由，用于为私有网络和子网指定IP地址组。腾讯云私有网络CIDR支持以下私有网段：

私有网络相当于传统数据中心运行的内网环境，因此，腾讯云提供的CIDR在私有IP地址范围内。

2.相关原理

本实验将在云上新建一个私有网络VPC模拟企业内网环境，并在其中新建子网subnet01和subnet02。在新建两个子网时，需要为它们分配合理的CIDR。test01是该环境中的一台云服务器实例，模拟内网环境中的客户端。

为实现VPC中的客户端能够访问Internet，新建NAT网关实例。新建NAT网关后，配置路由表，实现内网资源互通，以及访问Internet。如图中灰色箭头所示。

当云服务器test01通过ssh登录Internet上的test02时，将根据路由表的指向，把数据发送给NAT网关。NAT网关将把其中的源IP地址转换为自己的弹性公网IP，再转发至Internet中。数据经过多次路由转发将到达test02。通过这样的配置，就可以实现内网客户端访问Internet。

test02接收的数据包中，源IP地址将是NAT网关的弹性公网IP。当test02对该数据包进行回复时，也会以这个IP地址作为目标IP地址。