初识Linux · NAT 内网穿透内网打洞代理

前言：

内网穿透和打洞

NAPT表

内网穿透

内网打洞

正向/反向代理

前言：

本文算是网络原理的最后一点补充，为什么说是补充呢，因为我们在前面第一次介绍NAT的时候详细介绍的是报文从子网到公网，却没有介绍报文是怎么从公网到子网的，因为子网IP不能出现在公网上，公网的报文是怎么一步一步交付的呢？这就是我们今天要讨论的一点内容。

接着补充几个点，比如内网穿透和内网打洞的概念，其实NAT也是内网穿透和内网打洞的基础，所以介绍了NAT之后理解内网穿透和内网打洞会容易很多。

最后补充一个代理的内容，我们的网络原理部分就算是结束了。那么废话不多说，直接进入主题！

内网穿透和打洞

NAPT表

介绍这两个之前，我们得先介绍一下NAT，回顾前文的NAT技术：

主机交付报文的时候，从自己路由器构建的局域网发送报文，因为该主机能够通过按位与获取到自己的网络号，所以得知自己发送的报文不是自己所处的局域网的，那么发送给到出入口路由器，出入口路由器获取到该报文之后，如果要进行NAT转换，就修改srcIP地址为该路由器的WAN口地址，随机再次对比网络号，根据自己维护的路由表确定发送到哪一个接口，接着以同样的操作向更上一层子网交付，最后直达公网。

以上是报文从子网到公网的到达，我们发现如果经过了NAT转换，那么IP地址确实是会修改为WAN口地址，但是同时，报文也丢失了自己最开始的子网地址，加上不同子网的IP是会重复的，所以如果不采取一点措施，报文是很难从公网到达子网的。

那么实际操作中，路由器不止会维护一张路由表，也会维护一张表叫做NAPT（Network Address and Port Translation Table）表，这张表通常是由出入网关路由器维护的，通过NAPT，可以成功映射子网IP和端口号到公网IP的端口号关系：

内部 IP	内部端口	公网 IP	公网端口	协议	状态
192.168.1.2	50000	203.0.113.5	61000	TCP	ESTABLISHED
192.168.1.3	50001	203.0.113.5	61001	TCP	ESTABLISHED

大概就像这样，那么公网发送报文的时候，在每一跳中，不同的路由器查看自己的NAPT表里面，通过NAPT表，最后能成功找到对应的子网IP和端口号，那么报文也就能成功转发回去了。

上述其实要表达的就是报文如果从公网到达子网，一定是要经过NAPT表的。

那么问题来了，NAPT表怎么来的呢？或者说NAPT表的数据怎么来的呢？

我们都知道公网可以利用NAPT表来找到子网，但是二者没有通信之前，NAPT的表的数据按道理来说应该获取不到，都没有通信哪里来的“电话号码”呢？

而实际上，我们不能理解我们连上服务器发送数据才算通信，我们在TCP进行三次握手的时候就介绍了TCP在三次握手的过程会获取到对应的缓冲区的大小，这难道不是内网主机首次访问公网吗？QQ或者微信首次登录进去的时候，这难道不是首次访问公网吗？所以在建立连接的时候，内网首次访问公网，NAT路由器就会动态创建NAPT表的数据了。

内网穿透

对于内网穿透我们同样拿这张图举例，左边的子网假设是你家的子网，右边的子网假设是公司的子网，那么假设当你回家之后，公司让你在家办公，那么需要你连接到公司的你的电脑，那么问题来了，你该如何连接到公司的电脑呢？

即便这两台主机都能够访问公网，但是它们互相不知道对方的源IP和端口号，自然就不能进行通信。所以有一种做法是：从公网获取一个IP，这个IP的作用主要是用来中转，也就是说主机A给这个IP发送请求，然后该公网IP将请求转发给主机B，因为有NAPT表，所以请求从公网转发到子网也是非常容易的。

那么上述的过程，就成功的将公网IP作为一个中间站，通过请求的转发，让双方主机获取到了对方的IP和端口，从而可以直接进行通信。上述过程可以使用frp实现，我们后面可以详细测试一下内网穿透。

那么问题来了，我们平常的报文转发，好像就是这样的，通过NAT转发，找到对方的主机IP和端口，但是实际上，内网穿透解决的问题是：两台主机没有办法通信，所以我们需要一个IP进行中转

内网穿透也是非常常见的，如下表：

项目	报文转发	内网穿透
适用前提	网络设备可控，有公网 IP，能设置端口映射	没有公网 IP、不能设置路由器
连接方向	被动接受请求	主动发起连接（绕过 NAT）
是否常见	企业级或服务器环境常用	家用、办公网络、云主机常用

所以两台主机虽然“最终都能访问公网”，但 因为都在 NAT 后面，没有公网 IP，也没有端口映射，所以彼此找不到、也不能访问彼此，这才是“不能通信”的根本。

内网打洞

对于内网穿透和内网打洞来说其实都是基于NAT来看的，但是二者解决的问题不同，对于内网穿透来说解决的是两台主机无法直接通信的过程，不过在现在网络世界中，内网穿透实际上是非常非常非常常见了，可以说内网穿透已经是隐形实施的技术了。

但是对于内网打洞不一样，内网打洞的技术要求较为复杂，目前只有特殊情况才能使用。

对于打洞来说，它要完成的技术是诱骗服务器创建一个信道，比如主机A和主机B同时给对方的公网IP+port发送报文，让服务器误以为对方在直接通信，从而直接建立一个信道，这个信道叫做P2P信道，这样NAT设备就会误以为这是一条对话的回应从而发送数据。

所以难在如何诱骗NAT设备，并且取决于NAT设备的类型。

所以对于内网穿透和打洞来说，一个是通过服务器中转，一个是通过服务器建立一条信道，如下表：

项目	打洞（Hole Punching）	内网穿透（NAT Traversal）
目标	实现 P2P 通信（点对点直连）	让外部访问内网服务
是否依赖服务器	仅用于“打洞阶段”，成功后不再依赖服务器	全程依赖服务器转发或中继
通信路径	最终是客户端 <--> 客户端	最终是客户端 <--> 服务器 <--> 客户端
效率和延迟	更低（走直连）	较高（多一跳服务器）
失败场景	双方都是对称NAT、严格防火墙	永远不会失败，只是慢一点

正向/反向代理

代理（Proxy）是指一个中间服务器，用于转发客户端与目标服务器之间的请求和响应。它本质上是一种“中转站”，客户端不直接访问目标服务，而是通过代理服务器进行通信。就像这样：

[客户端] <---> [代理服务器] <---> [目标服务器]

代理的核心作用包括：

隐藏真实IP：保护用户隐私（正向）
突破访问限制：访问被封锁的网站（正向）
缓存与加速：减少重复请求，提升加载速度（正向）
审计与过滤：企业中可用于记录和控制网络行为（正向）
实现内网穿透：通过公网代理访问内网服务（反向）

因为对方收到的都是代理服务器的IP+port，是不知道真实的IP的，并且通过代理服务器，是能突破网站限制的，具体就不说了啊~

对于缓存和加速来说，因为多台主机共享一个代理服务器，那么如果多台主机都访问的资源是一样的，那么代理服务器可以将数据存储到本地，其他主机访问的时候就可以直接通过代理服务器访问，不用再走下一跳了。

第四点来说的，比如你用校园网知道你在干什么，企业同理。第五点的应用是反向代理，因为服务器也是主机，这个主机有的时候也需要访问你的主机，所以可以通过公网代理访问内网。当然了，对于正向代理和反向代理来说是不一样的：

对比维度	正向代理（Forward Proxy）	反向代理（Reverse Proxy）
🔍 代理对象	客户端	服务端（目标服务器）
📥 发起请求方	客户端主动请求代理	客户端直接请求代理（代理隐藏真实服务）
🎯 主要用途	客户端访问受限制或无法直接访问的外部服务	客户端访问统一入口，后端真实服务被隐藏
🕵️ 隐藏对象	隐藏客户端身份和地址	隐藏服务端结构和真实地址
🧠 是否需客户端配置	需要（显式配置代理地址）	不需要（客户端无感知）