网络通信

网关：

大家都知道，从一个房间走到另一个房间，必然要经过一扇门。同样，从一个网络向另一个网络发送信

网关

息，也必须经过一道“关口”，这道关口就是网关。顾名思义，网关（Gateway）^[1]  就是一个网络连接到另一个网络的“关口”。也就是网络关卡。

网关(Gateway)又称网间连接器、协议转换器。默认网关在网络层上以实现网络互连，是最复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关的结构也和路由器类似，不同的是互连层。网关既可以用于广域网互连，也可以用于局域网互连^[1]  。

【说明：由于历史的原因，许多有关TCP/IP的文献曾经把网络层使用的路由器称为网关，在今天很多局域网采用都是路由来接入网络，因此通常指的网关就是路由器的IP！】^[2] 

在OSI中，网关有两种：一种是面向连接的网关，一种是无连接的网关。当两个子网之间有一定距离时，往往将一个网关分成两半，中间用一条链路连接起来，我们称之为半网关。

按照不同的分类标准，网关也有很多种。TCP/IP协议里的网关是最常用的，在这里我们所讲的“网关”均指TCP/IP协议下的网关。

那么网关到底是什么呢？网关实质上是一个网络通向其他网络的IP地址。比如有网络A和网络B，网络A的IP地址范围为“192.168.1.1~192. 168.1.254”，子网掩码为255.255.255.0；网络B的IP地址范围为“192.168.2.1~192.168.2.254”，子网掩码为255.255.255.0。在没有路由器的情况下，两个网络之间是不能进行TCP/IP通信的，即使是两个网络连接在同一台交换机（或集线器）上，TCP/IP协议也会根据子网掩码（255.255.255.0）判定两个网络中的主机处在不同的网络里。而要实现这两个网络之间的通信，则必须通过网关。如果网络A中的主机发现数据包的目的主机不在本地网络中，就把数据包转发给它自己的网关，再由网关转发给网络B的网关，网络B的网关再转发给网络B的某个主机（如附图所示）。网络A向网络B转发数据包的过程。

所以说，只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。那么这个IP地址是哪台机器的IP地址呢？网关的IP地址是具有路由功能的设备的IP地址，具有路由功能的设备有路由器、启用了路由协议的服务器（实质上相当于一台路由器）、代理服务器（也相当于一台路由器）。

 

参考链接：http://baike.baidu.com/link?url=XN-Z7V4ITPX_6_EiYUp5_Mj9LnLGNa7bscLaIVMws6UkBWrZSQBZh0q7aTaVwrlcVknEB3fmzcttJqQtBGN1KA5rK3EXfwoliecVzDSZD4_

 

网络通信流程：

对于主机B的IP地址这时主机A也应该知道，要不然它就不清楚自己将要和谁通信，当有了自己的IP地址，MAC地址以及主机B的IP地址后，主机A在数据包中可以正确地写上源IP地址，目标IP地址，接下来的工作就是写入自己的MAC地址（即源MAC），最后还必须正确写入目标主机B的MAC地址，可这时主机A才发现自己根本没有目标主机B的MAC地址，那该怎么办呢？这时主机A就通过比较上面已经封装好的源IP和目标IP，通过子网掩码计算一下，发现源IP和目标IP恰好在同一个IP网络内，那么它想要得到目标主机B的MAC地址就有办法了，首先主机A就向本网段发过一个ARP请求，这个ARP请求包中包括主机A的源IP地址，源MAC地址，目标主机B的IP地址，而目标MAC地址为广播MAC地址（全部为F），因为我们要找的就是目标MAC，所以这里用广播MAC地址，又因为是以太网，所以整个局域网的所有主机都能收到这个请求MAC地址的数据包，当然主机B也能收到，因此在主机B收到此ARP请求后，立即构建一个包括自己的MAC地址的ARP回应包，回应给主机A，当主机A收到这个ARP回应后，终于完成了找寻目标MAC的重大任务，从而把目标主机B的MAC地址正确封装进上面还未封装结束的正准备发给主机B的数据包，在这时，源IP和源MAC以及目标IP和目标MAC都已正确存在于数据包中，那么这里主机A向网络内发出这些数据包，因为目标地址在本网段，所以本网段所有主机都能收到这个数据包（这是以太网的特性），最后只有真正的目标主机B能够打开这些数据包，在此，同网段两台主机之间的通信就此圆满结束！在这里应该注意另外一个问题，因为主机A要寻找的目标主机B在同一网络，所以主机A能够通过ARP得到目标主机B的MAC地址，从而完成通信，当主机A在封装数据包时检测到目标主机并不在本网段，在这时，数据包不能把目标主机的MAC地址顺利封装进去，那么就用到另一种方法，那就是网关，主机A在准备发向主机B的数据中，封装好自己的IP地址和MAC地址，同时也封装好目标主机B的IP地址，数据包封装到这里，主机A就利用上面得到同网段目标主机B的方法去请求得到网关的MAC地址，同样也是用ARP去广播，因为网关必须和本机在同一网段，理所当然，网关能够收到这个ARP请求并能正确回应给主机A，这时主机A在数据包中封装好自己的IP地址和MAC地址，同时也封装好目标主机B的IP地址和网关的MAC地址，把数据包从网卡发出去，因为目标MAC是网关的，所以网关收到这个数据包后，发现目标MAC是自己，而目标IP却是别人，所以它不可以再往上打开这个数据包，它要做的工作就是把这些数据包发给下一跳路由器（如果网关自身就是一台路由器的话），如果网关是一台普通PC，那么它就发给路由器，让路由器把这些数据包正确传输到远程目标网络，到达远程网络后，它们的网关再将数据包发给数据包中的目标IP，即源主机A苦苦寻找的目标主机B，从而真正结束不同网络之间的通信，回应的数据包也是用同样的方法到达目的地，在这里，还需要注意的是，当网关把数据包发给下一跳路由器时，这个数据包必须由网关把目标MAC改成下一跳路由器的MAC地址（通过ARP得到），否则下一跳路由器收到目标MAC不是自己的数据包，会丢弃不予理睬，下一跳路由器再发给下一跳路由器同样要把目标MAC地址改为下一跳路由器的MAC地址再发出去！

 

非同一网段的主机不能直接通信的原因：

来看你的问题,环境如下,我们来用一个ping命令的过程来解释:
一个交换机,连两个电脑A和B,A和B不在一个网段,他们的IP分别是192.168.1.2,255.255.255.0,B是 192.168.2.1,255.255.255.0,网关也可以设也可以不设,但其实你设了也是个假的网关,因为在你的环境里面只有一个交换机,并没有路由器,对吗?

A ping B:
1.Ping命令会构建一个固定格式的ICMP请求数据包，然后由ICMP协议将这个数据包连同IP地址“192.168.2.1”一起交给IP层协议.
2.IP协议会查看目的IP地址是否和源IP在同一网段,如果在同一网段就直接查找ARP缓存,查找目的MAC,如果目的IP地址是否和源IP不在同一网段,那么就将数据包发送到网关.
3.按照前面的描述,在A电脑上有两种情况,1是没设网关 2是设了一个假的网关,那么如果没设的话,数据包到这一步就丢弃了,目的IP和源IP不在一个网段而且A没有网关,那么就无法发送.如果A设网关了的话,接着往走.
4.假设A电脑设定的网关是192.168.1.1,那么IP协议知道了目的IP,但是不知道目的MAC,所以会查找A电脑的ARP缓存,看里面有没有目的MAC,很遗憾,肯定没有,因为环境里并没有这个网关设备存在.所以A会发一个ARP广播到192.168.1.X整个网段,来查找IP是192.168.1.1 的MAC,当然,物理上就不存在192.168.1.1这个设备,自然就没有设备来响应这个ARP广播,所以最终IP协议无法知道目的MAC,就无法将数据包往下一个层数据链路层传递.

回到最开始,还是那句话:IOS一共七层, 发送数据的过程是从上到下,也就是从应用层一直到物理层,接收数据是从下至上.

 

网关和主机必须在同一网段内吗？不用

1 两者在同一网段，就会直接把包发向目标IP，这时要做：

        1.1 查本地arp缓存，看看是否有IP和Mac的对应表.

              1.1.1 有，直接向网络上发包，包中包括原mac及目标mac。

               1.1.2 没有，则向网络发arp广播，用来查找与目标IP对应的mac地址（ARP发送的是广播数据，电缆上的每个以太网接口都要接收广播的数据帧）。

                         1.1.2.1 如果查到了，则向网络发包。

                         1.1.2.2 没查到，则不通讯。

2 两者不在同一网段，则把目标地址转为网关地址（也就是平时说的向网关发包），然后查找本地arp缓存，继续1.1 。

由此可以看出，源主机和网关的通讯过程中，并不会检查两者是不是同一网段，而是直接去查arp缓存或者发送ARP广播。所以是可能通讯的。

 

为什么同时需要IP地址和MAC地址

主要原因有以下几点：

(1)IP地址的分配是根据网络的拓朴结构，而不是根据谁制造了网络设置。若将高效的路由选择方案建立在设备制造商的基础上而不是网络所处的拓扑位置基础上，这种方案是不可行的。

(2)当存在一个附加层的地址寻址时，设备更易于移动和维修。例如，如果一个以太网卡坏了，可以被更换，而无须取得一个新的IP地址。如果一个IP主机从一个网络移到另一个网络，可以给它一个新的IP地址，而无须换一个新的网卡。

(3)方便数据传输。无论是局域网，还是广域网中的计算机之间的通信，最终都表现为将数据包从某种形式的链路上的初始节点出发，从一个节点传递到另一个节点，最终传送到目的节点。数据包在这些节点之间的移动都是由ARP协议负责将IP地址映射到MAC地址上来完成的。

 

目的mac地址是如何得到的？

TCP/IP里面是用的ARP协议。比如新建了一个内网，如果一台机器A找机器B，封装FRAME时（OSI的第二层用的数据格式），要封装对方的MAC，开始时A不知道B的MAC，只知道IP，它就发一个ARP包，源IP是自己的，目的IP是B的，源MAC是自己的，目的MAC是广播的。然后这个请求包在内网内被广播，当其他机器接到这个包时，用目的IP和自己的IP比较，不是的话就丢弃。B接到时，发现IP与自己的一样，就答应这个包的请求，把自己的MAC送给A。如果B是其他子网的机器，那么路由器会判断出B是其他子网，然后路由器把自己的MAC返回给A，A以后再给B发包时，目的MAC封装的是路由器的。

路由转发过程：

当主机A发向主机B的数据流在网络层封装成IP数据包，IP数据包的首部包含了源地址和目标地址。主机A会用本机配置的24位IP网络掩码255.255.255.0与目标地址进行与运算，得出目标网络地址与本机的网络地址是不是在同一个网段中。如果不是将IP数据包转发到网关。

在发往网关前主机A还会通过ARP的请求获得默认网关的MAC地址。在主机A数据链路层IP数据包封装成以太网数据帧，然后才发住到网关……也就是路由器上的一个端口。

当网关路由器接收到以太网数据帧时，发现数据帧中的目标MAC地址是自己的某一个端口的物理地址，这时路由器会把以太网数据帧的封装去掉。路由器认为这个IP数据包是要通过自己进行转发，接着它就在匹配路由表。匹配到路由项后，它就将包发往下一条地址。

路由器转发数据包就是这样，所以它始终是不会改IP地址的。只会改MAC.

当有数据包传到路由器时，路由器首先将其的目的地址与路由表进行对比，如果是本地网络，将不会进行转发到外网络，而是直接转发给本地网内的目的主机；但是如果目的地址经路由表对比，发现不是在本网中，有nat就将改变源地址的IP（原源地址的Ip地址改为了路由器的IP地址），路由器将数据包转发到相应的端口，进行通信。

 

参考链接：http://blog.csdn.net/tham_/article/details/42060511

 

NAT:

NAT不仅能解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。

1.宽带分享：这是 NAT 主机的最大功能。

2.安全防护：NAT 之内的 PC 联机到 Internet 上面时，他所显示的 IP 是 NAT 主机的公共 IP，所以 Client 端的 PC 当然就具有一定程度的安全了，外界在进行 portscan（端口扫描） 的时候，就侦测不到源Client 端的 PC 。

 

端口映射：

端口映射分为动态和静态。动态端口映射：内网中的一台电脑要访问网站，会向NAT网关发送数据包，包头中包括对方网站IP、端口和本机IP、端口，NAT网关会把本机IP、端口替换成自己的公网IP、一个未使用的端口，并且会记下这个映射关系，为以后转发数据包使用。然后再把数据发给网站，网站收到数据后做出反应，发送数据到NAT网关的那个未使用的端口，然后NAT网关将数据转发给内网中的那台电脑，实现内网和公网的通讯.当连接关闭时，NAT网关会释放分配给这条连接的端口，以便以后的连接可以继续使用。
动态端口映射其实也就是NAT网关的工作方式。
静态端口映射:：就是在NAT网关上开放一个固定的端口，然后设定此端口收到的数据要转发给内网哪个IP和端口，不管有没有连接，这个映射关系都会一直存在。就可以让公网主动访问内网的一台电脑。

 

 原理
2.1 地址转换
NAT的基本工作原理是，当私有网主机和公共网主机通信的IP包经过NAT网关时，将IP包中的源IP或目的IP在私有IP和NAT的公共IP之间进行转换。
如下图所示，NAT网关有2个网络端口，其中公共网络端口的IP地址是统一分配的公共 IP，为202.20.65.5；私有网络端口的IP地址是保留地址，为192.168.1.1。私有网中的主机192.168.1.2向公共网中的主机202.20.65.4发送了1个IP包(Dst=202.20.65.4,Src=192.168.1.2)。

 

当IP包经过NAT网关时，NAT Gateway会将IP包的源IP转换为NAT Gateway的公共IP并转发到公共网，此时IP包（Dst=202.20.65.4，Src=202.20.65.5）中已经不含任何私有网IP的信息。由于IP包的源IP已经被转换成NAT Gateway的公共IP，Web Server发出的响应IP包（Dst= 202.20.65.5,Src=202.20.65.4）将被发送到NAT Gateway。
这时，NAT Gateway会将IP包的目的IP转换成私有网中主机的IP，然后将IP包（Des=192.168.1.2，Src=202.20.65.4）转发到私有网。对于通信双方而言，这种地址的转换过程是完全透明的。转换示意图如下。

 

如果内网主机发出的请求包未经过NAT，那么当Web Server收到请求包，回复的响应包中的目的地址就是私网IP地址，在Internet上无法正确送达，导致连接失败。
2.2 连接跟踪
在上述过程中，NAT Gateway在收到响应包后，就需要判断将数据包转发给谁。此时如果子网内仅有少量客户机，可以用静态NAT手工指定；但如果内网有多台客户机，并且各自访问不同网站，这时候就需要连接跟踪（connection track）。如下图所示：

 

在NAT Gateway收到客户机发来的请求包后，做源地址转换，并且将该连接记录保存下来，当NAT Gateway收到服务器来的响应包后，查找Track Table，确定转发目标，做目的地址转换，转发给客户机。
2.3 端口转换
以上述客户机访问服务器为例，当仅有一台客户机访问服务器时，NAT Gateway只须更改数据包的源IP或目的IP即可正常通讯。但是如果Client A和Client B同时访问Web Server，那么当NAT Gateway收到响应包的时候，就无法判断将数据包转发给哪台客户机，如下图所示。

此时，NAT Gateway会在Connection Track中加入端口信息加以区分。如果两客户机访问同一服务器的源端口不同，那么在Track Table里加入端口信息即可区分，如果源端口正好相同，那么在时行SNAT和DNAT的同时对源端口也要做相应的转换，如下图所示。

 

 

参看链接：http://www.softbar.com/blog/?mod=pad&act=view&id=128

 

动态域名解析：

动态域名解析服务，是将用户的动态IP地址映射到一个固定的域名解析服务上，用户每次连接网络的时候，客户端程序就会通过信息传递把该主机的动态IP地址传送给位于服务商主机上的服务器程序，服务程序负责提供DNS服务并实现动态域名解析。就是说DDNS捕获用户每次变化的IP地址，然后将其与域名相对应，这样域名就可以始终解析到非固定IP的服务器上，互联网用户通过本地的域名服务器获得网站域名的IP地址，从而可以访问网站的服务。