路由器和防火墙的工作模式

路由器的工作模式有路由模式和透明模式；防火墙的工作模式有路由模式、透明模式、混合模式。

NAT

NAT英文全称是“Network Address Translation”，中文意思是“网络地址转换”，它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准，允许一个整体机构以一个公用IP（Internet Protocol）地址出现在Internet上。顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。

简单的说，NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关（可以理解为出口，打个比方就像院子的门一样）处，将内部地址替换成公用地址，从而在外部公网（internet）上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共IP地址紧缺的问题。通过这种方法，您可以只申请一个合法IP地址，就把整个局域网中的计算机接入Internet中。这时，NAT屏蔽了内部网络，所有内部网计算机对于公共网络来说是不可见的，而内部网计算机用户通常不会意识到NAT的存在。如图2所示。这里提到的内部地址，是指在内部网络中分配给节点的私有IP地址，这个地址只能在内部网络中使用，不能被路由（路由就是指通过相互连接的网络把信息从源地点移动到目标地点的活动。一种网络技术，可以实现不同路径的转发）。虽然内部地址可以随机挑选，但是通常使用的是下面的地址：

10.0.0.0~10.255.255.255，172.16.0.0~172.16.255.255，

192.168.0.0~192.168.255.255。NAT将这些无法在互联网上使用的保留IP地址翻译成可以在互联网上使用的合法IP地址。而全局地址，是指合法的IP地址，它是由NIC（网络信息中心）或者ISP(网络服务提供商)分配的地址，对外代表一个或多个内部局部地址，是全球统一的可寻址的地址。

NAT功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中。比如Cisco路由器中已经加入这一功能，网络管理员只需在路由器的IOS 中设置NAT功能，就可以实现对内部网络的屏蔽。再比如防火墙将WEB Server 的内部地址192.168.1.1映射为外部地址202.96.23.11，外部访问202.96.23.11地址实际上就是访问访问192.168.1.1。另外资金有限的小型企业来说，现在通过软件也可以实现这一功能。Windows 98 SE、Windows 2000 都包含了这一功能。

NAT技术类型

NAT有三种类型：静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT（Port－Level NAT）。

其中静态NAT设置起来最为简单和最容易实现的一种，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。而动态地址NAT则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。NAPT则是把内部地址映射到外部网络的一个IP地址的不同端口上。根据不同

的需要，三种NAT方案各有利弊。

动态地址NAT只是转换IP地址，它为每一个内部的IP地址分配一个临时的外部IP地址，主要应用于拨号，对于频繁的远程联接也可以采用动态NAT。当远程用户联接上之后，动态地址NAT就会分配给他一个IP地址，用户断开时，这个IP地址就会被释放而留待以后使用。

网络地址端口转换NAPT（Network Address Port Translation）是人们比较熟悉的一种转换方式。NAPT普遍应用于接入设备中，它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。

在Internet中使用NAPT时，所有不同的信息流看起来好像来源于同一个IP 地址。这个优点在小型办公室内非常实用，通过从ISP处申请的一个IP地址，将多个连接通过NAPT接入Internet。实际上，许多SOHO远程访问设备支持基于PPP的动态IP地址。这样，ISP甚至不需要支持NAPT，就可以做到多个内部IP地址共用一个外部IP地址上Internet，虽然这样会导致信道的一定拥塞，但考虑到节省的ISP上网费用和易管理的特点，用NAPT还是很值得的。

透明模式

首要的特点就是对用户是透明的即用户意识不到防火墙的存在。要想实现透明模式，防火墙必须在没有IP地址的情况下工作，不需要对其设置IP地址，用户也不知道防火墙的IP地址。

透明模式的防火墙就好象是一台网桥(非透明的防火墙好象一台路由器)，网络设备(包括主机、路由器、工作站等)和所有计算机的设置（包括IP地址和网关）无须改变，同时解析所有通过它的数据包，既增加了网络的安全性，又降低了用户管理的复杂程度。

而与透明模式在称呼上相似的透明代理，和传统代理一样，可以比包过滤更深层次地检查数据信息，比如FTP包的port命令等。同时它也是一个非常快的代理，从物理上分离了连接，这可以提供更复杂的协议需要，例如带动态端口分配的H.323，或者一个带有不同命令端口和数据端口的连接。这样的通信是包过滤所无法完成的

源地址路由支持,透明桥接

地址路由指路由器为数据包选择路由时不根据IP包的目的地址(通常情况根据目的地址)，而根据IP包的源地址选路。源地址路由是策略路由的一种。一般路由器应当支持。透明桥接是指路由器端口以透明网桥的方式工作，执行网桥的功能。不对数据包作路由检查转发，只作MAC帧桥接。

NAT模式(一般公司用此种)：若接网关的网线是从路由器或交换机出来的网线，即：网关的前层有路由器，便用此桥接模式。若上层没有路由器(一般家用)，即adsl的宽带猫直接接的电脑，用电脑拨号上网，则选用路由模式，即：用网关拨号路由器）

一、桥接模式设置方法：

网关在局域网中相当于一台电脑终端，像电脑上网一样，需要占用一条网线和一个合法ip地址，ip可以自动获得，也可以手工指定.

1。网关用自动获得的ip：网关通电后用电话机拨号*150*2#，会提示“设置成功”，然后断电重起，并把路由器或交换机的网线接入网关lan口，2分钟后，便可以打电话了（注意：此时前面板run运行指示灯为快闪，若此灯慢闪，则说明网络不通，或设置不对，电话此时会提示本地网络中断，建议用固定ip地址）

2。网关用固定ip地址：这是则要手工指定ip地址、子网掩码和局域网网关才可以，方法为：

用电话机拨号*150*1#，此命令指定网关用固定ip地址

若指定ip为192.168.1.100 则在电话机上拨号*152*192*168*1*100#

若子网掩码为255.255.255.0 则在电话机上拨号*153*255*255*255*0#

若网关为192.168.1.1 则在电话机上拨号*156*192*168*1*1#

每次设置后都会提示设置成功，十秒钟后关电重起便可以了。

重起后，拨号*158#，听一下ip地址是否正确，若正常前面板run指示灯为快闪，若不正常则为慢闪

二。路由模式（用网关做路由器，代替电脑拨号，线路连接方法为宽带猫的网线接网关的wan口（4口网关）或manage(2口网关），连电脑得网线接网关lan口）

首先要用上面方法给网关一个固定ip地址（建议设为192.168.1.1）电脑要通过访问这个ip来访问网关。(电脑要访问网关，电脑的ip地址需要设置成和网关在一个网段内，例如：电脑的ip为192.168.1.100，子网掩码：255.255.255.0，网关：192.168.1.1,dns请输入你所在当地的dns数值，可通过拨打当地10060获得）1.打开网页浏览器，地质栏输入192.168.1.1,便会进入网关设置界面，用户名：admin，密码：admin。选择--网络参数---本地网络，然后把工作模式选择为路游模式，PPPOE拨号一项输入您adsl得账号和密码，lan口配置中，ip地址写为：192.168.1.1,子网掩码：255.255.255.0,然后选择保存。其他选项均不用动。

2.选择左边的--路由配置---DHCP服务，在启用前面打上对勾，地址租期改为999小时，然后保存。

3.选择左边的--工具--重启设备--重启。

设置完成，重起2分钟后若线路正常便可以通话了，此时RUN运行指示灯为快闪，若慢闪则为不正常。此时电脑上网可以用上面指定的IP,也可以用自动获得IP和DNS。注意：以上两种方法设置完成后前半小时内网关可能会自动重起4、5遍，重起完成后便可以正常运行