草莓熊Lotso个人主页❄️个人专栏:《C知识分享》 《Linux 入门到实践零基础也能懂》✨生活是默默的坚持毅力是永久的享受 博主简介文章目录前言一. NAT 技术解决 IPv4 地址枯竭的核心方案1.1 NAT 技术背景1.2 NAT IP 转换过程与 NAPT 原理1.3 NAT 技术的关键细节1.4 NAT 技术的固有缺陷二. 代理服务器网络请求的 中间人2.1 正向代理替客户端访问世界2.2 反向代理替服务器承接请求2.3 正向代理 vs 反向代理一个例子讲清楚2.4 NAT 与代理服务器的本质区别面试高频三. 内网穿透让外网访问你的内网服务3.1 内网穿透的核心原理3.2 实战部署基于 FRP 实现内网穿透3.2.1 环境准备与 FRP 下载3.2.2 服务端frps配置与启动3.2.3 客户端frpc配置与启动3.2.4 功能测试四. 内网打洞P2P 通信的底层奥秘4.1 为什么需要内网打洞4.2 内网打洞的工作原理4.3 内网打洞 vs 内网穿透效率与复杂度的权衡含补充知识可以看看结尾前言你是否曾有过这样的困惑为什么家里的电脑明明连了网别人却无法直接访问为什么微信、QQ 能跨网络聊天但两台不同内网的电脑却不能直接建立 TCP 连接为什么企业的服务器从不直接暴露在公网却能被全球用户访问这些问题的答案都隐藏在本文要讲解的四个核心网络技术中NAT网络地址转换、代理服务、内网穿透和内网打洞。它们是现代互联网的基石解决了 IPv4 地址不足、网络安全、跨网通信等一系列关键问题。本文将从底层原理出发结合实战部署带你彻底搞懂这些技术的来龙去脉同时提炼出面试高频考点。一. NAT 技术解决 IPv4 地址枯竭的核心方案1.1 NAT 技术背景IPv4 协议设计之初32 位的 IP 地址理论上可以提供约 43 亿个地址但随着互联网的爆炸式发展IP 地址早已供不应求。NATNetwork Address Translation网络地址转换就是目前解决这一问题最主要、最经济的手段也是路由器的核心功能之一。NAT 的核心思想是将私有 IP 地址与全局公网IP 地址进行相互转换。在家庭、学校、公司等局域网内部所有设备使用私有 IP 地址如 10.0.0.0/8、192.168.0.0/16、172.16.0.0/12这些地址在不同局域网中可以重复使用只有在访问公网时才通过路由器将私有 IP 转换为唯一的公网 IP。1.2 NAT IP 转换过程与 NAPT 原理基础的 NAT 只能进行 IP 地址的转换但当多个内网主机同时访问同一个公网服务器时仅靠 IP 地址无法区分不同的请求。这时就需要NAPTNetwork Address Port Translation网络地址端口转换也就是我们常说的 “端口映射”。NAPT 通过 **“私有 IP 端口号” 与 “公网 IP 端口号” 的双向映射 ** 来唯一标识每个连接。NAT 路由器内部会维护一张自动生成的转换表记录这种映射关系内网四元组唯一标识内网进程外网四元组唯一标识全网进程10.0.0.10:1025 → 163.221.120.9:80202.244.174.37:1025 → 163.221.120.9:8010.0.0.11:1025 → 163.221.120.9:80202.244.174.37:1026 → 163.221.120.9:80转换过程详解内网主机 10.0.0.10:1025 向公网服务器 163.221.120.9:80 发送请求NAT 路由器将源地址替换为自己的公网 IP 202.244.174.37:1025并在转换表中记录映射关系公网服务器收到请求后将响应发送给 202.244.174.37:1025NAT 路由器查询转换表将目标地址替换为 10.0.0.10:1025转发给内网主机当多个内网主机使用相同端口号时NAT 路由器会自动分配不同的公网端口号确保映射关系的唯一性。1.3 NAT 技术的关键细节端口号限制TCP/UDP 的端口号是 16 位整数最多支持 65536 个端口。因此单个公网 IP 的 NAT 路由器最多只能同时支持约 6 万个并发连接这也是家用路由器连接设备数量有限的原因之一。路由器支持所有内网出口路由器必须支持 NAT 功能否则内网设备无法访问公网。单向访问性外网无法主动向内网建立连接。因为 NAT 转换表只有在内网主机主动向外发送请求时才会生成外网发起的请求在 NAT 路由器中找不到对应的映射条目会被直接丢弃。这就是为什么我们必须登录微信、QQ 服务器才能聊天 —— 登录时客户端主动向服务器建立连接生成 NAT 映射表之后服务器才能通过这个映射表将消息转发给我们。1.4 NAT 技术的固有缺陷NAT 虽然解决了 IP 地址不足的问题但也带来了一些不可避免的缺陷无法从外部主动访问内部服务器这是 NAT 最核心的限制也是内网穿透和内网打洞技术存在的原因转换表开销转换表的生成、维护和销毁需要额外的 CPU 和内存开销单点故障如果 NAT 设备异常即使存在热备所有已建立的 TCP 连接都会断开因为映射表会丢失二. 代理服务器网络请求的 “中间人”代理服务器与 NAT 看起来有些相似都是作为 “中间人” 转发网络请求但它们的设计目标、工作层次和应用场景完全不同。2.1 正向代理替客户端访问世界正向代理服务器位于客户端和目标服务器之间代表客户端向目标服务器发送请求。目标服务器看到的是代理服务器的 IP 地址而不是客户端的真实 IP。核心功能特点缓存加速缓存经常访问的资源当其他客户端再次请求时直接从缓存返回提高访问速度内容过滤根据预设规则屏蔽广告、恶意网站或不良内容访问控制限制特定用户或时间段对某些网站的访问隐藏客户端身份保护客户端的真实 IP 地址和隐私突破网络限制访问被本地网络屏蔽的资源典型应用场景企业网络管理限制员工在工作时间访问娱乐网站防止泄露公司机密学校 / 公共网络合理分配网络资源过滤不良内容跨境访问顺畅访问海外网站和资源游戏加速器通过优化路由降低网络延迟2.2 反向代理替服务器承接请求反向代理服务器位于客户端和后端服务器之间代表后端服务器接收客户端的请求。客户端不知道也不需要知道实际提供服务的是哪台后端服务器只需要与反向代理服务器通信。核心功能特点负载均衡根据配置的策略轮询、加权轮询、IP 哈希等将请求分发到多个后端服务器提高系统并发处理能力安全保护隐藏后端服务器的真实 IP 地址降低被直接攻击的风险可以配置防火墙、访问控制列表等安全策略缓存加速缓存静态资源和热点动态内容减少后端服务器的负载动静分离将静态资源图片、CSS、JS部署在反向代理服务器上直接返回给客户端动态请求转发给后端应用服务器内容重写修改请求头、响应头或 URL 路径实现特定的业务需求典型应用场景大型网站架构几乎所有互联网公司的后端服务都使用反向代理CDN内容分发网络CDN 本质上就是全球部署的反向代理服务器集群将内容缓存到离用户最近的节点微服务网关统一接收所有客户端请求路由到对应的微服务2.3 正向代理 vs 反向代理一个例子讲清楚很多人容易混淆正向代理和反向代理我们用一个生活中的例子来理解花王尿不湿是日本的知名品牌你想买但自己去日本不方便。你让在日本工作的表姐帮你去超市买然后快递给你。超市看到的买家是你表姐不知道是你买的。这就是正向代理 —— 表姐代替你客户端去买东西。后来找你表姐代购的人太多了她干脆批量进货屯在家里有人下单就直接从家里发货不用再去超市。买家只知道从你表姐这里买不知道货是从哪个超市来的。这就是反向代理 —— 表姐代替超市服务器卖东西。简单来说正向代理隐藏客户端服务器不知道真实的客户端是谁反向代理隐藏服务器客户端不知道真实的服务器是谁2.4 NAT 与代理服务器的本质区别面试高频NAT 和代理服务器都能实现网络中转但它们在多个维度上存在本质区别对比维度NAT代理服务器设计目标解决 IPv4 地址不足的问题解决具体应用问题访问控制、负载均衡、缓存等工作层次网络层OSI 第 3 层应用层OSI 第 7 层实现方式直接修改 IP 数据包的地址和端口接收完整的应用层请求重新发起新的请求部署位置一般集成在路由器、防火墙等硬件设备上部署在局域网出口软件程序部署在独立的服务器上可以在局域网、广域网或跨网部署透明性对客户端和服务器完全透明不需要任何配置客户端或服务器需要感知到代理的存在并进行相应配置应用范围所有基于 IP 的网络通信特定的应用层协议HTTP、HTTPS、FTP 等三. 内网穿透让外网访问你的内网服务NAT 的单向访问性虽然提高了内网的安全性但也带来了很多不便你无法在家里访问公司的内网服务器无法在外网连接自己家里的 NAS无法让朋友访问你本地开发的网站。内网穿透技术就是为了解决这个问题而生的。3.1 内网穿透的核心原理内网穿透的核心思想是利用一台拥有公网 IP 的服务器作为中转建立内网设备与公网服务器之间的长连接然后通过这台公网服务器将外网请求转发到内网设备。整个过程可以分为三步内网设备主动向公网服务器发起连接建立并保持长连接生成 NAT 映射表外网用户向公网服务器的指定端口发送请求公网服务器将请求通过已建立的长连接转发给内网设备内网设备处理后再通过原路返回响应目前最流行、性能最好的内网穿透工具是FRPFast Reverse Proxy它是一个开源的高性能反向代理应用支持 TCP、UDP、HTTP、HTTPS 等多种协议。3.2 实战部署基于 FRP 实现内网穿透下面我们通过实战一步步部署 FRP 实现两个最常用的功能SSH 远程登录内网机器和外网访问内网 Nginx 服务。3.2.1 环境准备与 FRP 下载一台拥有公网 IP 的云服务器服务端运行 frps一台内网机器客户端运行 frpc两台机器都能访问互联网FRP 下载地址https://github.com/fatedier/frp/releases/tag/v0.58.1根据你的操作系统和架构选择对应的版本本文以 Linux amd64 为例# 下载FRP服务端和客户端使用相同的安装包wgethttps://github.com/fatedier/frp/releases/download/v0.58.1/frp_0.58.1_linux_amd64.tar.gz# 解压tar-zxvffrp_0.58.1_linux_amd64.tar.gzcdfrp_0.58.1_linux_amd643.2.2 服务端frps配置与启动在公网云服务器上我们只需要最简单的配置指定 frps 监听的端口即可创建frps.toml配置文件# frps.toml - 服务端配置 bindPort 8888 # frps监听的端口客户端需要连接这个端口启动 frps 服务# 前台启动测试用./frps-c./frps.toml# 后台启动生产环境用nohup./frps-c./frps.toml/dev/null命令解释nohup忽略挂起信号让进程在后台运行 /dev/null将标准输出和标准错误都重定向到 /dev/null丢弃所有输出最后的让命令在后台执行3.2.3 客户端frpc配置与启动在内网机器上我们需要配置 frpc 连接到公网服务器并指定要穿透的服务创建frpc.toml配置文件# frpc.toml - 客户端配置 serverAddr x.x.x.x # 替换为你的公网服务器IP地址 serverPort 8888 # 与服务端的bindPort保持一致 # 配置SSH服务穿透 [[proxies]] name ssh-service # 代理名称唯一即可 type tcp # 代理类型SSH使用TCP协议 localIP 127.0.0.1 # 内网服务的IP地址 localPort 22 # 内网SSH服务监听的端口 remotePort 8081 # 公网服务器上监听的端口外网通过这个端口访问SSH # 配置Nginx服务穿透 [[proxies]] name nginx-service type tcp localIP 127.0.0.1 localPort 80 # 内网Nginx服务监听的端口 remotePort 8080 # 公网服务器上监听的端口外网通过这个端口访问Nginx启动 frpc 服务# 前台启动测试用./frpc-c./frpc.toml# 后台启动生产环境用nohup./frpc-c./frpc.toml/dev/null3.2.4 功能测试测试 SSH 远程登录 在任意一台能上网的机器上通过公网服务器的 8081 端口登录内网机器ssh用户名x.x.x.x-p8081测试 Nginx 远程访问 首先在内网机器上安装并启动 Nginx# Ubuntu/Debian系统sudoaptinstallnginxsudosystemctl start nginx# CentOS/RHEL系统sudoyuminstallnginxsudosystemctl start nginx然后在浏览器中访问http://x.x.x.x:8080如果能看到 Nginx 的默认欢迎页面说明内网穿透配置成功。四. 内网打洞P2P 通信的底层奥秘内网穿透虽然解决了外网访问内网的问题但所有流量都需要经过公网服务器转发这会带来两个问题带宽成本高和延迟大。对于视频通话、文件传输、P2P 直播等大流量、低延迟要求的场景内网穿透并不是最优解。这时就需要内网打洞NAT Traversal技术。4.1 为什么需要内网打洞我们以虎牙直播为例来说明主播在内网 A观众 1 在内网 B观众 2 在内网 C如果使用服务器转发模式主播需要将视频流推送到虎牙服务器服务器再分别转发给观众 1 和观众 2这种模式下服务器需要承担巨大的带宽压力而且视频流经过服务器转发会增加延迟而内网打洞技术可以让主播和观众之间建立直接的 P2P 连接视频流不需要经过服务器转发大大降低了服务器的带宽成本和传输延迟。4.2 内网打洞的工作原理内网打洞的核心原理是利用中间服务器交换双方的公网 IP 和端口信息然后双方同时向对方的公网地址发送数据包在各自的 NAT 路由器上生成映射表从而建立直接连接。整个过程可以分为四步注册与信息交换主播和观众都主动连接到虎牙的中间服务器服务器记录下他们的公网 IP 和端口号打洞指令发送服务器将主播的公网 IP 和端口发送给观众同时将观众的公网 IP 和端口发送给主播同时打洞主播和观众同时向对方的公网地址发送 UDP 数据包。这个数据包会被对方的 NAT 路由器接收并在各自的 NAT 转换表中生成映射条目建立 P2P 连接当双方的 NAT 路由器都生成了映射条目后直接连接就建立成功了之后的通信就可以直接进行不需要再经过中间服务器需要注意的是内网打洞主要使用 UDP 协议因为 UDP 是无连接的不需要三次握手更容易穿越 NAT。对于 TCP 协议内网打洞的成功率会低很多。4.3 内网打洞 vs 内网穿透效率与复杂度的权衡含补充知识可以看看对比维度内网穿透内网打洞连接方式所有流量经过公网服务器转发建立直接的 P2P 连接只有初始握手经过服务器带宽成本高服务器需要承担所有流量低几乎不消耗服务器带宽传输延迟高流量经过服务器中转低直接通信实现复杂度低部署简单高需要处理各种 NAT 类型和网络环境成功率高只要能连接公网服务器就能成功中受 NAT 类型和网络环境影响适用场景小流量、低并发场景SSH、Web 服务大流量、低延迟场景视频通话、文件传输、P2P 直播下面是一些补充知识的图解结尾 我是草莓熊 Lotso若这篇技术干货帮你打通了学习中的卡点 【关注】跟我一起深耕技术领域从基础到进阶见证每一次成长 ❤️ 【点赞】让优质内容被更多人看见让知识传递更有力量 ⭐ 【收藏】把核心知识点、实战技巧存好需要时直接查、随时用 【评论】分享你的经验或疑问比如曾踩过的技术坑一起交流避坑 ️ 【投票】用你的选择助力社区内容方向告诉大家哪个技术点最该重点拆解 技术之路难免有困惑但同行的人会让前进更有方向愿我们都能在自己专注的领域里一步步靠近心中的技术目标结语NAT、代理服务、内网穿透和内网打洞这四项技术共同构建了现代互联网的通信基础。它们都是为了解决 IPv4 协议的固有缺陷而诞生的虽然 IPv6 协议提供了几乎无限的 IP 地址理论上可以消除 NAT 的存在但由于历史原因和兼容性问题这些技术在未来相当长的时间内仍将被广泛使用。理解这些技术的底层原理不仅能帮助你解决日常工作中遇到的网络问题也是后端开发、运维、网络工程师必备的核心知识。希望本文能让你对这些技术有一个全面、深入的理解。如果你觉得本文对你有帮助欢迎点赞、收藏、关注我会持续分享更多 Linux 和网络底层技术的干货。✨把这些内容吃透超牛的放松下吧✨ʕ˘ᴥ˘ʔづきらど