IPv6的NAT原理以及MAP66

时间:2024-05-22 14:47:11

1.引

IPv6的标准中不建议使用NAT,个中缘由何在?这是一个问题,正如我很早之前解释的那样,IPv4的NAT打破了互联网本身的“互联”特性,使得一部分IP地址不再双向可达,NAT为无方向的IP协议增加了一个方向,特别是stateful的NAT类型。然而IPv4的NAT旨在节约IP地址,而非所谓的增加IP的方向性以及隐藏私有IP,这些只是一种难以摆脱的副作用罢了。
        IPv6的时代已经到来,只要不扩展到外太空,地球上的蚂蚁都可以使用IP设备了。IPv4的一些修补手段将不再需要,为了保持协议本身以及相关标准的纯洁性,IPv6几乎不再提起NAT。虽然不再提起,并不是说“你已不是你”,实现IPv6的NAT还是可能的,并且在某些情形下还是必要的。

2.相关的RFC

RFC6296的标题是IPv6-to-IPv6 Network Prefix Translation,描述了IPv6下的NAT的实现要点,给出了一个合理的建议,既保持了IP的无方向性,又可以满足NAT的语义,这就是IPv6之NAT stateless的缘由,你不能再指望像IPv4的NAT那样只需要配置一条rule,然后反方向的rule动态生成,IPv6情况下,两个方向的rule都需要你自己手工来配置。

3.IPv6子网和NAT的关系

IP地址可以划分为几个段,包括网络前缀,子网标识,主机标识,这在IPv4和IPv6中没有什么不同。IPv4的NAT为了节约IP地址,也就是说,可供映射的IP地址pool中的地址小于或者远远小于其内部主机的数量,因此很有可能多个内部主机被映射成了同一个外部IP地址,这如何来区分它们,因此不得不引入诸如第四层协议,端口等信息了,也就是我们熟知的五元组信息,因此IPv4的NAT实现大多数都是基于五元组流的,这样就保证了内核保持的NAT信息项的唯一性,同时也引入了很多副作用。
        IPv6地址持有将近128位可随意调配的位,鉴于地址空间的庞大,一般的单位都会被分配到一个拥有很大量地址的网段,此网段拥有足够多的地址来和内网主机进行一一映射,也就是说可用于映射的IP地址pool容量巨大无比,关键是这个一一映射如何来保持,既然不想再使用非IP层的信息来保持信息,那就要用纯IP层的信息了,这样对上层影响最小。对于IPv4,经典NAT使用了五元组来保持流标识信息,而对于IPv6,则更加绝妙,它利用(而不是使用)了checksum的算法,丝毫不管这个checksum是谁的checksum,因为它根本就不改变数据包的checksum...

4.IPv6和链路层的关系

IP标识一台主机,而MAC标识一个网络接口,它们其实是一对多的关系,然而现实中,一个IP往往会和一块网卡相关联,其中一个缘由就是可以自动生成链路层的路由信息。这是很方便的,然而对于IPv4,地址是自己配置或者通过DHCP来分配的,管理过程十分复杂,一不小心就会有地址冲突,不得不依靠ARP广播/RARP等技术来检测,之所以出现这种状况,一则因为分层理念太教条,谁说IP和链路层就不能有关联,谁说IP标示主机就不能关联网卡;二则因为IPv4地址空间太小,而MAC地址长度一般都会超过IP地址,虽然满足了RFC标准上的一对多的关系,但是使用起来很不方便。
        IPv6解决了这个问题,使得地址冲突问题减缓以致几乎消失。我们知道,MAC地址标示了一块物理设备,是看得见摸得着的,有时你摸一下还会碰到静电,MAC地址和你的身份证号码一样不会重复,IPv6将MAC地址映射到IPv6地址解决了IP地址冲突的大问题,同时这对于NAT也是有益的,这会影响到地址的自动转换,每一个不会重复的内部地址转换为一个不会重复的外部地址,这一切都要归功于IPv6的地址空间的巨大,可以随意杂耍。

5.checksum无关性和自动转换

这个很好解释,小学毕业就应该能理解。考虑
a+b+c+d=X
其中X就是checksum,我们把a,b当成源IP地址的两部分,c,d当成目的IP地址的两部分,我们作源地址转换,将a和b都改变,比如a改变成了A,试问将b改成多少才能保持checksum的值X不变,这其实很简单,就是一个简单的一元一次方程求解的问题。IPv6的建议NAT实现也是这个原理,只不过上面的一元一次方程是实数域的,而这个是计算机布尔数域。既然可以不触动第四层的checksum值,那么NAT对第四层协议的影响也就减小了,虽然它还是解决不了诸如ESP/AH等穿越NAT的问题。
        基于以上算法,IPv6在做NAT的时候,在给定的子网网段内,可以自动生成一个新的IP地址供映射之用,从算法本身来看,冲突的可能性非常之小致于0,上述的做法对于IPv4几乎是不可能的,因为IPv4地址空间太小了,每个单位保有的地址池容量也有限,你不能指望一个算法为你生成一个IP地址,因为这种生成的地址要不根本就不属于自己,地址冲突,要么就是重复,和其它的映射冲突。
        既然IPv6的NAT机制“自动”为一个连接选择了一个IP地址,那么当返回包到来的时候,如何来把地址转换回原来的呢?我们知道,IPv6的NAT已经不再使用五元组来维护NAT映射信息,也不在内核维护这种信息,那么“转换回去”这件事就要完全靠算法本身了,恰恰就是算法本身能将转换后的地址再转回原来的,其依据就是本小节最开始处给出的一元一次方程解的唯一性,在IPv6的NAT实现中,算法只针对IP地址中16位的地址信息进行自动生成,而其它的则需要手工显式配置,由于内网IPv6地址可以使用MAC地址映射成唯一的地址,由于一元一次方程解的唯一性,那么转换后的地址也是唯一的,将这一切反过来,最后还是能映射回原始的IP地址的。
        如果抛开地址转换这一说,仅仅考虑算法本身,那还是可以给出一个实际可以运行的代码的,该代码使用了计算checksum的算法:
#include <stdio.h> #include <stdlib.h> #include <string.h>  //以下2个函数就是计算校验码的,具体的原理请参见RFC1071/RFC1624/RFC1141 static inline u_int16_t add16(     u_int16_t a,     u_int16_t b) {     a += b;     return a + (a < b); }  static inline u_int16_t csum16(const u_int16_t *buf, int len) {     u_int16_t csum = 0;     while(len--) csum = add16(csum, *buf++);     return csum; }   int main(int argc, char **argv) {      u_int16_t buf[18] = {0};     int i = 0;     memcpy(buf, "efghhijk", 8);     memcpy(buf+4, "12345678", 8);     memcpy(buf+8, "xxyywert", 8);     memcpy(buf+12, "zxcvkljh", 8);     //正确做法是打印16进制数据,此处为了简单,打印了字符串     printf("原始数据:%s  长度:%d\n", (char*)buf, strlen((char*)buf));         printf("原始数据的校验码:%X\n", csum16(buf, 16));              u_int16_t tip[3] = {0};     memcpy(tip, "#$!%", 4);     u_int16_t tip_sum = csum16(tip, 2);     printf("\nNAT规则: efghhijk1234/12 -〉efghhijk#$!%/12\n\n");     printf("固定从第9个字节开始修改4个字节为:%s 其校验码为:%X\n", (char*)tip, tip_sum);          //定位固定修改后的动态修改的初始地址,注意,我们仅仅修改16位信息     u_int16_t* pcsum = buf + 4+2;            //计算动态修改的值     *pcsum = ~add16(         add16(             ~(*pcsum),             ~csum16(buf+4, 2)         ),         tip_sum     );     printf("动态修改的值为:%X\n", *pcsum);     memcpy(buf+4, tip, 4); //完成修改          printf("当前数据:%s  长度:%d\n", buf, strlen((char*)buf));         printf("当前校验码:%X\n", csum16(buf, 16));         printf("-------------以下是还原操作-------------\n");     printf("\n反向NAT规则: efghhijk#$!%/12 -〉efghhijk1234/12\n\n");      u_int16_t tip2[3] = {0};         memcpy(tip2, "1234", 4);     printf("我们只需要记住原始数据被固定修改前的:%s\n", tip2);      u_int16_t tip_sum2 = csum16(tip2, 2);          u_int16_t* pcsum2 = buf+6;      *pcsum2 = ~add16(         add16(             ~(*pcsum2),             ~csum16(buf+4, 2)         ),         tip_sum2     );     //还原     memcpy(buf+4, tip2, 4);          printf("原始数据:%s\n", (char *)buf);     printf("原始校验码:%X\n", csum16(buf, 16));          }


运行结果如下:
IPv6的NAT原理以及MAP66
结果斐然。把以上的原理套用在IPv6的NAT上,就是一种实现。

6.Linux上的MAP66

如果有一个点子,总会有人实现它,何况如果不仅仅是一个点子而是一个标准,那么实现它就更是情理之中了。Linux是一个大熔炉,更是一个实验场,一些草案的最新进展总是会体现了Linux上,IPv6的NAT也不例外。MAP66是一个基本遵循RFC6296建议的Linux实现,编译安装很简单,详见其README,想试一下吗?很简单,和IPv4的iptables一样:
1.配置正向的转换规则,将源地址fdca:ffee:babe::/64网段的地址转换为2008:db8:1::/64网段的地址
ip6tables -t mangle -A POSTROUTING -s fdca:ffee:babe::/64 -o eth2 -j MAP66--src-to 2008:db8:1::/64

可以看出,没有显式指定任何具体地址,类似IPv4的MASQUERADE和IPv4的IP Pool,原理详见第5节。
2.配置反向包的转换规则,将正向包被转换过的地址再转换回去
ip6tables -t mangle -A PREROUTING -d 2008:db8:1::/64 -i eth2 -j MAP66 --dst-to fdca:ffee:babe::/64 

可以看出,也没有显式指定任何具体的地址,更值得一提的是,内核并不维护任何关于NAT映射的信息,因此MAP66也不再依赖ip(6)_conntrack。

    如果使能上述两条规则,ping一下对端地址,tcpdump抓包的结果如下:

IPv6的NAT原理以及MAP66



 本文转自 dog250 51CTO博客,原文链接:http://blog.51cto.com/dog250/1268939