◆ 博主名称 小此方-CSDN博客大家好欢迎来到小此方的博客。⭐️网络系列个人专栏 【主题曲】计算机网络⭐️此方的GitHub github_此方⭐️我们思考 (Rethink) · 我们重建 (Rebuild) · 我们记录 (Record)文章目录概要序論一、IP资源稀缺1.1 谁在抢1.2 为什么要抢二、分类划分法简单但是浪费新的IP划分法出来救场2.1 划分子网的例子12.2 划分子网的例子22.3 子网掩码的本质2.4 可分配主机数的计算2.5 子网掩码按位与的计算三、私有IP地址和公网IP地址3.1 私有IP地址的范围3.2 公网与内网的宏观比例四、公网与内网的桥梁NAT技术详解4.1 路由器构建子网的能力4.2 从内网到公网的通信流程详解4.3 NAT的本质与必要性4.4 NAT的局限与IPv6的登场五、运营商的控制权与防火墙5.1 运营商网络的高速公路收费站5.2 运营商对报文的绝对控制5.3 防火墙、长城技术与“梯子”的本质概要序論Hello大家好我是此方。本文从“学号寻人”故事切入类比IP地址。介绍IPv4资源稀缺与分类划分剖析子网掩码本质N个1和M个0讲解私有IP、公网IP、NAT转换及运营商控制权。一、IP资源稀缺IPv4 总量极度有限IPv4 地址总量仅约 43 亿个除去保留地址后真正可分配的更少。1.1 谁在抢美国高通。欧洲诺基亚。中国移动、联通、电信。各大网络运营商ISP、大型企业和数据中心争相向区域互联网注册机构RIR申请并囤积有限的公网 IP 地址尤其是 IPv4。1.2 为什么要抢每一个连接到公网的服务器、数据中心、宽带用户、移动基站都需要公网 IP 进行路由和通信。业务规模越大需要的 IP 数量越庞大。这背后是搭建国家子网需求的迫切驱动。面对IPv4资源的枯竭正是我们理解子网划分、分类划分与子网掩码为何如此重要的宏观背景。要购买的话一万个IPv4地址相当于 13万–20万美元。二、分类划分法简单但是浪费新的IP划分法出来救场我们先看两个划分子网的例子。2.1 划分子网的例子1IP地址140.252.20.68十六进制为8C FC 14 44。子网掩码255.255.255.0十六进制为FF FF FF 00。网络号140.252.20.0十六进制为8C FC 14 00。子网地址范围140.252.20.0~140.252.20.255。我们看到的192.168.23.6/24类似这种末尾的/24表示子网掩码中1的个数。2.2 划分子网的例子2IP地址140.252.20.68十六进制为8C FC 14 44。子网掩码255.255.255.240十六进制为FF FF FF F0。网络号140.252.20.64十六进制为8C FC 14 40。子网地址范围140.252.20.64~140.252.20.79。2.3 子网掩码的本质我们用子网掩码来解决浪费问题。子网掩码是由左边N个1右边M个0组成的。它的核心作用只有一个通过设置1的个数重新划定网络号的长度。举个例子。假设运营商申请到了一个B类IP地址网络号。B类地址原本的结构是前14位是网络号后16位是主机号。现在假设我们要划分子网且每个子网需要能容纳2^6个IP供内部机器使用。这意味着主机号只需要保留6位。那么剩下的16位主机号里多出来的10位就可以“借”给网络号使用。这个“借”的过程就是子网掩码1的个数向后延伸的过程。原本B类默认子网掩码有14个1现在我们把1向后延伸10位变成24个1。按位与之后原本的14位网络号固定不变后面多出来的10位就变成了可以自由支配的新网络号。于是我们向标准化组织申请了一个B类网络号实际上就可以划分出2 1 0 2^10210个不同的小子网每个子网拥有2 6 2^626个IP。2.4 可分配主机数的计算回到例子1子网地址范围是140.252.20.0到140.252.20.255一共256个地址。这个子网内最多可以有多少台主机0到255一共256个减去两个一个是全0代表整个IP就是表示网络号。一个是全F代表广播地址。所以实际可分配给主机的数量是254个。2.5 子网掩码按位与的计算回到例子2我们来看具体的二进制计算过程。IP地址140.252.20.68的二进制表示为10001100.11111100.00010100.01000100。子网掩码255.255.255.240的二进制表示为11111111.11111111.11111111.11110000。两者按位与之后结果是10001100.11111100.00010100.01000000即140.252.20.64。掩码的最后四位是0000对应IP的最后四位是0100与完之后变成0000。这意味着最后四位被留作主机号范围是[0,15]。一共16个数掐头去尾去掉全0和全1剩下14个可以分配给主机。三、私有IP地址和公网IP地址如果一个组织内部组建局域网IP地址只用于局域网内的通信而不直接连到Internet上理论上使用任意的IP地址都可以但是RFC 1918规定了用于组建局域网的私有IP地址。3.1 私有IP地址的范围包含在这个范围内的都称为私有IP其余则称为全局IP或公网IP。10.*前8位是网络号共16,777,216个地址。172.16.到172.31.前12位是网络号共1,048,576个地址。192.168.*前16位是网络号共65,536个地址。3.2 公网与内网的宏观比例网络宏观上被分为公网比内网子网、局域网等于1比n。先说结论在网络通信的过程中私有IP不能出现在公网上我们任何普通人直接接触的根本不是公网我们直接接触的是都是内网局域网、子网。——这句话非常重要。后面讲的都建立在这之上。四、公网与内网的桥梁NAT技术详解4.1 路由器构建子网的能力路由器本身具有构建子网的能力给子网内所有主机分配IP的能力路由器分为企业级路由器和家用路由器。我们结合架构图来看。最顶端是广域网往下是公网出入口路由器其子网IP为10.1.1.1/24WAN口IP为122.77.241.4/24。再往下连接着家用路由器其子网IP为192.168.1.1/24WAN口IP为10.1.1.2/24。家用路由器下方挂载了多台终端设备比如192.168.1.201/24和192.168.1.200/24。图中红色框标注的区域就是家用路由器搭建的子网。4.2 从内网到公网的通信流程详解从内网到公网根本就没有那么复杂因为内网IP是固定的内网IP可能重复。并且因为有NAT技术不影响内网向外网通信。我现在要访问bilibili我要发送报文给bilibili的服务器。路由器接收到报文后发现这个dstIP地址不是路由器构建的局域网中的IP地址于是向上发送给公网出入口路由器。此时报文头部的信息为dst: 122.77.241.3src: 192.168.1.201。经过家用路由器时进行srcIP的替换替换为家用路由器的WAN口IP10.1.1.2。报文变成dst: 122.77.241.3src: 10.1.1.2。报文继续向上传递到达公网出入口路由器。此时再次进行srcIP的替换替换为公网出入口路由器的WAN口IP122.77.241.4。报文变为dst: 122.77.241.3src: 122.77.241.4。最后传给bilibili服务器。服务器处理完毕后根据srcIP地址返回报文一定会把报文先给子网出入口路由器。回来的报文根据NAT映射表逆向将目标IP转回10.1.1.2最后送回给192.168.1.201。那么接下来呢内网转发我们暂时不讲放在内网穿透的时候讲。4.3 NAT的本质与必要性每经过一个内网路由器进行srcIP的替换替换成为当前路由器的WAN口IP对外的。内网IP经过路由器WAN口IP替换的技术叫做NAT。为什么必须要有NAT因为内网IP可能重复所以如果你没有使用NAT技术没有做srcIP替换让你的内网IP出现在了公网它报文回来的时候就没有头绪你的内网IP是192.168.1.201老张家的也是于是你的报文就回不来所以NAT可以解决IP地址不足的问题了4.4 NAT的局限与IPv6的登场既然 NAT网络地址转换已经成功解决了 IPv4 地址不够用的燃眉之急为什么全球还要不惜重金推行 IPv6答案在于NAT只是给 IPv4 续命的“缓兵之计”它带来了严重的性能损耗、技术变通成本以及对新业务的阻碍而 IPv6 才是从根本上解决问题的终极方案。五、运营商的控制权与防火墙5.1 运营商网络的高速公路收费站运营商就像一个高速公路收费站。所有进出的网络流量都必须经过这个收费站。它具备绝对的控制权能够决定你的报文是否能够被转发到公网。5.2 运营商对报文的绝对控制我们来看这张架构图。最顶端是广域网往下是公网出入口路由器再往下是家用路由器以及底层的终端设备。运营商可以控制我们的报文是否转发到公网。它是如何做到的呢运营商检查报文是谁发送的通过手机号识别发现欠费了就拒绝发送报文到公网。你家网络欠费了报文仍然会发送给运营商的路由器也就是图中被框出来的“运营商内部机房”。但是报文到达这里后就被运营商拦截无法继续向外网转发。图中的广域网侧意味着公网路由和通信。如果运营商放行报文就能到达真正的公网如果运营商不放行报文就只能在运营商内部网络里打转。5.3 防火墙、长城技术与“梯子”的本质免责声明本文仅做技术交流与学习探讨所涉及的VPN、网络穿透、防火墙及运营商控制等内容旨在帮助读者理解计算机网络底层原理如NAT、报文转发机制。请读者严格遵守当地相关法律法规不得将上述技术用于任何非法用途或绕过网络监管等违规行为。因不当使用本文内容造成的任何后果作者及发布平台不承担任何法律责任。长城技术与防火墙原理就在这里。如果你访问X报文发送给运营商服务器运营商服务器检查报文时发现你要访问外部网络。于是拒绝发送报文到公网于是你无法访问。“梯子”的原理不是绕过运营商因为你不可能绕过运营商直接访问公网而是骗过运营商。你表面上给运营商发送一个合规的报文但通过某种手段进行了伪装让运营商以为你只是在国内访问。所谓防火墙在哪里就在运营商路由器那里理解了运营商在整条链路中的绝对控制权我们再回头看内网到公网的NAT转换就能明白数据包在封包、拆包与转发时的真正轨迹。好的本期内容就到这里如果对你有帮助还不要忘记点赞三联支持。我是此方我们下期再见。bye!