什么是NAT映射
NAT（Network Address Translation，网络地址转换）是一种将私有网络IP地址映射到公网IP地址的技术。NAT映射过程中，路由器或防火墙等网络设备会修改数据包的源IP地址和端口号，并在内部维护一张映射表，记录内网IP:端口与公网IP:端口的对应关系。
NAT设备会对经过的数据包执行以下操作：
- 当内网主机发送数据包到外网时，NAT设备将数据包的源地址（内网IP和端口）替换为公网IP和分配的端口
- 将这种对应关系保存在NAT映射表中
- 当外网返回数据包时，NAT设备根据目标地址（公网IP和端口）查找映射表，将数据包的目标地址替换回对应的内网IP和端口
NAT的主要类型
- 静态NAT：一对一映射，内网IP与公网IP固定对应
- 动态NAT：从公网IP地址池中动态分配，仍然是一对一映射
- NAPT/PAT（Network Address Port Translation/Port Address Translation）：多个内网IP共享一个公网IP，通过不同端口区分
- 对称NAT：针对每个目标IP:端口的连接都分配不同的公网端口
- 锥形NAT（Cone NAT）：
- 完全锥形NAT：映射一旦建立，任何外部主机都可以通过该映射发送数据到内网主机
- 地址限制锥形NAT：只有内网主机曾经发送过数据的外部IP可以使用该映射
- 端口限制锥形NAT：只有内网主机曾经发送过数据的外部IP:端口组合可以使用该映射
为什么需要NAT映射
NAT技术的出现和广泛应用有以下几个重要原因：
1. 解决IPv4地址短缺问题
IPv4地址空间有限（约42亿个），远远不能满足全球所有设备的需求。NAT允许多台设备共享一个公网IP地址，极大缓解了IP地址短缺的问题。私有网络可以使用RFC 1918定义的专用IP地址范围：
- 10.0.0.0/8 (10.0.0.0 – 10.255.255.255)
- 172.16.0.0/12 (172.16.0.0 – 172.31.255.255)
- 192.168.0.0/16 (192.168.0.0 – 192.168.255.255)
2. 提高网络安全性
NAT提供了一定程度的安全保护：
- 隐藏内网结构：外部网络无法直接看到内网拓扑和设备
- 过滤不请自来的连接：大多数NAT默认只允许内网发起的连接建立映射，阻止外部直接发起的连接
3. 网络拓扑灵活性
NAT使网络管理和ISP切换更加灵活：
- 内网地址独立于ISP分配的公网地址
- 更换ISP时不需要重新配置内部网络
NAT对SIP通信的影响
SIP（Session Initiation Protocol）是一种应用层协议，用于创建、修改和终止多媒体会话。SIP在穿越NAT时面临特殊挑战，主要原因是SIP协议设计时并未充分考虑NAT环境。
1. SIP协议的NAT穿越问题
1.1 信令中的IP地址嵌入
-
sip信令地址概要
- Contact地址：SIP消息的Contact字段，表示终端希望对方后续请求（如INVITE、BYE等）直接发送到的SIP URI（如sip:user@192.168.1.100:5060），反映了终端自身感知的可达地址。
- Socket地址：实际建立SIP信令连接时所用的网络层地址，即数据包的源IP和端口（如192.168.1.100:5060），是网络传输层的真实通信地址。NAT环境下，Socket地址可能会被NAT设备转换为公网IP和端口。
- Via头字段：记录请求经过的路径。
-
典型问题举例：
服务器A有内网IP：192.168.1.1，公网IP：4.4.4.4。A向服务器B发起SIP呼叫，B收到的SIP信令中Contact头域为内网IP 192.168.1.1。B按SIP协议将回包发往Contact地址，但B与A不在同一内网，导致A收不到回复。 -
简化流程图说明：
Alice(内网) NAT设备 Bob(公网)
192.168.1.1 10.199.100.2 10.199.100.1
| INVITE | | ALice发送invite请求给NAT设备，Contact地址为192.168.1.1
|---------------->| |
| | INVITE |
| |--------------->| NAT设备收到ALice的请求并转发给Bob，Contact地址：192.168.1.1, socket地址:4.4.4.4
| .... |
| .... |
| | 200ok |
|<----------------X----------------| Bob收到后，回包目标=contact地址(192.168.1.1)，由于Bob和Alice的内网不通，导致Alice收不到200ok应答
-
解决方法：
Bob通过配置，将包回复到socket地址，也就是源地址，在本图中即为nat设备的公网地址实现如下流程
Alice(内网) NAT设备 Bob(公网) 192.168.1.1 10.199.100.2 10.199.100.1 | INVITE | | ALice发送invite请求给NAT设备，Contact地址为192.168.1.1 |---------------->| | | | INVITE | | |--------------->| NAT设备收到ALice的请求并转发给Bob，Contact地址：192.168.1.1, socket地址:4.4.4.4 | .... | | .... | | | 200ok | | |<---------------| Bob收到后，回包目标=socket地址(4.4.4.4) | 200ok | | |<--------------- | | NAT设备将Bob的回复转发给ALice
1.2 信令和媒体分离
SIP通信分为两部分：
- 信令流：用于建立、维护和终止会话
- 媒体流：实际的音视频数据（通常使用RTP协议）
两者通常使用不同的端口和路径，即使SIP信令成功穿越NAT，媒体流仍可能无法正确建立。
2. NAT环境下的SIP问题表现
2.1 单向音频或无音频
最常见的问题是呼叫能够建立，但音频单向或完全没有音频。这通常是因为RTP媒体流无法正确穿越NAT。
2.2 注册问题
SIP终端可能无法在NAT后面保持与服务器的注册状态，或者需要频繁重新注册。
2.3 呼叫建立失败
某些NAT类型（特别是对称NAT）可能导致呼叫完全无法建立。
2.4 呼叫中断
即使呼叫成功建立，NAT映射可能因超时而失效，导致正在进行的通话突然中断。
3. SIP NAT穿越解决方案
3.1 应用层解决方案
3.1.1 SIP ALG（Application Layer Gateway）
路由器或防火墙内置的功能，可以识别并修改SIP消息中的IP地址信息。
优点：对客户端透明，无需额外配置 缺点：实现质量参差不齐，有时反而会导致问题
3.1.2 会话边界控制器（SBC）
专门设计用于处理SIP会话的设备，部署在网络边界。
优点：全面解决NAT问题，提供安全和互操作性功能 缺点：成本较高，引入额外延迟
3.2 协议层解决方案
3.2.1 STUN（Session Traversal Utilities for NAT）
允许客户端发现自己的公网IP和端口，并在SIP消息中使用这些信息。
优点：简单，低开销 缺点：对称NAT下无效
3.2.2 TURN（Traversal Using Relays around NAT）
通过中继服务器转发所有媒体流量。
优点：几乎适用于所有NAT类型 缺点：增加延迟和带宽消耗
3.2.3 ICE（Interactive Connectivity Establishment）
结合STUN和TURN，尝试各种连接方式，选择最优路径。
优点：适应性强，选择最佳路径 缺点：初始化时间较长，实现复杂
3.3 配置层解决方案
3.3.1 静态端口转发
在NAT设备上手动配置端口转发规则，将特定端口的流量转发到内网SIP设备。
优点：简单直接 缺点：安全风险，仅适用于少量设备
3.3.2 DMZ主机
将SIP设备放置在DMZ（隔离区），允许所有入站连接。
优点：简化配置 缺点：严重的安全隐患
3.3.3 VPN（虚拟专用网络）
通过VPN隧道绕过NAT。
优点：彻底解决NAT问题 缺点：额外开销，配置复杂
最佳实践建议
- 了解你的NAT类型：使用工具检测网络中的NAT类型
- 合理配置防火墙：确保SIP和RTP所需端口开放
- 考虑禁用SIP ALG：某些低质量的SIP ALG实现可能造成更多问题（如腾讯云ALG，可能会导致ACK丢失）
- 选择支持ICE的SIP客户端：增加NAT穿透成功率
- 配置适当的注册刷新间隔：保持NAT映射活跃
- 使用SBC：对于企业级部署，SBC是最可靠的解决方案
结论
NAT映射是现代网络中必不可少的技术，它解决了IPv4地址短缺问题，提高了网络安全性，并增加了网络拓扑的灵活性。然而，对于SIP等复杂应用层协议，NAT也带来了严峻挑战。
在SIP部署中，理解NAT的工作原理及其对SIP通信的影响至关重要。根据具体网络环境和需求，选择合适的NAT穿越解决方案，可以有效提高SIP通信的可靠性和质量。
随着IPv6的逐步普及，NAT的必要性将逐渐降低，但在相当长的过渡期内，熟练掌握NAT穿越技术仍将是VoIP工程师的必备技能。