一文搞懂：公网与私网的运作机制

在Internet没有形成之前，各个地方已经建立了很多小型的网络，称为局域网。Internet的中文意义是"互联网"，它实际上就是将全球各地的局域网连接起来而形成的一个"可以互相连接的网络（即互联网）"。然而，在连接之前的各式各样的局域网却存在不同的网络结构和数据传输规则，将这些小网连接起来后各网之间要通过什么样的规则来传输数据呢？这就像世界上有很多个国家，各个国家的人说各自的语言，世界上任意两个人要怎样才能互相沟通呢？如果全世界的人都能够说同一种语言（即世界语），这个问题不就解决了吗？TCP/IP协议正是Internet上的"世界语"。而IP地址就是TCP/IP协议所规定的"门牌号码"。

所谓IP地址其实是基于TCP/IP的理论所规定的网络地址。TCP/IP（Transmission Control Protocol/Internet Protocol的简写，中文译名为传输控制协议/互联网络协议）协议是Internet最基本的协议，简单地说，就是由底层的IP协议和TCP协议组成的。TCP/IP是国际上通用的网络协议，也是用于互联网的第一套协议，也正因为有了TCP/IP标准，世界各地的电脑等设备能够链接到互联网上，并互相访问及共享资源

再者，我们大多人都是使用宽带上网，结果发现，A 和 B 的局域网 IP 都是192.168.31.11,当他们都访问百度浏览网页时，百度服务器回复数据时，如何区分是给 A 还是给 B 呢？

一、公有 IP 和私有 IP 的区别

首先，我们需要了解一下什么是公有 IP 和私有 IP ？

公有地址（Public address）：由 Inter NIC（Internet Network Information Center 因特网信息中心）负责。这些 IP 地址分配给注册并向Inter NIC提出申请的组织机构，公有 IP 全球唯一，通过它直接访问因特网（直接能上网）。

私有地址（Private address）：属于非注册地址，专门为组织机构内部使用，说白了，私有 IP 不能直接上网。

而我们平时通过运营商（电信、移动、联通宽带等）上网，家里面通过路由器分出来的 IP 都是私有 IP（局域网 IP），大家可能会疑问，我们可以上网啊，怎么会是私有 IP 呢？

租用（申请）公有 IP 是需要钱的。 运营商买了一些公有 IP，然后通过这些公有 IP 分出来，再分给一个一个的用户使用。这个过程有点类似于，我们去安装了宽度，通过路由器分出几个 IP，让好几个人都能上网，当然运营商通过公有 IP 分出来的过程肯定比这个复杂多了。所以，我们平时上网用的 IP 是私有 IP，真正拥有公有 IP 的是运营商（当然，我们可以租用一个公有 IP ）。所以，A 家庭的局域网 IP 和 B 家庭的局域网 IP 相同很正常，但是，最终 A 和 B 能上网（数据走出去）还是通过运营商的公有 IP，毕竟，公有 IP 的资源有限，这一片区域的用户使用的很有可能（实际上就是这样的）是同一个公有 IP，这样的话，又回到前面的问题，假如 A 和 B 的局域网 IP 相同（192.168.31.11），当他们同时访问百度服务器的时候，百度服务器如何区分哪个是 A，哪个是 B 呢？

二、端口映射

1、方法一视角

接下来，给大家介绍一下什么是端口映射？

端口映射是 NAT 的一种，它将外网主机的 IP 地址的一个端口映射到内网中一台机器，提供相应的服务。当用户访问该 IP 的这个端口时，服务器自动将请求映射到对应局域网内部的机器上。

现在市场上的家庭路由器都具备 NAT 功能，也可以实现端口映射。下图为小米路由器的端口映射设置图：

我们平时经过路由器，通过宽带，最终去到运营商那边，数据是从运营商出去，最终数据是回到运营商那边，运营商再把数据发送到用户的电脑。

路由器，至少有两个端口：WAN 口和 LAN 口。

WAN：接外部 IP 地址用，通常指的是出口，转发来自内部 LAN 接口的 IP 数据包，这个口的 IP 是唯一的。

LAN：接内部 IP 地址用，LAN 内部是交换机。

这里，我们简化这个过程，我们把运营商当做一个 NAT 设备。

为了方便大家理解，我们把 IP 的转化方向反过来分析（准确来说，公网转局域网）。

A 电脑的 IP 是局域网 IP（192.168.31.11），这个 IP（192.168.31.11）是从路由器的 lan口分配的。

当我们上百度的时候，经过路由器的 wan口，进行相应的IP、端口转化：192.168.31.11:80 -> 10.221.0.24:8080,所以，从 wan口出去的地址为：10.221.0.24:8080。

最后，经过运营商，运营商那边会做相应的端口映射（而且是动态端口映射），子网 IP（10.221.0.24:8080）转化为公网 IP（128.0.0.1:8888），通过这个公网 IP 去访问百度服务器。

同理，B 的过程也是一样。通过这样的层层端口映射，最终保证地址（IP + 端口）的唯一性。A 和 B 访问百度服务器，尽管它们的局域网 IP 是一样的，但是最终它们访问百度的地址（IP + 端口）是唯一的，所以，百度服务器回复时，原路返回时能够区分到底给谁回。

2、方法二视角

一对一的基本NAT地址转换原理：

内部网络的地址是192.168.0.0网段，而对外的公有网络IP地址是203.196.3.23。内部网络财务部主机192.168.8.88访问外部网络新浪网(IP222.76.214.60)，主机192.168.8.88发出一个数据报文，随机选择一个源端口4396，目的端口为80。在经过NAT设备后，该报文的源地址和端口可能改为203.196.3.23:32814，目的地址与端口不改变。在NAT设备中维护着一张地址和端口对应转换表，当外部网络的新浪网服务器返回数据包时，NAT设备检查转换表，将数据报文中目的IP地址及端口转化为192.168.8.88:4396。

这个交换的过程，实现了内部主机访问外部服务器，这样只要少量的公网IP地址就可以实现内网多台主机访问外部网络的过程，当然有些朋友注意到了，外网服务器由始至终都不知道是内网里哪台主机访问了它。地址转换NAT的有点在于，在为内部主机提供"隐私"保护的前提下，实现了内部网络的主机通过该功能访问外部网络资源的目的。

同理，如果NAT Router后面是若干台服务器，外部网络的访问者Client只需通过公网IP地址访问，不知道服务器内网IP和开放端口是什么，提高安全性。

多对一的NAT地址转换(NAPT)原理

当内部网络的多台主机并发地要求访问外部网络时，则一对一地址转换肯定满足不了要求。这是就要用到NAT的一种变形——NAPT网络地址端口转换，或地址复用。通过NAPT，一个合适的外部地址(203.196.3.23)就可以被多个内部用户(财务部、技术部和业务部)并发地访问外部网络资源，只要使用这个外部地址(203.196.3.23)不同的端口就行。

三、如何让外网能够访问自己写的网络程序（服务器）

首先，我们需要在运营商那边申请（租用）一个公有 IP （长城宽带一年需要 2000 元左右），假如这个公有 IP 为：128.0.0.123。

假如，我们写的服务器如下：

接着，找个 NAT 设备进行相应的端口映射，家庭路由器都有这个功能。这里以小米路由器为例：

映射关系如下：

最后，其他人写客户端程序时（电脑能上外网），只要指定目的 IP 地址为 128.0.0.123，端口为 8888，通过这个地址，就能找到192.168.31.248：8080，因为这两者已经建立好映射，如上图，这样，我们的服务器就能收到数据。

总结NAT的作用有：

1.节约IP地址，内部网络可以使用私有IP和外部网络通信；

2.增强了内部网络和外部网络通信的灵活性。

3.隐藏内部网络的细节，避免来自网络外部的端口扫描等指向攻击，可以起到一定的安全作用。