NAT Gateway - Максимальный лимит подключений

Поправьте меня, если я ошибаюсь, но я так понимаю. Ограничения указаны для каждого клиента / сервера / порта. Итак, в свете этого.

1) В TCP ограничен ли IP-адрес одного источника до 65536 MAX теоретических исходящих соединений?

Нет. Я считаю, что теоретический максимум 65536 для одного и того же IP-адреса назначения.

Рабочие станции Windows (не серверные версии) имеют ограничения, которые делают это число намного меньше. В Linux есть ограничения на ресурсы, но они, как правило, не достигаются обычным пользователем, и вы можете легко их настроить.

Вы, вероятно, достигнете других ограничений ресурсов, когда начнете увеличивать число где-то около 64 КБ.

Маршрутизаторы потребительского уровня могут иметь гораздо более низкие ограничения из-за ограниченных ресурсов.

2) Или на самом деле ограничение составляет 65536 подключений для каждого удаленного хоста?

да

3) Отличаются ли ответы на вопросы 1 и 2 для ... «ненормальной системы» [маршрутизатор Cisco, действующий как шлюз NAT]?

Нет

4) Все вышеперечисленные вопросы предполагают TCP-соединение с отслеживанием состояния. Отличается ли история с соединением без сохранения состояния, например UDP?

UDP не требует установления соединения. Так что это не имеет отношения к UDP.

5) Будет ли наша локальная сеть ограничена 65536 (или другим теоретическим пределом) одновременных подключений к внешнему миру через один общедоступный IP-адрес?

Нет.

В контексте межсетевых экранов с отслеживанием состояния, которые отслеживают соединения и предоставляют другие функции отслеживания, да, сами эти модули могут иметь ограничения. Оператор ничего не сказал о том, какой межсетевой экран / NAT-маршрутизатор используется, поэтому мы даже не можем предположить, какие ограничения он может наложить в данный момент.

Короче говоря, он сильно зависит от платформы, конфигурации и реализации.

Но позвольте мне быстро объяснить:

По-видимому, в других ответах говорится о достижении теоретического предела> 65535 (обратите внимание, что порт 0 часто зарезервированный), которые в определенной степени верны, например ...:

• В большом CGNAT системы или аналогичные полноценные маршрутизаторы, основная цель которых - это одно, включая NAT-PAT.
• В определенных Дистрибутив Linux Теоретически это возможно при использовании ПК для программного NAT / маршрутизации процессором при определенных обстоятельствах, таких как RAM> 1 ГБ, ядро ​​подготовлено и т. д.

тем не мение в реальном мире, где маршрутизация с аппаратным ускорением выполняется с ограниченными ресурсами, таблица NAT имеет хорошо известное ограничение, которое часто является параметром конфигурации для защиты.

• Cisco упоминает, что начиная с IOS 12 максимальное значение NAT зависит от DRAM, что приводит к примерно 10 КБ трансляций (источник), что меньше тех 65К в вашем вопросе.

• Возьмите свой старый маршрутизатор xDSL, если вы хотите запустить P2P дома с большим количеством подключений, большинство из них настроили глобальный максимальный лимит 1024 ~ 4096. Например, мой домашний маршрутизатор FTTH имеет ограничение NAT, установленное производителем на 8K.

в заключение, чтобы ответить Q2-rewrite, я видел продукты с неудачной реализацией RFC3489 со следующими таблицами NAT. Очевидно, что последний значительно ограничивает возможности NAT:

• iAddr: iPort - eAddr: ePort - dAddr: dPort (типичный симметричный nat)
• iAddr: port - eAddr: port - dAddr (продукт очень низкого уровня)

Радуйтесь, если вам нравится этот ответ!

5) Будет ли наша локальная сеть ограничена 65536 (или другим теоретическим пределом) одновременных подключений к внешнему миру через один общедоступный IP-адрес?

Нет, потому что один IP-адрес NAT порта может использоваться для нескольких подключений:

cat /proc/net/ip_conntrack | grep 51380
tcp      6 191 ESTABLISHED src=10.1.8.5 dst=17.133.254.23 sport=51380 dport=5223 src=17.133.254.23 dst=my.nat.pub.ip sport=5223 dport=51380 [ASSURED] mark=0 use=2
tcp      6 24 CLOSE_WAIT src=10.1.26.1 dst=80.68.255.71 sport=51380 dport=80 src=80.68.255.71 dst=my.nat.pub.ip sport=80 dport=51380 [ASSURED] mark=0 use=2

Поскольку существует множество подходов к проектированию NAT, ответ, конечно, «зависит от обстоятельств». Джефф Хьюстон написал отличный обзор различных конструкций NAT.

По моему опыту, многие маршрутизаторы для малых и домашних офисов не могут обрабатывать> 64 КБ адресов по одному и тому же адресу, но не только из-за исчерпания портов. Многие из них имеют ограниченную память, и им не хватит ОЗУ для таблицы NAT задолго до того, как достигнут предел в 64 КБ.

Первичный ключ таблицы сопоставления NAT:

sourceIP:sourcePort + DestinationIP:DestinationPort

Мы можем сопоставить разные sourceIp: sourcePort с одним и тем же DestinationIP: DestinationPort. Итак, номер порта (2^16) не предел для подключения.