推 whiteshirts:我覺得你應該有CCIE的實力了 @@ 12/05 00:27
→ infosec:樓上把CCIE想太簡單了一點 12/05 01:19
→ whiteshirts:或許吧 但那只是我的想法 12/05 01:36
※ 引述《SmallBeeWayn (喵喵叫的蜜蜂貓)》之銘言：
: 要我選的話，我會答以上皆是
: 真硬要選，我會選C
: 不過若要硬ㄠ，以上皆非也是可行(因為都不純然是NAT)
: ※ 引述《whiteshirts (MJIB)》之銘言：
: : 關於NAT（Network address translation），以下敘述何者錯誤？
: : A. 利用有限IP位址讓多台電腦連線至Internet
: 若敘述改為「利用單一IP為只讓多台電腦連線至Internet」
: 那就很明確的是NAT，但本題敘述是「有限」(大於等於一)
: 只要大於一，就是屬於連線負載平衡的領域，雖然說實作還是會用到NAT技術
NAT有三種 當中的一篇回文我有提到 "不只是讓一個IP連線到Internet"
NAT是提供封包的IP Header進行置換的行為(在iptables亦稱偽裝)
所以可以有多個Public IP來對Pravite IP區域進行NAT的服務
這個選項的意思並不是指內部提供外部服務;而是提供內部連線到外部的Internet當中..
所以這個部分是無庸置疑的~ NAT發展的初衷就是要解決IPv4數量不足的原因!!!
題外話:
若用NAT達成NLB的機制,不是不行,只不過會有一些問題~~~
像是內部某一些機器服務終止的時候而並沒有及時發現來修改NAT的Rules的話
那麼NAT是無法主動及時發現,自主地去修改NAT Rules的規則....
會導致NAT會轉址到該台服務終止的機器時,會發生無法對外提供服務的問題!!!
而或許內部的Web Server資料不同步的時候,也會造成連線資料忽新忽舊的問題!
NAT並不是很好的NLB的一個解決方案!!!
: : B. 讓網路外部無法看到區域網路內部的真實IP以提升安全性
: NAT確實會造成這樣的結果，但這不是NAT的目的
: 雖然說可以防禦列舉式的攻擊，但是因為不透明
: 導致內部電腦發生問題時比較難查證(因為查不到到底是哪台電腦對外發出攻擊)
: 而且對於針對性的攻擊也無效
: 總體上來說，對於「提升安全性」這點其實是存疑的
存疑的部分應該是在於內部對外的攻擊或者內部對內部的攻擊~
不過這裡的意思是說從外部對內的攻擊...
(很多NAT設備的規則都是WAN往LAN都是Deny的狀態)
題外話:
若真的要查證內部的攻擊其實不難~ 只要環境規劃的好,建置的好...
弄個IDS 就可以撈到內外的一堆資訊 以及 所謂攻擊的log
: : C. 行動電腦的IP位址管理
: 雖說NAT服務都會包裹DHCP，但並不代表NAT非得提供DHCP不可
: 光有NAT是不能進行IP位址管理的，NAT只是一個附帶IP:PORT轉換的路由器而已
: 但話又說回來，內外的IP:PORT對應表是放在NAT上的
: 所以如果要進行位址管制，確實也需要NAT的協助
這個我就不多說了,在另外一篇我有講到我的想法!
: : D. 讓多台網頁伺服器使用各自的虛擬IP，既可以讓多台伺服器同時上線，
: 這算是NAT的一種應用，也就是讓一個外部IP:PORT對應到多個內部IP:PORT
: 不過一個客戶端IP只能由一個內部IP來服務，這又進入負載平衡的領域
NAT不僅提供 IP:Port 的轉換技術(PAT) 亦提供 Public IP 與 Private IP的置換
而NAT的技術並不是很好的NLB的解決方案(先前提過)
所以在這邊就不考慮這個延伸出來的功能(畢竟NAT技術是因應IPv4的不足所逐漸發展)
至於相關的回答 我想另外一篇我所回應的都回答了 歡迎大家一起討論
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.116.248.253