共计 10941 个字符，预计需要花费 28 分钟才能阅读完成。
从计算机发送进去的网络包会通过集线器、路由器等设施被转发，最终达到目的地。转发设施会依据包头部中的管制信息，在转发设施外部一个写有转发规定的表中进行查问，以此来判断包的目的地，而后将包朝目的地的方向进行转发。
信号在网线和集线器中传输
每个包都是独立传输的
邮递员在送信的时候只看信封，不看外面的内容，同样地，转发设施在进行转发时也不看数据的内容。因而，无论包外面装的是应用程序的数据或者是 TCP 协定的管制信息，都不会对包的传输操作自身产生影响。换句话说，HTTP 申请的办法，TCP 的确认响应和序号，客户端和服务器之间的关系，这所有都与包的传输无关。因而，所有的包在传输到目的地的过程中都是独立的，相互之间没有任何关联。
记住这个概念之后，咱们来摸索一下网络包在进入互联网之前经验的传输过程。这里咱们假如客户端计算机连贯的局域网构造是像下图这样的。也就是说，网络包从客户端计算机收回之后，要通过集线器、交换机和路由器最终进入互联网。实际上，咱们家里用的路由器曾经集成了集线器和交换机的性能，像图上这样应用独立设施的状况很少见。不过，把每个性能独立进去更容易了解，因而咱们这里将所有性能独立进去，一一来进行摸索。
避免网线中的信号衰减很重要
咱们的摸索从信号流出网卡进入网线开始。网卡中的 PHY（MAU）模块负责将包转换成电信号，信号通过 RJ-45 接口进入双绞线，这部分的放大图如下图的右侧局部所示。以太网信号的实质是正负变动的电压，大家能够认为网卡的 PHY（MAU）模块就是一个从正负两个信号端输入信号的电路。
网卡的 PHY（MAU）模块间接连贯图右侧中的 RJ-45 接口，信号从这个接口中的 1 号和 2 号针脚流入网线。而后，信号会通过网线达到集线器的接口，这个过程就是单纯地传输电信号而已。
然而，信号达到集线器的时候并不是跟刚发送进来的时候截然不同。集线器收到的信号有时会呈现衰减。信号在网线的传输过程中，能量会逐步损失。网线越长，信号衰减就越重大。
如果再加上噪声的影响，失真就会更厉害。噪声依据强度和类型会产生不同的影响，无奈一概而论，但如果原本就曾经衰减的信号再进一步失真，就会呈现对 0 和 1 的误判，这就是产生通信谬误的起因。
“双绞”是为了克制噪声
局域网网线应用的是双绞线，其中“双绞”的意思就是以两根信号线为一组缠绕在一起，这种设计是为了克制噪声的影响。
那么双绞线为什么可能克制噪声呢？首先，咱们来看看噪声是如何产生的。产生噪声的起因是网线四周的电磁波，当电磁波接触到金属等导体时，在其中就会产生电流。因而，如果网线四周存在电磁波，就会在网线中产生和本来的信号不同的电流。因为信号自身也是一种带有电压变动的电流，其本质和噪声产生的电流是一样的，所以信号和噪声的电流就会混淆在一起，导致信号的波形产生失真，这就是噪声的影响。
影响网线的电磁波分为两种。一种是由电机、荧光灯、CRT 显示器等设施透露进去的电磁波，这种电磁波来自网线之外的其余设施，咱们来看看双绞线如何克制这种电磁波的影响。
信号线是用金属做成的，当电磁波接触到信号线时，会沿电磁波流传的右旋方向产生电流，这种电流会导致波形产生失真。如果咱们将信号线缠绕在一起，信号线就变成了螺旋形，其中两根信号线中产生的噪声电流方向就会相同，从而使得噪声电流互相对消，噪声就失去了克制。
另一种电磁波是从网线中相邻的信号线透露进去的。因为传输的信号自身就是一种电流，当电流流过时就会向四周收回电磁波，这些电磁波对于其余信号线来说就成了噪声。这种外部产生的噪声称为串扰（crosstalk）。
要克制这种噪声，关键在于双绞线的缠绕形式。在一根网线中，每一对信号线的扭绞距离（节距）都有肯定的差别，这使得在某些中央正信号线间隔近，另一些中央则是负信号线间隔近。因为正负信号线产生的噪声影响是相同的，所以两者就会互相对消。从网线整体来看，正负的散布保持平衡，天然就会减弱噪声的影响。
集线器将信号发往所有线路
当信号达到集线器后，会被播送到整个网络中。以太网的根本架构就是将包发到所有的设施，而后由设施依据接管方 MAC 地址来判断应该接管哪些包，而集线器就是这一架构的忠诚体现。
集线器的每个接口的前面装有和网卡中的 PHY（MAU）性能雷同的模块，但如果它们像网卡端一样采纳直连式接线，是无奈失常接管信号的。要失常接管信号，必须将“发送线路”和“接管线路”连接起来才行。集线器中的 PHY（MAU）模块与接口之间采纳穿插接线的起因正是在于此。
集线器的接口中有一个 MDI/MDI- X 切换开关，MDI 就是对 RJ-45 接口和信号收发模块进行直连接线，而 MDI- X 则是穿插接线。因为集线器的接口个别都是 MDI- X 模式，要将两台集线器相连时，就须要将其中一台改成 MDI 模式。如果集线器上没有 MDI 切换开关，而且所有的接口又都是 MDI- X 时，能够用穿插网线连贯两台集线器。
信号达到集线器的 PHY（MAU）模块后，会进入中继电路。中继电路的基本功能就是将输出的信号播送到集线器的所有端口上。接下来，信号从所有接口流出，达到连贯在集线器上的所有设施。而后，这些设施在收到信号之后会通过 MAC 头部中的接管方 MAC 地址判断是不是发给本人的，如果是发给本人的就承受，否则就疏忽。
因为集线器只是一成不变地将信号播送进来，所以即使信号受到噪声的烦扰产生了失真，也会原样发送到目的地。这时，接管信号的设施，也就是交换机、路由器、服务器等，会在将信号转换成数字信息后通过 FCS 校验发现错误，并将出错的包抛弃。
交换机的包转发操作
交换机依据地址表进行转发
上面来看一下包是如何通过交换机的。交换机的设计是将网络包原样转发到目的地，下图就是它的内部结构。
首先，信号达到网线接口，并由 PHY（MAU）模块进行接管，这一部分和集线器是雷同的。接下来，PHY（MAU）模块会将网线中的信号转换为通用格局，而后传递给 MAC 模块。MAC 模块将信号转换为数字信息，而后通过包开端的 FCS 校验谬误，如果没有问题则寄存到缓冲区中。
这部分操作和网卡基本相同，大家能够认为交换机的每个网线接口前面都是一块网卡。网线接口和前面的电路局部加在一起称为一个端口，也就是说交换机的一个端口就相当于计算机上的一块网卡。但交换机的工作形式和网卡有一点不同。网卡自身具备 MAC 地址，并通过核查收到的包的接管方 MAC 地址判断是不是发给本人的，如果不是发给本人的则抛弃；绝对地，交换机的端口不核查接管方 MAC 地址，而是间接接管所有的包并存放到缓冲区中。因而，和网卡不同，交换机的端口不具备 MAC 地址。
将包存入缓冲区后，接下来须要查问一下这个包的接管方 MAC 地址是否曾经在 MAC 地址表中有记录了。MAC 地址表次要蕴含两个信息，一个是设施的 MAC 地址，另一个是该设施连贯在交换机的哪个端口上。以图中的地址表为例，MAC 地址和端口是一一对应的，通过这张表就可能判断出收到的包应该转发到哪个端口。举个例子，如果收到的包的接管方 MAC 地址为 00-02-B3-1C-9C-F9，则与第 3 行匹配，依据端口列的信息，可知这个地址位于 8 号端口上，而后就能够通过替换电路将包发送到相应的端口了。
MAC 地址表的保护
交换机在转发包的过程中，还须要对 MAC 地址表的内容进行保护，保护操作分为两种。
第一种是 收到包时，将发送方 MAC 地址以及其输出端口的号码写入 MAC 地址表中。因为收到包的那个端口就连贯着发送这个包的设施，所以只有将这个包的发送方 MAC 地址写入地址表，当前当收到发往这个地址的包时，交换机就能够将它转发到正确的端口了。交换机每次收到包时都会执行这个操作，因而只有某个设施发送过网络包，它的 MAC 地址就会被记录到地址表中。
另一种是删除地址表中某条记录的操作，这是为了避免设施挪动时产生问题。比方，咱们在散会时会把笔记本电脑从办公桌拿到会议室，这时设施就产生了挪动。从交换机的角度来看，就是原本连贯在某个端口上的笔记本电脑隐没了。这时如果交换机收到了发往这台曾经隐没的笔记本电脑的包，那么它仍然会将包转发到原来的端口，通信就会出错。因而地址表中的记录不能永恒无效，而是要在一段时间不应用后就主动删除。
过期记录从地址表中删除的工夫个别为几分钟，因而在过期记录被删除之前，仍然可能有发给该设施的包达到交换机。这时，替换机会将包转发到老的端口，通信就会产生谬误，这种状况只管常见，但确实也有可能产生。遇到这样的状况，只有重启一下交换机，地址表就会被清空并更新正确的信息，而后网络就又能够失常工作了。
非凡操作
下面介绍了交换机的根本工作形式，上面来看一些非凡状况下的操作。比方，交换机查问地址表之后发现记录中的指标端口和这个包的源端口是同一个端口。当计算机用集线器和交换机连贯在一起时就会遇到这样的状况，此时接收端计算机就会收到两个雷同的包，会导致无奈失常通信。因而，当交换机发现一个包要发回到原端口时，就会间接抛弃这个包。
还有另外一种非凡状况，就是地址表中找不到指定的 MAC 地址。这可能是因为具备该地址的设施还没有向交换机发送过包，或者这个设施一段时间没有工作导致地址被从地址表中删除了。这种状况下，交换机无奈判断应该把包转发到哪个端口，只能将包转发到除了源端口之外的所有端口上，无论该设施连贯在哪个端口上都能收到这个包。
此外，如果接管方 MAC 地址是一个播送地址，那么替换机会将包发送到除源端口之外的所有端口。
主动协商：确定最优的传输速率
随着全双工模式的呈现，如何在全双工和半双工模式之间进行切换的问题也产生了。在全双工模式刚刚呈现的时候，还须要手动进行切换，但这样切实太麻烦，于是起初呈现了主动切换工作模式的性能。这一性能能够由相互连接的单方探测对方是否反对全双工模式，并主动切换成相应的工作模式。此外，除了能主动切换工作模式之外，还能探测对方的传输速率并进行主动切换。这种主动切换的性能称为主动协商。
在以太网中，当没有数据在传输时，网络中会填充一种被称为连贯脉冲的脉冲信号。在没有数据信号时就填充连贯脉冲，这使得网络中始终都有肯定的信号流过，从而可能检测对方是否在失常工作，或者说网线有没有失常连贯。
起初人们设计出了具备特定排列的脉冲信号，通过这种信号能够将本身的状态告知对方。主动协商性能就利用了这样的脉冲信号，即通过这种信号将本人可能反对的工作模式和传输速率互相告知对方，并从中抉择一个最优的组合。
交换机可同时执行多个转发操作
交换机只将包转发到具备特定 MAC 地址的设施连贯的端口，其余端口都是闲暇的。这些端口能够传输其余的包，因而交换机能够同时转发多个包。
绝对地，集线器会将输出的信号播送到所有的端口，如果同时输出多个信号就会产生碰撞，无奈同时传输多路信号，因而从设施整体的转发能力来看，交换机要高于集线器。
路由器的包转发操作
路由器的基本知识
网络包通过集线器和交换机之后，当初达到了路由器，并在此被转发到下一个路由器。这一步转发的工作原理和交换机相似，也是通过查表判断包转发的指标。不过在具体的操作过程上，路由器和交换机是有区别的。因为路由器是基于 IP 设计的，而交换机是基于以太网设计的。
路由器的内部结构如图所示。这张图比拟简略，只须要明确 路由器包含转发模块和端口模块两局部就能够了。其中转发模块负责判断包的转发目的地，端口模块负责包的收发操作。
通过更换网卡，计算机不仅能够反对以太网，也能够反对无线局域网，路由器也是一样。路由器的端口模块还反对除局域网之外的多种通信技术，如 ADSL、FTTH，以及各种宽带专线等，只有端口模块装置了反对这些技术的硬件即可。
路由器在转发包时，首先会通过端口将发过来的包接管进来。接下来，转发模块会依据接管到的包的 IP 头部中记录的接管方 IP 地址，在路由表中进行查问，以此判断转发指标。而后，转发模块将包转移到转发指标对应的端口，端口再依照硬件的规定将包发送进来。这就是路由器的基本原理。
端口模块是以理论的发送方或者接管方的身份来收发网络包的。以以太网端口为例，路由器的各个端口都具备 MAC 地址和 IP 地址。当转发包时，首先路由器端口会接管发给本人的以太网包，而后查问转发指标，再由相应的端口作为发送方将以太网包发送进来。这一点和交换机是不同的，交换机只是将进来的包转发进来而已，它本人并不会成为发送方或者接管方。
路由表中的信息
路由器中的表叫作路由表，其中蕴含的信息如图所示。
最左侧的指标地址列记录的是接管方的信息。路由器会将接管到的网络包的接管方 IP 地址与路由表中的指标地址进行比拟，并找到相应的记录。交换机在地址表中只匹配完全一致的记录，而 路由器则会疏忽主机号局部，只匹配网络号局部。
在匹配地址的过程中，路由器须要晓得网络号的比特数，因而路由表中还有一列子网掩码，通过子网掩码的值就能够判断出网络号的比特数。
有时地址自身的子网掩码和路由表中的子网掩码是不统一的，这是路由聚合的后果。通过路由聚合，多个子网会被合并成一个子网，子网掩码会发生变化，同时，指标地址列也会改成聚合后的地址。
咱们看一个例子。如图所示，咱们当初有 3 个子网，别离为 10.10.1.0/24、10.10.2.0/24、10.10.3.0/24，路由器 B 须要将包发往这 3 个子网。在这种状况下，路由器 B 的路由表中本来应该有对应这 3 个子网的 3 条记录，但在这个例子中，无论发往任何一个子网，都是通过路由器 A 来进行转发，因而咱们能够在路由表中将这 3 个子网合并成 10.10.0.0/16，这样也能够正确地进行转发，但咱们缩小了路由表中的记录数量，这就是路由聚合。
路由表的子网掩码列只示意在匹配网络包指标地址时须要比照的比特数量。而且，指标地址中的地址和理论子网的网络号可能并不完全相同，但即便如此，路由器仍然能够失常工作。
在子网掩码的左边还有网关和接口两列，它们示意网络包的转发指标。依据指标地址和子网掩码匹配到某条记录后，路由器就会将网络包交给接口列中指定的网络接口（即端口），并转发到网关列中指定的 IP 地址。
最初一列是跃点计数，它示意间隔指标 IP 地址的间隔是远还是近。这个数字越小，示意间隔目的地越近；数字越大，示意间隔目的地越远。
路由表记录保护的形式和交换机也有所不同。交换机中对 MAC 地址表的保护是包转发操作中的一个步骤，而路由器中对路由表的保护是与包转发操作互相独立的，也就是说，在转发包的过程中不须要对路由表的内容进行保护。
对路由表进行保护的办法有几种，大体上可分为以下两类。
- 由人手动保护路由记录
- 依据路由协定机制，通过路由器之间的信息替换由路由器自行保护路由表的记录
路由协定有很多种，例如 RIP、OSPC、BGP 等都属于路由协定。
查问路由表确定输入端口
在工作过程中，路由器首先会接管网络包，过程与网卡简直没有区别。首先，信号达到网线接口局部，其中的 PHY（MAU）模块和 MAC 模块将信号转换为数字信息，而后通过包开端的 FCS 进行谬误校验，如果没问题则查看 MAC 头部中的接管方 MAC 地址，看看是不是发给本人的包，如果是就放到接收缓冲区中，否则就抛弃这个包。实现包接管操作之后，路由器就会抛弃包结尾的 MAC 头部。
接下来，路由器会依据 MAC 头部前方的 IP 头部中的内容进行包的转发操作。
转发操作分为几个阶段，首先是查问路由表判断转发指标。对于具体的工作过程，咱们还是来看一个理论的例子，如上一节图中的状况，假如地址为 10.10.1.101 的计算机要向地址为 192.168.1.10 的服务器发送一个包。判断转发指标的第一步，就是依据包的接管方 IP 地址查问路由表中的指标地址栏，以找到相匹配的记录。图中第 3 行，子网掩码列为 255.255.255.0，示意须要匹配从左起 24 个比特。网络包的接管方 IP 地址和路由表中的指标地址左起 24 个比特的内容都是 192.168.1，因而两者是匹配的，该行记录就是候选转发指标之一。
依照这样的规定，咱们可能会匹配到多条候选记录。在这个例子中，第 3、4、5 行都能够匹配。其中，路由器会优先选择网络号比特数最长的一条记录。网络号比特数越长，阐明主机号比特数越短，也就意味着该子网内可调配的主机数量越少，即子网中可能存在的主机数量越少，这一规定的目标是尽量放大范畴，所以依据这条记录判断的转发指标就会更加精确。
有时候路由表中会存在网络号长度雷同的多条记录，例如思考到路由器或网线的故障而设置的备用路由就属于这种状况。这时，须要依据跃点计数的值来进行判断。跃点计数越小阐明该路由越近，因而应抉择跃点计数较小的记录。
如果在路由表中无奈找到匹配的记录，路由器会抛弃这个包，并通过 ICMP 音讯告知发送方。
找不到匹配路由时抉择默认路由
那么是不是所有的转发指标都须要配置在路由表中才行呢？互联网中的转发指标可能超过几十万个，如果全副要配置在路由表中不太事实。
其实，路由表中的最初一行的作用就相当于把所有指标都配置好了。这一行的子网掩码为 0.0.0.0，它的意思是网络包接管方 IP 地址和路由表指标地址的匹配中须要匹配的比特数为 0，换句话说，就是基本不须要匹配。只有将子网掩码设置为 0.0.0.0，那么无论任何地址都能匹配到这一条记录。
只有在这一条记录的网关列中填写接入互联网的路由器地址，当匹配不到其余路由时，网络包就会被转发到互联网接入路由器。因而这条记录被称为默认路由，这一行配置的网关地址被称为默认网关。在计算机的 TCP/IP 设置窗口中也有一个填写默认网关的框，意思是一样的。计算机上也有一张和路由器一样的路由表，其中默认网关的地址就是咱们在设置窗口中填写的地址。
包的有效期
从路由表中查找到转发指标之后，网络包就会被转交给输入端口，并最终发送进来，但在此之前，路由器还有一些工作要实现。
第一个工作是更新 IP 头部中的 TTL（Time to Live，生存工夫）字段。TTL 字段示意包的有效期，包每通过一个路由器的转发，这个值就会减 1，当这个值变成 0 时，就示意超过了有效期，这个包就会被抛弃。
这个机制是为了避免包在一个中央陷入死循环。如果路由表中的信息有问题，或者因为设施故障等起因切换到备用路由时导致暂时性的路由凌乱，就会呈现这样的状况。
发送方在发送包时会将 TTL 设为 64 或 128，也就是说包通过这么多路由器后就会“死于非命”。当初的互联网即使拜访一台位于地球另一侧的服务器，最多也只须要通过几十个路由器，因而只有包被正确转发，就能够在过期之前达到目的地。
通过分片性能拆分大网络包
路由器的端口并不只有以太网一种，也能够反对其余局域网或专线通信技术。不同的线路和局域网类型各自能传输的最大包长度也不同，因而输入端口的最大包长度可能会小于输出端口。即使两个端口的最大包长度雷同，也可能会因为增加了一些头部数据而导致包的理论长度发生变化，ADSL、FTTH 等宽带接入技术中应用的 PPPoE 协定就属于这种状况。
无论哪种状况，一旦转发的包长度超过了输入端口能传输的最大长度，就无奈间接发送这个包了。遇到这种状况，能够应用 IP 协定中定义的分片性能对包进行拆分，缩短每个包的长度。
分片操作的过程如图所示。首先，咱们须要晓得输入端口的 MTU，看看这个包能不能不分片间接发送。如果输入端口的 MTU 足够大，那么就能够不分片间接发送；如果输入端口的 MTU 太小，那么就须要将包依照这个 MTU 进行分片，但在此之前还须要看一下 IP 头部中的标记字段，确认是否能够分片。如果查问标记字段发现不能分片，那么就只能抛弃这个包，并通过 ICMP 音讯告诉发送方。
数据被拆分后，每一份数据后面会加上 IP 头部，其大部分内容都和本来的 IP 头部截然不同，但其中有局部字段须要更新，这些字段用于记录分片相干的信息。
路由器的发送操作和计算机雷同
到这里，发送前的筹备工作就实现了，接下来就会进入包的发送操作。咱们假如路由器位于公司等局域网的外部，即输入端口也是以太网，看看这种状况是如何操作的。
首先，为了判断 MAC 头部中的 MAC 地址应该填写什么值，咱们须要依据路由表的网关列判断对方的地址。如果网关是一个 IP 地址，则这个 IP 地址就是咱们要转发到的指标地址；如果网关为空，则 IP 头部中的接管方 IP 地址就是要转发到的指标地址。晓得对方的 IP 地址之后，接下来须要通过 ARP 依据 IP 地址查问 MAC 地址，并将查问的后果作为接管方 MAC 地址。路由器也有 ARP 缓存，因而首先会在 ARP 缓存中查问，如果找不到则发送 ARP 查问申请。
接下来是发送方 MAC 地址字段，这里填写输入端口的 MAC 地址。还有一个以太类型字段，填写 0080（十六进制）。网络包实现后，接下来会将其转换成电信号并通过端口发送进来。这一步的工作过程和计算机也是雷同的。
因为接管方 MAC 地址就是下一个路由器的地址，所以替换机会依据这一地址将包传输到下一个路由器。接下来，下一个路由器会将包转发给再下一个路由器，通过层层转发之后，网络包就达到了最终的目的地。
路由器与交换机的关系
要了解两者之间的关系，关键点在于计算机在发送网络包时，或者是路由器在转发网络包时，都须要在后面加上 MAC 头部。之前都是说在结尾加上 MAC 头部，其实精确的说法应该是将 IP 包装进以太网包的数据局部中。也就是说，给包加上 MAC 头部并发送，从实质上说是将 IP 包装进以太网包的数据局部中，委托以太网去传输这些数据。
IP 协定自身没有传输包的性能，因而包的理论传输要委托以太网来进行。路由器是基于 IP 设计的，而交换机是基于以太网设计的，因而 IP 与以太网的关系也就是路由器与交换机的关系。换句话说，路由器将包的传输工作委托给交换机来进行。不过，理论的路由器都有内置交换机性能，比方用于连贯互联网的家用路由器就属于这一种，对于这种路由器，下面内容可能就不实用了。
从包的转发指标也能够看出路由器和交换机之间的委托关系。IP 并不是委托以太网将包传输到最终目的地，而是传输到下一个路由器。当包达到下一个路由器后，下一个路由器又会从新委托以太网将包传输到再下一个路由器。随着这一过程重复执行，包就会最终达到 IP 的目的地，也就是通信的对象。
到这里咱们曾经梳理了路由器与交换机之间的关系。简略来说，IP（路由器）负责将包发送给通信对象这一整体过程，而其中将包传输到下一个路由器的过程则是由以太网（交换机）来负责的。
当然，网络并非只有以太网一种，还有无线局域网，以及接入互联网的通信线路，它们和 IP 之间的关系又是什么样的呢？其实只有将以太网替换成无线局域网、互联网线路等通信规格就能够了。
路由器的附加性能
方才咱们介绍了路由器的根本工作过程，当初的路由器除了这些基本功能之外，还有一些附加性能。上面来介绍两种最重要的性能——地址转换和包过滤。
通过地址转换无效利用 IP 地址
所谓地址，就是用来辨认每一台设施的标记，因而每台设施都应该有一个惟一不反复的地址。原本互联网中所有的设施都有本人的固定地址，而且最早也的确是这样做的。20 世纪 90 年代之后，接入互联网的设施数量快速增长。如果还用原来的办法接入，过不了多久，可调配的地址就会用光，新的设施就无奈接入了。
解决这个问题的关键在于固定地址的调配形式。举个例子，如果有 A、B 两家公司，它们的内网是齐全独立的。这种状况下，两家公司的内网之间不会有网络包流动，即便 A 公司的某台服务器和 B 公司的某台客户端具备雷同的 IP 地址也没关系，因为它们之间不会进行通信。
解决地址有余的问题，利用的就是这样的性质，即公司外部设施的地址不肯定要和其余公司不反复。这样一来，公司外部设施就不须要调配固定地址了，从而大幅节俭了 IP 地址。在内网中可用作公有地址的范畴仅限以下这些。在制订公有地址规定时，这些地址属于私有地址中还没有调配的范畴。
10.0.0.0～10.255.255.255
172.16.0.0～172.31.255.255
192.168.0.0～192.168.255.255
只管这样确实能节俭一部分地址，但仅凭这一点还无奈齐全解决问题。公司内网并不是齐全独立的，而是须要通过互联网和其余很多公司相连接。所以当内网和互联网之间须要传输包的时候，如果很多中央都呈现雷同的地址，包就无奈正确传输了。
于是，当公司内网和互联网连贯的时候，须要采纳下图这样的构造，行将公司内网分成两个局部，一部分是对互联网凋谢的服务器，另一部分是公司外部设施。其中对互联网凋谢的局部调配私有地址，能够和互联网间接进行通信。绝对地，内网局部则调配公有地址，内网中的设施不能和互联网间接收发网络包，而是通过一种特地的机制进行连贯，这个机制就叫地址转换。
地址转换的基本原理
地址转换的基本原理是在转发网络包时对 IP 头部中的 IP 地址和端口号进行改写。具体的过程咱们来看一个理论的例子，假如当初公司外部要拜访 Web 服务器。
首先，TCP 连贯操作的第一个包被转发到互联网时，会像下图这样，将发送方 IP 地址从公有地址改写成私有地址。这里应用的私有地址是地址转换设施的互联网接入端口的地址。与此同时，端口号也须要进行改写，地址转换设施会随机抉择一个闲暇的端口。而后，改写前的公有地址和端口号，以及改写后的私有地址和端口号，会作为一组绝对应的记录保留在地址转换设施外部的一张表中。
改写发送方 IP 地址和端口号之后，包就被发往互联网，最终达到服务器，而后服务器会返回一个包。接下来，地址转换设施会从地址对应表中通过私有地址和端口号找到绝对应的公有地址和端口号，并改写接管方信息，而后将包发给公司内网，这样包就可能达到原始的发送方了。
在前面的包收发过程中，地址转换设施须要依据对应表查找公有地址和私有地址的对应关系，再改写地址和端口号之后进行转发。当数据收发完结，进入断开阶段，拜访互联网的操作全副实现后，对应表中的记录就会被删除。
通过这样的机制，具备公有地址的设施就也能够拜访互联网了。从互联网一端来看，理论的通信对象是地址转换设施（这里指的是路由器）。
从互联网拜访公司内网
然而，对于从互联网拜访公司内网的包，如果在对应表中没有记录就无奈失常转发。换个角度来看，这意味着对于没有在拜访互联网的内网设施，是无奈从互联网向其发送网络包的。而且即使是正在拜访的设施，也只能向和互联网通信中应用的那个端口发送网络包，无奈向其余端口发送包。这种机制具备避免非法入侵的成果。
不过，有时候咱们心愿可能从互联网拜访公司内网，这时只须要当时手动在地址转换表中增加这样的记录就能够了。一般来说，用于外网拜访的服务器能够放在地址转换设施的里面并为它调配一个私有地址，也能够将服务器的公有地址手动增加到地址转换设施中，这样就能够从互联网拜访到这台具备公有地址的服务器了。
路由器的包过滤性能
上面来介绍一下包过滤性能。包过滤也是路由器的一个重要附加性能，机制也并不简单。包过滤就是在对包进行转发时，依据 MAC 头部、IP 头部、TCP 头部的内容，依照当时设置好的规定决定是转发这个包，还是抛弃这个包。咱们通常说的防火墙设施或软件，大多数都是利用这一机制来避免非法入侵的。
包过滤的原理非常简单，但要想设置一套失当的规定来辨别非法拜访和失常拜访，只阻止非法入侵而不影响失常拜访，是十分不容易的。
