1. 网络基础回顾：OSI七层模型与TCP/IP四层模型详解，企业网络拓扑结构解析
各位同学，咱们今天先不急着敲命令。做企业网关和NAT策略，说白了就是跟网络数据包打交道。你要是连数据包长什么样、从哪来到哪去都搞不清楚，那配置策略的时候肯定抓瞎。我见过太多新手，上来就配NAT，结果内网上不了网，排查半天发现是路由没写对——这就是基础不牢。
所以，第一章咱们把地基夯实。我会结合自己这些年踩过的坑，把OSI模型、TCP/IP模型，还有企业里常见的网络拓扑，给你掰开了揉碎了讲清楚。
1.1 OSI七层模型：网络世界的“通用语言”
OSI七层模型，全称是开放系统互连参考模型。它不是一个具体的协议，而是一个标准框架。为什么要有它？因为早期各大厂商各玩各的，IBM的机器和DEC的机器没法通信。后来国际标准化组织（ISO）站出来说：咱们统一个标准吧。于是就有了这个七层模型。
我个人习惯把OSI模型比作一个公司的组织架构：
- 物理层（第1层）：就是网线、光纤、接口这些看得见摸得着的东西。它负责传输原始的比特流（0和1）。
- 数据链路层（第2层）：把比特流组装成帧，负责同一网段内的通信。核心设备是交换机，核心地址是MAC地址。
- 网络层（第3层）：负责不同网段之间的通信，也就是路由。核心设备是路由器，核心地址是IP地址。我们做NAT，主要就在这一层折腾。
- 传输层（第4层）：负责端到端的通信，提供可靠或不可靠的数据传输。TCP和UDP就在这一层。端口号也是这一层的概念。
- 会话层（第5层）：管理会话，建立、维护和终止连接。比如你登录一个网站，从输入密码到退出登录，就是一个会话。
- 表示层（第6层）：处理数据的格式、加密、压缩。比如JPEG图片的解码、SSL/TLS加密，都在这一层。
- 应用层（第7层）：直接为用户提供服务的协议。HTTP、FTP、SMTP、DNS，都是应用层协议。
核心要点：数据在发送端是从上往下封装（加头部），在接收端是从下往上解封装（去头部）。每一层只关心自己那一层的“快递单”，不关心别的层。
我的经验：我在项目里排查网络不通的问题，90%的情况都能用“数据包走到哪一层了”这个思路来解决。比如ping不通，先看物理层（网线灯亮不亮），再看数据链路层（ARP能学到MAC吗），最后看网络层（路由表对不对）。一层一层剥洋葱，问题很快就能定位。
1.2 TCP/IP四层模型：互联网的“实战派”
OSI模型虽然标准，但太复杂了，实际互联网用的是TCP/IP四层模型。它把OSI的上三层（会话层、表示层、应用层）合并成了应用层，把数据链路层和物理层合并成了网络接口层。
说白了，TCP/IP模型更务实，它只关注那些真正在互联网上跑的东西。
| OSI七层模型 | TCP/IP四层模型 | 核心协议/设备 |
|---|---|---|
| 应用层、表示层、会话层 | 应用层 | HTTP、FTP、DNS、SMTP |
| 传输层 | 传输层 | TCP、UDP |
| 网络层 | 网络层 | IP、ICMP、ARP、路由器 |
| 数据链路层、物理层 | 网络接口层 | 以太网、交换机、网卡 |
这里我要特别强调一下传输层。你想想看，我们做NAT策略，经常要写“允许TCP 80端口”或者“允许UDP 53端口”。为什么？因为NAT不仅要转换IP地址，很多时候还要转换端口号（这就是PAT，端口地址转换）。
避坑指南：我曾经在配置NAT时，只写了IP地址的转换，忘了考虑端口。结果内网用户访问外网时，多个用户同时访问同一个网站，NAT设备不知道把返回的数据包发给谁——因为源端口号冲突了。后来我养成了习惯：做NAT时，一定要确认是否启用了PAT（端口复用）。
1.3 企业网络拓扑结构解析
了解了模型，咱们再看看企业里网络到底长什么样。我这些年接触过的企业网络，从几十人的小公司到几千人的大厂，拓扑结构虽然千差万别，但核心思路是一样的：分层设计。
一个典型的企业网络，通常分为三个层次：
- 接入层：直接连接终端设备（电脑、打印机、IP电话）。核心设备是接入交换机。这一层主要关注端口密度和VLAN划分。
- 汇聚层：汇聚接入层的流量，进行路由策略、ACL（访问控制列表）控制。核心设备是三层交换机或路由器。我们做NAT策略，很多时候就是在汇聚层设备上配置的。
- 核心层：高速转发数据，不做过多的策略处理，只求快。核心设备是核心交换机或高性能路由器。
除了这三层，还有几个关键区域：
- 出口区域：连接互联网的地方。这里通常部署防火墙、出口路由器、NAT设备。这是咱们这门课的重点。
- DMZ区域（非军事区）：放置对外提供服务的服务器，比如Web服务器、邮件服务器。DMZ区域的安全策略非常严格，既要允许外网访问，又要防止外网直接攻击内网。
- 管理区域：网络管理员办公和运维的区域。这个区域通常有最高的访问权限。
核心要点：企业网络设计的核心思想是“纵深防御”。不是靠一个防火墙挡住所有攻击，而是每一层都做该做的事：接入层做端口安全，汇聚层做ACL，核心层做高速转发，出口做NAT和防火墙策略。这样即使某一层被攻破，其他层还能挡住。
下面这张图，是我根据一个中型企业的真实网络拓扑简化而来的。你可以看到数据从内网PC到互联网，经过了哪些设备、哪些层次。
嗯，这张图你看懂了吗？数据从内网终端出发，经过接入层、汇聚层，到达核心层。核心层根据路由表，把数据转发到出口区域。出口区域的NAT设备把内网私有IP地址转换成公网IP地址，然后发往互联网。返回的数据包则走相反的路径，NAT设备再把公网IP转换回内网私有IP。
我的建议：刚开始学网络拓扑，不要死记硬背。你可以在纸上画一画自己公司或家里的网络结构。从光猫开始，到路由器，到交换机，再到你的电脑。每画一个设备，就想一想它工作在OSI模型的哪一层。画上三五遍，拓扑结构就刻在你脑子里了。
好了，第一章的内容就到这里。OSI模型和TCP/IP模型是网络世界的“世界观”，企业网络拓扑是“地图”。有了这两样东西，我们后面讲NAT策略配置，你才能知道“我在哪一层配置”、“数据包会经过哪些设备”。
公众号:蓝海资料掘金营，微信deep3321