网络地址转换

1、Ruijie University 网络地址转换page2内 容 Contents 网络地址转换概述1 静态NAT2 动态NAT3 NAPT4 NAT配置案例5page31、网络地址转换概述page4NAT概念l 地址空间不足带来的问题l 注册IP地址空间将要耗尽，而internet的规模仍在持续增长l 随着internet的增长，骨干互联网路由选择表中的IP路由条目也在增加，这引发了路由选择算法的扩展问题l 网络地址转换NAT（Network Address Translation）l NAT是一种大型网络中节约注册IP地址数量，并简化IP寻址管理任务的机制。NAT已经标准化并在RFC161

2、3中描述l 它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准，允许一个整体机构以一个公用IP地址出现在Internet上l 它是一种把内部私有网络地址翻译成合法公网IP地址的技术page5 NAT的用途l 解决地址空间不足的问题l IPv4的空间已经严重不足，NAT可以大量节省公网IPl 私有IP地址网络与公网互联l 私有IP网络无法直接在公网上通信，NAT技术可以将其转化为合法的公网地址使私有网络与公网实现互联l 使用未注册的公网IP地址与公网互联l 内网使用的是未注册的公网IP，通过NAT技术也能正常与internet互联

3、l 网络改造中，避免更改地址带来的风险l 内网改造不需要重新更换与外网互联地址，只需更改映射关系l 内网改造出现地址重叠，NAT技术可以屏蔽重叠page6NAT术语术语术语定义定义内部本地IP地址分配给内部网络中的主机的IP地址，通常这种地址来自RFC 1918指定的私有地址空间。内部全局IP地址内部全局IP地址，对外代表一个或多个内部本地IP地址，通常这种地址来自全局惟一的地址空间，通常是ISP提供的。外部全局IP地址外部网络中的主机的IP地址，通常来自全局可路由的地址空间。外部本地IP地址在内部网络中看到的外部主机的IP地址简单转换条目将一个IP地址映射到另一个IP地址（通常被称为网络地址

4、转换）的转换条目。扩展转换条目将一个IP地址和端口对映射到另一个IP地址和端口（通常被称为端口地址转换）对的转换条目。page7NAT术语page8NAT分类l 根据NAT的映射方式可分为：l 静态NAT：手动建立一个内部IP地址到一个外部IP地址的映射关系l 该方式经常用于企业网的内部设备需要能够被外部网络访问到的场合l 动态NAT：将一个内部IP地址转换为一组外部IP地址（地址池）中的一个IP地址l 常用于整个公司共用多个公网IP地址访问Internet时l 超载（Overloading）NAT：动态NAT的一种特殊形式，利用不同端口号将多个内部IP地址转换为一个外部IP地址，也称为PAT

5、、NAPT或端口复用NATl 常用于整个公司共用1个公网IP地址访问Internet时page92、静态NATpage10静态NAT的工作过程lHostA发数据包给HostB，通过路由器时，源地址被转换为lHostB回复HostA，通过路由器时，目的地址被转换为page11配置静态NATl 配置静态内部源地址转换l 指定一个内部接口和一个外部接口l (config-if)# ip nat inside | outside l 配置静态转换条目l (config)#ip nat inside source static loca

6、l-ip interface interface | global-ip l 配置静态端口地址转换l 指定一个内部接口和一个外部接口l (config-if)# ip nat inside | outside l 配置静态端口转换条目l (config)# ip nat inside source static tcp | udp local-ip local-port interface interface | global-ip global-portpage12配置静态NAT示例l (config)#interface f0/0l (config-if)#ip nat insidel (

7、config)#interface serial2/0l (config-if)#ip nat outsidel (config)#ip nat inside source static page13练习11-1l 静态NAT配置 请根据下面的拓扑图进行网络设备配置，使得路由器通过地址对vlan 10及vlan 20提供Web及FTP服务。page143、动态NATpage15动态NAT的工作过程lHostA发数据包给HostB，通过路由器时，源地址被转换为地址池中的一个地址lHostB回复HostA，

8、通过路由器时，目的地址被转换为page16配置动态NATl 配置动态NATl 指定一个内部接口和一个外部接口l (config-if)# ip nat inside | outside l 定义IP访问控制列表l (config)#access-list access-list-number permit | deny l 定义一个地址池l (config)# ip nat pool pool-name start-ip end-ip netmask netmask | prefix-length prefix-length l 配置动态转换条目l (conf

9、ig)# ip nat inside source list access-list-number interface interface | pool pool-name page17配置示例page18练习11-2l 动态NAT配置练习 如下拓扑所示，RA属于公司内部网专用路由器配置了默认路由并且所拥有的公网ip段为.10.12，RB为公司内部服务器专用路由器，用于对外提供Web及Ftp服务，但其他端口禁止公网ip访问。此外，为了保证安全，只允许PC0访问公司的Web服务，PC1访问Ftp服务，并且均能使用ping指令对外测试网络连通性。请根据上述需求进行相应的网络配置。page194、N

10、APTpage20NAPT 的工作过程page21配置NAPTl 指定一个内部接口和一个外部接口l (config-if)# ip nat inside | outside l 定义IP访问控制列表l (config)#access-list access-list-number permit | deny l 定义一个地址池l (config)#ip nat pool pool-name start-ip end-ip netmask netmask | prefix-length prefix-length l 配置动态转换条目l (config)#ip nat inside source

11、 list access-list-number interface interface | pool pool-name overloadl 配置NAPT转换中，必须使用overload关键字，这样路由器才会将源端口也进行转换，已达到地址超载的目的。如果不指定overload关键字，路由器将执行动态NAT转换。page22配置示例page235、NAT配置案例page24l 实现以下需求l 1、内部主机（/24）能访问公网l 2、内部服务器私有ip：00，对外提供www 服务。配置案例24/24R2NPEPCWeb serve

12、r/24/30Nat地址池地址池pool 为为 /24Web server映射成映射成/24/30L3 SW00/24/30/30page25定义接口和ACL25/24R2NPEPCWeb server/24Gi0/0 /30Gi0/1 /30L3 SW00/24/3020

13、/30Outside外网口外网口Inside内网口内网口interface GigabitEthernet 0/0 ip nat insideinterface GigabitEthernet 0/1 ip nat outsideip access-list standard 1 10 permit 55 定义NAT设备的内外网口定义进行NAT的ACL用户列表page26 定义NAT地址池和服务器对外映射 ip nat pool natpool prefix-length 24 address 202.112

14、.192.254 match interface GigabitEthernet 0/1/24R2NPEPCWeb server/24Gi0/0 /30Gi0/1 /30L3 SW00/24/30/30Outside外网口外网口Inside内网口内网口pool-name前缀长度前缀长度 start-ip end-ip定义地址池page27定义端口映射27/24R2NPEPCWeb server10.10.10.

15、0/24Gi0/0 /30Gi0/1 /30L3 SW00/24/30/30Outside外网口外网口Inside内网口内网口协议协议global-addresslocal-addressip nat inside source static tcp 00 80 80PORTPORTpage28 定义转换方法及转换关联l ip nat inside source list 1 pool natpool overload28202

16、.100.99.0/24R2NPEPCWeb server/24Gi0/0 /30Gi0/1 /30L3 SW00/24/30/30Outside外网口外网口Inside内网口内网口ACL号号pool-name定义转换方法page29验证和诊断NAT转换l 显示活动的转换条目Router#show ip nat translations access-list-number | icmp | tcp | udp verbose l 显示转换的统计信息Router