H3C路由器NAT典型配置案例

H3C路由器NAT典型配置案列(史上最详神马CCIE,H3CIE,HCIE等网络工程师日常实施运维必备,您明白的。1、11NAT典型配置举例1、11、1内网用户通过NAT地址访问外网(静态地址转换)内部网络用户10、110、10、8／24使用外网地址202、38、1、100访问Internet、图1-5静态地址转换典型配置组网图#依照组网图配置各接口的IP地址,具体配置过程略。#配置内网IP地址10、110、10、8到外网地址202、38、1、100之间的一对一静态<Router>system-view[Router]natstaticoutbound10、110、10、8202、38、1、100#使配置的静态地址转换在接口GigabitEthernet1/2［Router]interfacegigabitethernet1/2[Router—GigabitEthernet1／2]natstaticenable[Router—GigabitEthernet1/2]quit#以上配置完成后,内网主机能够访问外网服务器。通过查看如下显示信息,能够验证以上配置成功、［Router]displaynatstaticStaticNATmappings:Thereare1outboundstaticNATmappings、LocalIP:10、110、10、8GlobalIP:202、38、1、100InterfacesenabledwithstaticNAT:Thereare1interfacesenabledwithstaticNAT、Interface:GigabitEthernet1/2#通过以下显示命令,能够看到Host访问某外网服务器时生成NAT会话信息。［Router]displaynatsessionverboseInitiator:SourceIP/port:10、110、10、8/42496DestinationIP/port:202、38、1、111/2048VPNinstance/VLANID/VLLID:-/-/ℴProtocol:ICMP(1)Responder:SourceIP／port:202、38、1、111/42496DestinationIP/port:202、38、1、100／0VPNinstance/VLANProtocol:ICMP(1)State:ICMP__REPLYApplication:INVALIDStarttime:2012-08—1609:30:49TTL:27sInterface(in):GigabitEthernet1/1Interface(out):GigabitEthernet1/2Initiator->Responder:5packets420bytesResponder-〉Initiator:5packets420bytesTotalsessionsfound:11、11、2内网用户通过NAT地址访问外网(地址不重叠)·某公司内网使用的IP地址为192、168、0、0/16、·该公司拥有202、38、1、2与202、38、1、3两个外网IP地址、需要实现,内部网络中192、168、1、0/24网段的用户能够访问Internet,其它网段的用户不能访问Internet。使用的外网地址为202、38、1、2与202、38、1、3、图1-6内网用户通过NAT访问外网(地址不重叠)#配置地址组0,包罗两个外网地址202、38、1、2与202、38、1、3、＜Router>system-view［Router］nataddress—group0[Router-nat-address—group—0]address202、38、1、2202、38、1、3［Router-nat-address—group-0]quit#配置ACL2000,仅允许对内部网络中192、168、1、0/24网段的用户报文进行地址转换。[Router］aclnumber2000［Router—acl—basic-2000]rulepermitsource192、168、1、00、0、0、［Router—acl—basic-2000]quit#在接口GigabitEthernet1/2上配置出方向动态地址转换,允许使用地址组0中的地址对匹配ACL2000的报文进行源地址转换,并在转换过程中使用端口信息。［Router]interfacegigabitethernet1/2[Router—GigabitEthernet1/2]natoutbound2000address-group0[Router—GigabitEthernet1/2］quit以上配置完成后,HostA能够访问,HostB与HostC无法访问、通过查看如下显示信息,能够验证以上配置成功。[Router]displaynatallNATaddressgroupinformation:Thereare1NATaddressgroups、GroupNumberStartAddressEndAddress0202、38、1、2202、38、1、3NAToutboundinformation:Thereare1NAToutboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:0Port-preserved:NNO－PAT:NReversible:Nlogging:Logenable:DisabledFlow-end:DisabledFlow—active:DisabledNATmappingMappingmode:AddressandPort—DependentACL:———NATALG:DNS:EnabledFTP:EnabledH323:EnabledICMP—ERROR:Enabled#通过以下显示命令,能够看到HostA访问时生成NAT会话信息。[Router］displaynatsessionverboseInitiator:SourceIP/port:192、168、1、10/52992DestinationIP/port:200、1、1、10/2048VPNinstance/VLANID/VLLID:-/－/-Protocol:ICMP(1)Responder:SourceIP/port:200、1、1、10/4DestinationIP/port:202、38、1、3/0VLLID:-／-/-Protocol:ICMP(1)CMP_REPLYApplication:INVALIDStarttime:2012-08—1514:53:29TTL:12sInterface(in):GigabitEthernet1/1Interface(out):GigabitEthernet1/2Initiator->Responder:1packets84bytesResponder->Initiator:1packets84bytesTotalsessionsfound:11、11、3内网用户通过NAT地址访问外网(地址重叠)·某公司内网网段地址为192、168、1、0/24,该网段与要访问的外网Web服务器所在网·该公司拥有202、38、1、2与202、38、1、3两个外网IP地址。需要实现,内网用户能够通过域名访问外网的Web服务器。图1-7内网用户通过NAT访问外网(地址重叠)这是一个典型的双向NAT应用,具体配置思路如下。·内网主机通过域名访问外网Web服务器时,首先需要向外网的DNS服务器发起DNS查询请求。由于外网DNS服务器回复给内网主机的DNS应答报文载荷中的携带的Web服务器地址与内网主机地址重叠,因此NAT设备需要将载荷中的Web服务器地址转换为动态分配的一个NAT地址、动态地址分配能够通过入方向动态地址转换实现,载荷中的地址转换需要通过DNSALG功能实现。·内网主机得到外网Web服务器的IP地址之后(该地址为临时分配的NAT地址),通过该地址访问外网Web服务器。由于内网主机的地址与外网Web服务器的真实地址重叠,因此也需要为其动态分配一个的NAT地址,能够通过出方向动态地址转换实现、·外网Web服务器对应的NAT地址在NAT设备上没有路由,因此需要手工添加静态路由,使得目的地址为外网服务器NAT地址的报文出接口为GigabitEthernet1/2。#依照组网图配置各接口的IP地址,具体配置过程略。#开启DNS的NATALG功能、<Router〉system-view［Router]natalgdns#配置ACL2000,仅允许对192、168、1、0/24网段的用户报文进行地址转换。[Router］aclnumber2000［Router—acl—basic—2000]rulepermitsource192、168、1、00、0、0、255[Router－acl-basic—2000］quit#创建地址组1。[Router]nataddress-group1#添加地址组成员202、38、1、2。［Router-nat-address-group-1]address202、38、1、2202、38、1、2[Router-nat－address—group-1］quit#创建地址组2。[Router]nataddress－group2［Router-nat—address-group-2］address202、38、1、3202、38、1、3[Router-nat-address-group-2］quit#在接口GigabitEthernet1/2上配置入方向动态地址转换,允许使用地址组1中的地址对DNS应答报文载荷中的外网地址进行转换,并在转换过程中不使用端口信息,以及允许［Router]interfacegigabitethernet1/2［Router-GigabitEthernet1／2］natinbound2000address—group1no—pa#在接口GigabitEthernet1/2上配置出方向动态地址转换,允许使用地址组2中的地址对内网访问外网的报文进行源地址转换,并在转换过程中使用端口信息。[Router－GigabitEthernet1/2]natoutbound2000address-grou[Router-GigabitEthernet1/2］quit#配置静态路由,目的地址为外网服务器NAT地址202、38、1、2,出接口为GigabitEthernet1/2,下一跳地址为20、2、2、2(20、2、2、2为本例中的直连下一跳地址,实际使用中请以具体组网情况为准)。[Router]iproute—static202、38、1、232gigabitethernet1/220、2、2、2以上配置完成后,HostA能够通过域名访问Webserver。通过查看如下显示信息,能够验［Router]displaynatallNATaddressgroupinformation:Thereare2NATaddressgroups、GroupNumberStartAddressEndAddress1202、38、1、2202、38、1、22202、38、1、3202、38、1、3NATinboundinformation:Thereare1NATinboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:1Addroute:NNO－PAT:YReversible:YNAToutboundinformation:Thereare1NAToutboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:2Port－preserved:NNO-PAT:NReversible:NNATlogging:Logenable:DisabledFlow—begin:DisabledFlow－end:DisabledFlow-active:DisabledNATmappingbehavior:Mappingmode:AddressandPort－DependentACL:——-DNS:EnabledFTP:EnabledH323:EnabledICMP-ERROR:Enabled#通过以下显示命令,能够看到HostA访问时生成NAT会话信息。[Router］displaynatsessionverboseInitiator:SourceIP/port:192、168、1、10/1694DestinationIP/port:202、38、1、2/8080VPNinstance/VLANID/VLLID:—/-/—Protocol:TCP(6)Responder:SourceIP/port:192、168、1、10/8080DestinationIP／port:202、38、1、3/1025VPNinstance/VLANID／VLLID:-/－/-Protocol:TCP(6)State:TCP_ESTABLISHEDApplication:Starttime:2012-08-1514:53:29TTL:3597sInterface(in):GigabitEthernet1/1Interface(out):GigabitEthernet1/2Initiator-＞Responder:7packets308bytesResponder－〉Initiator:5packets312bytesTotalsessionsfound:11、11、4外网用户通过外网地址访某公司内部对外提供Web、服务,而且提供两台Web服务器。公司内部网址为10、110、0、0/16。其中,内部FTP服务器地址为10、110、10、3/16,内部Web服务器1的IP地址为10、110、10、1/16,内部Web服务器2的IP地址为10、110、10、2/16,内部SMTP服务器IP地址为10、110、10、4/16。公司拥有202、38、1、1至202、38、1、3三个公网IP地址。需要实现如下功能:·外部的主机能够访问内部的服务器、·选用202、38、1、1作为公司对外提供服务的IP地址,Web服务器2对外采纳8080端图1－8外网用户通过外网地址访问内网服务器#依照组网图配置各接口的IP地址,具体配置过程略。#进入接口GigabitEthernet1／2。<Router〉system-view［Router]interfacegigabitethernet1／2#配置内部FTP服务器,允许外网主机使用地址202、38、1、1、端口号21访问内网F［Router-GigabitEthernet1/2]natserverprotocoltcpglobal202、38、1、121inside10、110、10、3ftp#配置内部Web服务器1,允许外网主机使用地址202、38、1、1、端口号80访问内网Web服务器1、[Router－GigabitEthernet1/2］natserverprotocoltcpglobal202、38、1、180inside10、110、10、1#配置内部Web服务器2,允许外网主机使用地址202、38、1、1、端口号8080访问[Router－GigabitEthernet1/2］natserverprotocoltcpglobal202、38、1、18080inside10、110、10、2#配置内部SMTP服务器,允许外网主机使用地址202、38、1、1以及SMTP协议定义的端口访问内网SMTP服务器、[Router-GigabitEthernet1/2］natserverprotocoltcpglobal202、38、1、1smtpinside10、110、10、4smtp[Router－GigabitEthernet1/2］quit以上配置完成后,外网Host能够通过NAT地址访问各内网服务器。通过查看如下显示信［Router］displaynatallNATinternalserverinformation:Thereare4internalservers、Interface:GigabitEthernet1/2Protocol:6(TCP)GlobalIP/port:202、38、1、1/21LocalIP／port:10、110、10、3/21Interface:GigabitEthernet1/2Protocol:6(TCP)GlobalIP/port:202、38、1、1／25LocalIP/port:10、110、10、4/25Interface:GigabitEthernet1/2Protocol:6(TCP)GlobalIP/port:202、38、1、1/80LocalIP/port:10、110、10、1/80Interface:GigabitEthernet1/2Protocol:6(TCP)GlobalIP/port:202、38、1、1/8080LocalIP／port:10、110、10、2/80NATlogging:Logenable:DisabledFlow—begin:DisabledFlow-end:DisabledFlow—active:DisabledNATmappingbehavior:Mappingmode:AddressandPort-DependentACL:－--NATALG:DNS:EnabledFTP:EnabledH323:EnabledICMP－ERROR:Enabled#通过以下显示命令,能够看到Host访问时生成NAT会话信息。［Router]displaynatsessionverboseInitiator:SourceIP/port:202、38、1、10/1694DestinationIP/port:202、38、1、1/21VPNinstance/VLANID/VLLID:—/—/—Protocol:TCP(6)Responder:SourceIP/port:10、110、10、3/21DestinationIP/port:202、38、1、10／1694VPNinstance／VLANID/VLLID:－／-/-Protocol:TCP(6)State:TCP_ESTABLISHEDStarttime:2012－08-1514:53:29TTL:3597sInterface(in):GigabitEthernet1/2Interface(out):GigabitEthernet1/1Initiator-＞Responder:7packets308bytesResponder—〉Initiator:5packets312bytesTotalsessionsfound:11、11、5外网用户通过域名访问内网服务器(地址不重叠)·某公司内部对外提供Web服务,Web服务器地址为10、110、10、2/24。·该公司在内网有一台DNS服务器,IP地址为10、110、10、3／24,用于解析Web服·该公司拥有两个外网IP地址:202、38、1、2与202、38、1、3。需要实现,外网主机能够通过域名访问内网的Web服务器。图1-9外网用户通过域名访问内网服务器(地址不重叠)·外网主机通过域名访问Web服务器,首先需要通过访问内网DNS服务器获取Web服务器的IP地址,因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址与DNS服务端口映射为一个外网地址与端口。·DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址,因此需要将DNS报文载荷中的内网IP地址转换为一个外网IP地址、外网地址分配能够通过出方向动态地址转换功能实现,转换载荷信息能够通过DNSALG功能实现。#依照组网图配置各接口的IP地址,具体配置过程略。#开启DNS协议的ALG功能。〈Router>system—view［Router]natalgdns#配置ACL2000,允许对内部网络中10、110、10、2的报文进行地址转换。[Router］aclnumber2000[Router-acl-basic-2000］rulepermitsource10、110、10、20[Router—acl—basic－2000］quit#创建地址组1。［Router]nataddress-group1#添加地址组成员202、38、1、3。［Router—nat-address-group—1]address202、38、1、3202、38、1、3[Router-nat-address-group-1］quit#在接口GigabitEthernet1/2上配置NAT内部服务器,允许外网主机使用地址202、38、[Router］interfacegigabitethernet1/2[Router—GigabitEthernet1/2]natserverprotocoludpglobal202、310、10、3domain#在接口GigabitEthernet1/2上配置出方向动态地址转换,允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换,并在转换过程中不使用端口信息,以及允许反向[Router－GigabitEthernet1/2]natoutbound2000address-group1no－patreversible[Router—GigabitEthernet1/2］quit以上配置完成后,外网Host能够通过域名访问内网Webserver[Router]displaynatallNATaddressgroupinformation:Thereare1NATaddressgroups、GroupNumberStartAddressEndAddressNAToutboundinformation:Thereare1NAToutboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:1Port—preserved:NNO—PAT:YReversible:YNATinternalserverinformation:Thereare1internalservers、Interface:GigabitEthernet1/2Protocol:17(UDP)GlobalIP/port:202、38、1、2／53LocalIP/port:10、110、10、3/53NATlogging:Logenable:DisabledFlow－begin:DisabledFlow-end:DisabledFlow—active:DisabledNATmappingbehavior:Mappingmode:AddressandPort－DependentACL:－--NATALG:DNS:EnabledFTP:EnabledH323:EnabledICMP—ERROR:Enabled[Router］displaynatsessionverboseInitiator:SourceIP／port:202、1、1、2／1694DestinationIP/port:202、38、1、3/8080VPNinstance/VLANID／VLLID:-/-/-Protocol:TCP(6)Responder:SourceIP／port:10、110、10、2/8080DestinationIP/port:202、1、1、2／1694VPNinstance/VLANID/VLLID:-/-/-Protocol:TCP(6)State:TCP__ESTABLISHEDApplication:Starttime:2012—08-1514:53:29TTL:3597sInterface(in):GigabitEthernet1/2Interface(out):GigabitEthernet1/1Initiator—＞Responder:7packets308bytesResponder-〉Initiator:5packets312bytesTotalsessionsfound:11、11、6外网用户通过域名访问内网服务器(地址重叠)·某公司内网使用的IP地址为192、168、1、0/24。·该公司内部对外提供Web服务,Web服务器地址为192、168、1、2/24。·该公司在内网有一台DNS服务器,IP地址为192、168、1、3/24,用于解析Web服务·该公司拥有三个外网IP地址:202、38、1、2、202、38、1、3与202、38、1、4、需要实现,外网主机能够通过域名访问与其地址重叠的内网Web服务器。图1-10外网用户通过域名访问内网服务器(地址重叠)这是一个典型的双向NAT应用,具体配置思路如下。·外网主机通过域名访问Web服务器,首先需要访问内部的DNS服务器获取Web服务器的IP地址,因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址与DNS服务端·DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址,该地址与外网主机地址重叠,因此在出方向上需要为内网Web服务器动态分配一个NAT地址,换载荷信息能够通过DNSALG功能实现。·外网主机得到内网Web服务器的IP地址之后(该地址为NAT地址),使用该地址访问内网Web服务器,因为外网主机的地址与内网Web服务器的真实地址重叠,因此在入方向上也需要为外网主机动态分配一个NAT地址,能够通过入方向动态地址转换实现。·NAT设备上没有目的地址为外网主机对应NAT地址的路由,因此需要手工添加静态路由,使得目的地址为外网主机NAT地址的报文的出接口为GigabitEthernet1/2。#依照组网图配置各接口的IP地址,具体配置过程略、〈Router＞system-view［Router]natalgdns#配置ACL2000,允许对内部网络中192、168、1、0／24网段的报文进行地址转换。［Router]aclnumber2000［Router—acl—basic—2000］rulepermitsource192、168、1、00、0、0、255[Router-acl-basic－2000]quit#创建地址组1。［Router]nataddress－group1#添加地址组成员202、38、1、2。[Router—nat—address—group-1]address202、38、1、2202、38、1、2[Router－nat-address—group-1]quit#创建地址组2、[Router]nataddress—group2#添加地址组成员202、38、1、3。[Router－nat－address—group—2]address202、38、1、3202、38、1、3［Router-nat-address—group—2]quit#在接口GigabitEthernet1/2上配置NAT内部服务器,允许外网主机使用地址202、38、［Router]interfacegigabitethernet1/2［Router－GigabitEthernet1/2]natserverprotocoludpglobal202、38、1、4inside200、1、1、3domain#在接口GigabitEthernet1/2上配置出方向动态地址转换,允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换,并在转换过程中不使用端口信息,以及允许反向[Router—GigabitEthernet1／2］natoutbound2000address-group1no-patreversible#在接口GigabitEthernet1/2上配置入方向动态地址转换,允许使用地址组2中的地址对外网访问内网的报文进行源地址转换,并在转换过程中使用端口信息。[Router-GigabitEthernet1/2］natinbound2000address-group2［Router－GigabitEthernet1/2］quit#配置到达202、38、1、3地址的静态路由,出接口为GigabitEthernet1/2,下一跳地址为20、2、2、2(20、2、2、2为本例中的直连下一跳地址,实际使用中请以具体组网情况为准)。[Router］iproute—static202、38、1、332gigabitethernet1/220、2、2、2以上配置完成后,外网Host能够通过域名访问内网相同IP地址的Webserver、通过查看如下显示信息,能够验证以上配置成功。[Router］displaynatallNATaddressgroupinformation:Thereare2NATaddressgroups、GroupNumberStartAddressEndAddress1202、38、1、2202、38、1、22202、38、1、3202、38、1、3NATinboundinformation:Thereare1NATinboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:2Addroute:NNO—PAT:NReversible:NNAToutboundinformation:Thereare1NAToutboundrules、Interface:GigabitEthernet1/2ACL:2000Addressgroup:1Port-preserved:NNO－PAT:YReversible:YNATinternalserverinformation:Thereare1internalservers、Interface:GigabitEthernet1/2Protocol:17(UDP)GlobalIP/port:202、38、1、4/53LocalIP/port:200、1、1、3／53NATlogging:Logenable:DisabledFlow-begin:DisabledFlow—end:DisabledFlow-active:DisabledNATmappingbehavior:Mappingmode:AddressandPort-DependentACL:－--NATALG:FTP:EnabledH323:EnabledICMP-ERROR:Enabled#通过以下显示命令,能够看到Host访问Webserver时生成NAT会话信息。ssionverboseInitiator:SourceIP/port:192、168、1、2/1694DestinationIP/port:202、38、1、2/8080VPNinstance/VLANID/VLLID:－／-/ℴProtocol:TCP(6)Responder:SourceIP/port:192、168、1、2/8080DestinationIP/port:VPNinstance/VLANID/VLLID:—/—/—Protocol:TCP(6)State:TCP_ESTABLISHEDApplication:Starttime:2012—08-1514:53:29TTL:3597sInterface(in):GigabitEthernet1/2Interface(out):GigabitEthernet1/1Initiator-〉Responder:7packets308bytesResponder->Initiator:5packets312bytesTotalsessionsfound:1·某公司内部网络中有一台FTP服务器,地址为192、168、1、4/24。·该公司拥有两个外网IP地址:202、38、1、1与202、38、1、2。需要实现如下功能:·外网主机能够通过202、38、1、2访问内网中的FTP服务器。·内网主机也能够通过202、38、1、2访问内网中的FTP服务器。图1-11内网用户通过NAT地址访问内网服务器该需求为典型的C－S模式的NAThairpin应用,具体配置思路如下。·为使外网主机能够通过外网地址访问内网FTP服务器,需要在外网侧接口配置NAT内部·为使内网主机通过外网地址访问内网FTP服务器,需要在内网侧接口使能NAThairpin功能、其中,目的IP地址转换通过匹配外网侧接口上的内部服务器配置来完成,源地址转换通过匹配内部服务器所在接口上的出方向动态地址转换或出方向静态地址转换来完成,本例中采纳出方向动态地址转换配置。#依照组网图配置各接口的IP地址,具体配置过程略。#配置ACL2000,允许对内部网络中192、168、1、0／24网段的报文进行地址转换、〈Router＞system—view[Router］aclnumber2000［Router—acl-basic-2000]rulepermitsource192、168、1、00、0、0、255[Router-acl-basic－2000］quit#在接口GigabitEthernet1/2上配置NAT1、2访问内网FTP服务器,同时使得内网主机访问内网FTP服务器的报文能够进行目的地址［Router］interfacegigabitethernet