《网络设备安全》课件第10章 网络地址转换NAT

培养目标通过本章的学习，希望您能够：掌握网络地址转换（NAT）的概念掌握NAT的类型及应用场合掌握NAT工作原理及配置方法1公用和私有IP编址所有公有Internet地址都必须在所属地域的相应Internet注册管理机构(RIR)注册。与公有IP地址不同，私有IP地址是保留的数值块，任何人均可以使用。何谓NAT？2何谓NAT？NAT就像大办公室中的前台接待员。客户拨打您办公室的总机号码，这是客户知道的唯一号码。NAT有很多用途，但最主要的用途是让网络能使用私有IP地址以节省IP地址。NAT将不可路由的私有内部地址转换成可路由的公有地址。NAT还能在一定程度上增加网络的私密性和安全性，因为它对外部网络隐藏了内部IP地址。R2执行NAT过程，将主机的内部私有地址转换为公有、外部、可路由的地址。2何谓NAT？内部本地地址

—通常不是RIR或服务器提供商分配的IP地址，极有可能是RFC1918私有地址。图中，IP地址192.168.10.10被分配给内部网络上的主机PC1。内部全局地址

—当内部主机流量流出NAT路由器时分配给内部主机的有效公有地址。当来自PC1的流量发往Web服务器209.165.201.1时，路由器R2必须进行地址转换。本例中，PC1的内部全局地址使用IP地址209.165.200.226。外部全局地址

—分配给Internet上主机的可达IP地址。例如，Web服务器的可达IP地址为209.165.201.1。外部本地地址

—分配给外部网络上主机的本地IP地址。大多数情况下，此地址与外部设备的外部全局地址相同。NAT如何工作？2何谓NAT？内部主机(192.168.10.10)希望与外部Web服务器(209.165.201.1)通信。它发送数据包给配置了NAT的网络边界网关R2。R2读取数据包的目的IP地址，并检查数据包是否符合规定的转换标准。NAT如何工作？2何谓NAT？R2有一个ACL，它确定内部网络中可进行转换的有效主机。因此，R2将内部本地IP地址转换成内部全局IP地址，本例中为209.165.200.226。它将此本地与全局地址映射关系存储在NAT表中。NAT如何工作？2何谓NAT？路由器将数据包发送到目的地。NAT如何工作？2何谓NAT？当Web服务器回应时，数据包回到R2的全局地址(209.165.200.226)。NAT如何工作？2何谓NAT？R2参考NAT表，发现这是原先转换的IP地址。因此，它将内部全局地址转换成内部本地地址，然后将数据包转发给IP地址为192.168.10.10的PC1。如果它没有找到映射关系，数据包将被丢弃。NAT转换有两种类型2何谓NAT？动态NAT：使用公有地址池，并以先到先得的原则分配这些地址。当具有私有IP地址的主机请求访问Internet时，动态NAT从地址池中选择一个未被其它主机占用的IP地址。这就是到目前为止所介绍的映射。静态NAT：使用本地地址与全局地址的一对一映射，这些映射保持不变。静态NAT对于必须具有一致的地址、可从Internet访问的Web服务器或主机特别有用。这些内部主机可能是企业服务器或网络设备。NAT过载2何谓NAT？NAT过载（有时称为端口地址转换或PAT）将多个私有IP地址映射到一个或少数几个公有IP地址。因为每个私有地址也会用端口号加以跟踪。大多数家用路由器就是这样工作的。NAT过载2何谓NAT？当NAT处理各数据包时，它使用端口号（本例中为1331和1555）来识别发起数据包的客户端。NAT过载将SA变成客户端的内部全局IP地址，同样会附加端口号。下一可用端口2何谓NAT？NAT过载会尝试保留源端口号。下一可用端口2何谓NAT？但是，如果此源端口已被使用，NAT过载会从适当的端口组0-511、512-1023或1024-65535开始分配第一个可用端口号。当没有端口可用时，如果配置了一个以上的外部IP地址，则NAT过载将会使用下一IP地址，再次尝试分配原先的源端口。NAT与NAT过载之间的区别2何谓NAT？NAT一般只按公有IP地址与私有IP地址之间的一对一对应关系转换IP地址。NAT过载则会同时修改发送者的私有IP地址和端口号。NAT过载选择对公有网络上主机可见的端口号。NAT将传入的数据包路由给其内部目的地时，将以公有网络上主机给出的传入源IP地址为依据。利用NAT过载，一般只需一个或极少的几个公有IP地址。3使用NAT的利弊4配置静态NAT静态NAT为内部地址与外部地址的一对一映射。静态NAT允许外部设备发起与内部设备的连接。首先需要定义要转换的地址，然后在适当的接口上配置NAT。4配置静态NAT5配置动态NAT动态NAT则是将私有IP地址映射到公有地址。这些公有IP地址源自NAT池。动态NAT不是创建到单一IP地址的静态映射，而是使用内部全局地址池。5配置动态NAT6配置NAT过载仅有一个公有IP地址时，过载配置通常把该公有地址分配给连接到ISP的外部接口。所有内部地址离开该外部接口时，均被转换为该地址。使用interface关键字来标识外部IP地址，因此没有定义NAT池。利用overload

关键字，可以将端口号添加到转换中。为单一公有IP地址配置NAT过载6配置NAT过载为单一公有IP地址配置NAT过载6配置NAT过载当ISP提供了一个以上公有IP地址时，NAT过载将使用地址池。这种配置与动态、一对一NAT配置的主要区别是前者使用了overload

关键字。overload

关键字允许进行端口地址转换。为公有IP地址池配置NAT过载6配置NAT过载为公有IP地址池配置NAT过载7检验NAT和NAT过载以上是测试的例子。.检验NAT和NAT过载7检验NAT和NAT过载showipnattranslations

命令的输出显示NAT分配的详细情况。在该命令中增加verbose

可显示关于每个转换的附加信息，包括创建和使用条目的时间长短。该命令显示所有已配置的静态转换和所有由流量创建的动态转换。检验NAT和NAT过载7.检验NAT和NAT过载showipnatstatistics

命令显示以下信息：活动转换总数、NAT配置参数、池中的地址数量以及已分配的地址数量。转换条目默认超时时间为24小时，在全局配置模式下使用ipnattranslationtimeouttimeout_seconds

命令可重新配置超时时间。检验NAT和NAT过载7.检验NAT和NAT过载要在超时之前清除动态条目，请使用clearipnattranslation

全局命令。可以具体指定删除哪一转换，也可以使用clearipnattranslation*

全局命令清除表中的全部转换，如本例所示。检验NAT和NAT过载7检验NAT和NAT过载NAT和NAT过载配置的故障排除7检验NAT和NAT过载NAT和NAT过载配置的故障排除步骤1.根据配置，清楚地确定应该实现什么样的NAT。这可能会揭示出配置问题。步骤2.使用showipnattranslations

命令检验转换表中转