双向地址转换配置案例.doc

双向地址转换 常规地址转换技术只转换报文的源地址或目的地址，而双向地址转换（BidirectionalNAT）技术可以将报文的源地址和目的地址同时转换，该技术应用于内部网络主机地址与公网上主机地址重叠的情况。如图所示：内部网络主机PC1和公网上主机PC3的地址重叠。这种情况下，内部网络主机PC2访问主机PC3的报文不会到达目的主机，而会被错误的转发到主机PC1上。双向NAT技术通过在SecPathA上配置重叠地址池到临时地址的映射关系（在实现常规NAT的基础上），将重叠地址转换为唯一的临时地址，来保证报文的正确转发。图4-3 双向地址转换应用组网图例如，在SecPathA上配置双向地址转换：第一步：配置常规NAT（多对多地址转换）。配置NAT地址池00，并应用到广域网接口。第二步：配置一组重叠地址到临时地址的映射。，子网掩码为24位。此映射表示，重叠地址池与临时地址池一一对应，转换规则为：临时地址 = 临时地址池首地址 + （重叠地址 重叠地址池首地址）重叠地址 = 重叠地址池首地址 + （临时地址 临时地址池首地址）当内部主机PC2直接用域名访问公网上的主机PC3时，报文的处理流程如下：(1) PC2发送解析域名为的Web服务器的DNS请求，经公网DNS服务器解析后，SecPathA收到DNS服务器的响应报文。SecPathA检查DNS响应报文载荷中的解析回来的地址，经检查该地址为重叠地址（与重叠地址池匹配），将地址转换为对应的临时地址。之后再对DNS响应报文进行目的地址转换（常规NAT处理），发送给PC2。(2) PC2用对应的临时地址发起访问，当报文到达SecPathA时，先转换报文的源地址（常规NAT处理），再将报文的目的地址即临时地址，转换为对应的重叠地址。(3) 将报文送到广域网出接口，并经广域网逐跳转发至主机PC3。(4) 当PC3给PC2返回的报文到达SecPathA时，先检查报文的源地址，该地址为重叠地址（与重叠地址池匹配），则将源地址转换为对应的临时地址。之后再对返回报文的目的地址进行常规NAT转换，并发送给PC2。配置双向地址转换操作命令配置重叠地址池到临时地址池的映射nat overlapaddress number overlappool-startaddress temppool-startaddress pool-length pool-length | address-mask mask 删除重叠地址池到临时地址池的映射undo nat overlapaddress number双向地址转换配置举例 1. 组网需求 公司内部局域网使用/24和/24网段地址。当PC1的IP地址与公网上主机PC3的IP地址相同时，要求PC1、PC2可以用域名或IP地址/24访问PC3。2. 组网图 图4-7 双向地址转换配置举例组网图3. 配置步骤 # 配置NAT地址池。H3C nat address-group 1 00# 配置双向NAT映射。H3C nat overlapaddress 3 address-mask 24# 配置访问控制列表。H3C acl number 2000H3C-acl-basic-2000 rule 0 permit source 55H3C-acl-basic-2000 rule 1 permit source 55H3C-acl-basic-2000 quit# 在广域网接口上绑定NAT outbound。H3C interface ethernet0/0/0H3C-Ethernet0/0/0 ip address H3C-Ethernet0/0/0 nat outbound 2000 address-group 1H3C-Ethernet0/0/0 quit# 配置局域网口IP地址。H3C interface ethernet 1/0/0H3C-Ethernet1/0/0 ip address H3C-Ethernet1/