网络地址转换(NAT)

网络地址转换（NAT）,主要内容了解什么是网络地址转换及其作用掌握NAT的分类熟练掌握各类NAT的配置方法,一、NAT概述,NAT是一个IETF标准，允许一个机构以一个地址出现在Inetrnet上。NAT技术使得一个私有网络可以通过Internet注册IP连接到外部世界，位于inside网络和outside网络中的NAT路由器在发送数据报之前，负责把内部IP地址翻译成外部合法的IP。NAT将每个局域网节点的IP转换成一个合法的IP地址，反之亦然。它也可以应用到防火墙技术中，把个别IP地址隐藏起来不被外界发现，对内部网络设备起到保护的作用，同时，它还可以帮助网络超越地址的限制，合理地安排网络中的公有Internet地址和私有IP地址的使用。NAT的主要作用是：节约全局地址的使用；增强网络的安全性。在Internet上的路由器（ISP的路由器）由拒绝所有来自Internet的内部专有地址通过的配置，所以使用内部专用地址的数据包不能直接在Internet上传送。,NAT的类型有：1.静态NAT(staticaddresstranslation)在静态NAT中，内部网络中的每个主机都被永久映射成外部网络中的某个合法地址。静态地址转换将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。如果内部网络有E-mail、FTP服务器等可以为外部用户提供的服务，这些服务器的IP必须采用静态地址转换，以便外部用户可以使用这些服务。2.动态NAT(dynamicaddresstranslation)动态NAT首先要定义合法地址池，然后采用动态分配的方法映射到内部网络。动态NAT是动态一对一的映射。3.PAT（portaddresstranslation)PAT则是把内部地址映射到外部网络的IP地址的不同端口上，从而可以实现多对一的映射。PAT对于节省IP地址是最为有效的。一个全局地址可以最多与65535个内部地址建立映射。,二、与NAT有关的术语,Internet,图1,（1）本地局部地址：通常是内部网络主机使用的保留地址,如图中的和。（2）本地全局地址：内部网络主机访问外部网络（Internet）或者被外部网络访问时使用的合法地址。通常通过路由器映射分配，如图中的。（3）外部局部地址：外部网络主机的IP地址，不一定是合法地址，通常是使用的保留地址,如图中的和。（4）外部全局地址：外部网络主机使用的合法的地址，通常由路由器映射分配，如图中的和。,（5）内部转换换接口：用户定义的连接内部网络的路由器接口。在各种类型的NAT配置中都需要定义。（6）外部转换换接口：用户定义的连接外部网络的路由器接口。在各种类型的NAT配置中都需要定义。（7）简单转换入口：一个IP地址到另一个IP地址的映射。（8）扩展转换入口：一个IP地址和传输层接口到另一个IP地址和传输层接口的映射。注意：简单转换和扩展转换入口都是逻辑的而非物理的入口,三、各种NAT的配置方式,1.静态NAT的配置方式（1）指定转换的局部地址与全局地址，还可在传输层接口间也进行转换：Router(config)#ipnatinsidesourcestatictcp|udp内部局部地址传输层接口内部全局地址传输层接口/这种格式用于内部网络使用地址转换供外部网络访问，如发布web服务等。而Router(config)#ipnatoutsidesourcestatictcp|udp外部全局地址传输层接口外部局部地址传输层接口/这种格式用于外部网络的地址和内部网络的地址有重叠的时候,（2）指定连接内部网络接口：Router(config)#inte0Router(config-if)#ipaddip-addressnetmaskRouter(config-if)#ipnatinside（3）指定连接外部网络接口：Router(config)#ints0Router(config-if)#ipaddip-addressnetmask/与要转换的内部全局地址可以相同，也可以不同，可以是在同一网段，也可以不是Router(config-if)#ipnatoutside,2.动态NAT配置方式（1）定义地址池Router(config)#ipnatpool地址池名起始全局IP地址结束全局IP地址netmask子网掩码（2）配置访问控制列表Router(config)#access-list表号permit源IP地址通配符掩码/指定哪些局部地址被允许进行转换。（3）配置动态NAT映射Router(config)#ipnatinsidesourcelist表号pool地址池名称/在局部地址与全局地址之间建立动态地址转换（4）指定连接内部网络接口：Router(config)#inte0Router(config-if)#ipnatinside（5）指定连接外部网络接口：Router(config)#ints0Router(config-if)#ipnatoutside,3.PAT配置方式（1）定义地址池Router(config)#ipnatpool地址池名起始全局IP地址结束全局IP地址netmask子网掩码/定义全局地址池（申请到的合法IP地址），地址池名称可任取（2）配置访问控制列表Router(config)#access-list表号permit源IP地址通配符掩码/指定哪些局部地址被允许进行转换。（3）配置动态NAT映射Router(config)#ipnatinsidesourcelist表号pool地址池名称overload/注意此处比动态NAT配置多了一个“overload”，这种转换发生在扩展转换入口。（4）指定连接内部网络接口：Router(config)#inte0Router(config-if)#ipnatinside（5）指定连接外部网络接口：Router(config)#ints0Router(config-if)#ipnatoutside,四、NAT配置实例,实验拓扑图,实例图1,例1.静态NAT配置。拓扑图如实例图1所示，掌握NAT的特征，以及静态NAT基本配置和调试。（1）对拓扑图中的各个设备进行基本配置（详细参考前面所学的内容）（2）配置路由器R1提供的NAT服务R1(config)#ipnatinsidesourcestatic/配置静态NAT映射R1(config)#ipnatinsidesourcestaticR1(config)#intfa0/0R1(config-if)#ipnatinside/配置NAT内部接口R1(config)#ints0R1(config-if)#ipnatoutside/配置NAT外部接口R1(config)#routerripR1(config-router)#ver2R1(config-router)#networkR1(config-router)#network,（3）配置路由器R2R2(config)#routerripR2(config-router)#ver2R2(config-router)#networkR2(config-router)#network（4）调试a)使用debugipnat命令可以查看地址翻译过程。（BOSON模拟器中没有集成该命令）在PC1和PC2上ping（路由器R2的回环接口），此时应该是通的。b)使用showipnattranslation命令查看NAT表。在静态映射时，NAT表一直存在。,例2.动态NAT配置。通过配置实现网络连通，Intranet采用内部专用网络地址，子网掩码为。申请到的Internet合法地址，子网掩码为。通过配置掌握动态NAT的特征和动态NAT配置和调试方法。（1）对拓扑图中的各个设备进行基本配置（详细参考前面的内容）（2）配置路由器R1提供的NAT服务R1(config)#ipnatpoolssss00netmask/配置动态NAT转换的地址池R1(config)#ipnatinsidesourcelist1poolssss/配置动态NAT映射R1(config)#access-list1pemit55/允许动态NAT转换的内部地址范围R1(config)#intfa0/0R1(config-if)#ipnatinside/配置NAT内部接口R1(config)#ints0R1(config-if)#ipnatoutside/配置NAT外部接口R1(config)#routerripR1(config-router)#ver2R1(config-router)#networkR1(config-router)#network,（3）配置路由器R2R2(config)#routerripR2(config-router)#ver2R2(config-router)#networkR2(config-router)#network（4）调试a)使用debugipnat命令可以查看地址翻译过程。（BOSON模拟器中没有集成该命令）在PC1和PC2上ping（路由器R2的回环接口），此时应该是通的。b)使用showipnattranslation命令查看NAT表。C)用showipnatstatics命令查看NAT转换统计信息。,例3.动态NAT配置。通过配置实现网络连通，Intranet采用内部专用网络地址，子网掩码为。申请到的Internet合法地址，子网掩码为。通过配置掌握动态PAT的特征、掌握overload的使用和PAT配置和调试方法。（1）对拓扑图中的各个设备进行基本配置（详细参考前面的内容）（2）配置路由器R1提供的NAT服务R1(config)#ipnatpoolssss00netmask/配置动态NAT转换的地址池R1(config)#ipnatinsidesourcelist1poolssssoverload/配置overloadR1(config)#access-list1pemit55/允许动态NAT转换的内部地址范围R1(config)#intfa0/0R1(config-if)#ipnatinside/配置NAT内部接口R1(config)#ints0R1(config-if)#ipnatoutside/配置NAT外部接口R1(config)#routerripR1(config-router)#ver2R1(config-router)#networkR1(config-router)#network,（3）配置路由器R2R2(config)#rout