网络设备配置与管理课件第十五章-NAT

第十五章NAT第十五章NAT学习内容及目标掌握动态NAT的作用及配置方法2掌握PAT的作用及配置方法314掌握静态NAT的作用及配置方法了解NAT相关概念、优缺点学习内容及目标掌握动态NAT的作用及配置方法2掌握PAT的作15.1NAT概述NAT（NetworkAddressTranslation，网络地址转换）是上世纪九十年代提出的，主要用于解决IPv4地址资源短缺的方法。NAT通过使用少量的公网IP地址代表大量的私有IP地址的方式，将有助于减缓可用的IPv4地址空间的枯竭的速度。当然，IPv4在2011年2月，就已经基本分配完了，但NAT技术仍非常重要，到现在仍在大量使用。下一章讲的IPv6有NAT吗？有，只是由于IPv6由于地址资源十分丰富，其NAT的主要作用已和IPv4不一样了，在IPv6中使用NAT是为了让IPv4与IPv6能互访，而不是为了解决地址资源不足的问题。15.1NAT概述NAT（NetworkAddress私网地址是这样三个地址块：A类地址块：-55；B类地址块：-55；C类地址块：-55在A、B、C类IP地址中规划出来，不在公网上使用的地址，就是私网地址，私网地址只能在一个组织内部分配使用，不能使用这此地址直接访问Internet。公网地址是能在Internet上路由的地址；私网地址的主要缺点是不像公网地址那样能在Internet上路由，因此，需使用NAT技术，将之转换成公网IP地址。这就是为什么要掌握NAT技术的主要原因。15.1.1私网地址与公网地址私网地址是这样三个地址块：15.1.1私网地址与公网地址15.1.2NAT的优缺点NAT的优点有：1．节省公网地址2．负载平衡3：NAT提高了内网安全性4：在网络发生变化时避免重新编址15.1.2NAT的优缺点NAT的优点有：NAT的缺点有：1．NAT进行地址转换时将增加交换延迟2：导致无法进行端到端IP跟踪3：导致有些应用程序无法正常运行15.1.2NAT的优缺点NAT的缺点有：15.1.2NAT的优缺点15.1.3NAT涉及的术语1．内部本地地址（Insidelocaladdress）：内网中设备所使用的IP地址，此地址通常是一个私有地址；2．内部全局地址（insideglobaladdress）：公用地址，通常是ISP所提供的，由内网设备与外网设备通信时所使用到；通常是公网地址；3．外部全局地址（outsideglobaladdress）：外网设备所使用的真正的地址，是公网地址；4．外部本地地址（outsidelocaladdress）：外网中设备所使用的地址，这个地址是在面向内网设备时所使用的，它不一定是一个公网地址15.1.3NAT涉及的术语1．内部本地地址（Inside15.2.1动态NAT1．动态NAT的作用动态NAT用于将企业内部网络的私有IP地址转换为公网IP地址，在转换时内网IP地址和公网IP地址都是随机的，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址即可。需要注意的是，动态转换所使用的公网IP地址是经企业向ISP申请的。动态NAT一般在企业向ISP所申请的合法IP地址略少于网络内部的计算机数量时使用。15.2NAT的配置15.2.1动态NAT15.2NAT的配置2．动态NAT的配置配置动态NAT使用拓扑图如图15-1所示：在图15-1中，路由器NAT是企业的边界路由器，为了试验方便，另外再使用了一台路由器，命名WEB，用于充当外网的WEB服务器。使用的公网地址有和00、01共三个公网地址。15.2.1动态NAT2．动态NAT的配置15.2.1动态NAT路由器NAT上的配置过程：NAT(config)#intf0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatinsideNAT(config-if)#intf0/1NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatoutsideNAT(config-if)#exitNAT(config)#ipnatpoolpoolA0001 netmaskNAT(config)#access-list1permit55NAT(config)#ipnatinsidesourcelist1poolpoolA

15.2.1动态NAT路由器NAT上的配置过程：15.2.1动态NAT在外网充当WEB服务器的路由器上的配置：WEB(config)#intf0/0WEB(config-if)#ipaddWEB(config-if)#noshutWEB(config-if)#exitWEB(config)#enablepasswordabcWEB(config)#linevty04WEB(config-line)#passwordxyzWEB(config-line)#loginWEB(config-line)#exit15.2.1动态NAT在外网充当WEB服务器的路由器上的配置：15.2.1动态N配置完所有设备后，进行以下测试：

在路由器NAT上查看转换条目：NAT#showipnattranslations发现没有任务转换条目，这是因为只有内网用户访问外网时，才会产生动态转换条目。如何产生访问行为呢？通过外网主机ping内网主机PC1、PC2的IP地址，不能ping通，这是正常的，外网的主机是不可能ping通某企业内部主机IP地址的。再从内网主机PC0去ping外网的WEB服务器可以ping通；再从内网主机PC1上telnet外网的WEB服务器，也能成功。15.2.1动态NAT配置完所有设备后，进行以下测试：15.2.1动态NAT在路由器NAT上查看转换条目：NAT#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp01:17:17:17:17icmp01:18:18:18:18icmp01:19:19:19:19icmp01:20:20:20:20tcp00:1029:1029:23:23可见，内网的两台主机是通过使用不同的外网IP地址转换出去的，这是与后面讲的PAT的主要区别。这里配置的公网地址池只有两个地址，如果在内网有更多的主机需要访问外网，则同时最多只有两个地址能被转换出去。这样就存在一个问题：如果内部有大量主机需要同时访问外网，则需要申请大量的公网地址，这显然不可行15.2.1动态NAT在路由器NAT上查看转换条目：15.2.1动态NAT1．PAT的作用如前所述，PAT用于解决只申请少量公网IP地址，可使大量内网地址的主机访问外部网络。PAT是现实中使用最多的一种地址转换方式。PAT的工作原理是：多个内网地址的主机在同时访问外网时，使用同一个公网地址结合TCP或UDP端口号来唯一对应内网的某一主机。2．PAT的配置配置PAT使用拓扑图如图所示：15.2.2PAT1．PAT的作用15.2.2PATPAT在路由器上配置的关键语句：PAT(config)#access-list1permit55PAT(config)#ipnatinsidesourcelist1intf0/1overload分别在三台PC上远程登录WEB服务器00后，再查看路由器PAT的转换条目：PAT#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobaltcp:1024:1025:23:23tcp:1025:1025:23:23tcp:1026:1025:23:23可见，不同的内网主机，都是使用相同公网IP地址（Insideglobal）进行转换，但后面的端口号不同。PAT正是使用“IP地址+端口号”的方式，来区分不同内网主机，这可以理解为延长了IP地址的长度。15.2.2PATPAT在路由器上配置的关键语句：15.2.2PAT1．静态NAT的作用动态NAT和PAT的使用是为了使企业内网主机能访问外网，而静态NAT的作用就是把企业内部的主机提供给互联网上的主机访问。通过静态NAT，可将企业内部本地址与内部合法地址进行一对一转换，以便让外部用户可以访问企业为外网用户提供的服务。例如，在企业内部网络中部署有WWW服务器、FTP服务器等，需要外网用户来访问，如果直接使用公网地址，将会带来安全隐患，因此可使用静态NAT进行地址转换。15.2.3静态NAT1．静态NAT的作用15.2.3静态NAT2．静态NAT的配置配置静态NAT使用拓扑图如图15-2所示路由器NAT是企业的边界路由器，路由器ISP是与企业相连的ISP路由器，在企业内网有两台服务器：WWW服务器和FTP服务器，为使外网用户PCA、PCB能访问企业内网的服务器，在企业边界路由器上配置了静态NAT。15.2.3静态NAT2．静态NAT的配置15.2.3静态NAT路由器NAT上的配置过程：NAT(config)#intf0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatinsideNAT(config-if)#ints0/0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatoutsideNAT(config-if)#exitNAT(config)#ipnatinsidesourcestaticNAT(config)#ipnatinsidesourcestatic在路由器ISP上的配置好两接口的IP地址即可。15.2.3静态NAT路由器NAT上的配置过程：15.2.3静态NAT在路由器NAT上查看静态转换条目：NAT#showipnattranslations------------------可见，已经有两个转换条目存在了，这是由手工在路由器NAT上配置的两个转换条目。15.2.3静态NAT在路由器NAT上查看静态转换条目：15.2.3静态NAT再从外部主机PCA和PCB上去ping对外提供的WWW服务器的IP地址和FTP服务器的IP地址，再到路由器NAT上查看静态转换条目：NAT#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp:29:29:29:29icmp:30:30:30:30icmp:31:31:31:31icmp:32:32:32:32icmp:17:17:17:17icmp:18:18:18:18icmp:19:19:19:19icmp:20:20:20:20------------------15.2.3静态NAT再从外部主机PCA和PCB上去ping对外提供的WWW服务可见，从外部主机PCA（IP地址为，）上去ping企业对外提供的WWW地址，即内部全局地址时，路由器NAT查询配置的NAT地址转换表（配置的NAT地址转换表就是上面查看时的最后两行），在NAT地址转换表中，发现对应的内网地址是，路由器NAT则将IP头部进行转换并封装，然后发给主机WWW，由主机WWW对ping报文进行应答，再给路由器NAT转换后，回送给PCA；同样，从外部主机PCB（IP地址为，）上去ping企业对外提供的FTP地址，即内部全局地址时，也是经路由器NAT进行地址转换后发送给主机FTP，FTP的应答也是由路由器NAT转换后回送给PCB。另外，手工在路由器NAT上配置的两个转换条目一直都存在，因为这是通过手工配置的静态转换条目。15.2.3静态NAT可见，从外部主机PCA（IP地址为，）上去p第十五章NAT第十五章NAT学习内容及目标掌握动态NAT的作用及配置方法2掌握PAT的作用及配置方法314掌握静态NAT的作用及配置方法了解NAT相关概念、优缺点学习内容及目标掌握动态NAT的作用及配置方法2掌握PAT的作15.1NAT概述NAT（NetworkAddressTranslation，网络地址转换）是上世纪九十年代提出的，主要用于解决IPv4地址资源短缺的方法。NAT通过使用少量的公网IP地址代表大量的私有IP地址的方式，将有助于减缓可用的IPv4地址空间的枯竭的速度。当然，IPv4在2011年2月，就已经基本分配完了，但NAT技术仍非常重要，到现在仍在大量使用。下一章讲的IPv6有NAT吗？有，只是由于IPv6由于地址资源十分丰富，其NAT的主要作用已和IPv4不一样了，在IPv6中使用NAT是为了让IPv4与IPv6能互访，而不是为了解决地址资源不足的问题。15.1NAT概述NAT（NetworkAddress私网地址是这样三个地址块：A类地址块：-55；B类地址块：-55；C类地址块：-55在A、B、C类IP地址中规划出来，不在公网上使用的地址，就是私网地址，私网地址只能在一个组织内部分配使用，不能使用这此地址直接访问Internet。公网地址是能在Internet上路由的地址；私网地址的主要缺点是不像公网地址那样能在Internet上路由，因此，需使用NAT技术，将之转换成公网IP地址。这就是为什么要掌握NAT技术的主要原因。15.1.1私网地址与公网地址私网地址是这样三个地址块：15.1.1私网地址与公网地址15.1.2NAT的优缺点NAT的优点有：1．节省公网地址2．负载平衡3：NAT提高了内网安全性4：在网络发生变化时避免重新编址15.1.2NAT的优缺点NAT的优点有：NAT的缺点有：1．NAT进行地址转换时将增加交换延迟2：导致无法进行端到端IP跟踪3：导致有些应用程序无法正常运行15.1.2NAT的优缺点NAT的缺点有：15.1.2NAT的优缺点15.1.3NAT涉及的术语1．内部本地地址（Insidelocaladdress）：内网中设备所使用的IP地址，此地址通常是一个私有地址；2．内部全局地址（insideglobaladdress）：公用地址，通常是ISP所提供的，由内网设备与外网设备通信时所使用到；通常是公网地址；3．外部全局地址（outsideglobaladdress）：外网设备所使用的真正的地址，是公网地址；4．外部本地地址（outsidelocaladdress）：外网中设备所使用的地址，这个地址是在面向内网设备时所使用的，它不一定是一个公网地址15.1.3NAT涉及的术语1．内部本地地址（Inside15.2.1动态NAT1．动态NAT的作用动态NAT用于将企业内部网络的私有IP地址转换为公网IP地址，在转换时内网IP地址和公网IP地址都是随机的，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址即可。需要注意的是，动态转换所使用的公网IP地址是经企业向ISP申请的。动态NAT一般在企业向ISP所申请的合法IP地址略少于网络内部的计算机数量时使用。15.2NAT的配置15.2.1动态NAT15.2NAT的配置2．动态NAT的配置配置动态NAT使用拓扑图如图15-1所示：在图15-1中，路由器NAT是企业的边界路由器，为了试验方便，另外再使用了一台路由器，命名WEB，用于充当外网的WEB服务器。使用的公网地址有和00、01共三个公网地址。15.2.1动态NAT2．动态NAT的配置15.2.1动态NAT路由器NAT上的配置过程：NAT(config)#intf0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatinsideNAT(config-if)#intf0/1NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatoutsideNAT(config-if)#exitNAT(config)#ipnatpoolpoolA0001 netmaskNAT(config)#access-list1permit55NAT(config)#ipnatinsidesourcelist1poolpoolA

15.2.1动态NAT路由器NAT上的配置过程：15.2.1动态NAT在外网充当WEB服务器的路由器上的配置：WEB(config)#intf0/0WEB(config-if)#ipaddWEB(config-if)#noshutWEB(config-if)#exitWEB(config)#enablepasswordabcWEB(config)#linevty04WEB(config-line)#passwordxyzWEB(config-line)#loginWEB(config-line)#exit15.2.1动态NAT在外网充当WEB服务器的路由器上的配置：15.2.1动态N配置完所有设备后，进行以下测试：

在路由器NAT上查看转换条目：NAT#showipnattranslations发现没有任务转换条目，这是因为只有内网用户访问外网时，才会产生动态转换条目。如何产生访问行为呢？通过外网主机ping内网主机PC1、PC2的IP地址，不能ping通，这是正常的，外网的主机是不可能ping通某企业内部主机IP地址的。再从内网主机PC0去ping外网的WEB服务器可以ping通；再从内网主机PC1上telnet外网的WEB服务器，也能成功。15.2.1动态NAT配置完所有设备后，进行以下测试：15.2.1动态NAT在路由器NAT上查看转换条目：NAT#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp01:17:17:17:17icmp01:18:18:18:18icmp01:19:19:19:19icmp01:20:20:20:20tcp00:1029:1029:23:23可见，内网的两台主机是通过使用不同的外网IP地址转换出去的，这是与后面讲的PAT的主要区别。这里配置的公网地址池只有两个地址，如果在内网有更多的主机需要访问外网，则同时最多只有两个地址能被转换出去。这样就存在一个问题：如果内部有大量主机需要同时访问外网，则需要申请大量的公网地址，这显然不可行15.2.1动态NAT在路由器NAT上查看转换条目：15.2.1动态NAT1．PAT的作用如前所述，PAT用于解决只申请少量公网IP地址，可使大量内网地址的主机访问外部网络。PAT是现实中使用最多的一种地址转换方式。PAT的工作原理是：多个内网地址的主机在同时访问外网时，使用同一个公网地址结合TCP或UDP端口号来唯一对应内网的某一主机。2．PAT的配置配置PAT使用拓扑图如图所示：15.2.2PAT1．PAT的作用15.2.2PATPAT在路由器上配置的关键语句：PAT(config)#access-list1permit55PAT(config)#ipnatinsidesourcelist1intf0/1overload分别在三台PC上远程登录WEB服务器00后，再查看路由器PAT的转换条目：PAT#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobaltcp:1024:1025:23:23tcp:1025:1025:23:23tcp:1026:1025:23:23可见，不同的内网主机，都是使用相同公网IP地址（Insideglobal）进行转换，但后面的端口号不同。PAT正是使用“IP地址+端口号”的方式，来区分不同内网主机，这可以理解为延长了IP地址的长度。15.2.2PATPAT在路由器上配置的关键语句：15.2.2PAT1．静态NAT的作用动态NAT和PAT的使用是为了使企业内网主机能访问外网，而静态NAT的作用就是把企业内部的主机提供给互联网上的主机访问。通过静态NAT，可将企业内部本地址与内部合法地址进行一对一转换，以便让外部用户可以访问企业为外网用户提供的服务。例如，在企业内部网络中部署有WWW服务器、FTP服务器等，需要外网用户来访问，如果直接使用公网地址，将会带来安全隐患，因此可使用静态NAT进行地址转换。15.2.3静态NAT1．静态NAT的作用15.2.3静态NAT2．静态NAT的配置配置静态NAT使用拓扑图如图15-2所示路由器NAT是企业的边界路由器，路由器ISP是与企业相连的ISP路由器，在企业内网有两台服务器：WWW服务器和FTP服务器，为使外网用户PCA、PCB能访问企业内网的服务器，在企业边界路由器上配置了静态NAT。15.2.3静态NAT2．静态NAT的配置15.2.3静态NAT路由器NAT上的配置过程：NAT(config)#intf0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatinsideNAT(config-if)#ints0/0/0NAT(config-if)#ipaddNAT(config-if)#noshutNAT(config-if)#ipnatoutsideNAT(config-if)#exitNAT(config)#ipnatinsidesourcestaticNAT(config)#ipnatinsidesourcestatic在路由器ISP上的配置好两接口的IP地址即可。15.2.3静态NAT路由器NAT上的配置过程：15.2.3静态NAT在路由器NAT上查看静态转换条目：NA