任务5.2 动态NAPT及静态NAT配置

Module5广域网技术《网络互联技术》任务5.2

动态NAPT及静态

NAT配置NAT技术基本概念NAT技术分类NAPT配置流程NAT配置命令连接到互联网的设备都需要一个唯一的、合法的IP地址来标识，但随着互联网的发展，终端数量的增多，以及IPv4地址空间本身的限制，IPv4地址无法实现一对一的分配。NAT技术有效缓解了IP地址紧张的局面。通过将多个私有地址转化为一个或多个公有地址，解决内网用户数量多而公有IP地址数量少的情况。本次任务介绍NAT技术的分类、工作原理及配置方法。任务背景准备知识内网主机访问互联网时，必须要有一个公网地址身份标识。NAT（NetworkAddressTranslation）技术可以实现IP数据报文头中的IP地址的转换，当内部网络访问外部网络时，将IP数据包头中的私有地址（源IP地址）转化为公网地址。通过NAT技术部署，可以实现公网地址和私有地址的“一对多”的映射关系，以此缓解IPv4地址紧张的局面。1.NAT技术基本概念地址类型私有地址范围A～55B～55C～55私有地址是从A、B、C三类地址中各划取一段作为私有地址空间。私有地址不能被互联网识别，仅供局域网内部通信使用，并且在不同的局域网中可以复用。2.NAT技术分类静态NAT将内网中的一个私有IP固定地转换为一个公网IP（固定转换）。通常应用在允许外网主机访问内网服务器的环境中，外网主机可通过其所映射的公网地址来访问内网服务器。静态NAT工作过程示意图2.NAT技术分类动态NAT将内网中的一个私有IP转换为公网IP地址池中的一个地址（临时转换）。内网主机访问外网时，若地址池有可用地址，转换使用；若无可用地址，主机将无法访问外网，直到其它主机通信结束，映射关系解除，公网地址重新释放地址池中才可转化使用。动态NAT实现“一对一”的地址转换，并不能起到节约公网地址的作用，并且公网IP地址池中的地址个数限制了同时访问外部网络的内网用户数量，因此不适应于目前网络部署。动态NAT工作过程示意图2.NAT技术分类NAPTNAPT基于“IP地址+端口号”的转换方式，实现一个公网地址可以同时与多个私有地址形成映射关系，不同的映射关系通过端口号来区分。NAPT分为：动态NAPT：动态NAPT的映射关系是临时的，主要应用于为内网主机提供外网访问服务的环境中。静态NAPT：静态NAT映射关系是固定的，应用于外网用户访问内部服务器指定服务的环境中。端口号分类端口号分类端口范围描述公认端口0～1023这些端口明确地表明了某种服务的协议。如FTP服务端口为20、21，HTTP通信端口为80注册端口1024～49151这些端口大多数没有明确定义的服务对象,应用程序会根据自己的实际需要进行定义动态/私有端口49152～65535理论上不为服务分配这些端口，机器通常从1024起分配动态端口2.NAT技术分类NAPTNAPT基于“IP地址+端口号”的转换方式，实现一个公网地址可以同时与多个私有地址形成映射关系，不同的映射关系通过端口号来区分。NAPT分为：动态NAPT：动态NAPT的映射关系是临时的，主要应用于为内网主机提供外网访问服务的环境中。静态NAPT：静态NAT映射关系是固定的，应用于外网用户访问内部服务器指定服务的环境中。动态NAPT工作过程示意图2.NAT技术分类NAPTNAPT基于“IP地址+端口号”的转换方式，实现一个公网地址可以同时与多个私有地址形成映射关系，不同的映射关系通过端口号来区分。NAPT分为：动态NAPT：动态NAPT的映射关系是临时的，主要应用于为内网主机提供外网访问服务的环境中。静态NAPT：静态NAT映射关系是固定的，应用于外网用户访问内部服务器指定服务的环境中。静态NAPT工作过程示意图3.NAPT配置流程NAPT配置流程如下：创建公网地址池；配置ACL，定义允许进行NAT转换的内网私有地址范围；外网出接口上配置ACL匹配的内网地址与公网地址池的转换关系。（1）配置静态NAT命令：natstaticglobalglobal-addressinsidehost-address

说明：该命令用于将内网IP地址映射成为公网IP地址视图：接口视图举例：路由器R1将内网映射成。[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]natstaticglobalinside4.NAT配置命令（2）创建公网IP地址池命令：nataddress-groupgroup-index

start-address

end-address

说明：group-index为NAT地址池索引号，在定义NAT映射关系时被调用；地址池内IP不可与设备已有IP重复视图：系统视图举例：路由器R1创建地址池，索引号为1，起始地址为，终止地址为。[R1]nataddress-group14.NAT配置命令（3）配置动态NAT/动态NAPT命令：natoutboundacl-numberaddress-groupgroup-index[no-pat]说明：acl-number为通过ACL定义的允许进行NAT转化的内网私有地址范围；携带no-pat参数为动态NAT转换，不携带no-pat为NAPT模式视图：接口视图举例：在路由器R1出接口G0/0/1上配置ACL2000与索引号为1的NAT地址池的映射关系。[R1-GigabitEthernet0/0/1]natoutbound2000address-group14.NAT配置命令（4）配置静态NAPT命令：natstaticprotocol{tcp|udp}global{

global-address

|

current-interface

}global-portinsidehost-address

host-port

说明：将“私有地址+端口”映射成为“公网地址+指定端口”视图：接口视图举例：R1配置静态NAPT，外网用户可通过访问到内网的WEB服务器（）。[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]natstaticprotocoltcpglobal80inside804.NAT配置命令5.任务实施：动态NAPT及静态NAT配置（1）掌握动态NAPT及静态NAT的工作原理；（2）掌握NAT技术的配置方法。（一）任务目的

某公司网络用户数量较多，通过路由器接入运营商，申请了公网地址段/29用于内网用户访问互联网。同时公司内部部署了一台WWW服务器，能够对外提供访问服务。（二）任务描述（1）拓扑图（2）操作流程终端及服务器配置网络参数；路由器配置网络参数，网络出口配置IP地址/29，运营商侧配置IP地址/29；R1配置默认路由，下一跳指向运营商；R1配置NAT：配置公网地址池：/29-/29；配置ACL2000，定义允许转换的内网地址；定义转化过程，采用NAPT方式，实现公网地址一对多的转化；配置静态NAT，将WWW服务器映射至。（三）实施规划5.任务实施：动态NAPT及静态NAT配置（四）操作步骤路由器配置网络参数终端配置网络参数[R1]intg0/0/0[R1-GigabitEthernet0/0/0]ipadd29[R1-GigabitEthernet0/0/0]intg0/0/1[R1-GigabitEthernet0/0/1]ipadd5424[R1-GigabitEthernet0/0/1]quitR1配置接口IP地址：R1配置默认路由R1配置NAT[R2]intg0/0/0[R2-GigabitEthernet0/0/0]ipadd29[R2-GigabitEthernet0/0/0]intg0/0/1[R2-GigabitEthernet0/0/1]ipadd5424[R2-GigabitEthernet0/0/1]intg0/0/2[R2-GigabitEthernet0/0/2]ipadd5424[R2-GigabitEthernet0/0/2]quitR2配置接口IP地址：5.任务实施：动态NAPT及静态NAT配置（四）操作步骤路由器配置网络参数终端配置网络参数[R1]iproute-staticR1配置默认路由：R1配置默认路由R1配置NAT5.任务实施：动态NAPT及静态NAT配置（四）操作步骤路由器配置网络参数终端配置网络参数[R1]nataddress-group1//指定公网地址池[R1]acl2000//定义允许转换的内网地址[R1-acl-basic-2000]rulepermitsource55[R1-acl-basic-2000]intg0/0/0[R1-GigabitEthernet0/0/0]natoutbound2000address-group1

//配置转换过程，采用NAPT方式[R1-GigabitEthernet0/0/0]natstaticglobalinside0

//配置一对一静态映射R1配置NAT：R1配置默认路由R1配置NAT5.任务实施：动态NAPT及静态NAT配置（五）实验测试访问测试PC1访问互联网ISP-WWW服务器：R1查看NAT映射表项5.任务实施：动态NAPT及静态NAT配置（五）实验测试访问测试PC2访问企业网WWW服务器：R1查看NAT映射表项5.任务实施：动态NAPT及静态NAT配置（五）实验测试访问测试R1查看NAT映射表项R1查看动态映射表项：[R1]disnatsessionallNATSessionTableInformation:Protocol:TCP(6)SrcAddrPortVpn:1544DestAddrPortVpn:020480NAT-InfoNewSrcAddr:NewSrcPort:10254NewDestAddr:----NewDestPort:----Total:15.任务实施：动态NAPT及静态NAT配置（五）实验测试访问测试R1查看NAT映射表项R1查看静态映射表项：[R1]disnatstaticStaticNatInformation:Interface:GigabitEthernet0/0/0GlobalIP/Port:/----InsideIP/Port:0/----Protocol:----VPNinstance-name:----Aclnumber:----Netmask:55Description:----Total:15.任务实