《计算机网络工程实训》课件第09章

第9章Ｗindows2003NAT配置9.1实训目的9.2实训环境9.3实训内容9.4实训步骤9.5实训思考

9.1实训目的

(1)了解Windows2003NAT的作用；

(2)掌握Windows2003NAT服务器与客户机之间的连接方式；

(3)理解Windows2003NAT服务器与客户机的IP规划；

(4)掌握Windows2003NAT的配置方法；

(5)掌握Windows2003NAT端口映射配置方法。

9.2实训环境

9.2.1实训器材

(1)用1台PC机(带双网卡)承担NAT服务器角色(每组)；

(2) RJ45直通型五类或超五类UTP网线若干条，交叉型五类或超五类UTP网线若干条；

(3)交换机(或HUB)一台(每组)；

(4) PC机(带100M网卡)若干台。

9.2.2网络示意图

按图9-1所示将对应设备连接好，建立一个包含NAT服务器的实训环境。图9-1Windows2003NAT服务器实训环境9.2.3实训环境解析

NAT(网络地址转换)是使用一台路由器在内部网络中的PC之间实现互联网接入共享的一种技术，尽管这些PC没有一个合法的公共IP地址。NAT技术可以由路由器硬件和相关软件两种方式来实现。例如在本章的学习中，可以设置一台WindowsServer2003服务器作为一个基于软件的NAT路由器。

1.组建实训环境

按图9-1所示将对应设备连接好。用直通型UTP网线把交换机(或HUB)端口和WindowsServer2003服务器中的1个网卡端口(E0)连接起来，交换机的其他3个端口分别接3台PC机。并用交叉型UTP网线，将WindowsServer2003服务器的另外1个网卡端口(E1)连接1台PC机(主机IP地址为00)。

2.服务器/客户机的IP规划

NAT路由器可作为内部网和互联网之间的一个网关。因此，作为NAT路由器的那台服务器必须配置两个网卡。其中一个网卡连接到互联网，这个网卡必须指定一个由ISP提供的IP地址；另一个网卡连接到内部网络。在配置基于WindowsServer2003的NAT计算机之前，必须在此服务器上创建一个静态IP地址配置，包括IP地址、子网掩码、默认网关(NAT服务器的专用IP地址)和DNS服务器(也是NAT服务器的专用IP地址)。服务器/客户机的IP规划如下。

(1)服务器配置双网卡，具体IP规划如下。

①连接Internet网卡的IP地址的配置。

E1的IP地址：x.x.x.x(IP由ISP或校园网提供，例如：E1的IP地址为)。

子网掩码：。

默认网关：x.x.x.x(IP由ISP或校园网提供，例如：E1的IP地址为00)。

DNS地址：8；30。②连接内部网网卡的IP地址配置。

E0的IP地址：。

子网掩码：。

默认网关：无。

(2)客户机的IP地址的配置如下：

IP地址：192.168.1.x(可设为同一网段内的任一独立的IP)。

子网掩码：。

默认网关：。

3. IP地址自动分配

规划IP地址段后，应设立一个DHCP(动态主机控制协议)服务器，可以直接由WindowsServer2003服务器为网络中的工作站分配地址。使用至54的地址段作为DHCP服务器的选择范围。DHCP允许有选择地向工作站分配默认的网关和DNS服务器以及IP地址。如果没有DNS服务器，需要使用ISP的DNS服务器的地址。同时，默认网关地址与分配给NAT服务器的内部网网卡地址相匹配。如果NAT服务器充当内部网所连接到的子网的DHCP地址分配器，那么IP地址和子网掩码必须在该NAT计算机分配的IP地址范围之内。这在“路由器和远程访问”插件的“NAT/防火墙基本属性”对话框的“地址分配”选项卡上有所定义。此外，分配给资源计算机的IP地址必须排除在该NAT计算机分配的IP地址范围之外。因此，需要在“地址分配”选项卡上“排除”。9.3实训内容

9.3.1NAT技术特点

1. NAT路由协议

NAT(NetworkAddressTranslation，网络地址转换)是一种用来让使用私有地址的主机访问Internet的技术。这项技术的核心是将私有IP地址转换为可以在公网上被路由的合法IP地址。根据需要可以随意自定义的IP地址，而不需要经过申请。在网络内部，各计算机间通过内部的IP地址进行通信。当内部的计算机要与外部Internet网络进行通信时，具有NAT功能的设备(比如：路由器或NAT服务器)负责将其内部的IP地址转换为公有IP地址(即经过申请的IP地址)进行通信。

WindowsServer2003“路由和远程访问”服务包括NAT路由协议，可以通过使用WindowsServer2003来配置网络地址转换(NAT)服务器。如果将NAT路由协议安装和配置在运行“路由和远程访问”的服务器上，则使用专用Internet协议(IP)地址的内部网络客户端可以通过NAT服务器的外部接口访问Internet。

2. Intranet的专用IP地址(私有地址)

在TCP/IP协议中，IP地址采用32位二进制数表示。近年来随着因特网、Intranet应用的发展，IP地址已经不能满足网络应用的需要。

在实际运用时，Intranet内部的信息传输大都局限在Intranet内部，如果给Intranet内的每一个主机一个合法的IP地址，将会占用大量的IP地址空间，造成IP地址的浪费。

Internet的NIC(NetworkInformationCenter；网络信息中心)为了组建Intranet(也称为内网)的方便，规定了Intranet专用IP地址的3个地址范围，用于IntranetIP地址的使用：

(1) A类地址范围：～55。

(2) B类地址范围：～55。

(3) C类地址范围：～55。

由于这些地址不是合法的IP地址，分配有这些IP地址的主机不能在因特网(外网)进行信息传递，解决这一技术问题的方法是在Intranet(内网)中至少有一台主机具有合法的IP地址，将Intranet专用地址通过一个可以实现网络地址转换(NAT)的设备或软件转换为合法的IP地址，用这个合法的IP地址代理所有内网的专用网络地址。

3. NAT的优势

(1)多个内部地址可以共享一个全局地址上网，为节省公有地址提供了技术支持。

(2)在外部用户面前隐藏内部网络地址。因为采用NAT的内部主机不直接使用全局地址，所以，在Internet上不直接可见，可以在一定程度上减少被攻击的风险，增强网络的安全性。

(3)解决IP地址重复问题。

4. NAT存在的问题

(1) NAT的操作比较消耗设备资源，可能增加网络延时。

(2)不能ping或者tracert应用了NAT技术的路由器里面的网段。

(3)某些应用可能无法穿过NAT。9.3.2NAT应用环境

NAT的应用环境介绍如下：

(1)一个企业若不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet隔离开，则外部用户就不知道通过NAT设置的内部IP地址。

(2)一个企业申请的合法InternetIP地址很少，而内部网络用户很多时，可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet进行通信。

(3) NAT端口映射功能可以让内部网络中某台机器对外部提供WWW服务。端口映射功能是将一台主机的假IP地址映射成一个真IP地址，当用户访问提供映射端口主机的某个端口时，服务器将请求转到内部提供这种特定服务的主机。

(4)利用端口映射功能还可以将一台真IP地址机器的多个端口映射成内部不同机器上的不同端口。端口映射功能还可以完成一些特定代理功能，比如代理POP3、SMTP、TELNET等协议。9.4实训步骤

9.4.1Windows2003ServerNAT配置

1.配置服务器的IP地址

(1)连接Internet网卡的IP地址的配置如下：

E1的IP地址：x.x.x.x(IP由ISP或校园网提供，例如：E1的IP地址为)。

子网掩码：。

默认网关：x.x.x.x(IP由ISP或校园网提供，例如：E1的IP地址为00)。

DNS地址：8；30。

(2)连接内部网网卡的IP地址配置如下：

E0的IP地址：。

子网掩码：。

默认网关：无。

2.配置NAT服务器

在首次配置“路由和远程访问”组件前，需要打开管理工具中的服务，将WindowsFirewall/InternetConnectionSharing(ICS)服务设为禁用，必须这样设置才能进行下一步操作，如图9-2和图9-3所示。图9-2启动类型设为禁用图9-3启动状态设为不启动步骤1：执行“管理工具”菜单下的“路由和远程访问”菜单命令，打开“路由和远程访问”控制台。如果该计算机原来已配置过路由和远程访问服务，右击计算机名，选择“禁用路由和远程访问”菜单项，取消原来的配置，如图9-4所示。图9-4禁用路由和远程访问步骤2：右击计算机名，选择“配置并启用路由和远程访问”菜单项，在随后打开的路由和远程访问服务器安装向导的“欢迎使用路由和远程访问服务器安装向导”对话框中单击“下一步”按钮，打开“配置”对话框，选择“网络地址转换(NAT)”单选钮，如图9-5和图9-6所示。图9-5配置并启用路由和远程访问图9-6选择“网络地址转换(NAT)”步骤3：单击“下一步”按钮，打开“NATInternet连接”对话框，选择与因特网(外网)相连的网络接口，如图9-7所示。单击“下一步”按钮，打开“网络选择”对话框，选择与内网相连的网络接口(图9-8中本地连接4)。图9-7所示屏幕是需要格外注意的。这个屏幕提供了一些连接到外部网络(通常是互联网)的网络接口的选项，或者让用户选择一个需要的拨号接口。需要的拨号接口是一种功能，能够让Windows在需要外部连接的时候建立一个拨号网络连接。现在，假设已拥有连接到因特网的宽带网连接。此外，还假设这个连接到宽带网的网卡有一个分配给它的静态IP地址。用户必须选择那个网络接口(如图9-8中本地连接)。图9-7选择入因特网的网络接口卡图9-8选择入内网的网络接口卡步骤4：单击“下一步”按钮，打开“正在完成路由和远程访问服务器安装向导”对话框，单击“完成”按钮即可，如图9-9所示。完成NAT安装后的“路由和远程访问”控制台如图9-10所示。

步骤5：在“路由和远程访问”MMC中，展开要配置的服务器的名称，然后展开左窗格中的“IP路由选择”，右键单击“常规”，然后单击“新建路由协议”。单击选中“NAT/基本防火墙”复选框，然后单击确定。如图9-11和图9-12所示。图9-9单击“完成”NAT安装图9-10完成的“路由和远程访问”控制台图9-11单击“新建路由协议”图9-12单击“NAT/基本防火墙”步骤6：右键单击左窗格中的“NAT/基本防火墙”，然后点击“新增接口”，如图9-13所示。图9-13单击“新增接口”步骤7：单击表示内部网络接口的接口，然后单击“确定”。在“网络地址转换”属性中，单击“专用接口连接到专用网络”，然后单击“确定”，如图9-14所示。图9-14选择“专用接口连接到专用网络”注意：要求选择连接NAT服务器连到专用网络(内网)的那个网卡。

步骤8：双击NAT右侧窗格的“本地连接”(表示外部网络接口的接口)，然后点击“确定”按钮。可看出它就是用来与因特网(外部网络)相连的网络接口(网卡)。在“网络地址转换”属性中，单击“公用接口连接到Internet”。单击“在此接口上启用NAT”复选框，将其选中，点击“确定”按钮，如图9-15所示。

在点击“下一步”之前，应该注意到有一个对话框，允许为这个连接启用一个防火墙，建议选择该选项。这个防火墙将阻止不必要的通信进入网络。如果需要批准外部用户访问网络上的某些服务，可以选择设置端口转发，让数据包穿过防火墙达到指定的网络资源。图9-15选择“公用接口连接到Internet”注意：以上介绍的是利用路由和远程访问服务器安装向导进行的NAT的安装。如果原来已配置过路由和远程访问服务，而不想通过禁用再启用路由和远程访问的方式使用安装向导来安装，也可以在“路由和远程访问”控制台中选中“IP路由选择”项下的“常规”项，右击“常规”，选择“新路由选择协议”菜单，在“新路由选择协议”对话框中选择“网络地址转换(NAT)”，安装好NAT协议。

右击“网络地址转换(NAT)”，选择“新接口”菜单，在“网络地址转换(NAT)的新接口”对话框中选择好内部接口。重复该步骤，选择好外部接口。

3. NAT服务器中配置DHCP

配置DHCP过程中，如果NAT服务器同时充当内部网所连接到的子网的DHCP服务器，那么IP地址和子网掩码必须在该NAT服务器分配的IP地址范围之内。这在“路由器和远程访问”程序组的“NAT/防火墙基本属性”对话框的“地址分配”选项卡上有所定义。此外，分配给资源计算机的IP地址必须排除在该NAT服务器分配的IP地址范围之外。因此，请单击“地址分配”选项卡上的“排除”。步骤1：右击“路由和远程访问”控制台左侧的“网络地址转换(NAT)”项，选择“属性”，如图9-16所示。图9-16调用网络地址转换(NAT)属性步骤2：单击“地址指派”选项卡，然后单击“使用DHCP自动分配IP地址”复选框，将其选中。网络中无DHCP服务器，可选中“使用DHCP自动分配IP地址”选项，NAT也具有一定的DHCP功能；网络中有DHCP服务器，则清除“使用DHCP自动分配IP地址”选项，如图9-17所示。图9-17选中“使用DHCP自动分配IP地址”步骤3：在IP地址框中，键入网络ID。在掩码框中，键入子网掩码。如图9-18所示。图9-18配置DHCP管理的网络ID步骤4：继续在打开的“NAT属性”对话框中选择“名称解析”选项卡，然后单击“使用域名系统(DNS)的客户端”复选框，将其选中。若其他计算机的DNS服务器指向共享的出口计算机，而网络中无DNS服务器，则必须选中“使用域名系统(DNS)的客户”复选框，NAT也具有一定的DNS解析和转发功能。

如果使用请求拨号接口连接到Internet，请单击“当名称需要解析时连接到公用网络”复选框，将其选中。在请求拨号接口框中，选中要拨号的接口。选择“应用”，然后单击“确定”按钮，如图9-19所示。图9-19配置“名称解析”完成这些基本配置之后，内部网络客户端就可以访问Internet上的服务器了。

4.配置内部局域网中的客户机

步骤1：单击“开始”→“控制面板”→“网络连接”→“本地连接”属性→“Internet协议(TCP/IP)”。

步骤2：单击“属性”项。将IP地址配置为192.168.1.x(可设为同一网段内的任一独立的IP)，若NAT服务器配置了DHCP，则IP地址配置为自动获得，如图9-20所示。图9-20配置“TCP/IP属性”步骤3：在“默认网关”框中键入NAT服务器的内部IP地址。如果计算机从“动态主机配置协议”(DHCP)服务器接收它的IP地址，请依次单击“高级”、“IP设置选项卡”、“网关下的添加”，键入NAT服务器的内部IP地址，单击“添加”按钮，再单击“确定”按钮，完成配置。

5.测试NAT服务器

当所有配置工作全部完成后，需要测试Windows2003服务器能不能连接内网和外网，即：ping00；ping00；ping；ping；

ping

ping通过后，Windows2003就配置成NAT路由器了，如图9-21所示。图9-21NAT服务器ping通外网

9.4.2Windows2003配置NAT端口映射

端口映射指的是利用Windows2003服务器的NAT功能，将对该服务器上某个公网IP指定端口的访问转发到和该服务器所连接的内部局域网某台服务器上。为了给运行WindowsServer2003的NAT计算机配置一个地址/端口映射，配置过程分为NAT服务器的配置和内部局域网服务器的配置两部分。

1. NAT服务器及端口映射的配置

Windows2003ServerNAT服务器基本配置与9.4.1节中的配置相同。以上步骤配置完后，在树形目录“IP路由选择”下将会有个“NAT/基本防火墙”的节点，选中它后，在右边的视图内会有几个连接，选择公网IP的那个连接，进入它的属性配置。在属性配置界面上有几个TAB，分别是“NAT/基本防火墙”、“地址池”、“服务和端口”、“ICMP”。NAT端口映射主要配置第1和第3项。配置步骤介绍如下。步骤1：单击“开始”，指向“程序”，指向“管理工具”，然后单击“路由和远程访问”。在控制台树中，打开“服务器名称”，然后打开“IP路由”，再单击“NAT/基本防火墙”。接口类型选择“公用接口连接到Internet”，并确保“在此接口上启动NAT”选中，防火墙配置可选。如图9-15所示。

步骤2：在详细信息窗格中，右键单击公共接口，然后单击“属性”，如图9-22所示。图9-22单击公共接口“属性”步骤3：在“服务和端口”选项卡上，在“服务”列表中，定位与资源服务器匹配的预定义服务，如图9-23所示。

步骤4：如果存在一个匹配的服务，则通过单击服务复选框启用映射，并选择“在此接口上”或“在此地址池条目上”。如果选择“在此地址池条目上”，则键入已保留的公共地址，再在“专用地址”中键入资源服务器的专用地址，然后执行步骤6。如果不存在匹配的服务，则单击“添加”。如图9-24所示。图9-23单击“服务和端口”选项图9-24单击“服务和端口”选项中的“添加”步骤5：在“添加服