第8講

NAT網(wǎng)絡地址轉(zhuǎn)換8/18/20251

本講要點內(nèi)容要求理解NAT與NAPT的基本知識掌握利用動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置掌握利用動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置重點理解NAT的基本知識掌握配置NAT的基本命令和配置流程難點掌握利用NAT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置掌握利用NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置8/18/20252NAT的基本知識NAT簡介

NAT（NetworkAddressTranslation），中文譯名：網(wǎng)絡地址轉(zhuǎn)換

目前互聯(lián)網(wǎng)的一個重要問題是IP地址空間的衰竭，NAT的使用緩解了該問題。NAT特性的使用，使得一個組織的IP網(wǎng)絡呈現(xiàn)給外部網(wǎng)絡的IP地址，可以與正在使用的IP地址空間完全不同。這樣一個組織就可以將本來非全局可路由地址通過NAT之后，變?yōu)槿挚陕酚傻刂?，實現(xiàn)了原有網(wǎng)絡與互聯(lián)網(wǎng)的連接，而不需要重新給每臺主機分配IP地址。關于NAT的詳細描述，請參見RFC3022。8/18/20253NAT的基本知識什么時候需要NAT？主機沒有全局唯一的可路由IP地址，卻需要與互聯(lián)網(wǎng)連接。NAT使得用非注冊IP地址構建的私有網(wǎng)絡可以與互聯(lián)網(wǎng)連通，這也是NAT最重要的用處之一。NAT在連接內(nèi)部網(wǎng)絡和外部網(wǎng)絡的邊界路由器上進行配置，當內(nèi)部網(wǎng)絡主機訪問外部網(wǎng)絡時，將內(nèi)部網(wǎng)絡地址轉(zhuǎn)換為全局唯一的可路由IP地址。你必須變更內(nèi)部網(wǎng)絡的IP地址。為了避免花費大量工作在IP地址的重新分配上，你可以選擇使用NAT，這樣內(nèi)部網(wǎng)絡地址分配可以保持不變。需要做TCP流量的負載均衡，又不想購買昂貴的專業(yè)設備。你可以將單個全局IP地址對應到多個內(nèi)部IP地址，這樣NAT就可以通過輪詢方式實現(xiàn)TCP流量的負載均衡。作為網(wǎng)絡互通問題的解決方案，在實際應用中，NAT只能允許內(nèi)部網(wǎng)絡部分的主機地址同時可以轉(zhuǎn)換到全局可路由地址，這種地址轉(zhuǎn)換是不固定的，只要有空余的全局可路由地址，內(nèi)部主機地址就可以得到轉(zhuǎn)換。當然做網(wǎng)絡地址端口轉(zhuǎn)換(NAPT)，可以很大緩解全局地址不足問題，使得更多的內(nèi)部主機地址得到轉(zhuǎn)換，但NAPT一般只適合客戶端主機地址的轉(zhuǎn)換。8/18/20254NAT的基本知識應用NAT帶來的限制影響網(wǎng)絡速度，NAT的應用可能會使NAT設備可能成為網(wǎng)絡的瓶頸，隨著軟、硬件技術的發(fā)展，該問題已經(jīng)逐漸得到改善。跟某些應用不兼容，如果一些應用在有效載荷中協(xié)商下次會話的IP地址和端口號，NAT將無法對內(nèi)嵌IP地址進行地址轉(zhuǎn)換，造成這些應用不能正常運行。地址轉(zhuǎn)換不能處理IP報頭加密的報文。無法實現(xiàn)對IP端到端的路徑跟蹤，經(jīng)過NAT地址轉(zhuǎn)換之后，對數(shù)據(jù)包的路徑跟蹤將變得十分困難。8/18/20255NAT的基本知識NAT的一些術語

inside表示內(nèi)部網(wǎng)絡，這些網(wǎng)絡的地址需要被轉(zhuǎn)換。在內(nèi)部網(wǎng)絡，每臺主機都分配一個內(nèi)部IP地址，但與外部網(wǎng)絡通訊時，又表現(xiàn)為另外一個地址。每臺主機的前一個地址又稱為內(nèi)部本地地址，后一個地址又稱為外部全局地址。

outside是指內(nèi)部網(wǎng)絡需要連接的網(wǎng)絡，一般指互聯(lián)網(wǎng)，也可以是另外一個機構的網(wǎng)絡。外部的地址也可以被轉(zhuǎn)換，外部主機也同時具有內(nèi)部地址和外部地址。綜上所述，NAT做了以下定義：內(nèi)部本地地址（InsideLocalAddress）,是指分配給內(nèi)部網(wǎng)絡主機的IP地址，該地址可能是非法的未向相關機構注冊的IP地址，也可能是合法的私有網(wǎng)絡地址。內(nèi)部全局地址（InsideGlobalAddress），合法的全局可路由地址，在外部網(wǎng)絡代表著一個或多個內(nèi)部本地地址。外部本地地址（OutsideLocalAddress）,外部網(wǎng)絡的主機在內(nèi)部網(wǎng)絡中表現(xiàn)的IP地址，該地址是內(nèi)部可路由地址，一般不是注冊的全局唯一地址。外部全局地址（OutsideGlobalAddress）,外部網(wǎng)絡分配給外部主機的IP地址，該地址為全局可路由地址。8/18/20256NAT的基本知識NAT與NAPT

NAPT是指網(wǎng)絡端口地址轉(zhuǎn)換，傳統(tǒng)的NAT一般是指一對一的地址映射，不能同時滿足所有的內(nèi)部網(wǎng)絡主機與外部網(wǎng)絡通訊的需要。使用NAPT，可以將多個內(nèi)部本地地址映射到一個內(nèi)部全局地址，路由器用“內(nèi)部全局地址+TCP/UDP端口號”來對應“一個內(nèi)部主機地址+TCP/UDP端口號”。當進行NAPT轉(zhuǎn)換時，路由器需要維護足夠的信息（比如IP地址、TCP/UDP端口號）才能將全局地址轉(zhuǎn)換回內(nèi)部本地地址。8/18/20257動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置基本網(wǎng)絡拓撲：8/18/20258動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置步驟1.局域網(wǎng)路由器配置Red－Giant(config)#hostnamelan-routerLan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipaddress172.16.1.1255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exitLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddress200.1.8.7255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exit8/18/20259動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置互聯(lián)網(wǎng)路由器配置Internet-router(config)#interfacefastethernet1/0Internet-router(config-if)#ipaddress63.19.6.1255.255.255.0Internet-router(config-if)#noshutdownInternet-router(config-if)#exitInternet-router(config)#interfaceserial1/2Internet-router(config-if)#ipaddress200.1.8.8255.255.255.0Internet-router(config-if)#clockrate64000Internet-router(config-if)#noshutdownInternet-router(config-if)#end8/18/202510動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置在lan-router上配置缺省路由Lan-router(config)#iproute0.0.0.00.0.0.0serial1/2驗證測試:Internet-router#ping200.1.8.7!在外網(wǎng)路由器上ping內(nèi)網(wǎng)路由器8/18/202511動態(tài)NAPT實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置配置動態(tài)的NAPT映射Lan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipnatinsideLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipnatoutsideLan-router(config-if)#exitLan-router(config)#ipnatpoolto-internet200.1.8.7200.1.8.7netmask255.255.255.0!定義內(nèi)部全局地址池Lan-router(config)#access-list10permit172.16.1.00.0.0.255！定義允許轉(zhuǎn)換的地址Lan-router(config)#ipnatinsidesourcelist10poolto_internetoverload!為內(nèi)部本地調(diào)用轉(zhuǎn)換地址池8/18/202512動態(tài)NATP實現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置驗證測試：1、在服務器63.19.6.2上配置web服務2、在PC機測試訪問63.19.6.2的網(wǎng)頁3、在路由器lan-router上查看NAPT映射關系Lan-router#showipnattranslations注意事項不要把inside和outside應用的接口弄錯要加上能使數(shù)據(jù)包向外轉(zhuǎn)發(fā)的路由，比如默認路由。盡量不要用廣域網(wǎng)接口地址作為映射的全局地址。8/18/202513動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置網(wǎng)絡拓撲8/18/202514動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置步驟1.基本配置Red-Giant(config)#hostnamelan-routerLan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipaddress172.16.8.1255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exitLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddress200.1.8.7255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exit8/18/202515動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置外網(wǎng)路由器配置Internet-router(config)#interfacefastethernet1/0Internet-router(config-if)#ipaddress63.19.6.1255.255.255.0Internet-router(config-if)#noshutdownInternet-router(config-if)#exitInternet-router(config)#interfaceserial1/2Internet-router(config-if)#ipaddress200.1.8.8255.255.255.0Internet-router(config-if)#clockrate64000Internet-router(config-if)#noshutdownInternet-router(config-if)#end8/18/202516動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置在lan-router上配置缺省路由Lan-router(config)#iproute0.0.0.00.0.0.0serial1/2驗證測試:Internet-router#ping200.1.8.7!在外網(wǎng)路由器上ping內(nèi)網(wǎng)路由器8/18/202517動態(tài)NAT實現(xiàn)外網(wǎng)絡訪問內(nèi)部網(wǎng)絡的配置步驟2.配置反向NAT映射Lan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipnatinsideLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipnatoutsideLan-router(config-if)#exitLan-router(config)#ipnatpoolweb_server172.16.8.5172.16.8.5netmask255.255.255.0!定義內(nèi)網(wǎng)服務器地址池Lan-router(co