1、第10章,網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT),本章目標,了解地址轉(zhuǎn)換（NAT）的作用和工作原理 了解各種NAT術(shù)語 理解NAT的各種應(yīng)用：轉(zhuǎn)換內(nèi)部LAN地址、復(fù)用內(nèi)部地址、負載均衡和處理地址交叉 掌握NAT的配置和排錯,本章結(jié)構(gòu),網(wǎng)絡(luò)地址轉(zhuǎn)換NAT/PAT,NAT的優(yōu)勢缺點,NAT的概念,NAT的術(shù)語,NAT概念和術(shù)語,NAT的配置,NAT的應(yīng)用,NAT的檢查與排錯,靜態(tài)NAT的配置,動態(tài)NAT的配置,PAT的配置,TCP負載均衡配置,用NAT解決地址交叉的問題,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-1,地址轉(zhuǎn)換的提出背景 合法的IP地址資源日益短缺 一個局域網(wǎng)內(nèi)部有很多臺主機，但不是每臺主機都有合法的IP地址，為了使所有

2、內(nèi)部主機都可以連接因特網(wǎng)，需要使用地址轉(zhuǎn)換 地址轉(zhuǎn)換技術(shù)可以有效地隱藏內(nèi)部局域網(wǎng)中的主機，具有一定的網(wǎng)絡(luò)安全保護作用 地址轉(zhuǎn)換可以在局域網(wǎng)內(nèi)部提供給外部FTP、WWW、Telnet服務(wù),NAT的原理 改變IP包頭，使目的地址、源地址或兩個地址在包頭中被不同地址替換,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-2,局域網(wǎng),PC2,PC1,Internet,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-3,地址轉(zhuǎn)換,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-4,NAT的3種實現(xiàn)方式 靜態(tài)轉(zhuǎn)換(一對一的轉(zhuǎn)換) 動態(tài)轉(zhuǎn)換（多對多的轉(zhuǎn)換） 端口多路復(fù)用 （地址及端口的轉(zhuǎn)換）,使用雙向NAT可以處理地址交叉的情況 使用兩個方向上的動態(tài)NAT 會用到4種類型的地址,NAT的術(shù)語

3、2-1,公司合并，可能導(dǎo)致地址交叉,NAT的術(shù)語,自己用的拖鞋代表內(nèi)部局部地址, 給別人用的拖鞋代表外部局部地址 自己用的皮鞋代表內(nèi)部全局地址, 別人穿的皮鞋代表外部全局地址;,NAT的術(shù)語2-2, 外部主機B, 外部主機C,internet,,主機A,NAT的優(yōu)缺點,NAT的優(yōu)點 節(jié)省公有合法IP地址 處理地址交叉 增強靈活性 安全性 NAT的缺點 延遲增大 配置和維護的復(fù)雜性 不支持某些應(yīng)用,NAT支持的數(shù)據(jù)流,,,,2 NAT轉(zhuǎn)換表,4,3, 外部主機B,172.21.7.

4、3 外部主機C,轉(zhuǎn)換LAN內(nèi)部地址,Internet,復(fù)用LAN的內(nèi)部地址,2 NAT轉(zhuǎn)換表,4,3, 外部主機B, 外部主機C,Internet,,,,虛擬主機,Internet,,,,4,3,2 NAT轉(zhuǎn)換表,1,5, 外部主機B, 外部主機C,27,TCP負載均衡,NAT配置,NAT配置步驟 1、接口IP地址配置 2、使用訪問控制列表定義哪些內(nèi)部主機能做NAT 3、決定采用什么公有地址，靜態(tài)或地址池

5、 4、指定地址轉(zhuǎn)換映射 5、在內(nèi)部和外部端口上啟用NAT,靜態(tài)NAT配置3-1,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),-/24,29,,將內(nèi)部網(wǎng)絡(luò)地址-, 轉(zhuǎn)換為合法的外部地址30-34,第一步： 設(shè)置外部端口 第二步 ：設(shè)置內(nèi)部端口 第三步： 在內(nèi)部本地和內(nèi)部合法地址之間建立靜態(tài)地址轉(zhuǎn)換 第四步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat insi

6、de source static 30 Router(config)#ip nat inside source static 31 ,Router(config)#interface serial 0/0 Router(config-if)#ip address 29 48,Router(config)#interface FastEthernet 0/0 Router(config-if)#ip address 255

7、.255.255.0,Router(config)#interface serial 0/0 Router(config-if)#ip nat outside Router(config)#interface fastethernet 0/0 Router(config-if)#ip nat inside,靜態(tài)NAT配置3-2,靜態(tài)NAT配置3-3,Internet,2 NAT轉(zhuǎn)換,,29,NAT轉(zhuǎn)換表,,,, 外部主機, 外部主機

8、,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),-/24,29,,將內(nèi)部網(wǎng)絡(luò)地址-54轉(zhuǎn)換為合法的外部地址30-90,動態(tài)NAT配置4-1,Internet,動態(tài)NAT配置4-2,第一步： 設(shè)置外部端口IP地址 第二步： 設(shè)置內(nèi)部端口IP地址 第三步：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)#interface serial 0/0 Router(confi

9、g-if)#ip address 29 92,Router(config)#interface FastEthernet 0/0 Router(config-if)#ip address ,Router(config)#access-list 1 permit 55,動態(tài)NAT配置4-3,第四步：定義合法IP地址池 第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射 第六步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside source

10、 list 1 pool test0,Router(config)#ip nat pool test0 30 90 network 92,Router(config)#Interface serial 0/0 Router(config-if)#Ip nat outside Router(config)#Interface fastethernet 0/0 Router(config-if)#Ip nat inside,Internet,,2 NAT轉(zhuǎn)換, 外部主機,210.3.

11、4.5 外部主機,,,,29,NAT轉(zhuǎn)換表,動態(tài)NAT配置4-4,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),-54/24,29,,將內(nèi)部網(wǎng)絡(luò)地址-54，轉(zhuǎn)換為合法的外部地址30,PAT配置9-1,第一步 ：設(shè)置外部端口IP地址 第二步： 設(shè)置內(nèi)部端口IP地址 第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)#interfac

12、e serial 0/0 Router(config-if)#ip address 29 92,Router(config)#interface FastEthernet 0/0 Router(config-if)#ip address ,Router(config)#access-list 1 permit 55,PAT配置9-2,第三步：定義合法IP地址池 第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射 第六步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat

13、inside source list 1 pool onlyone overload,Router(config)#ip nat pool onlyone 30 30 netmask 48,Router(config)#interface serial 0/0 Router(config-if)#ip nat outside Router(config)#interface fastethernet 0/0 Router(config-if)#ip nat inside,PAT配置9-3,PAT配置9-4,Internet,

14、2 NAT轉(zhuǎn)換, 外部主機, 外部主機,,29,NAT轉(zhuǎn)換表,,,54,地址轉(zhuǎn)換過程中，也直接使用接口的IP地址作為轉(zhuǎn)換后的源地址,Internet,局域網(wǎng) -254/24,PC2,PC1,S0:2,PC1 和 PC2 可以直接使用 S0接口的IP 地址作為地址轉(zhuǎn)換后的公用IP地址,PAT配置9-5,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),-54/24,2

15、9,10.1.1 .1,將內(nèi)部網(wǎng)絡(luò)地址-54，轉(zhuǎn)換為路由器的接口地址29,PAT配置9-6,第一步： 設(shè)置外部端口 第二步 ：設(shè)置內(nèi)部端口 第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)# interface serial 0/0 Router(config-if)# ip address29 52,Router(config)# interface FastEthernet 0/0 Router(config-if)# ip address

16、 ,Router(config)# access-list 1 permit 55,PAT配置9-7,第四步：定義合法IP地址池 直接使用路由器的接口地址，不用定義地址池 第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射 第六步： 在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside source list 1 interface serial0/0 overload,Router(config)#interface serial 0/0 Router(config-if)#ip nat outside Router(co

17、nfig)#interface fastethernet 0/0 Router(config-if)#ip nat inside,PAT配置9-8,PAT配置9-9,Internet,2 NAT轉(zhuǎn)換, 外部主機, 外部主機,,29,NAT轉(zhuǎn)換表,,,54,第一步： 設(shè)置外部端口 第二步：設(shè)置內(nèi)部端口 第三步：為虛擬主機定義一個標準的IP訪問控制列表,Router(config)#interface serial0/0 Router(config-if)#ip addres

18、s 24,Router(config)#interface fastethernet0/0 Router(config-if)#ip address 54 ,Router(config)#access-list 2 permit 27,負載均衡配置3-1,負載均衡配置3-2,第四步：給真實主機定義一個NAT地址集 第五步：設(shè)置訪問控制列表和NAT地址集之間的映射 第六步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside destination list

19、 2 pool real-host,Router(config)#ip nat pool real-host prefix-length 24 type rotary,Router(config)#interface serial 0/0 Router(config-if)#ip nat outside Router(config)#interface fastethernet 0/0 Router(config-if)#ip nat inside,負載均衡配置3-3,Internet,2 NAT轉(zhuǎn)換表,,,,

20、27,虛擬主機, 外部主機, 外部主機,NAT檢查與排錯3-1,常見問題 動態(tài)地址池中是否有正確的范圍的地址 動態(tài)地址池中是否有重復(fù)的地址 靜態(tài)映射的地址與動態(tài)地址池中的地址之間是否有重復(fù) 訪問列表是否指明了要轉(zhuǎn)換的正確地址，是否漏掉一些地址，是否包括了一些不該包括的地址 是否指明了正確的內(nèi)部和外部接口 不對稱路由問題,NAT檢查與排錯3-2,測試聯(lián)通性驗證NAT配置 命令 show ip nat translations show ip nat statistics,Router# show ip nat translations Pr

21、o inside global inside local outside local outside global Tcp 30 - - Tcp 31 - -,NAT檢查與排錯3-3,s表示源地址是 d表示目的地址是 -表示將地址轉(zhuǎn)換為 ,Routerdebug ip nat Nat:s=-,d= 0 Nat:s=, d=- 0 Nat:s=-, d= 1,NAT的debug調(diào)試,清除NAT表的條目,驗證和監(jiān)控PAT,測試網(wǎng)絡(luò)聯(lián)通性 命令 show ip nat translations show ip nat statistics,Routershow ip nat translations Pro inside global inside local outside local outside global Tcp 207.3