地址转换的问题

第十二章地址转换的问题

12.1嵌入的地址信息:

转换在有效地址载荷中嵌入地址消息：

1.DNS回复和区域传输

2.路由选择更新

3.IGMP组播消息

4.DHCP和BOOTP协议

5.有些HTML d代码

https://www.360docs.net/doc/f918521644.html,BIOS

7.大多数多煤体

8.SQL服务器连接

嵌入地址信息问题：

支持的协议和应用:

cisco ios 在执行地址转换时能查找在数据包载荷中的地址信息，cisco 能为一个连接检查潜入的地址消息，将其和它的地址转换表中的地址转换表中的信息比较，并做出适当的该表。默认地，当cisco ios 被配置实施地址转换时，它对任何数据报头信息执行地址转换，包括ip

包头中的源和目的地址以及tcp和udp报文头中的端口号

-----------------------应用层网关（ALG)地址转换支持----------------------------

ICMP 支持NAT和PA T转换，使用PAT的时，因为ICMP不支持端口号，则cisco ios使用序列号

将icmp流量和特定的内部设备相关

FTP 在端口为21的tcp连接上检查PORT和PASV命令

NetBIOS：支持数据报，名称和会话连接检查，

RealAudio：为嵌入的地址和端口信息检查附加的连接建立请求

CuSeeMe ：为嵌入的地址和端口信息检查附加的俩捏建立请求

StreamWork ：为嵌入的地址和端口信息检查附加的俩捏建立请求

DNS ：检查DNS回复，并转换A和PTR地址信息

NetMeeting：对于NetMeeting2.x和3.x支持H.323v2并对于2.x支持H323v1，还可以通过internet定位服务器（internet locator server lls）支持netmeeting目录，这个用来发现

其他netmeeting用户

GRE：检测基本路由封装，（Generic Route Encapsulation ,GRE)隧道数据包，对已经封装的数据包执行转换。

H.323v2 ：检查连接中的Alerting,communicationModeCommand,communicationModeRespone Facility,FastConnect,OpenLogicalChannel,OpenLogicalChannelAck,progress 和setup消

息，

H.323v3和h.323v4：支持与h323v3和v4的互操作，但不检查这些新版本中引入的新的消息类型

SIP：从cisco ios 12.2(8)T开始支持sip

Skinny (SCCP)：从12.1（5）T开始支持skinny

VDOLive:为嵌入的地址和端口信息检查附加的连接建立请求

Vxtreme：为嵌入的地址和端口信息检查附加的请求连接

---------------------------------------------------------

非标准的端口号：

cisco ios只在众所周知的端口上检查嵌入地址消息的应用

ip nat服务配置：

ip nat service命令来配置：router(config)# ip nat service list ACL_#_or_name ftp

tcp port _port_#

router(config)# ip nat service sip tcp |udp port port_#

router(config)# ip nat service skinny tcp port port_#

sip的非标准端口是在cisco ios 12.2(8)T中才支持的，默认端口是5060 。Skinny 支持是在cisco ios 12.1(5)T 中，默认端口是2000上。

12.2控制地址转换：

使用ACL：使用简单的ACL来定义那些地址不用被转换，那些地址需要被转换。

使用路由映射：动态转换：

路由映射用来在路由器上实施路由选择策略。但cisco 也允许他们用在其他情形中如地址转

换。

router(config)# ip nat inside source rotue-map _route_map_name pool _Nat_pool_name

使用route-map命令来指定路由映射。

使用路由映射：静态转换：从cisco ios 12.2(4)开始，路由映射也支持和静态NA T一起使用。router(config)# ip nat inside static _local_ip_address route-map

_route_map_name [extendable]

router(config)# ip nat inside source static tcp |udp local_ip_address local_port_#

global_ip_address global_port# route-map route_map_name [extendable

extendable 命令可以将多余一个的全局地址关联到本地

12.3地址转换和冗余：

cisco ios为地址转换提供了两钟地址冗余：1.使用热备路由协议（host Standy Router Protocol，HSRP )的静态NAT冗余，在cisco ios 12.2(4)t版本中使用

2.有状态地址转换失败切换，在cisco ios 12.2

(13)t中被支持。

使用HSRP的静态NA T冗余:

使用HSRP的静态NA T冗余常用于小型网络。

HSRP 冗余过程：、在使用HSRP来提供静态NA T冗余，静态NAT配置被镜像到两台路由器上，而

只有活动的路由器处理流量，HSRP被配置在子网的默认网关上，一台路由器被配置成活的路由

器，其余的被配置成备分的。

HSRP冗余配置：

1.配置HSRP：router(config)# interface _type

router(config-if)#ip address ip_address subnet

router(config-if)# no ip redirects

router(config-if)#standby [group_#] name {HSRP_group_name]

router(config-if)#standby [hsrp_group] uo ip_address

router(config-if)#standby [group_#] preempt

router(config-if)#standby [group_#] priority _priority_#

router(config-if)#standby [group_#] track _interface decrement_value

2.使用HSRP集成静态NAT配置:

router(config)# ip nat inside |outside source static _local_ip_address

_global_ip_address redundancy HSRP_group_name

router(config-if)# ip nat[inside |outside}

有状态的地址转换失败切换:

从cisco ios 12.2(13)T开始，cisco 引入了有状态的地址转换失败切换阶段1，被称为有状态的NAT（statefulNA T,SNAT),这个是cisco实施SNAT的第一步，在这个解决方案中，使用两台地

址转换路由器，一台主路由器和一台备分路由器，这些路由器被称为转换组，转换组中的主路

由器执行现行的路由器转换，备份路由器接收来自主路由器的地址转换更新（添加和删除），并检查主路由器正常工作，如果主路由器失败，备份路由器开始使用它从主路由器那里共享来

的地址转换表处理流量，通过使用tcp连接主路由器和备粉路由器共享地址消息，

使用HSRP的SNAT：

配置步骤：

1.配置HSRP ：router(config)# interface _type

router(config-if)#ip address ip_address subnet

router(config-if)# no ip redirects

router(config-if)#standby [group_#] name {HSRP_group_name]

router(config-if)#standby [hsrp_group] uo ip_address

router(config-if)#standby [group_#] preempt

router(config-if)#standby [group_#] priority _priority_#

router(config-if)#standby [group_#] track _interface decrement_value

2.配置有状态的失败切换：router(config)# ip nat stateful id router_ID#

router(config-ipnat-snat)# redundancy HSRP_group_name

router(config-ipnat-snat)# mapping-id mapping_ID_#

redundancy命令指定提供冗余的HSRP组名，使用standy在路由器上配置的组名字mapping-id命令指定一个从1到2147483647的数字，来唯一的标识从活动的路由器将发送到备

分路由器的转换；这些命令必须配置在所有的hsrp组的路由器上，每给路由器有唯一的标识，

hsrp组名和映射ID号是相同的

3.配置地址转换：使用HSRP的SNA T地址转换：

router(config)# ip nat pool global_pool_name begin_ip_address end_ip_address

prefix-length prefix_number#

router(config)# ip nat inside source route-map route_map_name pool

_global_pool_name mapping-id mapping_ID_# [overload]

router(config)# ip nat inside source list ACL_#_or_name pool global_pool_name

mapping-id mapping_ID_# [overload]

可以使用ip nat {inside |outside}应用在端口上！！

不使用hsrp的snat：当两个路由器不能为内部主机提供默认网关的时候，通常使用不使用hsrp的snat

不使用hsrp的snat的配置：

1.通过定义主要和备用路由器使用下面的命令：router(config)# ip nat stateful id

rotuer(config-ipnat-snat)#primary

_local_ip_address_to_use

rotuer(config-ipnat-snat-red)#peer

_backup_router's_ip_address

rotuer(config-ipnat-snat-red)#mappingid

mapping_ID_#

ip nat stateful命令给这台路由器分配了一个唯一的路由器ID，

primary命令指定了这个是一台主路由器，必须指定一个ip地址，当她建立到备路由器的tcp 连

接tcp连接使使用的ip地址，

peer 命令指定了在备用路由器上用来端接tcp连接的ip地址

mapping-id 命令指到将和备用路由器共享的动态条目

router(config)# ip nat stateful id _route_ID_#

rotuer(config-ipnat-snat)# backup local_ip_address_to_use

rotuer(config-ipnat-snat-red)#peer _primary_router's_ip_address

rotuer(config-ipnat-snat-red)#mapping-id mapping_ID_#

2.配置地址转换:router(config)# ip nat stateful id router_ID#

router(config-ipnat-snat)# redundancy HSRP_group_name

router(config-ipnat-snat)# mapping-id mapping_ID_#

SNAT的验证：

router# show ip snat [distributed [verbose]| peer IP_address]

distribute 参数允许查看分布式NA T的相关信息，以及对等体连接状态，

verbose参数，可以查看关于有状态转换的本身的详细消息

使用下列命令可以清除用于有状态失效的动态地址转换：

clear# clear ip snat translation {distributed * | peer peer_ip_address [refresh]

distribute *参数将清除所有的snat动态转换，或者只清除特定snat对等体的转换，

参数refresh，使备用路由器清除它的地址转换表中的动态转换，并请求活动或者主要路由更新它当前的转换表

使用下面的命令清楚对等体SNA T路哟器的所有会话，或者只清除特定的会话：

router#clear ip snat seeion [* |peer_ip_address]

使用debug命令进行排错：

router#debug ip snat [detail] :debug ip snat是很消耗cpu资源的。

12.4使用服务器负载平衡来分配流量：

cisco在cisco ios 12.0(7)XE中引入了服务器负载平衡（sever load balancing,SLB)特性。SLB过程：

SLB有两种操作模式：定向模式和分派模式

定向模式：可以给虚拟服务器指定一个想要的ip地址，在slb组中的真正的服务器不知道这个

地址，相反cisco ios通过执行NA T将虚拟目的地址转换成真正的服务器的一个地址

分派模式是SLB的默认模式，真正的服务器知道虚拟服务器地址，实际上真正服务器上配置了

两个ip地址，他们自己的ip地址和虚拟ip地址，虚拟ip地址被配置成一个回环地址，或者是一

SLB中使用的负载平衡算法：

1.加权循环（Weighted round robin,WRR);

2.加权最少连接9Weighted lest connection,WLC)

其他负载平衡特性：

1.慢速开始

2.最多连接

3.指定客护端

4.黏性连接

5.自动服务器恢复检测

6.TCP会话重新分配

7.SYN守卫

8.延迟删除TCP连接

9.动态反馈协议（dynamic Feedback protocol,DFP)

10.无转台备份

SLB的优点和局限性：

优点：可以提供一个易于维护的可扩展方案

局限性：1.ftp只被分派模式支持

2.只支持不同子网的负载平衡，不支持相同子网不同设备间的负载平衡

3.对于使用分派模式的路由器，真正服务器必须通过第二层连接到SLB路由器

4.对于使用定向和分派模式的路由器，包交换不能被硬加速

5.SLB只被2690系列和更高系列的路由器支持。

SLB的配置：

必要的SLB命令：router(config)# ip slb serverfarm _server_farm_name

router(config-slb-sfarm)#real IP_address

router(config-slb-real)# inservice

ip slb serverfarm 命令建立一个真正的服务器群组，服务器群组的名称最多不超过15个字符real命令指定服务器组中的真正的ip地址，

inservice命令在这个组中启用这个服务器

在建立一个真正的服务器组后，需要将这个服务器组关联到一台虚拟服务器：

router(config)# ip slb vserver _virtual_server_name

router(config-slb-vserver)# serverfarm _server_farm_name

rotuer(config-slb-vsrver)#virtual _IP_address {tcp | udp} port_# [service

_service_name]

router(config-slb-vserver)# inservice

ip slb vserver命令用来为虚拟服务器建立必要的信息，必须为虚拟服务器指定一个名称，不能超过15字符，

serverfarm命令指定拿个服务器组被用来处理发到虚拟ip地址的流量。

使用virtual命令为虚拟服务器配置ip地址，还必须使用协议tcp|udp ,以及端口号或者虚拟服务器要处理的应用名称

service参数知道能够一个客户的所有相关谅解都由相同的真正服务器处理，当前可以选择的

只有ftp。

inservice命令激活虚拟服务器。

可选的slb命令：

负载平衡的算法：

slb默认的算法是WRR,可以使用下面的命令来改变：router(config)# ip slb serverfarm

_server_farm_name

router(config-slb-sfarm)# predictor

{roundrobin |lelastconns}

roundrobin指定为WRR算法，leastconns 指定为WLC算法

真正服务器属性：

router(config)# ip slb serverfarm _serverfarm_name

router(config-slb-sfarm)#real _ip_address

router(config-slb-real)# faildetect numconns _#_of_connection

router(config-slb-real)#maxconns _maxium_#_of_connection

router(config-slb-real)#ressign #_of_Syn_request

router(config-slb-real)#weiht _weighting_value

faildetect numconns命令指定连续失败客户端连接的次数，这个树木会使slb人真正的服务器不能提供服务。默认的数目是8次，但是可以是1到255

maxconns 命令限制允许到真正服务器的活动连接数目。可以是1到4294967295 ，默认是4294967295

ressign 命令只定从一个客户端到一抬真正服务器的连续被忽略的syn数目，这个数目可以允

许slb重新将客户分配到不同的真正的服务器。slb为这个连接建立等待30秒，这个时间后，slb将这个连接从它的表中删除，阀值可以1到4 个syn请求之间，默认是3

retry命令了在检测到一台服务器失败以后，cisco ios应该等待多少秒后允许一个新的连接尝试，值可以从0到3600秒，默认值是60 秒，如果指定了0，当服务器被认为不能提供服务之

后，不会进行新的连接尝试

weight命令给一台真正的服务器指定一个权重，然后负载平衡算法使用这个值。

虚拟服务器的属性：

router(config)# ip slb vserver _virtual_server_name

router(config-slb-vserver)#client _ip_address _subnet_mask

router(config-slb-vserver)#delay #_of_seconds

router(config-slb-vserver)#idle #_od_seconds

router(config-slb-vserver)#sticky #_of_seconds [group _gruop_id]

router(config-slb-vserver)#synguard #_ofSYN #_of_milliseconds

router(config-slb-vserver)#no adverise

client命令限制使用虚拟服务器的客户端，默认是允许所有，0.0.0.0 0.0.0.0

delay命令指定在连接终止后，slb将在它的状态表中维护客户端的秒数。默认是10秒，可以是

1到600 秒

idle 命令指定slb中它的表中保持一个空闲连接的秒数，默认是3600秒，取值范围可以是10

到65535

sticky命令指定一个时间长度，在这段时间内来自同一个客户端的所有连接被发到同一个真正

服务器，默认是关闭的，时间范围是0到65535

group参数将一台虚拟服务器和一个组号相关联，组号范围是1到255

synguard命令控制到新连接的TCP SYN数目，来阻止TCP SYN洪水攻击，半打开连接数目范围是

0到4294967295 ，默认是0，这个功能被关闭，当被打开的时，默认使用100毫秒时间间隔来

监控SYN洪水攻击，它的范围是50到5000毫秒

advertise 命令将发布一条到虚拟服务器地址的路由，默认地，cisco ios为虚拟服务器器建立一个静态路由，指到端口null0，保证cisco ios将处理特定虚拟服务器的流量，而不丢弃他

们，

NA T配置：

默认地，cisco ios使用分派模式为虚拟服务器地址提供服务，要使用定向模式，须为服务器群配置下列：

router(config)# ip slb serverfarm

_server_farm_name

router(config-slb-sfarm)# nat server

SLB验证:可以使用show和debug命令

-------------------------------------------slb 的show 命

令----------------------------------------------

show ip slb conns [servers virtserver_name] [client _ip_address] [detail] 显示

slb处理的所有连接，可以使用附加的参数来限制输出

show ip slb dfp[agent _ip_address port][detail][weights] ：显

示关于dfp的信息和使用dfp真正的服务器

show ip slb reals[vserver virtserver_name][detail]：显

示在slb中定义的真正服务器相关信息

show ip slb serverfarms[name _serverfarm_name][detail]：显示slb中

定义的服务器群组的相关信息

show ip slb stats 显

示关于slb的统计信息

show ip slb sticky [client _ip_address] 显

示关于客户黏性连接的相关信息

show ip slb servers [name virtserver_name][detail 显示slb的

虚拟服务器的相关消息

----------------------------------------------------------------------------------

----------------------------------

使用debug命令：router# debug ip slb {conns /dfp | icmp /reals /all}

----------------------------------------slb 的debug 参

数---------------------------------------------

conns 显示slb处理的连接的消息

dfp 显示关于dfp消息相关消息

icmp 显示slb使用的所有icmp信息

reals 显示slb使用的真正服务器的所有消息

all 为slb显示所有的debug消息

---------------------------------------------------------------------------------- ----------

SLB例子