NAT配置实例
实验报告——实验一：NAT配置
实验报告——实验⼀：NAT配置实验⼀：NAT配置实验⽬的1、掌握NAT相关概念、分类和⼯作原理2、学习配置NAT的命令和步骤3、查看NAT转换配置情况4、练习配置动态NAT和PAT实验要求1、NAT拓扑与地址规划；2、NAT基本配置和PAT配置3、验证NAT和PAT配置并给出配置清单实验拓扑实验设备（环境、软件）路由器2台，交叉线3条，serial DCE线⼀条。
Pc机2台，www服务器⼀台。
实验设计到的基本概念和理论NAT技术使得⼀个私有⽹络可以通过internet注册IP连接到外部世界，位于inside⽹络和outside ⽹络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。
内部⽹络的主机不可能同时于外部⽹络通信，所以只有⼀部分内部地址需要翻译。
NAT的主要⽤途是让⽹络能使⽤私有IP地址⼀节省IP地址。
NAT将不可路由的私有内部地址转换成可路由的NAT的翻译可以采取静态翻译（static translation）和动态翻译（dynamic translation）两种。
静态翻译将内部地址和外部地址⼀对⼀对应。
当NAT需要确认哪个地址需要翻译，翻译时采⽤哪个地址pool时，就使⽤了动态翻译。
采⽤portmultiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同⼀个外部地址，这就是PAT（port address translator）。
当影射⼀个外部IP到内部地址时，可以利⽤TCP的load distribution技术。
使⽤这个特征时，内部主机基于round-robin机制，将外部进来的新连接定向到不同的主机上去。
注意：load distributiong 只有在影射外部地址到内部的时候才有效。
实验过程和主要步骤步骤⼀：主机与服务器的IP地址配置1、PC0上IP的配置192.168.3.12、PC1上IP的配置192.168.2.13、服务器IP的配置222.22.22.1步骤⼆：Router0的配置1、端⼝配置Router>enableRouter#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#interface f0/0Router(config-if)#ip address 192.168.3.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upRouter(config-if)#exitRouter(config)#interface f1/0Router(config-if)#ip address 192.168.2.2 255.255.255.0Router(config-if)#no shutRouter(config-if)#%LINK-5-CHANGED: Interface FastEthernet1/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/0, changed state to upRouter(config-if)#exitRouter(config)#interface s2/0Router(config-if)#ip address 202.196.32.1 255.255.255.0Router(config-if)#clock rate 9600Router(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to downRouter(config-if)#end%SYS-5-CONFIG_I: Configured from console by consoleRouter#copy running-config startup-configDestination filename [startup-config]?Building configuration...[OK]Router#2、配置静态默认路由Router#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#ip route 0.0.0.0 0.0.0.0 s2/0Router(config)#endRouter#步骤三：Router1的配置1、端⼝配置Router>enableRouter#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#interface s2/0Router(config-if)#ip address 202.196.32.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to upRouter(config-if)#exitRouter(config)#interface f0%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial2/0, changed state to up /0Router(config-if)#exitRouter(config)#interface f0/0Router(config-if)#ip address 222.22.22.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed stateto upRouter(config-if)#end%SYS-5-CONFIG_I: Configured from console by consoleRouter#copy running-config startup-configDestination filename [startup-config]?Building configuration...[OK]步骤四：NAT配置把路由器Router0作为局域⽹的边界路由，在其上配置静态NAT转换，⽬的是形成如下对⽐，使得PC1可以通信，⽽PC0不能通信。
[史上最详细]H3C路由器NAT典型配置案例
![[史上最详细]H3C路由器NAT典型配置案例](https://img.taocdn.com/s3/m/882e4d6942323968011ca300a6c30c225801f060.png)
H3C路由器NAT典型配置案列（史上最详细）神马CCIE，H3CIE,HCIE等网络工程师日常实施运维必备，你懂的。
1.11 NAT典型配置举例1.11.1 内网用户通过NAT地址访问外网（静态地址转换）1. 组网需求内部网络用户10.110.10.8/24使用外网地址202.38.1.100访问Internet。
2. 组网图图1-5 静态地址转换典型配置组网图3. 配置步骤# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置内网IP地址10.110.10.8到外网地址202.38.1.100之间的一对一静态地址转换映射。
<Router> system-view[Router] nat static outbound 10.110.10.8 202.38.1.100# 使配置的静态地址转换在接口GigabitEthernet1/2上生效。
[Router] interface gigabitethernet 1/2[Router-GigabitEthernet1/2] nat static enable[Router-GigabitEthernet1/2] quit4. 验证配置# 以上配置完成后，内网主机可以访问外网服务器。
通过查看如下显示信息，可以验证以上配置成功。
[Router] display nat staticStatic NAT mappings:There are 1 outbound static NAT mappings.IP-to-IP:Local IP : 10.110.10.8Global IP : 202.38.1.100Interfaces enabled with static NAT:There are 1 interfaces enabled with static NAT.Interface: GigabitEthernet1/2# 通过以下显示命令，可以看到Host访问某外网服务器时生成NAT会话信息。
单接口NAT配置实例
首先,什么是单口nat,各位,不知道你们遇到过这种情况没有,就是有一条adsl线路,但是每台机器只有一块网卡,想实现所有机器共享上网,你们说怎么办呢?^_^,可以花5块钱再买块网卡,这当然简单了,但是我们做技术的就要想想其他方法,呵呵呵.挑战一下自己.单口nat说白了就是路由上就一个口,还必须要做nat以便访问外网,这和传统的两口nat,一个inside,一个outside的方式不一样了,一个口,一条链路,必须承载两个网络的信息,一个是内网,一个是公网.所以,要求这个口设两个地址,一个与内网交互,一个与isp交互.实际的拓扑是这样的:isp过来的线路直接接入交换机,而不是路由器,路由器也接入交换机的一个口,它的作用只是做nat,把包的原地址和回包的目的地址重新封装一下,如图所示(见原帖),内网主机如果要向外网主机发包,这些包到了路由的以太口后,经过一系列的转换,最终又从以太口出来,到了isp端.下面详细分析一个包的来去流程,这样大家就都明白了.内网一台主机(172.16.1.1)要向公网一个地址发包,他当然是先转发给网关了,所以网关收到了包,按照顺序,路由器先检查策略路由项,然后才走正常路由,现在路由发现,这个包匹配了access-list 101 permit ip 172.16.1.0 0.0.0.255 any这一句,所以他把这个包路由到loopback口.说明一下:loopback之所以叫回环接口,就是因为,到了这个口的包会从这个口出去,立即又回来了,哈哈哈,可能不好理解,因为这是个虚拟口,路由器怎么使唤他都行,所以有这个功能,在这里,包从这个口出去的时候,由于包的来源是以太口(nat inside),出口是loopback口(nat ouside),所以在这个回环口包做了一次nat,源地址被变成池中地址(ip nat pool pool1 192.168.0.2 192.168.0.3)的一个,好,这个nat后的包从环口出去,转了转(俺也实在不知道他到哪儿去转去了),又准备从loopback口再回到路由内部,但是这一次,路由对包不作任何改变,因为nat outside,ip nat inside "source"......只对从路由内部出去的包做nat.好了,现在包的源地址是,比如192.168.0.2,目的地址还是公网的那个你要访问的地址,这个包下一步还要接受路由的检查,由于loopback口没有配置ip policy route-map,所以这次只匹配常规路由,好,看看原帖…………,除了直连路由外,就是缺省路由了(ip route 0.0.0.0 0.0.0.0 192.168.0.6 ),所以他终于把这个包成功路由到了isp.(好累啊).再说说回来的包,外网要给本地的对外地址(192.168.0.2)回应了,本地路由的以太口通过交换机收到了isp发过来的包,由于这个包对于路由器来说是从内向外走得(路由并不知道其实以太连接的是isp),所以要先路由,后nat,好,路由器同样先匹配策略路由,看看原帖.................,他匹配了这一句:access-list 101 permit ip any 192.168.0.0 0.0.0.7,因为原地址是公网地址,也就是"any",所以他路由到loopback口,在环口,这个包又将要被nat一次了,但是,请注意,这里,这个包不符合nat的要求,请看看:ip nat inside source list 10 pool pool1 overload ,access-list 10 permit 172.16.1.0 0.0.0.255,由于这个包的原地址并不在access-list 10所规定的范围内,所以包没有被nat,这也是这个技术最巧妙的地方,这样包保留了原地址的真实性!! 好,这个包又从环口又溜达回来了,注意::!!!由于路由器已经做过nat动作了,所以本身保存了一张nat表,由于包从loopback进来的,所以对于路由器来说是从外流向内,所以路由器要先nat,后路由,所以他要匹配nat表了,好,他检查到目的地址192.168.0.2实际上对应着内部主机172.16.1.1,所以他把包的目的地址nat成172.16.1.1,好, 现在接受路由匹配(好麻烦啊!呵呵),看看...................,由于从loopback 口进入不用匹配策略路由,所以查常规路由,发现目的地址172.16.1.1存在于直连路由中,所以最终发到了以太口,最终到达目的主机:172.16.1.1.对于adsl单网卡代理,也是同样的道理,只不过路由器还成了主机而已,而且装了些代理软件,比如ccproxy,这些软件的功能就是和上述的路由器一样,实现单口nat.单接口NAT配置实例精典，转贴大家测试下单接口NA T配置实例条件：1、IOS在12.1(5)T9及以上版本。
NAT配置实例
Router(config)#interface f0/0
Router(config-if)#ip nat insice
二、 动态NAT配置
如图内部局域网使用的IP是172.16.100.1—172.16.255.254,路由器局域网端口（默认网关）的
Router(config)#interface f0/0
Router(config)#ip address 10.1.1.1 255.255.255.0
Router(config-if)#no shutdown
(2) 定义内部访问列表：
Router(config)#access-list 99 permit 10.1.1.0 0.0.0.255
Router(config)#ip nat inside source static 192.168.100.4 61.159.62.132
Router(config)#ip nat inside source static 192.168.100.5 61.159.62.133
(4)定义合法的IP地址池：
Router(config)#ip nat pool zhou 61.159.62130 61.159.62.190 netmask 255.255.255.192(定
义地址池的名字为zhou)
(5)实现网络地址转换：
Router(config)#ip nat inside source list 99 pool zhou 【overload】（overload:地址复用
(3) 设置复用动态IP:
Router(config)ip nat inside source list 99 interface s0/0 overload(由于直接使用路由器的
nat的配置案例
nat的配置案例一、网络环境说明。
咱这个办公室有个内部网络，好多电脑啊、打印机啥的都连着呢。
内部网络的IP 地址范围是192.168.1.0/24，这就好比是一个小区，里面住着好多“网络居民”（设备）。
然后呢，我们只有一个公网IP地址，比如说203.0.113.5，这个公网IP就像是这个小区对外的一个大招牌，所有内部设备要和外面的互联网世界打交道，都得靠这个招牌来帮忙。
二、路由器上的NAT配置（假设是基于Cisco路由器的命令行，其他设备原理类似哦）1. 我们要进入路由器的配置模式。
就像你要进入一个魔法房间，去施展网络魔法一样。
在路由器的命令行界面输入：enable.configure terminal.这就好比是先敲敲门（enable），然后走进房间（configure terminal）准备开始配置。
2. 接下来，我们要定义一下内部网络的接口，也就是那些连着内部设备的接口。
比如说这个接口是FastEthernet 0/0（这是接口名字，不同路由器可能会有不同的接口命名方式），我们就输入：interface FastEthernet 0/0.ip address 192.168.1.1 255.255.255.0.no shutdown.这里的“ip address”就是给这个接口设置内部网络的IP地址和子网掩码，“no shutdown”呢，就像是打开这个接口的开关，让它开始工作，不然这个接口就像睡着了一样，没法传递数据。
3. 然后，我们要定义外部网络的接口，这个接口连接着公网。
假设是FastEthernet 0/1，输入：interface FastEthernet 0/1.ip address 203.0.113.5 255.255.255.248.no shutdown.同样的，给这个接口设置公网的IP地址和子网掩码，再把开关打开。
4. 现在，重点来了，配置NAT。
我们要让内部网络的设备能够通过这个公网IP出去访问互联网。
思科NAT配置实例
CISCONAT配置一、NAT简介NAT(Network Address Translation)的功能，就是指在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。
在网络内部，各计算机间通过内部的IP地址进行通讯。
而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。
二、NAT 的应用环境：情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet 隔离开，则外部用户根本不知道通过NAT设置的内部IP地址。
情况2：一个企业申请的合法Internet IP地址很少，而内部网络用户很多。
可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet 进行通信。
三、设置NAT所需路由器的硬件配置和软件配置：设置NAT功能的路由器至少要有一个内部端口（Inside），一个外部端口（Outside）。
内部端口连接的网络用户使用的是内部IP地址。
内部端口可以为任意一个路由器端口。
外部端口连接的是外部的网络，如Internet 。
外部端口可以为路由器上的任意端口。
设置NAT功能的路由器的IOS应支持NAT功能(本文事例所用路由器为Ｃisco2501，其IOS为11.2版本以上支持NAT功能)。
四、关于NAT的几个概念：内部本地地址（Inside local address）：分配给内部网络中的计算机的内部IP地址。
内部合法地址（Inside global address）：对外进入IP通信时，代表一个或多个内部本地地址的合法IP地址。
需要申请才可取得的IP地址。
五、NAT的设置方法：NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换。
1、静态地址转换适用的环境静态地址转换将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。
NAT技术详解及配置实例
NAT技术详解及配置实例NAT技术详解及配置实例2007年02⽉26⽇ 22:17:00阅读数：28241NAT作为⼀种减轻IPv4地址空间耗尽速度的⽅法，最早出现在Cisco IOS 11.2版本中。
为什么要使⽤NAT1 内⽹中主机过多，没有⾜够的合法IP地址可⽤。
2 当ISP发⽣变化时，使⽤NAT技术避免了IP地址的重新编址。
3 当两个合并的⽹络中出现了重复地址的时候。
4 利⽤NAT来解决TCP的负载均衡问题。
5 隐藏内部⽹络，增强安全性。
NAT就是将内⽹中使⽤的私有地址转换成可在Internet上进⾏路由的合法地址的技术。
私有地址范围：10.0.0.0 ~ 10.255.255.255172.16.0.0 ~ 172..31.255.255192.168.0.0 ~ 192.168.255.255NAT技术主要分为NAT和PAT。
NAT是从内部本地地址到内部全局地址的⼀对⼀转换。
PAT是从多个内部本地地址到内部全局地址的多对⼀转换。
通过端⼝号确定其多个内部主机的唯⼀性。
NAT术语Inside network：需要翻译成外部地址的内部⽹络。
Outside network：使⽤合法地址进⾏通信的外部⽹络。
Local address：内部⽹络使⽤的地址。
Global address：外部⽹络使⽤的地址。
Inside local address：内部本地地址。
数据在内部⽹络使⽤的地址，⼀般为private ip address。
Inside global address：内部全局地址。
数据为了到达外部⽹络，⽤来代表inside local address的地址，⼀般为ISP提供的合法地址。
Outside local address：外部本地地址，不必是合法地址。
当外部⽹络数据到达内部⽹络，外部⽹络中的主机IP地址与内部⽹络中的主机处在同⼀⽹段时，为防⽌内部主机误认外部主机与⾃⼰在同⼀⽹段⽽⼴播ARP请求，造成⽆法通信，将外部主机的地址转换成外部本地地址之后再与内部主机进⾏通信。
配置NAT_Server双出口举例讲解
出口网关双链路接入不同运营商举例一USG作为校园或大型企业出口网关可以实现内网用户通过两个运营商访问Internet，还可以实现外网用户访问内网服务器，并保护内网不受网络攻击。
组网需求某学校网络通过USG连接到Internet，校内组网情况如下：∙校内用户主要分布在教学楼和宿舍区，通过汇聚交换机连接到USG。
图书馆内部署的两台服务器是该校主页、招生及资源共享等网站。
∙学校分别通过两个不同运营商（ISP1和ISP2）连接到Internet，两个运营商分别为该校分配了5个IP地址。
ISP1分配的IP地址是200.1.1.1～200.1.1.5，ISP2分配的IP地址是202.1.1.1～202.1.1.5，掩码均为24位。
该学校网络需要实现以下需求：∙校内用户能够通过两个运营商访问Internet，且去往不同运营商的流量由USG上连接该运营商的对应的接口转发。
∙当一条链路出现故障时，流量可以被及时切换到另一条链路上，避免网络长时间中断。
∙校内用户和校外用户都可以访问图书馆中部署的2台服务器。
∙保护内部网络不受SYN Flood、UDP Flood和ICMP Flood的攻击。
图1 出口网关双链路接入不同运营商举例一组网图项目数据说明（1）接口号：GigabitEthernet 0/0/0IP地址：10.1.1.1/16安全区域：Trust 接口（1）是连接内网汇聚交换机的接口。
校内用户分配到网段为10.1.0.0/16的私网地址和DNS 服务器地址100.1.1.1/24，部署在Trust区域。
（2）接口号：GigabitEthernet 0/0/1IP地址：192.168.1.1/24安全区域：DMZ 接口（2）是连接图书馆内服务器的接口。
图书馆区部署在DMZ区域。
（3）接口号：GigabitEthernet 0/0/2IP地址：200.1.1.1/24安全区域：ISP1安全优先级：15 接口（3）是连接ISP1的接口，去往ISP1所属网段的数据通过接口（3）转发。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ＮＡＴ 配置示例本节提供了以下配置配置例子： １、动态内部源地址转换示例 ２、内部全局地址复用示例 ３、重叠地址转换示例 ４、ｔｃｐ负载均衡示例 ５、ｎａｔ多个ｏｕｔｓｉｄｅ口负载均衡示例 （１）动态内部源地址转换示例 在以下配置中，本地全局地址从ｎａｔ地址池ｎｅｔ２００中分配，该地址池定义了地址范围为２００．１６８．１２．２￣２００．１６８．１２．１００。
只有内部源地址匹配访问列表１的数据包才会建立ｎａｔ转换记录。
！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｐｏｏｌ ｎｅｔ２００ ２００．１６８．１２．２ ２００．１６８．１２．１００ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｌｉｓｔ １ ｐｏｏｌ ｎｅｔ２００ ！ ａｃｃｅｓｓ－ｌｉｓｔ １ ｐｅｒｍｉｔ １９２．１６８．１２．０ ０．０．０．２５５ （２）内部全局地址复用示例 内部全局地址复用，其实就是ｎａｐｔ。
ｒｇｎｏｓ８．１以上版本的软件对于动态ｎａｔ自动实现ｎａｐｔ。
在以下配置中，本地全局地址从ｎａｔ地址池ｎｅｔ２００中分配，该地址池只定义２００．１６８．１２．２００一个ｉｐ地址，但允许复用。
只有内部源地址匹配访问列表１的数据包才会建立该类型ｎａｔ转换记录。
！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１６８．１２．２００ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｐｏｏｌ ｎｅｔ２００ ２００．１６８．１２．２００ ２００．１６８．１２．２００ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｌｉｓｔ １ ｐｏｏｌ ｎｅｔ２００ ａｃｃｅｓｓ－ｌｉｓｔ １ ｐｅｒｍｉｔ １９２．１６８．１２．０ ０．０．０．２５５ 通过显示ｎａｔ 映射表，可以看到是否能够正确建立转换记录： ｒｅｄ－ｇｉａｎｔ＃ｓｈｏｗ ｉｐ ｎａｔ ｔｒａｎｓｌａｔｉｏｎｓ ｐｒｏ ｉｎｓｉｄｅ ｇｌｏｂａｌ ｉｎｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｇｌｏｂａｌ ｔｃｐ ２００．１６８．１２．２００：２０６３ １９２．１６８．１２．６５：２０６３ １６８．１６８．１２．１：２３ １６８．１６８．１２．１：２３ （３）内部源地址静态ｎａｐｔ示例 静态ｎａｐｔ 可以用于构建虚拟服务器。
这里的构建虚拟服务器，是指在ｎａｔ内部网架设服务器，然后通过ｎｂｒ 路由器的静态ｎａｐｔ映射到外部网。
这样，用户访问ｎｂｒ全局地址上的虚拟服务器，就被转换到内部网相应的服务器上。
下面的例子是将一台内网的ｗｅｂ服务器１９２．１６８．１２．３映射到全局ｉｐ２００．１９８．１２．１的８０端口。
配置命令脚本如下： ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１９８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｓｔａｔｉｃ ｔｃｐ １９２．１６８．１２．３ ８０ ２００．１９８．１２．１ ８０ 上例的ｗｅｂ服务器，对于内网用户，可以直接用内网地址１９２．１６８．１２．３直接访问。
但有些游戏服务器构建在ｎａｔ的内部网，不仅要求外网用户能正常访问，还要求内网用户能以全局ｉｐ来访问这台游戏服务器。
这时就要用到静态ｎａｐｔ命令中的ｐｅｒｍｉｔ－ｉｎｓｉｄｅ关键字。
配置命令脚本如下： ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｎｏ ｉｐ ｒｅｄｉｒｅｃｔｓ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１９８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｓｔａｔｉｃ ｔｃｐ １９２．１６８．１２．４ ７７７７ ２００．１９８．１２．１ ７７７７ ｐｅｒｍｉｔ－ｉｎｓｉｄｅ 这时内网用户就可以通过全局ｉｐ２００．１９８．１２．１来访问１９２．１６８．１２．４这台游戏服务器了。
同时注意要在ｉｎｓｉｄｅ口配上ｎｏ ｉｐ ｒｅｄｉｒｅｃｔｓ，防止ｉｎｓｉｄｅ口发重定向的报文，以提高效率。
更详细的配置步骤见６．７章节《构建本地服务器配置示例》。
（４）重叠地址转换示例 当内部网络地址与外部网络地址重叠时，外部重叠地址在内部网络上应该表现为不同的私有网络地址。
在以下配置中，内部网络分配了非注册的１９２．１９８．１２．０／２４网络地址，外部网络已经分配了该地址，因此当内部网络通过域名方式访问外部重叠地址主机时，ｎａｔ会将重叠地址转换为地址池ｎｅｔ１７２中的地址，这样重叠地址的问题就解决了。
以下配置，访问外部重叠地址主机时，只能通过主机域名，如果需要通过ｉｐ地址直接访问，就要配置外部源地址静态ｎａｔ映射。
内部主机访问外部主机的映射方式采用动态ｎａｐｔ方式。
！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１９８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１９８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ！ ｉｐ ｎａｔ ｐｏｏｌ ｎｅｔ２００ ２００．１９８．１２．２ ２００．１９８．１２．１００ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｐｏｏｌ ｎｅｔ１７２ １７２．１６．１９８．２ １７２．１６．１９８．１００ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｌｉｓｔ １ ｐｏｏｌ ｎｅｔ２００ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ｓｏｕｒｃｅ ｌｉｓｔ １ ｐｏｏｌ ｎｅｔ１７２ ｉｐ ｒｏｕｔｅ １７２．１６．１９８．０ ２５５．２５５．２５５．０ ２００．１９８．１２．２ ａｃｃｅｓｓ－ｌｉｓｔ １ ｐｅｒｍｉｔ １９２．１９８．１２．０ ０．０．０．２５５ ！ 通过显示ｎａｔ 映射表，可以看到是否能够正确建立转换记录： ｒｅｄ－ｇｉａｎｔ＃ｓｈ ｉｐ ｎａｔ ｔｒａｎｓｌａｔｉｏｎｓ ｐｒｏ ｉｎｓｉｄｅ ｇｌｏｂａｌ ｉｎｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｇｌｏｂａｌ ｕｄｐ ２００．１９８．１２．２：１２５６ １９２．１６８．１２．９１：１２５６ ２００．１９８．１６８．１１：５３ ２００．１９８．１６８．１１：５３ ｔｃｐ ２００．１９８．１２．２：１２５７ １９２．１６８．１２．９１：１２５７ １７２．１６．１９８．２：２３ １９２．１６８．１２．９１：２３ ｒｅｄ－ｇｉａｎｔ＃ 在以上配置中，如果没有配置到１７２．１６．１９８．０／２４的静态路由，从内部接口接收到目标地址为该网络的数据包，路由器不能判断出来该数据将往哪个接口转发，导致通讯失败。
所以当配置重叠地址时，必须配置静态路由或者在ｏｕｔｓｉｄｅ接口配置次ｉｐ地址，使得路由器知道地址转换以后该往哪个接口转发数据包。
ｔｃｐ负载均衡示例 在以下配置中，定义了一个虚拟主机地址，所有来自外部网络访问该虚拟主机的ｔｃｐ连接，将被路由器分配到多台实际主机上，从而实现负载分流的目标。
ｒｅａｌｈｏｓｔｓ定义了实际主机地址池，访问列表１定义了虚拟主机地址。
外部网的主机要有路由到这个虚拟主机地址。
以下配置，只对ｔｃｐ流量产生作用，对其它流量保持不变，除非有另外的ｎａｔ配置。
！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １０．１０．１０．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１９８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｐｏｏｌ ｒｅａｌｈｏｓｔｓ １０．１０．１０．２ １０．１０．１０．３ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ｔｙｐｅ ｒｏｔａｒｙ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｄｅｓｔｉｎａｔｉｏｎ ｌｉｓｔ １ ｐｏｏｌ ｒｅａｌｈｏｓｔｓ ！ ａｃｃｅｓｓ－ｌｉｓｔ １ ｐｅｒｍｉｔ １０．１０．１０．１００ ！ 通过显示ｎａｔ 映射表，可以看到是否能够正确建立转换记录： ｒｅｄ－ｇｉａｎｔ＃ｓｈ ｉｐ ｎａｔ ｔｒａｎｓｌａｔｉｏｎｓ ｐｒｏ ｉｎｓｉｄｅ ｇｌｏｂａｌ ｉｎｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｌｏｃａｌ ｏｕｔｓｉｄｅ ｇｌｏｂａｌ ｔｃｐ １０．１０．１０．１００：２３ １０．１０．１０．２：２３ １００．１００．１００．１００：１１７８ １００．１００．１００．１００：１１７８ ｔｃｐ １０．１０．１０．１００：２３ １０．１０．１０．３：２３ ２００．２００．２００．２００：１０２４ ２００．２００．２００．２００：１０２４ （６）域名解析中继服务（ｄｎｓ ｒｅｌａｙ）示例 在一些ｎａｔ应用场合，ｎａｔ内网里的主机直接将ｄｎｓ服务器地址指向ｎａｔ ｉｎｓｉｄｅ接口上的ｉｐ地址，然后内网主机的ｄｎｓ请求都发向ｎａｔ ｉｎｓｉｄｅ的接口。
由于路由器自身不提供ｄｎｓ服务，这时就是要求路由器将收到的ｄｎｓ请求报文转发到真正的ｄｎｓ服务器，并且将解析结果应答给请求主机。
这个功能就被称作域名解析中继服务（ｄｎｓ ｒｅｌａｙ）。
假设ｎａｔ ｉｎｓｉｄｅ接口的ｉｐ地址是１９２．１６８．１．１，ｄｎｓ服务器的ｉｐ是２０２．１０１．９８．５５，则ｄｎｓ ｒｅｌａｙ功能配置如下： ！ ａｃｃｅｓｓ－ｌｉｓｔ １ ｐｅｒｍｉｔ １９２．１６８．１．０ ０．０．０．２５５ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ ０／０ ｉｐ ａｄｄｒｅｓｓ １９２．１６８．１．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｉｎｓｉｄｅ ！ ｉｎｔｅｒｆａｃｅ ｆａｓｔｅｔｈｅｒｎｅｔ １／０ ｉｐ ａｄｄｒｅｓｓ ２００．１６８．１２．１ ２５５．２５５．２５５．０ ｉｐ ｎａｔ ｏｕｔｓｉｄｅ ！ ｉｐ ｎａｔ ｐｏｏｌ ｎｅｔ２００ ２００．１６８．１２．２ ２００．１６８．１２．１０ ｎｅｔｍａｓｋ ２５５．２５５．２５５．０ ！ ｉｐ ｎａｔ ｉｎｓｉｄｅ ｓｏｕｒｃｅ ｌｉｓｔ １ ｐｏｏｌ ｎｅｔ２００ ｉｐ ｎａｔ ａｐｐｌｉｃａｔｉｏｎ ｓｏｕｒｃｅ ｌｉｓｔ １ ｄｅｓｔｉｎａｔｉｏｎ ｕｄｐ １９２．１６８．１．１ ５３ ｄｅｓｔ－ｃｈａｎｇｅ ２０２．１０１．９８．５５ ５３ ！ 上述ｉｐ ｎａｔ ａｐｐｌｉｃａｔｉｏｎ命令的语义就是：如果有源地址满足ａｃｃｅｓｓ－ｌｉｓｔ １、目的地址是１９２．１６８．１．１、目的端口是５３的ｕｄｐ报文，则修改这个ｉｐ报文的目的地址为２０２．１０１．９８．５５、目的端口为５３。