第七章 NAT协议配置
NAT配置
第1章 NAT配置1.1 NAT简介1.1.1 NAT概述NAT（Network Address Translation，网络地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程。
在实际应用中，NAT主要用于实现私有网络访问外部网络的功能。
这种通过使用少量的公有IP地址代表较多的私有IP地址的方式，将有助于减缓可用IP地址空间枯竭的速度。
说明：私有IP地址是指内部网络或主机的IP地址，公有IP地址是指在因特网上全球唯一的IP地址。
RFC1918为私有网络预留出了三个IP地址块，如下：A类：10.0.0.0～10.255.255.255B类：172.16.0.0～172.31.255.255C类：192.168.0.0～192.168.255.255上述三个范围内的地址不会在因特网上被分配，因而可以不必向ISP或注册中心申请而在公司或企业内部自由使用。
下图描述了一个基本的NAT应用。
图1-1地址转换的基本过程NAT网关处于私有网络和公有网络的连接处。
当内部PC（192.168.1.3）向外部服务器（202.120.10.2）发送一个数据报1时，数据报将通过NAT网关。
NAT网关查看报头内容，发现该数据报是发往外网的，那么它将数据报1的源地址字段的私有地址192.168.1.3换成一个可在Internet上选路的公有地址202.169.10.1，并将该数据报发送到外部服务器，同时在NAT网关的网络地址转换表中记录这一映射；外部服务器给内部PC发送应答报文2（其初始目的地址为202.169.10.1），到达NAT网关后，NAT网关再次查看报头内容，然后查找当前网络地址转换表的记录，用原来的内部PC的私有地址192.168.1.3替换目的地址。
上述的NAT过程对终端（如图中的PC和服务器）来说是透明的。
对外部服务器而言，它认为内部PC的IP地址就是202.169.10.1，并不知道有192.168.1.3这个地址。
网络路由技术中的NAT配置教程
网络路由技术中的NAT配置教程随着互联网的迅速发展和普及，网络已经成为了人们生活和工作中不可或缺的一部分。
在网络中，路由器扮演着重要的角色，负责将数据包从源地址发送到目标地址。
而网络地址转换（Network Address Translation，NAT）则是路由器中一项重要的技术，它允许将私有网络的IP地址转换为公网IP地址，实现内部网络与互联网之间的正常通信。
一、什么是NAT网络地址转换（NAT）是一种将私有网络的IP地址转换为公网IP 地址的技术。
在互联网早期，IP地址资源有限，为了解决IP地址不足的问题，NAT应运而生。
通过NAT，一个公网IP地址可以被多个内部网络使用，大大节约了IP地址资源，在一定程度上解决了IP地址的枯竭问题。
二、NAT的工作原理1. 出口NAT出口NAT是指内部网络中的设备通过路由器上的NAT功能访问互联网。
当内部设备发送请求时，NAT会将源IP地址替换为路由器的公网IP地址，并在其NAT转换表中建立一个条目，将内部设备的私有IP 地址与其对应的公网IP地址进行映射。
当返回数据包到达路由器时，NAT会根据NAT转换表中的映射关系将其转发给正确的内部设备。
2. 入口NAT入口NAT是指互联网上的设备想要访问内部网络中的设备。
此时，互联网上的设备会向路由器的公网IP地址发送请求。
路由器会检查NAT转换表中是否有与请求对应的映射关系。
若有，则将请求转发给内部网络中的设备，并将目标IP地址替换为内部设备的私有IP地址。
三、NAT配置教程以下是NAT的配置教程，基于常见的家用路由器。
1. 登录路由器首先，通过浏览器进入路由器的管理界面。
通常情况下，输入路由器的IP地址（一般为或）即可进入登录页面。
输入正确的用户名和密码，登录路由器的管理界面。
2. 打开NAT设置界面在路由器的管理界面中，找到“NAT设置”或“端口转发”选项。
不同品牌的路由器可能有不同的界面，可以根据具体情况进行搜索或咨询。
NAT工作原理及其配置方法
NAT工作原理及其配置方法NAT（Network Address Translation）是一种网络协议，用于将多个内部（私有）IP地址映射到单个外部（公共）IP地址。
它的主要作用是允许多台设备通过共享一个公共IP地址同时访问互联网，从而解决IPv4地址不足的问题。
本文将详细介绍NAT的工作原理及其配置方法。
NAT的工作原理：NAT的工作原理可以总结为：将内部网络（LAN）的设备的私有IP地址转换为路由器的公共IP地址，以便与外部网络（WAN）进行通信。
NAT可以分为两种类型：静态NAT和动态NAT。
1.静态NAT：静态NAT将一个或多个内部私有IP地址映射到一个外部公共IP地址。
内部设备无需配置任何特殊设置，只需将默认网关设置为NAT设备的IP地址即可。
当内部设备与外部网络进行通信时，NAT设备会将指定的私有IP地址转换为公共IP地址，然后将其发送到外部网络。
2.动态NAT：动态NAT根据动态地识别内部设备的IP地址来执行映射。
当内部设备尝试与外部网络通信时，NAT设备会为其分配一个临时的公共IP地址，从而实现与外部网络通信。
这种方式允许多个内部设备同时使用一个公共IP地址与外部网络通信。
NAT的配置方法：配置NAT需要在路由器或防火墙上进行。
下面是配置NAT的步骤：1.登录路由器或防火墙的管理界面，进入配置页面。
2.创建一个NAT规则或策略。
根据所使用的设备和软件，可以在不同的位置找到此选项。
通常在“网络设置”、“WAN设置”或“防火墙设置”中可以找到。
3.静态NAT配置：a.将路由器的外部接口（WAN）与外部网络连接。
b.为内部设备分配静态IP地址。
c.在NAT规则中将内部设备的私有IP地址映射到路由器的公共IP地址。
4.动态NAT配置：a.定义要使用的内部地址池。
这些地址将分配给内部设备以进行与外部网络的通信。
b.创建NAT规则，将内部设备的私有IP地址映射到此地址池中的一个地址。
5.保存并应用配置更改，使其生效。
NAT的配置方法
1.5 NAT实验1.5.1 实验主题：NA T的配置及验证1.5.2 实验内容●对路由器进行基础配置●分别进行静态/动态以及Pat的配制●通过Show、Debug命令对Nat进行分析。
1.5.3 试验目标1.加深理解NA T的工作原理2.熟练掌握NA T的配置及排错1.5.4 实验拓扑1.5.4、5 实验要求●试验设备：cisco 36系列路由器、V.35线缆、超五类双绞线、PC●试验要求：基本环境：1、按图示开启所需设备，配置好各接口IP地址，将PC1、PC2为内部主机，WEB-IN为内部WEB服务器，内网的默认网关指定为R1的FA0/0（192.168.1.254/24），PC3为外部主机，WEB-OUT为外部WEB服务器,DNS为外部DNS服务器，他们的默认网关为200.1.1.2542、ISP给定的全局地址为12.12.12.1——12.12.12.10/24，在R1与R2上配置RIP路由（但内网地址192.168.1.0不用通告到外网），使R1能够与外网通讯，但内网不能与外网通讯一、试验一静态NA T配置：1、在边界路由器上配置静态NAT，使PC1能够与外界通讯2、在边界路由器上检验配置：a.pingb.show runc.show ip nat translations3、调试ip nat (通过ping验证时)debug ip nat二、试验二动态NA T配置：0、删除静态NA T配置1、在边界路由器上配置动态NAT，使PC1、PC2能够与外界通讯02、在边界路由器上检验配置：a.ping ,b.show runc.show ip nat translations3、调试ip nat (通过ping,telnet R2验证时)debug ip nat三、试验三静态PA T配置：0、删除动态NA T配置1、在边界路由器上配置静态PA T，使PC3能够访问到WEN-IN2、在边界路由器上检验配置：A.show runB.show ip nat translations3、调试ip nat (通过浏览网页验证时)debug ip nat四、试验四动态PA T配置：0、删除静态PA T配置，并假设只有ip 12.12.12.1/24有效1、在边界路由器上配置动态PA T，使PC1、PC2、WEB-IN能够与外界通讯2、在边界路由器上检验配置：A. show runB. show ip nat translations3、调试ip nat (通过浏览网页验证时)debug ip nat五、试验五综合实验：（选作）0、删除试验四配置，并假设无静态ip地址，只有动态地绑定在F0/1上的ip有效1、配置边界路由器，同时使：A、PC3能够通过HTTP访问WEB-INB、PC1、PC2、WEB-IN能够与外界通讯3、在边界路由器上检验配置：a.ping 外网设备, telnet R2b.从pc3浏览web-inc.show rund.show ip nat translations4、调试ip nat (通过ping,telnet验证时)debug ip nat1.5.6 实验结果●在运行了Nat协议后能够使内网顺利访问外网。
nat协议描述
nat协议描述Nat协议（Network Address Translation）是一种在互联网通信中常用的网络协议，其主要功能是将内部网络的私有IP地址转换为公网IP 地址，以实现内部网络与外部网络之间的通信。
一、Nat协议的概述Nat协议在互联网通信中起到了至关重要的作用，它通过将内部网络的私有IP地址映射为公网IP地址，实现了多个内部主机通过一个公网IP地址访问互联网的功能。
它的出现解决了IPv4地址资源的短缺问题，同时提高了网络的安全性和稳定性。
二、Nat协议的工作原理1. 内部IP地址转换在内部网络中，使用私有IP地址来标识不同的主机。
当内部主机需要访问外部网络时，Nat设备会将内部IP地址转换为公网IP地址，并在NAT表中记录下该映射关系。
这个过程中，Nat设备还会为内部主机分配一个临时端口号，以保证多个内部主机可以同时使用同一个公网IP地址进行通信。
2. 地址转换过程当内部主机发送数据包到外部网络时，Nat设备会修改数据包中目的IP地址和端口号，将内部地址转换为公网地址。
同样，在收到外部网络的数据包后，Nat设备会将目的IP地址和端口号转换回内部IP地址，然后将数据包发送给对应的内部主机。
三、Nat协议的优点1. 解决IP地址短缺问题由于IPv4地址资源有限，Nat协议通过地址转换的方式，允许多个内部主机共享一个公网IP地址，从而有效节省了IP地址资源。
2. 提高网络安全性通过Nat协议转换的地址可以隐藏内部网络的真实地址，对外界来说，只能看到公网地址，而无法直接访问内部主机，提高了网络的安全性。
3. 简化网络配置和管理使用Nat协议可以减少对网络设备的依赖，简化网络配置和管理过程。
只需要在NAT设备上配置好映射规则，内部主机不需要进行任何配置，即可实现访问互联网。
四、Nat协议的应用场景1. 家庭网络在家庭网络中，通常只有一个公网IP地址，但是需要多个终端设备上网。
Nat协议可以将家庭内部的私有IP地址转换为公网IP地址，实现多个设备共享一个公网IP地址的上网需求。
NAT的配置
NAT的配置NAT即网络地址转换。
也就是把私有IP转换为公有IP，使内部网络连接到互联网上。
NAT的实现方式有3种:a 、静态转换(一转一）b、动态装换（多转少）c、端口多路复用（多转一）说明：以下的PC1与PC2分别有路由器模拟的,R1代表互联网（即外部网络），R2连接内部网络与外部网络在配置NAT之前，先要把路由器接口IP配置好，并检查连通性。
拓扑图如下，NAT不同方式的配置：由于R2是连接内网与外网的唯一设备，所以这里的一切配置都在R2上来实现！！一、静态NAT的配置：a、在内部局部地址和内部全局地址之间建立静态地址转换R2(config)#ip nat inside source static 192.168.1.2 200.16.200.10将内部局部地址192.168.1.2转换为内部全局200.16.200.10 R2(config)#ip nat inside source static 192.168.1.3 200.16.200.11将内部（局部）地址192.168.1.3 转换为内部全局（公有IP）200.16.200.11b、在内部和外部端口上启用NATR2(config)#interface f0/0R2(config-if)#ip nat outsideR2(config)#interface f1/0R2(config-if)#ip nat inside二、动态NAT的配置：a、定义内部网络中允许访问外部网络的访问控制列表，语法如下：R2(config)#access-list access-list-number permit source source-wildcard列表号为（1~99）内网地址+ 反掩码如R2(config)#access-list 1 permit 192.168.1.0 0.0.0.255b、定义公有IP地址池R2(config)#ip nat pool pool-name star-ip end-ip netmask netmask或R2(config)#ip nat pool pool-name star-ip end-ip prefix-length prefix-length如R2(config)#ip nat pool xqf 200.16.200.202 200.16.200.208 netmask 255.255.255.0或R2(config)#ip nat pool xqf 20016.200.202 200.16.200.208 prefix-length 24c、把访问控制列表里指定的内部局部IP地址于指定的内部全局IP地址（公有IP）进行转换R2(config)#ip nat inside source list access-list-number pool pool-name overload如R2(config)#ip nat inside source list 1 pool xqf overloadd、在内部和外部端口上启用NATR2(config)#interface f0/0R2(config-if)#ip nat outsideR2(config)#interface f1/0R2(config-if)#ip nat inside三、PAT的配置分为（1）使用外部全局地址。
7-防火墙配置与NAT配置
[Quidway-acl-adv-3000] 进入ACL 视图之后，就可以配置ACL的规则了。
16
访问控制列表 — Basic ACL
[Quidway-acl-basic-2000] rule [ rule-id ] { permit | deny } [ source sour-addr sour-wildcard | any ] [ time-range time-name ]
格式与AR18中的三种扩展ACL基本相同： protocol : ip, ospf, igmp, gre, icmp, tcp, udp, etc. 少了 [ normal | special ] 多了 rule-id 和 time-range operator 被简化: ―eq‖ -等于端口号， “gt‖ –大于端口号， “lt‖ – 小于端口号， “neq‖ –不等于端口号， “range‖ –介于两端口号 之间
数据链路层
路由器上的IP 包转发机制
IP Packet 接口2
路由器可以在输入和输出两个方向上对IP包进行过滤
5
访问控制列表 — 概念
访问控制列表（Access Control List, ACL）是 实现包过滤规则库的一般方法，它由一系列 “permit‖或“deny‖的规则组成。
除安全之外，访问控制列表还有以下两种应用：
13
访问控制列表 — 扩展ACL（续）
配置其它协议的扩展ACL ：
rule [ normal | special ] { permit | deny } { ip | ospf | igmp | gre } [source source-addr source-wildcard | any ] [ destination dest-addr dest-wildcard | any ]
宽带接入-NAT协议
二、NAT的实现
• 借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时， 私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至 是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。
二、NAT的实现
• 借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时， 私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至 是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。
• NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理 过程中自动完成。
二、NAT的实现
• NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端 口多路复用OverLoad。
• 静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对 一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于 静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的 访问。
• 从本质上讲，NAT是一种地址映射方法，是指将IP地址从一个地址空间映 射到另一个地址空间，并提供透明的路由。
• NAT是一种和专用网、虚拟专用网VPN有关的技术，它允许一个企业网使用 一组私有地址作为企业网内部连接用。而企业使用一个或者少量的 Internet有效访问地址和外界沟通，而且其内部使用私有地址的设备均可 以 通 过 N AT 接 入 I n t e r n e t 。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
本章重点
• 本章是整个企业网络构建核心所在，要求 学员熟练掌握所有涉及到的知识点
7.1.4 配置静态NAT
7.1.5 配置动态NAT
• • • • • • 配置动态 NAT 1. 确定可用的公有 IP 地址池。 2. 创建访问控制列表 (ACL)，以标识需要转换的主机。 3. 将接口指定为内部接口或外部接口。 4. 将访问列表与地址池关联起来。 配置动态 NAT 十分重要的一点是使用标准访问控制 列表 (ACL)。标准 ACL 用于指定需要转换的主机范 围。这一工作可通过 permit 或 deny 语句来完成。 ACL 可包含一个完整网络，一个子网，也可只包含 一台具体主机。ACL 可以只包含单独一行，也可能 包含多条 permit 和 deny 语句。
7.1.2 NAT的实现方式
• • NAT 可以静态配置也可以动态配置。 静态 NAT 将一个内部本地地址映射为一个全局或公有地址。这样的映射 可确保特定的内部本地地址始终与同一公有地址相关联。静态 NAT 可确 保外部设备始终能到达内部设备。例如向外界开放的 Web 服务器和 FTP 服务器。 动态 NAT 使用可用的 Internet 公有地址池，然后将池中的地址分配给内 部本地地址。动态 NAT 将公有地址池中的第一个可用 IP 地址指定给内部 设备。该主机在整个会话期间使用分配到的全局 IP 地址。当会话结束后， 该外部全局地址被地址池收回以供另一台主机使用。
NAT
IN OUT端口
将F0/0定义为NAT的INside端口 R1(config)#int f0/0 R1(config-if)#ip nat inside
将F0/0定义为NAT的OUTside端口
R1(config-if)#int f1/0 R1(config-if)#ip nat outside
•
•
•
内部主机之间用来连接的地址是内部本地地址。分配给组织的公有地址称 为内部全局地址。内部全局地址有时被用作边界路由器外部接口的地址。
NAT 路由器维护着一张包含每个地址对列表的表格，它通过该表格来管理 内部本地地址与内部全局地址之• •
配置静态 NAT 或动态 NAT 时： 列出需要固定外部地址的所有服务器。 确定哪些内部主机需要转换。 确定哪些接口发送内部通信。这些接口即成为内部接口。 确定哪个接口将通信发送到 Internet。此接口即成为外部接口。 确定可用公有地址的范围。 配置静态 NAT 1. 确定外部用户应使用哪个公有 IP 地址来访问内部设备/服务 器。对于静态 NAT，管理员倾向于使用地址范围开头或结尾的 地址。将内部（即私有）地址转换为公有地址。 • 2. 配置内部和外部接口。
第七章 NAT协议配置
钟容江
本章要求
• 本章是整个企业网络构建核心所在， 要求学员熟练掌握所有涉及到的知识 点
本章内容
• 7.1 NAT技术
7.1.1 NAT技术
网络地址转换属接入广域网 (WAN)技术,是一种将私有(保留)地 址转化为合法IP地址的转换技术, 它被广泛应用于各种类型Internet 接入方式和各种类型的网络中。原 因很简单，NAT不仅完美地解决了 lP地址不足的问题，而且还能够有 效地避免来自网络外部的攻击，隐 藏并保护网络内部的计算机。 虽然NAT可以借助于某些代理 服务器来实现，但考虑到运算成本 和网络性能，很多时候都是在路由 器上来实现的。
NAT show
• Show ip nat translations • 查看NAT配置信息
• Traceroutre 追踪数据的走向
DHCP
• • • • • • • • • • • • • • DHCP SW1(config)#service dhcp 开启DHCP服务 SW1(config)#ip dhcp pool king 创建名称为king的DHCP地址池 SW1(dhcp-config)#default-router 192.168.1.1 定义默认网关为192.168.1.1 SW1(dhcp-config)#dns-server 61.153.177.200 61.153.177.202 定义DNS为61.153.177.200 61.153.177.202 SW1(dhcp-config)#network 192.168.1.0 /24 定义该地址池为192.168.1.0网络服务 SW1(dhcp-config)#exit SW1(config)#ip dhcp excluded-address 192.168.1.1 192.168.1.200 定义DHCP地址池范围为除了192.168.1.1到200之外都是（201-254）
静态NAT
• 静态NAT转换 将内网的192.168.1.2出去时转 换成61.153.177.100 • R1(config)#ip nat inside source static 192.168.1.2 61.153.177.100
动态NAT
• • • • 动态 R1(config)#access-list 100 permit ip any any 通过ACL100来决定源地址 R1(config)#ip nat pool king 61.153.177.1 61.153.177.2 netmask 255.255.255.0 • 创建名称为King的地址池范围为61.153.177.1-2 • R1(config)#ip nat inside source list 100 pool king • 将源地址ACL100转成King地址池中的地址