NAT地址轉(zhuǎn)換

wzls3146

目前NAT一共有三種用法，
第一：是一個(gè)公有地址對(duì)應(yīng)一個(gè)私有地址 。
第二： 幾個(gè)私有地址對(duì)應(yīng)幾個(gè)公有地址。
（數(shù)量不需要相等，公有地址多的話(huà)，就不會(huì)做NAT轉(zhuǎn)換了，還不如一個(gè)人直接給一個(gè)公有地址。這點(diǎn)別搞胡涂了。所以這個(gè)一般出現(xiàn)在一群私有地址對(duì)應(yīng)幾個(gè)公有IP地址情況）
第三種是：一個(gè)公有地址對(duì)應(yīng)一大群私有地址（這個(gè)目前葉用地很多）
設(shè)置NAT功能的路由器至少要有一個(gè)內(nèi)部端口（Inside），一個(gè)外部端口（Outside）。內(nèi)部端口連接的網(wǎng)絡(luò)用戶(hù)使用的是內(nèi)部IP地址。 內(nèi)部端口可以為任意一個(gè)路由器端口。外部端口連接的是外部的網(wǎng)絡(luò)，如Internet 。外部端口可以為路由器上的任意端口。
　　設(shè)置NAT功能的路由器的IOS應(yīng)支持NAT功能(本文事例所用路由器為Ｃisco2501，其IOS為11.2版本以上支持NAT功能)。
四、關(guān)于NAT的幾個(gè)概念：
　　內(nèi)部本地地址（Inside local address）：分配給內(nèi)部網(wǎng)絡(luò)中的計(jì)算機(jī)的內(nèi)部IP地址。
　　內(nèi)部合法地址（Inside global address）：對(duì)外進(jìn)入IP通信時(shí)，代表一個(gè)或多個(gè)內(nèi)部本地地址的合法IP地址。需要申請(qǐng)才可取得的IP地址。
五、NAT的設(shè)置方法：
　　NAT設(shè)置可以分為靜態(tài)地址轉(zhuǎn)換、動(dòng)態(tài)地址轉(zhuǎn)換、復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。
　　1、靜態(tài)地址轉(zhuǎn)換適用的環(huán)境
靜態(tài)地址轉(zhuǎn)換將內(nèi)部本地地址與內(nèi)部合法地址進(jìn)行一對(duì)一的轉(zhuǎn)換，且需要指定和哪個(gè)合法地址進(jìn)行轉(zhuǎn)換。如果內(nèi)部網(wǎng)絡(luò)有E-mail服務(wù)器或FTP服務(wù)器等可以為外部用戶(hù)提供的服務(wù)，這些服務(wù)器的IP地址必須采用靜態(tài)地址轉(zhuǎn)換，以便外部用戶(hù)可以使用這些服務(wù)。
　　靜態(tài)地址轉(zhuǎn)換基本配置步驟：
　  （1）、在內(nèi)部本地地址與內(nèi)部合法地址之間建立靜態(tài)地址轉(zhuǎn)換。在全局設(shè)置狀態(tài)下輸入：
　　　　Ip nat inside source static 內(nèi)部本地地址 內(nèi)部合法地址
　　（2）、指定連接網(wǎng)絡(luò)的內(nèi)部端口 在端口設(shè)置狀態(tài)下輸入：
　　　　　ip nat inside
　�。�3）、指定連接外部網(wǎng)絡(luò)的外部端口 在端口設(shè)置狀態(tài)下輸入：
　　　　　ip nat outside
　　注：可以根據(jù)實(shí)際需要定義多個(gè)內(nèi)部端口及多個(gè)外部端口。
實(shí)例1：
本實(shí)例實(shí)現(xiàn)靜態(tài)NAT地址轉(zhuǎn)換功能。將2501的以太口作為內(nèi)部端口，同步端口０作為外部端口。其中10.1.1.2，10.1.1.3，10.1.1.4的內(nèi)部本地地址采用靜態(tài)地址轉(zhuǎn)換。其內(nèi)部合法地址分別對(duì)應(yīng)為192.1.1.2，192.1.1.3，192.1.1.4。
路由器2501的配置：
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat inside source static 10.1.1.2 192.1.1.2
ip nat inside source static 10.1.1.3 192.1.1.3
ip nat inside source static 10.1.1.4 192.1.1.4
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
line con 0
line aux 0
line vty 0 4
password cisco
end
配置完成后可以用以下語(yǔ)句進(jìn)行查看：
show ip nat statistcs
show ip nat translations
　　2、動(dòng)態(tài)地址轉(zhuǎn)換適用的環(huán)境：
動(dòng)態(tài)地址轉(zhuǎn)換也是將本地地址與內(nèi)部合法地址一對(duì)一的轉(zhuǎn)換，但是動(dòng)態(tài)地址轉(zhuǎn)換是從內(nèi)部合法地址池中動(dòng)態(tài)地選擇一個(gè)末使用的地址對(duì)內(nèi)部本地地址進(jìn)行轉(zhuǎn)換。
　　動(dòng)態(tài)地址轉(zhuǎn)換基本配置步驟：
　�。�1）、在全局設(shè)置模式下，定義內(nèi)部合法地址池
　　　ip nat pool 地址池名稱(chēng) 起始IP地址 終止IP地址 子網(wǎng)掩碼
　　　其中地址池名稱(chēng)可以任意設(shè)定。
　�。�2）、在全局設(shè)置模式下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。
　　　Access-list 標(biāo)號(hào) permit 源地址 通配符
　　　其中標(biāo)號(hào)為1-99之間的整數(shù)。
　�。�3）、在全局設(shè)置模式下，將由access-list指定的內(nèi)部本地地址與指定的內(nèi)部合法地址池進(jìn)行地址轉(zhuǎn)換。
　　　ip nat inside source list 訪問(wèn)列表標(biāo)號(hào) pool內(nèi)部合法地址池名字
　　（4）、指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口在端口設(shè)置狀態(tài)下：
　　　ip nat inside
　　（5）、指定與外部網(wǎng)絡(luò)相連的外部端口
　　　Ip nat outside
實(shí)例2：
　　 本實(shí)例中硬件配置同上，運(yùn)用了動(dòng)態(tài)NAT地址轉(zhuǎn)換功能。將2501的以太口作為內(nèi)部端口，同步端口０作為外部端口。其中10.1.1.0網(wǎng)段采用動(dòng)態(tài)地址轉(zhuǎn)換。對(duì)應(yīng)內(nèi)部合法地址為192.1.1.2~192.1.1.10
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0
ip nat inside source list 1 pool aaa
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end
　　3、復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換適用的環(huán)境：
　　復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換首先是一種動(dòng)態(tài)地址轉(zhuǎn)換，但是它可以允許多個(gè)內(nèi)部本地地址共用一個(gè)內(nèi)部合法地址。只申請(qǐng)到少量IP地址但卻經(jīng)常同時(shí)有多于合法地址個(gè)數(shù)的用戶(hù)上外部網(wǎng)絡(luò)的情況，這種轉(zhuǎn)換極為有用。
　　注意：當(dāng)多個(gè)用戶(hù)同時(shí)使用一個(gè)IP地址，外部網(wǎng)絡(luò)通過(guò)路由器內(nèi)部利用上層的如TCP或UDP端口號(hào)等唯一標(biāo)識(shí)某臺(tái)計(jì)算機(jī)�！　�
　　復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換配置步驟：
　　在全局設(shè)置模式下，定義內(nèi)部合地址池
　　ip nat pool 地址池名字 起始IP地址 終止IP地址 子網(wǎng)掩碼
　　其中地址池名字可以任意設(shè)定。
　　在全局設(shè)置模式下，定義一個(gè)標(biāo)準(zhǔn)的access-list規(guī)則以允許哪些內(nèi)部本地地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。
　　access-list 標(biāo)號(hào) permit 源地址 通配符
　　其中標(biāo)號(hào)為1－99之間的整數(shù)。
　　在全局設(shè)置模式下，設(shè)置在內(nèi)部的本地地址與內(nèi)部合法IP地址間建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。
　ip nat inside source list 訪問(wèn)列表標(biāo)號(hào) pool 內(nèi)部合法地址池名字 overload
　　在端口設(shè)置狀態(tài)下，指定與內(nèi)部網(wǎng)絡(luò)相連的內(nèi)部端口
　　ip nat inside
　　在端口設(shè)置狀態(tài)下，指定與外部網(wǎng)絡(luò)相連的外部端口
　　ip nat outside
實(shí)例：應(yīng)用了復(fù)用動(dòng)態(tài)NAT地址轉(zhuǎn)換功能。將2501的以太口作為內(nèi)部端口，同步端口０作為外部端口。10.1.1.0網(wǎng)段采用復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。假設(shè)企業(yè)只申請(qǐng)了一個(gè)合法的IP地址192.1.1.1。
2501的配置
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0
ip nat inside source list 1 pool bbb overload
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end





本文來(lái)自ChinaUnix博客，如果查看原文請(qǐng)點(diǎn)：http://blog.chinaunix.net/u1/41327/showart_2132670.html