第8講

NAT網(wǎng)絡(luò)地址轉(zhuǎn)換8/18/20251

本講要點(diǎn)內(nèi)容要求理解NAT與NAPT的基本知識掌握利用動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置掌握利用動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置重點(diǎn)理解NAT的基本知識掌握配置NAT的基本命令和配置流程難點(diǎn)掌握利用NAT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置掌握利用NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置8/18/20252NAT的基本知識NAT簡介

NAT（NetworkAddressTranslation），中文譯名：網(wǎng)絡(luò)地址轉(zhuǎn)換

目前互聯(lián)網(wǎng)的一個重要問題是IP地址空間的衰竭，NAT的使用緩解了該問題。NAT特性的使用，使得一個組織的IP網(wǎng)絡(luò)呈現(xiàn)給外部網(wǎng)絡(luò)的IP地址，可以與正在使用的IP地址空間完全不同。這樣一個組織就可以將本來非全局可路由地址通過NAT之后，變?yōu)槿挚陕酚傻刂?，?shí)現(xiàn)了原有網(wǎng)絡(luò)與互聯(lián)網(wǎng)的連接，而不需要重新給每臺主機(jī)分配IP地址。關(guān)于NAT的詳細(xì)描述，請參見RFC3022。8/18/20253NAT的基本知識什么時候需要NAT？主機(jī)沒有全局唯一的可路由IP地址，卻需要與互聯(lián)網(wǎng)連接。NAT使得用非注冊IP地址構(gòu)建的私有網(wǎng)絡(luò)可以與互聯(lián)網(wǎng)連通，這也是NAT最重要的用處之一。NAT在連接內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的邊界路由器上進(jìn)行配置，當(dāng)內(nèi)部網(wǎng)絡(luò)主機(jī)訪問外部網(wǎng)絡(luò)時，將內(nèi)部網(wǎng)絡(luò)地址轉(zhuǎn)換為全局唯一的可路由IP地址。你必須變更內(nèi)部網(wǎng)絡(luò)的IP地址。為了避免花費(fèi)大量工作在IP地址的重新分配上，你可以選擇使用NAT，這樣內(nèi)部網(wǎng)絡(luò)地址分配可以保持不變。需要做TCP流量的負(fù)載均衡，又不想購買昂貴的專業(yè)設(shè)備。你可以將單個全局IP地址對應(yīng)到多個內(nèi)部IP地址，這樣NAT就可以通過輪詢方式實(shí)現(xiàn)TCP流量的負(fù)載均衡。作為網(wǎng)絡(luò)互通問題的解決方案，在實(shí)際應(yīng)用中，NAT只能允許內(nèi)部網(wǎng)絡(luò)部分的主機(jī)地址同時可以轉(zhuǎn)換到全局可路由地址，這種地址轉(zhuǎn)換是不固定的，只要有空余的全局可路由地址，內(nèi)部主機(jī)地址就可以得到轉(zhuǎn)換。當(dāng)然做網(wǎng)絡(luò)地址端口轉(zhuǎn)換(NAPT)，可以很大緩解全局地址不足問題，使得更多的內(nèi)部主機(jī)地址得到轉(zhuǎn)換，但NAPT一般只適合客戶端主機(jī)地址的轉(zhuǎn)換。8/18/20254NAT的基本知識應(yīng)用NAT帶來的限制影響網(wǎng)絡(luò)速度，NAT的應(yīng)用可能會使NAT設(shè)備可能成為網(wǎng)絡(luò)的瓶頸，隨著軟、硬件技術(shù)的發(fā)展，該問題已經(jīng)逐漸得到改善。跟某些應(yīng)用不兼容，如果一些應(yīng)用在有效載荷中協(xié)商下次會話的IP地址和端口號，NAT將無法對內(nèi)嵌IP地址進(jìn)行地址轉(zhuǎn)換，造成這些應(yīng)用不能正常運(yùn)行。地址轉(zhuǎn)換不能處理IP報(bào)頭加密的報(bào)文。無法實(shí)現(xiàn)對IP端到端的路徑跟蹤，經(jīng)過NAT地址轉(zhuǎn)換之后，對數(shù)據(jù)包的路徑跟蹤將變得十分困難。8/18/20255NAT的基本知識NAT的一些術(shù)語

inside表示內(nèi)部網(wǎng)絡(luò)，這些網(wǎng)絡(luò)的地址需要被轉(zhuǎn)換。在內(nèi)部網(wǎng)絡(luò)，每臺主機(jī)都分配一個內(nèi)部IP地址，但與外部網(wǎng)絡(luò)通訊時，又表現(xiàn)為另外一個地址。每臺主機(jī)的前一個地址又稱為內(nèi)部本地地址，后一個地址又稱為外部全局地址。

outside是指內(nèi)部網(wǎng)絡(luò)需要連接的網(wǎng)絡(luò)，一般指互聯(lián)網(wǎng)，也可以是另外一個機(jī)構(gòu)的網(wǎng)絡(luò)。外部的地址也可以被轉(zhuǎn)換，外部主機(jī)也同時具有內(nèi)部地址和外部地址。綜上所述，NAT做了以下定義：內(nèi)部本地地址（InsideLocalAddress）,是指分配給內(nèi)部網(wǎng)絡(luò)主機(jī)的IP地址，該地址可能是非法的未向相關(guān)機(jī)構(gòu)注冊的IP地址，也可能是合法的私有網(wǎng)絡(luò)地址。內(nèi)部全局地址（InsideGlobalAddress），合法的全局可路由地址，在外部網(wǎng)絡(luò)代表著一個或多個內(nèi)部本地地址。外部本地地址（OutsideLocalAddress）,外部網(wǎng)絡(luò)的主機(jī)在內(nèi)部網(wǎng)絡(luò)中表現(xiàn)的IP地址，該地址是內(nèi)部可路由地址，一般不是注冊的全局唯一地址。外部全局地址（OutsideGlobalAddress）,外部網(wǎng)絡(luò)分配給外部主機(jī)的IP地址，該地址為全局可路由地址。8/18/20256NAT的基本知識NAT與NAPT

NAPT是指網(wǎng)絡(luò)端口地址轉(zhuǎn)換，傳統(tǒng)的NAT一般是指一對一的地址映射，不能同時滿足所有的內(nèi)部網(wǎng)絡(luò)主機(jī)與外部網(wǎng)絡(luò)通訊的需要。使用NAPT，可以將多個內(nèi)部本地地址映射到一個內(nèi)部全局地址，路由器用“內(nèi)部全局地址+TCP/UDP端口號”來對應(yīng)“一個內(nèi)部主機(jī)地址+TCP/UDP端口號”。當(dāng)進(jìn)行NAPT轉(zhuǎn)換時，路由器需要維護(hù)足夠的信息（比如IP地址、TCP/UDP端口號）才能將全局地址轉(zhuǎn)換回內(nèi)部本地地址。8/18/20257動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置基本網(wǎng)絡(luò)拓?fù)洌?/18/20258動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置步驟1.局域網(wǎng)路由器配置Red－Giant(config)#hostnamelan-routerLan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipaddress172.16.1.1255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exitLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddress200.1.8.7255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exit8/18/20259動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置互聯(lián)網(wǎng)路由器配置Internet-router(config)#interfacefastethernet1/0Internet-router(config-if)#ipaddress63.19.6.1255.255.255.0Internet-router(config-if)#noshutdownInternet-router(config-if)#exitInternet-router(config)#interfaceserial1/2Internet-router(config-if)#ipaddress200.1.8.8255.255.255.0Internet-router(config-if)#clockrate64000Internet-router(config-if)#noshutdownInternet-router(config-if)#end8/18/202510動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置在lan-router上配置缺省路由Lan-router(config)#iproute0.0.0.00.0.0.0serial1/2驗(yàn)證測試:Internet-router#ping200.1.8.7!在外網(wǎng)路由器上ping內(nèi)網(wǎng)路由器8/18/202511動態(tài)NAPT實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置配置動態(tài)的NAPT映射Lan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipnatinsideLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipnatoutsideLan-router(config-if)#exitLan-router(config)#ipnatpoolto-internet200.1.8.7200.1.8.7netmask255.255.255.0!定義內(nèi)部全局地址池Lan-router(config)#access-list10permit172.16.1.00.0.0.255！定義允許轉(zhuǎn)換的地址Lan-router(config)#ipnatinsidesourcelist10poolto_internetoverload!為內(nèi)部本地調(diào)用轉(zhuǎn)換地址池8/18/202512動態(tài)NATP實(shí)現(xiàn)局域網(wǎng)訪問互聯(lián)網(wǎng)的配置驗(yàn)證測試：1、在服務(wù)器63.19.6.2上配置web服務(wù)2、在PC機(jī)測試訪問63.19.6.2的網(wǎng)頁3、在路由器lan-router上查看NAPT映射關(guān)系Lan-router#showipnattranslations注意事項(xiàng)不要把inside和outside應(yīng)用的接口弄錯要加上能使數(shù)據(jù)包向外轉(zhuǎn)發(fā)的路由，比如默認(rèn)路由。盡量不要用廣域網(wǎng)接口地址作為映射的全局地址。8/18/202513動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置網(wǎng)絡(luò)拓?fù)?/18/202514動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置步驟1.基本配置Red-Giant(config)#hostnamelan-routerLan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipaddress172.16.8.1255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exitLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipaddress200.1.8.7255.255.255.0Lan-router(config-if)#noshutdownLan-router(config-if)#exit8/18/202515動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置外網(wǎng)路由器配置Internet-router(config)#interfacefastethernet1/0Internet-router(config-if)#ipaddress63.19.6.1255.255.255.0Internet-router(config-if)#noshutdownInternet-router(config-if)#exitInternet-router(config)#interfaceserial1/2Internet-router(config-if)#ipaddress200.1.8.8255.255.255.0Internet-router(config-if)#clockrate64000Internet-router(config-if)#noshutdownInternet-router(config-if)#end8/18/202516動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置在lan-router上配置缺省路由Lan-router(config)#iproute0.0.0.00.0.0.0serial1/2驗(yàn)證測試:Internet-router#ping200.1.8.7!在外網(wǎng)路由器上ping內(nèi)網(wǎng)路由器8/18/202517動態(tài)NAT實(shí)現(xiàn)外網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)的配置步驟2.配置反向NAT映射Lan-router(config)#interfacefastethernet1/0Lan-router(config-if)#ipnatinsideLan-router(config)#interfaceserial1/2Lan-router(config-if)#ipnatoutsideLan-router(config-if)#exitLan-router(config)#ipnatpoolweb_server172.16.8.5172.16.8.5netmask255.255.255.0!定義內(nèi)網(wǎng)服務(wù)器地址池Lan-router(co