NAT实验作业

实验要求

1、公网设备只配置IP地址
2、全网可达
3、外网设备不允许存在私网路由
4、内网设备不允许存在公网路由
5、test-1可以登录telnet server；而test-2不可以
6、PC1可以访问test-1；PC2不可以
7、PC使用DHCP获取IP地址

需求分析

1、对路由器接口和进行IP分配

2、在路由器上启用DHCP为PC分配IP

3、在AR2接口上使用ACL对设备进行限制

4、在AR2接口上使用NAT做端口映射

步骤

1、先配置路由器接口IP

[R1]int g 0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0]q
[R1]int g 0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.12.1 24

[R2]int g 0/0/0
[R2-GigabitEthernet0/0/0]ip add 192.168.12.2 24
[R2-GigabitEthernet0/0/0]q
[R2]int g 0/0/1
[R2-GigabitEthernet0/0/1]ip add 192.168.2.254 24
[R2-GigabitEthernet0/0/1]q
[R2]int g 0/0/2
[R2-GigabitEthernet0/0/2]ip add 23.0.0.2 24

[R3]int g 0/0/0
[R3-GigabitEthernet0/0/0]ip add 23.0.0.3 24
[R3-GigabitEthernet0/0/0]q
[R3]int g 0/0/1
[R3-GigabitEthernet0/0/1]ip add 34.0.0.254 24

[telnet]int g 0/0/0
[telnet-GigabitEthernet0/0/0]ip add 192.168.1.100 24

[test-1]int g 0/0/0
[test-1-GigabitEthernet0/0/0]ip add 34.0.0.1 24

[test-2]int g 0/0/0
[test-2-GigabitEthernet0/0/0]ip add 34.0.0.2 24

2、给部分路由添加缺省路由

因为test-1、test-2和telnet server实际上是在模拟PC端，因此给它们添加缺省路由

缺省路由的目的是为了让他们把流量送给上端的路由器

[telnet]ip route-static 0.0.0.0 0 192.168.1.254

[test-1]ip route-static 0.0.0.0 0 34.0.0.254

[test-2]ip route-static 0.0.0.0 0 34.0.0.254

ping一下直连接口看是否通顺（例）：

AR1 ping telnet server

AR2 ping AR3

3、AR1和AR2之间启动OSPF协议

因为telnet server有条缺省路由指向AR1，因此没必要开启OSPF协议

[R1]ospf 1 router-id 1.1.1.1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network 192.168.1.254 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 192.168.12.1 0.0.0.0

[R2]ospf 1 router-id 2.2.2.2
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 192.168.12.2 0.0.0.0
[R2-ospf-1-area-0.0.0.0]network 192.168.2.254 0.0.0.0

4、AR1和AR2上启用DHCP为PC分配IP

[R1]dhcp enable 
[R1]ip pool 1
[R1-ip-pool-1]network 192.168.1.0 mask 24
[R1-ip-pool-1]gateway-list 192.168.1.254
[R1-ip-pool-1]dns-list 8.8.8.8
[R1-ip-pool-1]q
[R1]int g 0/0/0
[R1-GigabitEthernet0/0/0]dhcp select global 

[R2]dhcp enable 
[R2]ip pool 2
[R2-ip-pool-2]network 192.168.2.0 mask 24
[R2-ip-pool-2]gateway-list 192.168.2.254
[R2-ip-pool-2]dns-list 9.9.9.9
[R2-ip-pool-2]q
[R2]int g 0/0/1
[R2-GigabitEthernet0/0/1]dhcp select global 

查看结果：

内网的设备之间相互ping一下（例）：

此时可知，内网现在通顺了

5、给AR2写一条缺省路由指向公网，并进行缺省路由下放

[R2]ip route-static 0.0.0.0 0 23.0.0.3
[R2]ospf 1
[R2-ospf-1]default-route-advertise 

此时至少可以保证AR2可以访问到test-1和test-2

6、使用NAT技术进行地址转换

这里使用Easy IP（华为私有技术）

[R2]acl 2000
[R2-acl-basic-2000]rule permit source 192.168.0.0 0.0.255.255
[R2-acl-basic-2000]q
[R2]int g 0/0/2
[R2-GigabitEthernet0/0/2]nat outbound 2000

此时全网可达（例）：

PC1 ping test-1

PC2 ping test-2

7、在AR2接口上配置ACL限制PC2访问test-2

因为目前全网可达，因此只用拒绝PC2访问test-2即可

[R2]acl 3000
[R2-acl-adv-3000]rule deny ip source 192.168.2.253 0.0.0.0 destination 34.0.0.1 
0
[R2-acl-adv-3000]q
[R2]int g 0/0/1
[R2-GigabitEthernet0/0/1]traffic-filter inbound acl 3000

测试：

PC1 ping test-1

PC2 ping test-1

.

限制生效

8、在telnet server上开启telnet服务

[telnet]user-interface vty 0 4
[telnet-ui-vty0-4]authentication-mode aaa
[telnet-ui-vty0-4]q
[telnet]aaa
[telnet-aaa]local-user huawei password cipher 123456 privilege level 15
[telnet-aaa]local-user huawei service-type telnet 

测试一下

9、在AR2端口上做端口映射

[R2-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 2323 i
nside 192.168.1.100 23

测试test-1和test-2是否能登上

10、在AR2接口上配置ACL限制test-2登录telnet server

[R2]acl 3100
[R2-acl-adv-3100]rule deny tcp source 34.0.0.2 0 destination 23.0.0.2 0 destinat
ion-port eq 2323
[R2-acl-adv-3100]q
[R2]int g 0/0/2
[R2-GigabitEthernet0/0/2]traffic-filter inbound acl 3100

测试：

test-1可以登录，test-2登陆失败

要求完成，实验结束