NAT 网络地址转换

实验原理

1、Public与Private网络

公网public network使用public address ，相对应的私有网络使用私有地址 private address：

10.0.0.0 ~ 10.255.255.255

172.16.0.0 ~ 172.31.255.255

192.168.0.0 ~ 192.168.255.255

  私有网络是不能直接参与互联网的，因为你家和你公司以及你学校可能都用192.168.1.0段~

2、NAT 网络地址转换

私有地址可以缓解 IPv4 数量不足，但是，由于 Internet 设备不对它们进行路由，因此，首先要对它们进行转换，NAT 是用于执行此转换的过程。

NAT（Network Address Translation，网络地址转换）不仅解决了lPv4地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。

⑴宽带分享：这是 NAT 主机的最大功能。

⑵安全防护：NAT 之内的 PC 联机到 Internet 上面时，它所显示的 IP 是 NAT 主机的公共 IP，所以 Client 端的 PC 当然就具有一定程度的安全了，外界在进行 portscan（端口扫描） 的时候，就侦测不到源Client 端的 PC 。

3、NAT的几种方式

静态NAT：静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，单个私有IP地址只转换为单个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（主要是服务器）的访问。

动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换（主要依赖ACL访问控制列表来确定），以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。

动态转换主要依赖于公网的 nat pool 和 ACL

网络端口地址转换，即NAPT（Network Address Port Translation），可将多个内部地址映射为一个合法公网地址，但以不同的协议端口号与不同的内部地址相对应，也就是<内部地址+内部端口>与<外部地址+外部端口>之间的转换。NAPT普遍用于接入设备中，它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT也被称为“多对一”的NAT，或者叫PAT（Port Address Translations，端口地址转换）、地址超载（address overloading）。

端口多路复用（Port address Translation, PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

实验步骤

ISP配置

enable
conf t
interface FastEthernet0/0
 ip address 10.10.10.9 255.255.255.252
 no shutdown
ex
interface Serial0/0
 ip address 202.96.128.86 255.255.255.248
cl ra 64000
 no shutdown
ex
ip route 0.0.0.0 0.0.0.0 202.96.128.85
ip nat inside source static 10.10.10.10 202.96.128.86

interface FastEthernet0/0
 ip nat inside

interface Serial0/0
 ip nat outside

FW配置

en
conf t
interface FastEthernet0/0
 ip address 172.31.0.1 255.255.0.0
 ip nat inside
 no shutdown
int f0/1
ip add 172.16.16.17 255.255.255.248
no sh 
ex

interface Serial0/0
 ip address 202.96.128.85 255.255.255.248
cl ra 64000
 ip nat outside
 no shutdown

配置内部非服务器区域的动态NAT

access-list 1 permit 172.31.0.0 0.0.255.255

ip nat pool DYNAMIC_POOL 202.96.128.81 202.96.128.84 netmask 255.255.255.248
ip nat inside source list 1 pool DYNAMIC_POOL overload

配置PAT端口映射

ip nat inside source static tcp 172.16.16.18 80 202.96.128.85 80
ip nat inside source static tcp 172.16.16.18 443 202.96.128.85 443
ip nat inside source static tcp 172.16.16.18 8080 202.96.128.85 80
ip nat inside source static udp 172.16.16.18 53 202.96.128.85 53
ip nat inside source static tcp 172.16.16.21 21 202.96.128.85 21
ip nat inside source static tcp 172.16.16.21 20 202.96.128.85 20
ip nat inside source static tcp 172.16.16.22 25 202.96.128.85 25
ip nat inside source static tcp 172.16.16.22 110 202.96.128.85 110

查看NAT映射情况

show ip nat translations
 

查看配置结果

ISP静态映射

查看内部非服务器区域的动态NAT

查看PAT端口映射

到此实验就结束啦，仅供参考哦，哪里不对的希望各位大佬指正！！！🙏🙏(●'◡'●)