NAT（网络地址转换）详解

目录

1. NAT概述
2. 为什么学习NAT？
3. NAT原理
4. NAT的类型
5. NAT配置
6. NAT课堂实验

NAT概述

NAT（Network Address Translation），即网络地址转换，是一种在专用网络地址与全球地址之间进行转换的技术。通过NAT，内网的私有IP地址可以转换为合法的公网IP地址，从而实现对互联网的访问。

为什么学习NAT？

随着互联网用户的增长，IPv4地址资源变得越来越紧缺。为了解决这一问题，NAT技术应运而生。NAT技术可以有效地利用有限的公网IP地址资源，使大量拥有私有IP地址的内网设备能够共享少量的公网IP地址上网。

私有IP地址

私有IP地址只能在内网使用，禁止出现在公网上，且可以重复利用。私有IP地址范围包括：

• 10.0.0.0/8
• 172.16.0.0/16 -- 172.31.0.0/16
• 192.168.0.0/16
• 127.0.0.1/8 本地回环地址

公网IP地址

除私有IP外，全是公网IP地址。公网IP地址只能出现在公网。

NAT原理

NAT技术通过转换IP报文头部中的IP地址来实现内外网的通信。NAT主要分为源地址转换（SNAT）和目的地址转换（DNAT）。

SNAT源地址转换

内网访问外网时使用SNAT。当内网设备发送的数据包到达NAT设备时，NAT设备将数据包的源IP地址转换为NAT设备的公网IP地址。

DNAT目的地址转换

外网访问内网时使用DNAT。当外网设备发送的数据包到达NAT设备时，NAT设备将数据包的目的IP地址转换为内网设备的私有IP地址。

NAT的类型

NAT技术主要有三种类型：静态NAT、动态NAT以及NAPT（端口地址转换）。

静态NAT

静态NAT是将内网的一个私有IP地址一对一地映射到一个公网IP地址上。这种映射是固定的，不涉及端口转换。

动态NAT

动态NAT则是将多个私有IP地址映射到一个或少数几个公网IP地址上。这种映射是动态的，每次映射可能都不相同。

NAPT（端口地址转换）

NAPT是通过将多个私有IP地址映射到一个公网IP地址的不同端口上来实现多对一的上网。这种技术不仅节省了公网IP地址资源，还提高了安全性，因为每个会话都对应了一个唯一的端口号。

NAT配置

静态NAT配置

静态NAT配置较为简单，只需将内网的一个私有IP地址映射到一个固定的公网IP地址即可。

[R1-GigabitEthernet0/0/0]nat static global {global-address} inside {host-address}

动态NAT配置

动态NAT配置需要定义一个地址池，并将内网的私有IP地址映射到这个地址池中的地址。

nat address-group 1 100.1.1.1 100.1.1.10
acl 2000 rule 5 permit source 192.168.1.0 0.0.0.255
[R1-Serial1/0/0]nat outbound 2000 address-group 1 no-pat

Easy IP（NAPT）配置

Easy IP是一种特殊的NAPT配置方式，它不需要预先定义地址池，而是直接使用接口的公网IP地址作为转换后的地址。

[R1-GigabitEthernet0/0/0]nat outbound 2000

NAT Server（DNAT）配置

NAT Server用于将内网的服务器对外发布，使其可以直接通过公网IP地址访问。

[R1-GigabitEthernet0/0/0]nat server protocol tcp global 202.169.10.6 ftp inside 172.16.1.3 ftp

NAT课堂实验

实验背景

内网使用的是私有IP地址，员工无法直接访问公网。现需要网关路由器R1配置NAT地址转换，将内网IP转换为公网IP。

实验步骤

1. 静态NAT：给公司客户经理分配一个公网IP：202.169.10.5做静态NAT地址转换。

[R1-GigabitEthernet0/0/0]nat static global 202.169.10.3 inside 172.16.1.1

2. 动态NAT：公司市场部员工需要能够访问外网。市场部使用172.17.1.0/24网段，网络管理员使用地址池202.169.10.50~202.169.10.60为市场部员工做NAT地址转换。

nat address-group 1 202.169.10.50 202.169.10.60
[R1-Serial1/0/0]nat outbound 2000 address-group 1 no-pat

3. Easy IP（NAPT）：对于内网中使用UDP协议的PC2和PC3，需要能够与PC4通信。

[R1-GigabitEthernet0/0/0]undo nat outbound 2000 address-group 1 no-pat
[R1-GigabitEthernet0/0/0]nat outbound 2000

4. NAT Server（DNAT）：公司内提供FTP服务的服务器需要对外公布，配置公网IP 202.169.10.6 对外公布服务器地址。

[R1-GigabitEthernet0/0/0]nat server protocol tcp global 202.169.10.6 ftp inside 172.16.1.3 ftp