NAT学习

学习目标：

1、 掌握锐捷NAT
2、 掌握华为NAT

---

学习内容：

NAT概念用途：

        NAT：网络地址转换。正常数据转发时，IP头部的源和目的地址以及端口号是不会被更改的，而使用了NAT技术后，它将更改报文头部内容，实现隐藏内外部主机真实地址、多台主机共享少量IP访问内外部网络、解决IP地址空间重叠、服务器负载均衡等功能。

NAT术语：

术语	定义
内部本地IP地址	分配给内部网络中的主机的 IP 地址，通常这种地址来自 RFC1918 指定的私有地址空间。
内部全局IP地址	内部全局 IP 地址，对外代表一个或多个内部本地 IP 地址，通常这种地址来自全局唯一的地址空间，通常是ISP 提供的。
外部全局IP地址	外部网络中的主机的 IP 地址，通常来自全局可路由的地址空间。
外部本地IP地址	在内部网络中看到的外部主机的 IP 地址。
简单转换条目	将一个 IP 地址映射到另一个 IP 地址（通常被称为网络地址转换）的转换条目。
扩展转换条目	将一个 IP 地址和端口对映射到另一个 IP 地址和端口（通常被称为端口地址转换）对的转换条目。

NAT分类：

静态NAT：手动建立一个内部IP地址到一个外部IP地址的一对一映射关系

        该方式经常用于企业网的内部设备需要能够被外部网络访问到的场合。

动态NAT：将一个内部IP地址转换为一组外部IP地址（地址池）中的一个 IP地址

        常用于整个公司共用多个公网IP地址访问Internet时。

超载（Overloading）NAT：动态NAT的一种特殊形式，将多个内部IP地址转换为同一个外部IP地址的不同端口号，也称为PAT、NAPT（网络地址端口转换）或端口复用NAT

        常用于整个公司共用1个公网IP地址访问Internet时。

Easy IP（华为）：允许将多个内部地址映射到网关出接口地址上的不同端口。

静态NAT配置：

锐捷：

① 指定一个内部接口和一个外部接口：

         (config-if)# ip nat { inside | outside }

② 配置静态转换条目:

         (config)# ip nat inside source static local-ip { interface interface | global-ip }

③ 配置静态 端口 转换条目：

         (config)# ip nat inside source static { tcp | udp } local-ip local-port { interface interface | global-ip } global-port [  permit-side  ]

(config)#interface f0/0
(config-if)#ip nat inside
(config)#interface f2/0
(config-if)#ip nat outside
(config)#ip nat inside source static 10.1.1.1 172.2.2.2
(config)#ip nat inside source static tcp 10.1.1.1 80 172.2.2.2 80

华为：

创建静态NAT命令：

         [RTA -serial1/0/0] nat static global { global-address} inside { host-address } 

[RTA]interface GigabitEthernet0/0/ 1
[RTA-GigabitEthernet0/0/1]ip address 192.168.1.254 24
[RTA-GigabitEthernet0/0/1]interface Seria11/0/0
[RTA-Seria11/0/0]ip address 200.10.10.2 24
[RTA-Serial1/0/0]nat static global 202.10.10.1 inside 192.168.1.1

NAT内部服务器：

①公网地址与内部服务器是一对多关系：
         建议执行命令：nat server protocol { tcp | udp | protocol-number } global global-address [ global-protocol | global-port ] [ vpn-instance global-vpn-instance-name ] inside inside-address [ host-protocol | inside-port ] [ vpn-instance inside-vpn-instance-name ]，配置不同报文类型的NAT内部服务器。
②公网地址与内部服务器是一对一关系：
         建议执行命令：nat server global global-address [ vpn-instance vpn-instance-name ] inside inside-address [ vpn-instance vpn-instance-name ]，配置NAT内部服务器。
③为了节省公网地址，NAT内部服务器地址借用接口地址：
         建议执行命令：nat server protocol { tcp | udp | protocol-number }global unnumbered interface { interface-name | interface-type interface-number } [ global-protocol | global-port ] [ vpn-instance global-vpn-instance-name ] inside inside-address [ host-protocol | inside-port ] [ vpn-instance inside-vpn-instance-name ]，创建不同报文类型的NAT内部服务器和接口地址的复用关系。

[RTA]interface GigabitEthernet0/0/1
[RTA-GigabitEthernet0/0/1]ip address 192.168.1.254 24
[RTA-Gigabit Ethernet0/0/1]interface Seria11/0/0
[RTA-Seria11/0/0]ip address 200.10.10.2 24
[RTA-Serial1/0/0]nat server protocol tcp global 202.10.10.1 www inside 192.168.1.1 443

动态NAT配置：

锐捷：

① 指定一个内部接口和一个外部接口：

         (config-if)# ip nat { inside | outside }

② 定义IP访问控制列表：

         (config)#access-list access-list-number { permit | deny }

③ 定义一个地址池： https://mp.csdn.net/editor/html/117439833

         (config)# ip nat pool pool-name start-ip end-ip { netmask netmask | prefix-length prefix-length }

④ 配置动态转换条目：

         (config)# ip nat inside source list access-list-number { interface interface | pool pool-name }

Router#configure terminal
Router(config)#interface fastEthernet0/0
Router(config-if)#ip address 10.1.1.10 255.255.255.0
Router(config-if)#ip nat inside
Router(configif)#interface Serial0/0
Router(config-if)#ip address 172.16.2.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#access-list 10 permit 10.1.1.0 0.0.0.255
Router(config)#ip nat pool ruijie 192.168.2.1 192.168.2.254 netmask 255.255.255.0
Router(config)#ip nat inside source list 10 pool ruijie

华为：

         nat outbound命令用来将一个访问控制列表ACL和一个地址池关联起来，表示ACL中规定的地址可以使用地址池进行地址转换。ACL用于指定一个规则，用来过滤特定流量。

[RTA]nat address-group 1 200.10.10.1 200.10.10.200
[RTA]acl 2000
[RTA-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[RTA-acl -basic-2000]quit
[RTA]interface serial1/0/0
[RTA-Serial1/0/0]nat outbound 2000 address-group 1 no-pat

 nat address-group支持两种模式：
①配置nat address-group后直接配置从起始地址start-address到结束地址end-addres的地址段或带有mask的网段地址池。
②配置nat address-group进入地址池配置视图，执行命令section配置公网地址池。 

#1、在NAT实例cpe1视图下配置NAT地址池名group1的从192.168.131.1到192.168.131.155的分段地址池。
<HUAWEI> system-view
[~HUAWEI] nat instance cpe1 id 1
[*HUAWEI-nat-instance-cpe1] nat address-group group1 group-id 1 192.168.131.1 192.168.131.155
#2、在NAT实例cpe1视图下配置NAT地址池group1，进入NAT地址池group1视图配置192.168.2.0/24网段的地址池。
<HUAWEI> system-view
[~HUAWEI] nat instance cpe1 id 1
[*HUAWEI-nat-instance-cpe1] nat address-group group1 group-id 0
[*HUAWEI-nat-instance-cpe1-nat-address-group-group1] section 1 192.168.2.0 mask 24

Easy-IP：

        nat outbound acl-number命令用来配置Easy-IP地址转换。Easy IP的配置与动态NAT的配置类似，需要定义ACL和nat outbound命令，主要区别是Easy IP不需要配置地址池。

        所以nat outbound命令中不需要配置参数address-group。

端口转换NAPT配置：

锐捷：

         与动态NAT差不多，只是转换条目后面加：overload。

 配置劢态转换条目：

        (config)#ip nat inside source list access-list-number { interface interface | pool pool-name } overload

Router#configure terminal
Router(config)#interface fastEthernet0/0
Router(config-if)#ip address 10.1.1.10 255.255.255.0
Router(config-if)#ip nat inside
Router(configif)#interface Serial0/0
Router(config-if)#ip address 172.16.2.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#access-list 10 permit 10.1.1.0 0.0.0.255
Router(config)#ip nat pool ruijie 192.168.2.1 192.168.2.254 netmask 255.255.255.0
Router(config)#ip nat inside source list 10 pool ruijie overload

华为：

        与动态NAT差不多，只是 nat outbound命令后面不加：no-pat 。

[RTA]nat address-group 1 200.10.10.1 200.10.10.200
[RTA]acl 2000
[RTA-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[RTA-acl-basic-2000]quit
[RTA]interface serial1/0/0
[RTA-Serial1/0/0]nat outbound 2000 address-group 1 

小结：

        实际工作中用的最多的是：静态端口转换（华为的NAT Server）、端口转换（ NAPT ）。

---

学习时间：

2021年6月14日下午

---

学习产出：

1、CSDN 博客笔记1 篇
2、常用命令整理汇总