双向NAT=源NAT+NAT Server，有这么6？

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

你们好，我的网工朋友。

随着移动设备的普及和云计算技术的发展，网络流量的规模和复杂度不断增加。网络地址转换（NAT）作为一种重要的网络技术，在解决IP地址短缺、提高网络安全性和灵活性方面发挥着关键作用。

然而，传统的单向NAT已经无法完全满足现代网络的需求，特别是当需要既保护内网又能提供对外服务的情况下。

而双向NAT这一概念，即结合了源NAT（Source NAT）和NAT Server两种技术的优势，以实现内外网络之间的高效互连。

今天就来讲讲双向NAT，看看结合了双方优势后牛在哪里，连同配置示例也一起给你，这不so easy

今日文章阅读福利：《 华为交换机开局一本通 》/《华为防火墙配置指南 》

实现双向NAT的关键在于正确配置路由器或防火墙设备，毕竟不管多么新颖高端的技术，都得先把基础配置打牢了

私信发送暗号“一本通” or “华为防火墙”，即可获取这两份优质资源。

01 NAT基础

网络地址转换（Network Address Translation, NAT）是一种用于重写IP数据包头部地址的技术，它允许一个或多个私有网络内的设备共享一个或多个全球唯一的IP地址来访问互联网。

NAT的引入主要是为了解决IPv4地址空间不足的问题，同时也增强了网络的安全性，因为内部网络的结构对外部观察者是隐藏的。

NAT的工作原理在于路由器或防火墙设备上运行的一个特殊程序。当来自私有网络的数据包离开本地网络时，NAT设备会将该数据包的源IP地址替换为一个全局可路由的IP地址。

相反地，当响应的数据包返回到私有网络时，NAT设备会将其目标IP地址恢复为原来的私有IP地址。

01NAT类型

• 静态NAT：为私有网络中的每个主机分配一个固定的公有IP地址。这种方式适用于需要持续公开访问的服务器。
• 动态NAT：从一组公有IP地址池中临时分配一个地址给私有网络中的主机。这种方式适用于不需要长期保持连接的主机。
• 端口地址转换（PAT）：通过使用一个或少数几个公有IP地址，并结合不同的传输层端口号来区分不同的私有网络主机。PAT是目前最常用的NAT形式之一，因为它能够有效地利用有限的公有IP地址资源。
• 网络地址端口转换（NAPT）：结合了NAT和PAT的特点，不仅转换IP地址，还转换端口号，从而支持大量的内部主机通过少量的外部IP地址进行通信。

02 源NAT

源NAT（Source NAT）是一种NAT技术，它的主要功能是在数据包离开私有网络进入公网时，修改数据包的源IP地址。

这样做的目的是为了让私有网络中的设备能够使用公共IP地址与外部网络通信。源NAT通常在边界路由器或防火墙上实现，以确保内部网络的私有IP地址不会暴露给外部网络。

01 工作流程：

1. 内部主机发送数据包至边界路由器/防火墙。
2. 边界设备检查数据包，并将源IP地址从私有地址转换成合法的公有IP地址。
3. 数据包通过转换后的源IP地址被发送到外部网络。
4. 当响应数据包返回时，边界设备再次检查数据包，将目的IP地址恢复为内部主机的私有IP地址，并将数据包转发给相应的内部主机。

03 NAT Server

NAT Server 是一种特殊的NAT配置，它允许外部网络中的主机通过一个公共IP地址和端口号来访问位于私有网络内部的服务器。NAT Server通常用于将内部网络中的服务器暴露给外部网络，以便提供Web服务、邮件服务或其他任何需要从外部访问的服务。

NAT Server的主要功能是将外部网络中的请求映射到内部网络中的特定服务器上。这意味着当外部用户尝试访问一个特定的公共IP地址和端口号时，NAT设备会将请求转发给内部网络中对应的服务器。

01工作机制

NAT Server的工作机制涉及以下几个步骤：

1. 配置映射：管理员在边界路由器或防火墙上配置NAT Server规则，指定一个或多个外部IP地址和端口号与内部服务器的IP地址和端口号之间的映射关系。
2. 接收请求：当外部网络中的客户端尝试访问指定的公共IP地址和端口号时，NAT设备接收到该请求。
3. 地址转换：NAT设备根据预先配置的规则，将请求的目的IP地址和端口号转换为内部服务器的IP地址和端口号。
4. 转发请求：经过转换后的数据包被转发到内部网络中的相应服务器。
5. 响应处理：内部服务器处理请求并生成响应数据包，这些响应数据包同样需要经过NAT设备，将源IP地址和端口号转换回公共IP地址和端口号，然后发送给外部客户端。

04 双向NAT的概念

双向NAT 是指在一个网络环境中同时使用源NAT（Source NAT）和NAT Server技术，以实现内外网络之间双向透明的数据交换。

这种组合使用的方式不仅可以保护内部网络的安全，还能确保内部服务器能够被外部网络访问，从而达到内外网络无缝连接的效果。

01 意义：

安全性：通过使用源NAT，内部网络的结构和地址信息被隐藏起来，提高了网络的整体安全性。

灵活性：NAT Server使得内部服务器能够被外部网络访问，增强了网络架构的灵活性。

资源优化：结合这两种技术可以有效利用有限的公网IP地址资源，同时满足多种网络服务的需求。

02 实际需求

保护内部网络：企业往往希望内部网络的结构对外部世界保密，防止未经授权的访问。

提供公共服务：许多组织需要对外提供Web服务、邮件服务或其他应用程序，这就需要将内部服务器映射到公网地址上。

多点访问：在某些情况下，内部网络中可能存在多个需要对外提供服务的节点，而可用的公网IP地址数量有限，此时需要合理规划和使用NAT技术。

03 技术实现

实现双向NAT的关键在于正确配置路由器或防火墙设备，使其既能处理出站流量的源地址转换，又能处理入站流量的地址映射。具体来说，这涉及到以下几个方面的配置：

• 定义内部网络和外部网络：确定哪些接口被视为内部网络接口（标记为ip nat inside），哪些接口被视为外部网络接口（标记为ip nat outside）。

• 配置源NAT：设置规则，以确保所有从内部网络发出的数据包在离开网络边界时，其源地址都被转换为合法的公网IP地址。
• 配置NAT Server：定义静态映射规则，将外部网络的请求转发到内部网络中的特定服务器。

05 双向NAT配置示例

以下是使用Cisco IOS设备为例子配置双向NAT的具体步骤和命令示例：

01 步骤1：定义接口类型

首先，我们需要定义哪些接口是内部接口，哪些是外部接口。

router(config)# interface GigabitEthernet0/0  ; 配置外网接口
router(config-if)# ip address 172.20.0.1 255.255.255.0
router(config-if)# ip nat outside
router(config-if)# no shutdown
router(config-if)# exit
router(config)# interface GigabitEthernet0/1  ; 配置内网接口
router(config-if)# ip address 192.168.1.1 255.255.255.0
router(config-if)# ip nat inside
router(config-if)# no shutdown
router(config-if)# exit

02 步骤2：配置源NAT

接下来，配置源NAT，使内部网络中的流量能够通过公共IP地址访问外部网络。

router(config)# ip nat pool Inside 172.20.0.1 172.20.0.1 prefix-length /32


router(config)# ip nat inside source list 1 pool Inside overload


router(config)# access-list 1 permit ip 192.168.1.0 0.0.0.255 any

这里定义了一个地址池Inside，并将所有来自192.168.1.0/24子网的流量映射到172.20.0.1这个公网IP地址上。

03 步骤3：配置NAT Server

然后，配置NAT Server规则，使外部网络可以通过公共IP地址访问内部网络中的服务器。假设内部有一台Web服务器，其IP地址为192.168.1.10，需要通过公共IP地址172.20.0.1的80端口访问该服务器。

router(config)# ip nat inside source static tcp 172.20.0.1 80 192.168.1.10 80

这条命令将所有发往172.20.0.1:80的TCP请求重定向到内部服务器192.168.1.10:80。

04 步骤4：启用NAT服务

最后，确保NAT服务已被启用，并且所有相关配置都已经生效。

router(config)# ip nat enable

05 步骤5：验证配置

通过ping测试、traceroute以及其他网络诊断工具来验证配置是否正确，并且双向NAT是否按预期工作。

ping 8.8.8.8
traceroute 8.8.8.8

此外，可以从外部网络尝试访问内部服务器，确认NAT Server是否正常工作。

原创：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部