安全HCIP之NAT上

NAT简介

出现背景：

• 随着Internet的发展和网络应用的增多，IPv4地址枯竭已经成为制约网络发展的瓶颈，尽管IPv6可以从根本上解决IPv4地址空间不足的问题，但目前众多的网络设备和网络应用仍是基于IPv4的，因此在IPv6广泛应用之前，一些过渡技术的试用是解决这个问题的主要技术手段；
• 网络地址转换技术NAT（Network Address Translation）主要用于实现位于内部网络的主机访问外部网络的功能，当局域网内的主机需要访问外部网络时，通过NAT技术可以将其私网地址转换为公网地址，并且多个私网用户可以共用一个公网地址，这样既可以保证网络互通，又节省了公网地址；

地址分类：

类型	范围	说明
私网地址	A:10.x.x.x,B:172.16.0.0~172.31.255.255,C:192.168.x.x	可以在局域网内部使用
公网地址	剩下的单播地址	全球独一无二，只用一个人在使用，公网地址需要花钱购买

私网地址 + NAT == IPv4地址枯竭

静态NAT（一对一）（inbound）

配置栗子（）：

[R1]int g0/0/1
[R1]net static global 12.1.1.2 inside 192.168.1.2

缺点：一对一，有多少个内网地址就有多少个公网地址；
优点：可以直接在外网通过访问公网地址来访问内网地址，即可以将内网的地址接直接映射成公网地址；

Easy ip NAT（多对一）（nat outbound）

工作原理： 数据包在出外网时，路由器将基于源端口将报文进行相应额地址转换，并进行相应的映射记录（缓存），当报文回来时，基于端口来区分内网不同的PC，为了防止PC源端口相同，数据出包时源端口也会被转换掉；

注意：icmp报文使用序列号来区分内网不同的PC；
配置栗子：
[R1]acl 2000
[R1]rule permit source 0.0.0.0 0 //使用acl匹配允许被nat转换的内网地址的网段
[R1]q
[R1]int g0/0/1 //公网接口
[R1]nat outbound 2000 //公网接口调用acl

使用地址池的方式配置NAT：
地址池：公网地址池；
优点：可以自定义转换的公网地址，支持多个公网地址，支持跟多的用户NAT；

注意：公网地址池不能包含公网接口的地址；

NAT server（端口映射）

配置栗子（将内网的192.168.1.4的80端口映射成外网12.1.1.5的80端口）：

[R1]int g0/0/1
[R1]nat server protocol global 12.1.1.5 80 inside 192.168.1.4 80