Cisco nat inside接口,outside接口,nvi接口的区别

r2上，e0/0为outside，e0/1为inside，使用ip nat outside sour static 1.1.1.1 202.100.1.5将outside的1.1.1.1 转换成inside的202.100.1.5，但由于数据包先经过了outside，outside接口是pre-routing性质，因此会先做nat后路由，去包没什么问题，回包由于先路由，以转换后的全局目标地址寻找回来的出接口，这与真实的内网目标地址不是同一个出接口，因此nat前使用回包全局目地地址的路由是不正确的，因此ping不通。可以做nat时使用add-route解决，关键字是将转换前的地址路由条目加入发生转换的路由器的路由表中。因此，在outside上做源地址转换会出现回包没有路由的情况，因此尽量避免outside上做源地址转换，但如果nat路由器有源地址的条目，就不会发生问题。而inside是post-routing性质，先经历inside接口的数据包，会先做路由后转换，因此做inside的源地址转换，去包会先路由后转换，回包先经过outside接口，因此的目的地址会先转换成内部地址，这时基于转换后回包的目的地址的路由就是正确的。Cisco的机制是将routing和nat分开处理。Cisco为了旁路掉inside和outside接口的区别，因此使用了nvi接口，来代替前两者，也就是说，所有启用nat的接口都会将流经其的nat流量重定向给nvi，nvi只有一个动作，就是nat转换，因此此例r2两侧都是ip nat enable接口的话，去包和回包都在路由之前就转换完毕，因此路由器觉察不到数据包经历过转换，因此r2 上debug ip nat看不到转换信息。。但使用inside和outside时就会看到转换信息，因为这时的转换对于路由器是不透明的