第十一章 网络地址转换

1、适用于使用NAT的各种情况：

1.需要连接到因特网，但是主机没有公网IP地址

2.更换了一个新的ISP，需要重新组织网络

3.需要合并两个具有相同网络地址的内网

网络地址类型转换

2、静态NAT：静态NAT需要网络中每台主机都拥有一个真实的因特网IP地址，需要在路由器上静态映射内部到外部的地址

3、动态NAT：实现映射一个未注册IP地址到注册IP地址池中的一个注册IP地址，必须保证每个在因特网中收发包的用户都有真实的IP可用

4、复用：较为流行的NAT配置类型，是动态NAT的一种形式；通过映射多个未注册的IP地址到单独一个注册的IP地址，多对一（使用不同的端口），也被称为端口地址映射（PAT）

5、通过使用PAT，可实现上千用户仅通过一个真实的全球IP地址连接到因特网

6、全局地址：在NAT转换后使用的地址叫做全局地址，通常是使用在因特网上的公网地址

7、公网地址：如果不进入因特网，就不需要公网地址

8、本地地址：NAT转换之前的地址，即尝试连接到因特网的发送端主机的私有地址

9、外部本地地址：是目标主机地址，通常是一个公网地址

10、NAT术语：

内部本地：转换之前内部源地址的名字

外部本地：转换之前目标主机的名字

内部全局：转换之后内部主机的名字

外部全局：转换之后外部目标主机的名字

静态NAT配置

11、配置示例输出：ip nat inside source命令识别哪一个IP地址将被转换；命令ip nat inside识别接口为内部接口；命令ip nat outside识别接口为外部接口

动态NAT配置

12、动态NAT意味着我们可以为内部的用户组提供真实的IP地址池

13、动态NAT配置示例输出：

ip nat pool todd 170.168.2.2 170.168.2.254

  netmask 255.255.255.0

ip nat inside source list 1 pool todd

!

interface Ethernet0

  ip address 10.1.1.10 255.255.255.0

  ip nat inside

!

interface Serial0

  ip address 170.168.2.1 255.255.255.0

  ip nat outside

!

access-list 1 permit 10.1.1.0 0.0.0255

!

14、命令ip nat inside source list 1 pool todd告诉路由器把匹配access-list 1的IP地址转换为名字叫todd的IP NAT地址池中的一个地址

15、在这里，访问列表被用来选择或指定触发流量；当触发流量与访问列表匹配时，触发流量被放入NAT过程进行转换

16、命令ip nat pool todd 170.168.2.2 170.168.2.254创建了一个地址池，这个地址池为那些需要NAT的主机提供地址

PAT（复用）配置

17、PAT配置实例输出：

ip nat pool globalnet 170.168.2.1 170.168.2.1

  natmask 255.255.255.0

ip nat inside source list 1 pool globalnet overload

!

interface Ethernet0/0

  ip address 10.1.1.10 255.255.255.0

  ip nat inside

!

interface Serial0/0

  ip address 170.168.2.1 255.255.255.0

  ip nat outside

!

access-list 1 permit 10.1.1.0 0.0.0.255

18、PAT与动态NAT的配置差异：IP地址池被缩减为一个IP地址，并且在ip nat inside source命令之后包含overload命令

NAT的简单验证

19、查看基本IP地址转换信息：

Router#show ip nat translation

20、显示NAT转换表：

Router#debug ip nat

21、从转换表中清除NAT条目：使用clear ip nat translation命令，清除所有条目，则在命令结尾使用 *（星） 号，仅动态条目被删除，不删除静态条目

22、pool（refcout）命令检查动态地址池

23、必须在NAT表中保存初始化映射，这样，从特定连接到达的数据包才能一直被转换，这也将减少相同机器发送数据包到相同的外部目标时进行重复查找的次数

24、当一个条目首次被放入NAT表中，计时器开始计时，每次包经过路由器被特定条目转换后，计时器被重置，如果计时器时期满，条目将从NAT表中删除，并且动态分配的地址将回到地址池中等待再次分配

25、Cisco默认转换超时为86400秒（24小时），可使用ip nat translation timeout命令更改

26、每个NAT映射占用大约160字节的内存

测试并诊断NAT故障

27、 检查动态地址池中地址范围是否正确

检查动态地址是否重叠

检查被映射地址与动态地址池中的地址是否重叠

确定访问列表指定正确的转换地址

确信列表中地址无遗漏，无多余

确信内部、外部接口都已经恰当地界定

28、使用ip nat translation max-entries命令来解除NAT表的条目限制

29、排除故障的命令是show ip nat statistics，可得到NAT配置汇总

使用SDM配置NAT