华为eNSP实验：动态NAT之NAPT

一、动态NAT的原理

地址池管理：动态NAT使用一个公网IP地址池，这些地址可以由ISP分配。当内网设备需要访问外网时，从地址池中选择一个未使用的地址进行映射。

映射过程：当内网设备发起向外的连接请求时，NAT设备会从地址池中分配一个公网IP地址给该设备，并记录这个映射关系，连接结束后释放地址。

动态映射：由于映射关系是临时的，动态NAT无法实现内外网双向通信，只能从内网向外网发起通信。

二、NAPT的原理

地址与端口映射：NAPT将私网中的“内部地址+内部端口”映射为公网中的“外部地址+外部端口”。

多对一转换：这种转换是多对一的，即多个内部地址可以通过同一个公网地址的不同端口进行通信。

动态映射关系：映射关系是动态建立的，只有在需要时才创建，通信结束后会释放。

三、NAPT与动态NAT

1. 地址分配
   • 动态NAT：动态NAT使用一个公网IP地址池，当内网设备需要访问外网时，从地址池中选择一个未使用的IP地址进行映射。这种映射是一对一的，即一个内网地址对应一个公网地址。
   • NAPT：NAPT则是多对一的映射方式，它将多个内网地址通过不同的端口映射到同一个公网IP地址。这样，多个内网设备可以共享一个公网IP地址进行通信。
2. 端口使用
   • 动态NAT：在动态NAT中，通常不涉及端口的转换，只对IP地址进行映射。因此，它不支持同一公网地址上的多个并发会话。
   • NAPT：NAPT不仅转换IP地址，还转换传输层端口号，这使得多个内网设备可以通过同一个公网IP地址的不同端口与外界通信。这种方法有效地解决了公网IP地址短缺的问题，并支持多个并发会话。
3. 通信模式
   • 动态NAT：动态NAT支持内网到外网的单向通信，适用于内网设备主动访问外网的场景。
   • NAPT：NAPT既支持内网到外网的通信，也支持外网到内网的通信，只要相应的端口映射已经配置好。
4. 安全性
   • 动态NAT：动态NAT提供了较高的安全性，因为内网设备的私有IP地址不会被暴露在外网中。同时，由于每次通信结束后释放IP地址，攻击者难以追踪特定设备。
   • NAPT：尽管NAPT也隐藏了内网设备的真实IP地址，但由于所有通信都通过一个公网IP地址，如果该地址受到攻击，整个内网都可能面临安全威胁。

综合对比，动态NAT适用于那些有多个公网IP地址可用且强调安全性的场景，而NAPT则更适用于公网IP资源紧张且需要支持大量并发会话的环境。以下是选择使用它们的一些建议：

• 根据可用的公网IP地址数量选择合适的技术。如果公网IP资源有限，推荐使用NAPT。
• 考虑内外网通信需求。如果需要从外网访问内网设备，NAPT可能更具优势。
• 注意网络安全性。动态NAT在内网设备不直接暴露于外网方面具有更高的安全性。
• 管理复杂性也是一个需要考虑的因素，动态NAT可能需要更多的维护工作来管理地址池。

四、实验

实验需求：所有PC访问外网通过动态NAT出去访问服务器

首先设置PC和Server的配置

然后配置AR1的设置

命令：

<Huawei>sys
[Huawei]un in e    //关闭路由器信息
[Huawei]sysname R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24      //配置IP地址
[R1-GigabitEthernet0/0/0]undo shutdown          //开启接口
[R1-GigabitEthernet0/0/0]quit
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 100.1.1.1 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1-GigabitEthernet0/0/1]quit

接下来配置NAPT

命令：

[R1]nat address-group 1 100.1.1.3 100.1.1.4   

//创建NAT地址池，编号为1，开始的地址为100.1.1.3，结束的地址为100.1.1.4
[R1]acl 2000       //创建acl
[R1-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255

//允许192.168.1.0的网段通过
[R1-acl-basic-2000]quit
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1   //执行acl2000的过滤动作，通过NAT出去，从地址池1中拿地址
[R1-GigabitEthernet0/0/1]quit

实验测试

测试PC1、PC2、PC3、是否可以访问Server

 从上面的结果可以看出PC1、PC2、PC3都可以连通Server1

五、总结

动态NAT和NAPT各有优缺点，适用于不同的网络环境和需求。在选择适当的技术时，应综合考虑IP资源、安全性、管理复杂度等因素，以达到最优的网络访问性能和安全性。

通过NAPT，多个设备能够高效地共享一个公网IP地址进行互联网访问，这在缓解公网IP资源紧张、提高网络安全性方面发挥了重要作用。然而，其动态特性也带来了一些管理和通信上的限制。