华为网络设备-NAT实验

华为网络设备-NAT实验

作者： 陈诺    排版： 赖裕鑫    审核： 蔡宗唐

---

---

一、实验简介

1. NAT简介

NAT(Network Address Translation) 网络地址转换，是一种IETF(Internet Engineering Task Force, Internet工程任务组)标准，是把内部私有网络地址转换成合法外部公有网络地址的技术。

TCP/IP协议版本IPv4，有IP地址匮乏的先天生缺陷；如果专用网络的计算机要访问Internet，则组织机构在连接Internet的设备上至少需要一个公有IP地址，然后采用NAT技术，将内部网络的计算机私有IP地址转换为公有IP地址，从而让使用私有IP地址的计算机能够和Internet中的计算机进行通信。

NAT 除了解决 IP 地址短缺的问题，还带来了两个好处：

• 有效避免来自外网的攻击，可以很大程度上提高网络安全性。

• 控制内网主机访问外网，同时也可以控制外网主机访问内网，解决了内网和外网不能互通的问题。

2. NAT类型

2.1 静态NAT

在路由器中，将内网IP地址固定的转换为外网IP地址，通常应用在允许外网用户访问内网服务器的场景。

2.2 动态NAT

将一个内部IP地址转换为一组外部IP地址池中的一个IP地址（公有地址），内网获得的公网地址是随机且非永久使用的。

2.3 Easy IP（转换成出接口地址）

通过端口号识别不同的内网地址，无需创建地址池，直接将内网地址转换为公网地址，属NAPT的特例。

2.4 NAPT（网络地址端口转换）

允许多个内网地址转换到同一个公网地址的不同端口，在内网通过端口号进行区分。NAPT又分为以下两种类型：

动态NAPT

以IP地址及端口号（TCP或UDP）为转换条件，将内部网络的私有IP地址及端口号转换成外部公有IP地址及端口号。

静态NAPT

在路由器中以 IP+端口 形式，将内网IP及端口固定转换为外网IP及端口，应用在允许外网用户访问内网计算机特定服务的场景。

2.5 多种模式的比较

二、实验配置

1. 动态NAT

1.1 实验要求

如图所示，ABC公司通过路由器R1接入Internet，相关背景和需求如下。

• 公司向ISP申请了1批公网IP：16.16.16.8~16.16.16.16。

• 公司内网计算机（192.168.100.0/24）可通过路由器R2随机映射到公网，实现内外网互访。

1.2 操作过程

1.21 地址规划

• PC1：192.168.100.1/24
• PC2：192.168.100.3/24
• Server：16.16.16.233/24

1.22 R1的配置

<Huawei> system-view
[Huawei] sysname R1
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/0] ip address 192.168.100.254 24
[R1-GigabitEthernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] ip address 16.16.16.8 24
[R1-GigabitEthernet0/0/1] quit
[R1] nat address-group 1 16.16.16.9 16.16.16.16                     //创建地址池（由于16.16.16.8已使用，顺延）
[R1] acl 2000
[R1-acl-basic-2000] rule 5 permit source 192.168.100.0 0.0.0.255
[R1-acl-basic-2000] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] nat outbound 2000 address-group 1 no-pat  //为出口网关应用NAT地址池
[R1-GigabitEthernet0/0/1] quit

提示：

nat address-group命令用来配置NAT地址池，当然要预留至少一个IP用于路由设备与公网通信；

nat outbound命令用来将一个访问控制列表ACL和一个地址池关联起来，其表示ACL中规定的地址可以使用地址池进行NAT转换；

no-pat 参数表示只转换数据报文的IP地址而不转换端口信息。

---

1.23 实验验证

首先，PC1能联通Server(16.16.16.233/24)。

其次，PC2能正常访问Server(16.16.16.233/24)的FTP服务。

在R1查看会话信息(display nat session all)。

以上测试结果得知，成功在路由器R1上配置动态NAT，内网可访问外网主机。

2. 静态NAT

2.1 实验要求

如图所示，某公司通过路由器R1接入到Internet，相关背景和需求如下。

• 公司向ISP申请了2个公网IP：16.16.16.8和16.16.16.9。

• 公司的FTP服务器需要以静态NAT方式对外提供服务，映射IP为16.16.16.9。

2.2 操作过程

2.21 地址规划

• PC1：192.168.100.1/24
• Server：192.168.100.2/24
• Client：16.16.16.233/24

2.22 R1的配置

<Huawei> system-view
[Huawei] sysname R1
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/0] ip address 192.168.100.254 24
[R1-GigabitEthernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] ip address 16.16.16.8 24
[R1-GigabitEthernet0/0/1] nat static global 16.16.16.9 inside 192.168.100.2  //将Server映射出去
[R1-GigabitEthernet0/0/1] quit

2.23 实验验证

首先，Client可以Ping通公司的公网地址（16.16.16.9/24）。

其次，Client通过公司的公网地址（16.16.16.9/24）访问公司内部服务器的FTP服务。

最后，在R1上查看NAT会话信息(display nat session all)。

以上测试结果得知，成功在路由器R1上配置静态NAT，实现FTP服务器的私网地址192.168.100.2与公网地址16.16.16.9的映射。

3. NAPT

3.1 实验要求

某公司通过动态NAT实现了内网主机和公网之间的通信，但随着公司员工的不断增加，有限的公网IP地址已不能满足所有员工上网需求，公司希望采用NAPT来解决更多员工的外网接入需求。

3.2 操作过程

3.21 地址规划

• PC1：192.168.100.1/24
• PC3：192.168.100.4/24
• Client：16.16.16.233/24

3.22 R1的配置

<Huawei> system-view
[Huawei] sysname R1
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/0] ip address 192.168.100.254 24
[R1-GigabitEthernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] ip address 16.16.16.8 24
[R1-GigabitEthernet0/0/1] quit
[R1] nat address-group 1 16.16.16.9 16.16.16.16             //创建地址池（由于16.16.16.8已使用，顺延）
[R1] acl 2000
[R1-acl-basic-2000] rule 5 permit source 192.168.100.0 0.0.0.255
[R1-acl-basic-2000] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] nat outbound 2000 address-group 1 //为出口网关应用NAPT地址池
[R1-GigabitEthernet0/0/1] quit

提示：命令中无no-pat参数的表示为NAPT。

3.23 实验验证

首先，分别在企业内网主机PC1、PC3中执行ping 16.16.16.233命令，测试内网主机与外网的连通性。

结果如下图所示，成功连接外网。

可以看出，一个公网IP地址可以为多个私网IP提供NAPT服务，解决了更多内网终端连接外网的问题。

其次，在R1上查看NAT会话信息(display nat session all)。

从以上信息得知，PC1和PC3的两个私网IP地址同时映射同一个公网IP地址，只是映射了不同的端口号。

4. Easy IP

4.1 实验要求

某公司通过拨号接入Internet，并申请到一个固定公网IP：16.16.16.8；且公司要求使用Easy IP技术实现全部内网计算机快速访问Internet。

4.2 操作过程

4.21 地址规划

• PC1：192.168.100.1/24
• PC3：192.168.100.4/24
• Client：16.16.16.233/24

4.22 R1的配置

<Huawei> system-view
[Huawei] sysname R1
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/0] ip address 192.168.100.254 24
[R1-GigabitEthernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] ip address 16.16.16.8 24
[R1-GigabitEthernet0/0/1] quit
[R1] acl 2000
[R1-acl-basic-2000] rule 5 permit source 192.168.100.0 0.0.0.255
[R1-acl-basic-2000] quit
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/1] nat outbound 2000  //为出口应用Easy IP模式
[R1-GigabitEthernet0/0/1] quit

提示：

Easy IP技术是对NAPT技术的简化，因为Easy IP只会用到一个公有IP地址，所以它无需建立公有IP地址地址池，用于转换的公网IP就是该路由器接口的IP地址。

即在本例中，nat outbound 2000表示对ACL 2000定义的地址段进行转换，并直接使用G0/0/0口的IP地址作为输出（Easy IP）地址。

4.23 实验验证

首先，在私网主机PC1和PC3中，执行ping 16.16.16.233命令，测试内网主机与外网的连通性。

结果如下所示，成功连接外网。

其次，在R1上查看NAT出口信息(display nat outbound)。

从Address-group/IP/Interface和Type表项信息得知，接口和ACL 2000允许的私网网段192.168.100.0/24已关联，且 Easy IP已配置成功。

---