十三章:NAT
随着Internet的发展和网络应用的增多,有限的IPv4公有地址已经成为制约网络发展的瓶颈。为解决这个问题,NAT(Network Address Translation,网络地址转换)技术应需而生。
13.1NAT概述
1、静态NAT
每个私有地址都有一个与之对应并且固定的公有地址,即私有地址和公有地址之间的关系是一对一映射。
2、动态NAT
静态NAT严格地一对一进行地址映射,这就导致即便内网主机长时间离线或者不发送数据时,与之对应的公有地址也处于使用状态。为了避免地址浪费,动态NAT提出了地址池的概念:所有可用的公有地址组成地址池。
- NATPT
从地址池中选择地址进行地址转换时不仅转换IP地址,同时也会对端口号进行转换,从而实现公有地址与私有地址的1:n映射,可以有效提高公有地址利用率。
- Easy-IP
实现原理和NAPT相同,同时转换IP地址、传输层端口,区别在于Easy IP没有地址池的概念,使用接口地址作为NAT转换的公有地址。
- NAT Server
指定[公有地址:端口]与[私有地址:端口]的一对一映射关系,将内网服务器映射到公网,当私有网络中的服务器需要对公网提供服务时使用。
13.2实验一:静态NAT
PC1和PC2通过静态NAT去访问服务器
- 实验拓扑
图13-1 静态NAT
- 实验步骤
- 步骤1:IP地址的配置
PC1的配置
PC2的配置
R1的配置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]ip address 100.1.1.1 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1-GigabitEthernet0/0/1]quit
服务器的配置
- 步骤2:静态NAT的配置
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]nat static global 100.1.1.3 inside 192.168.1.1
[R1-GigabitEthernet0/0/1]nat static global 100.1.1.4 inside 192.168.1.2
[R1-GigabitEthernet0/0/1]quit
【技术要点】:
Global为全局地址:为公有IP地址
Inside为内部地址:为私有IP地址
以PC1为例:
- 实验调试
PC1访问服务器
PC2访问服务器
查看NAT
[R1]display nat static
Static Nat Information:
Interface : GigabitEthernet0/0/1
Global IP/Port : 100.1.1.3/----
Inside IP/Port : 192.168.1.1/----
Protocol : ----
VPN instance-name : ----
Acl number : ----
Netmask : 255.255.255.255
Description : ----
Global IP/Port : 100.1.1.4/----
Inside IP/Port : 192.168.1.2/----
Protocol : ----
VPN instance-name : ----
Acl number : ----
Netmask : 255.255.255.255
Description : ----
Total : 2
13.2实验二:动态NAT之NAPT
- 实验需求
所有的PC机通过地址池去访问外网,地址池只有二个地址(100.1.1.3,100.1.1.4)
- 实验拓扑
- 实验步骤
- 步骤1:IP地址的配置
PC1的配置
PC2的配置
PC3的配置
R1的配置
R1的配置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]ip address 100.1.1.1 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1-GigabitEthernet0/0/1]quit
服务器的配置
- 步骤2:NAPT
[R1]nat address-group 1 100.1.1.3 100.1.1.4 //创建NAT地址池,里面放了两个地址。
[R1]acl 2000
[R1-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 //满足访问控制列表2000的流量通过NAT出去,从地址池里面拿地址
[R1-GigabitEthernet0/0/1]quit
【技术说明】:
接口调用时:
nat outbound 2000 address-group 1 no-pat //一个私有IP地址对应一个公有IP地址
nat outbound 2000 address-group 1 //实现公有地址与私有地址的1:n映射,可以有效提高公有地址利用率。
- 实验调试
PC1访问服务器
PC2访问服务器
PC3访问服务器
13.3实验三:Easy-IP
- 实验需求
所有PC通过Easy-IP访问外网
- 实验拓扑
如图8-2所示:
- 实验步骤
- 配置IP地址
与实验实验二一样(略)
- 配置Easy-IP
[R1]acl 2000
[R1-acl-basic-2000]rule 10 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]nat outbound 2000
[R1-GigabitEthernet0/0/0]quit
- 实验调试
PC1访问服务器
PC2访问服务器
PC3访问服务器
13.4实验四:NAT Server
- 实验需求
公网上的client1通过NAT Server技术访问内网的服务器
- 实验拓扑
- 实验步骤
- 步骤1:配置IP地址
Server1的配置
R1的配置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R1
[R1]interface g0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.254 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]quit
[R1]interface g0/0/1
[R1-GigabitEthernet0/0/0]ip address 100.1.1.1 24
[R1-GigabitEthernet0/0/0]undo shutdown
[R1-GigabitEthernet0/0/0]quit
R2的配置
<Huawei>system-view
[Huawei]undo info-center enable
[Huawei]sysname R2
[R2]interface g0/0/0
[R2-GigabitEthernet0/0/0]ip address 100.1.1.2 24
[R2-GigabitEthernet0/0/0]undo shutdown
[R2-GigabitEthernet0/0/0]quit
[R2]interface g0/0/1
[R2-GigabitEthernet0/0/1]ip address 200.1.1.2 24
[R2-GigabitEthernet0/0/1]undo shutdown
[R2-GigabitEthernet0/0/1]quit
[R2]ip route-static 200.1.1.0 255.255.255.0 100.1.1.2
Client1的配置
- 步骤2:路由配置
[R1]ip route-static 200.1.1.0 255.255.255.0 100.1.1.2
【技术说明】:
公网上不能有私网的路由
- 步骤2:配置NAT Server
[R2]interface g0/0/1
[R2-GigabitEthernet0/0/1]nat server protocol tcp global 200.1.1.88 www inside 192.168.1.1 80 //外网访问200.1.1.88的80端口相当于在访问192.168.1.1的80端口
- 实验调试
Server1开启WWW服务
Client1访问网页
实验成功。
本文出自作者的《华为认证HCIA-datacom认证实验指南》