NAT——网络地址转换

一.概述：

NAT（Network Address Translation）又称为网络地址转换，用于实现私有网络和公有网络之间的互访。

二.作用：

通过地址转换实现私有网络和公有网络之间的相互访问

三.功能：

共享公网IP和带宽（这是NAT主机的最大功能），节约公网IP；

隐藏内网主机的真实地址，起到一定的安全防护作用

四.NAT 的工作原理

1.NAT用来将内网地址和端口号转换成合法的公网地址和端口号，建立一个会话，与公网主机进行通信
2.NAT外部的主机无法主动跟位于NAT内部的主机通信，NAT内部主机想要通信，必须主动和公网的一个IP通信，路由器负责建立一个映射关系，从而实现数据的转发

五.NAT 的工作过程：

1.数据包从内网发往外网时，NAT会将数据包的源IP由私网地址转换成公网地址；
2.当响应的数据包要从公网返回到内网时，NAT会将数据包的目的IP由公网地址转换成私网地址

六.NAT使用场景与配置：

内网客户端主动访问外网服务器

1.静态NAT:私网IP和公网IP是一对一的关系，并且需要预先做好一对一的映射绑定

nat static global <自定义公网IP> inside <私网IP>

内部网络向外部网络发送报文时，静态NAT将报文的源IP地址替换为对应的公网地址;

外部网络向内部网络发送响应报文时，静态NAT将报文的目的地址替换为相应的私网地址。

有两种配置方法：

（1）全局模式下设置静态NAT：

[R1]nat static global 8.8.8.8 inside 192.168.10.10
[R1]int g0/0/1			       外网口
[R1-GigabitEthernet0/0/1]nat static enable 在网口上启动nat static enable 功能

PC1发送数据给服务器，发送给路由器时，私网地址和目标地址不变

PC1发送数据给服务器，经过路由器发送给服务器去，私网地址由192.168.10.10变成公网地址8.8.8.8，其余不变。

（2）直接在接口上声明nat static：

[R1]int g0/0/1			外网口
[R1-GigabitEthernet0/0/1]nat static global 9.9.9.9 inside 192.168.10.10

[R1]dis nat static		查看NAT静态配置信息

PC2发送数据给服务器，发送给路由器时，私网地址和目标地址不变

PC2发送数据给服务器，经过路由器发送给服务器去，私网地址由192.168.10.10变成公网地址9.9.9.9，其余不变。

2.动态NAT：私网IP和公网IP是一对一的关系，需要先自定义一个公网IP地址池，私网IP在地址转换时会轮询地址池中的每个公网IP

（1）配置外部网口和内部网口的IP地址

int g0/0/0
ip add 192.168.10.1 24
int g0/0/1
ip add 12.0.0.1 24

（2）定义合法IP地址池

[R1]nat address-group 1 12.0.0.100 12.0.0.110	使用一个固定IP

（3）定义访问控制列表

[R1]acl 2000			允许源地址为192.168.10.0/24网段的数据通过
[R1-acl-adv-2000]rule permit source 192.168.10.0 0.0.0.255

（4）在外网口上设置IP地址转换

[R1-acl-basic-2000]int g0/0/1		外网口
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat		
将ACL 2000匹配的数据转换为改接口的IP地址作为源地址（no pat 不做端口转换，只做IP地址转换，默认为pat）

3.NATP：私网IP和公网IP是多对一的关系，公网IP地址池只自定义一个公网IP，所有私网IP在地址转换时只会转换为一个自定义的公网IP

（1）配置外部网口和内部网口的IP地址

int g0/0/0
ip add 192.168.10.1 24
int g0/0/1
ip add 12.0.0.1 24

（2）定义合法IP地址池

[R1]nat address-group 2 100.100.100.100 100.100.100.100		使用一个固定IP

（3）定义访问控制列表

[R1]acl 2000			允许源地址为192.168.10.0/24网段的数据通过
[R1-acl-adv-2000]rule permit source 192.168.10.0 0.0.0.255

（4）在外网口上设置IP地址转换

[R1-acl-basic-2000]int g0/0/1		外网口
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 2

4.easyip：私网IP和公网IP是多对一的关系，直接使用NAT设备的外网接口的公网IP，所有私网IP在地址转换时只会转换为NAT设备的外网接口的公网IP

（1）配置外部网口和内部网口的IP地址

int g0/0/0
ip add 192.168.10.1 24
int g0/0/1
ip add 12.0.0.1 24

（2）定义合法IP地址池

由于直接实验外网口IP地址所以不用再定义IP地址池

（3）定义访问控制列表

[R1]acl 2000			允许源地址为192.168.10.0/24网段的数据通过
[R1-acl-adv-2000]rule permit  source 192.168.10.0 0.0.0.255

（4）在外网口上设置IP地址转换

[R1]int g0/0/1			外网口
[R1-GigabitEthernet0/0/1]nat outbound 2000		
当acl2000匹配的源IP数据到达此接口时，转换为该接口的IP地址做为源地址

外网客户端访问位于内网的服务器

1.NAT Server：端口映射，将私网地址端口映射到公网地址，实现内网服务器供外网用户访问

Nat Server：私网IP和公网IP是多对一的关系，一个公网IP和不同的端口可以转换成的私网IP和端口
先修改从公网发送到内网的数据包的目的IP地址，Nat Server会将数据包的目的IP由公网地址转换成私网地址
再修改从内网返回到外网的响应数据包的源IP地址，Nat Server会将数据包的源IP由私网地址转换成公网地址

nat server protocol tcp global <自定义公网IP> <外网端口> inside <私网IP> <内网端口>        #比如访问 9.9.9.9:8080 --> 192.168.10.100:80
nat server protocol tcp global current-interface <外网端口> inside <私网IP> <内网端口>     #比如访问 接口IP:8080 --> 192.168.10.100:80

七.ACL 访问控制列表

1.作用：

过滤经过接口的数据包，根据规则要么允许/放通 数据包，要么拒绝/丢弃 数据包

2.ACL的工作原则：

可以在一个路由器接口的一个方向配置一个ACL；
一个ACL可以配置多条规则；
规则匹配时是从上往下依次匹配，匹配到即停止，华为设备默认的规则为放通所有数据包

ping 12.0.0.120 -S 192.168.100.100
规则一：放通  源地址为 192.168.10.0/24  网段的地址
规则二：拒绝  目的地址为 12.0.0.0/24  网段的地址
规则三：拒绝  源地址为 10.0.0.0/8 网段的地址
默认放通所有

3.华为ACL的类型：

基本ACL（ID范围为2000~2999）：只匹配源IP
高级ACL（ID范围为3000~3999）：可以根据 协议类型 源IP 目的IP 源端口 目的端口 匹配
二层ACL（ID范围为4000~4999）：可以根据 源MAC 目的MAC 二层协议