NAT 网络地址转换 笔记和实验

NAT - Network Address Translation - 网络地址转换

一、笔记

1、背景

IPV4地址空间有限。

私有地址直接访问公网时，可能出现地址冲突。

且私有地址不被公网路由转发，需要借用公有地址访问公网。

2、作用

公有和私有地址之间互相转换，节约ipv4地址空间。

3、优点

节约公有地址

访问公网更灵活

为内部网络寻址方案提供一致性（？）

增强了安全性，因为外网不知道内网地址

4、缺点

端到端功能丢失（端口到端口）

端到端IPV4可追溯性丢失

隧道传输更复杂

TCP连接可能中断

可能导致性能下降

**因为NAT仅为解决ipv4地址空间不足，所以在ipv6中不再需要NAT。

5、NAT成功转译的要素

1. 进出都是从inside/outside接口
2. 满足nat列表（用acl匹配）

6、NAT中地址的分类

Inside--内网部分、转换前的地址

Outside--公网部分、转换后的地址

Local--局域网可用的地址

Global--公网可用的地址

IL --> IG ip nat inside source ILadd IGadd

IG --> IL ip nat inside destination IGadd ILadd

OG --> OL ip nat outside source OG OL

OL --> OG ip nat outside destination OL OG

写inside/outside取决于要转译哪部分地址

写source/destination取决于流量的方向

Outside地址的转换往往涉及公司的合并。NA阶段不讨论。

7、路由器收到包时，先路由还是先NAT转译？

I to O 时，先路由。有的包不是发往outside接口的，不需要NAT。

O to I 时，先NAT。回包时D-IP是GW地址，需要先转换看是不是给GW的。

8、配置方式

静态

手动敲

静态条目永久存在于NAT表中，不依赖流量触发生成条目，只要敲一条就能实现双向转发。

一对一的转换，无法节约地址

动态

通过定义和调用ACL和pool这两个集合，动态配置

流量触发生成NAT表的条目，所以可能存在空表。

若空表时outside端有流量进来，无法触发NAT。需要敲两条。

多对多，但本质还是一对一，所以也没有节约地址。

以上两种NAT都不常用，因为没有节约地址。

PAT（常用）

多对一的，通过端口号区分内网地址。用了TCP/UDP的S-port（范围0-65535）。

没有端口号的协议，则用特殊设计辅助通过NAT。比如ICMP，用其的序列号充当端口号。

配置顺序

1、确认需求，检查环境

2、定义接口inside/outside

3、定义哪些是本地地址

4、定义哪些是转译可用的全局地址

5、定义NAT类型

6、检查测试

静态配置：

Static：配置静态NAT需要加关键字static

查看命令：show ip nat translations

动态配置：

Pool：前两个地址表示范围，后面表示子网掩码，27位

PAT的配置：

List1:IL地址的范围

GE0/1:IG地址表示的端口

Overload关键字：表示要进行端口复用，把端口号拿出来区别不同的IL地址。

二、实验

1、静态NAT

需求：

R2作为公司网关，e0/0--inside  e0/1--outside

静态nat，访问3.3时，1.1转换成2.2.2.10，1.11转换成2.2.2.20

模拟的路由怎么写？

静态写/配两种动态路由协议/不宣告部分网段

R1应该知道--r2全部 r3全部 -- 写一条静态默认路由

R2应该知道--r1全部 r3全部 -- 静态+eigrp

R3应该知道--R2e0/1 loo0-- eigrp

NAT的inside global地址写在哪个接口？

R2两个物理接口已有IP地址。根据需求R3回包要给2.2.2.0/24，所以R3要有2.2.2.0/24这条路由，要把2.2.2.0/24宣告进eigrp，需要有个接口用2.2.2.0/24的IP地址。

所以：在R2创建IP地址属于2.2.2.0/24的环回口，定义为outside并宣告进eigrp。

1、配置地址和路由，检查

测试连通性：

R1应该能ping通R2，ping不通R3；R2左右两边都能通；R3能通和R2的直连和R2环回

用R1pingR3环回口：

在R3上debug看：

能收到R1的包。但之所以ping不通是因为R3没有R1的路由。

环境模拟没问题，开始配置NAT。

2、配置

定义inside/outside接口，配置静态NAT。

查看nat条目，有两条，都是一对一的。这两个条目是手敲进去的，而不是流量触发生成的。

3、检查

分别用1.1.1.1 和 11.1.1.1 ping 3.3.3.3 ，都能通。

在R3上看，源IP变成了2.2.2.10 和 2.2.2.20：

在R2上看nat条目，多了两条条目是流量触发生成的。

一段时间后再看，生成的条目会消失，静态手写的不会。

2、动态NAT、NAT-PAT

R1--默认路由

R2--静态+eigrp

R3--EIGRP

LAB-1 （动态）

1、配地址，路由，检查无误。（略）

2、写ACL和POOL

3、定义接口，写NAT

4、检查

成功。再做PAT。

LAB-2 （PAT）

Port Address Translation 端口地址转换

1、删掉动态NAT，NAT表空了

2、在inside global地址的位置写上接口，此时NAT表还是空的。

3、在R1上测试，能ping通R3环回。再看R2的nat表，出现了条目。Outside global地址都是R2e0/1接口地址。

成功。