学习日记Day28:网络地址转换

1.NAT技术原理 。

• NAT：对IP数据报文中的IP地址进行转换，是一种在现网中被广泛部署的技术，一般部署在网络出口设备，例如路由器或防火墙上。
• NAT的典型应用场景：在私有网络内部（园区、家庭）使用私有地址，出口设备部署NAT，对于“从内到外”的流量，网络设备通过NAT将数据包的源地址进行转换（转换成特定的公有地址），而对于“从外到内的”流量，则对数据包的目的地址进行转换。
• 通过私有地址的使用结合NAT技术，可以有效节约公网IPv4地址。
• 部署NAT的设备内部会维护一张公网地址和私网地址的映射表。
  

2.静态NAT。

2.1 原理。

       每个私有地址都有一个与之对应并且固定的公有地址，即私有地址和公有地址之间的关系是一对一映射。支持双向互访，私有地址访问Internet经过出口设备NAT转换时，会被转换成对应的公有地址。同时，外部网络访问内部网络时，其报文中携带的公有地址（目的地址）也会被NAT设备转换成对应的私有地址。部署静态NAT的设备会维护一张固定的公网地址和私网地址的映射表。

2.2 配置。

       使用eNSP搭建以下拓扑图，将主机地址和网关配置好，在路由器上配置实现静态NAT。

[R1-GigabitEthernet0/0/1]nat static global 200.1.1.10 inside 192.168.1.1    
 //静态NAT 转换私网192.168.1.1转公网200.1.1.10
[R1-GigabitEthernet0/0/1]nat static global 200.1.1.11 inside 192.168.1.2     
//静态NAT 转换私网192.168.1.2转公网200.1.1.11

3.动态NAT。

3.1 原理。

       静态NAT严格地一对一进行地址映射，这就导致即便内网主机长时间离线或者不发送数据时，与之对应的公有地址也处于使用状态。为了避免地址浪费，动态NAT提出了地址池的概念：所有可用的公有地址组成地址池。当内部主机访问外部网络时临时分配一个地址池中未使用的地址，并将该地址标记为“In Use”。当该主机不再访问外部网络时回收分配的地址，重新标记为“Not Use”。所以在公网地址和私网地址的映射表老化之前是可以双向访问的。

3.2 配置。

参考静态NAT的实验拓扑：
[R1]nat address-group 1 122.1.2.1 122.1.2.3   //定义地址池
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 no-pat  //只有报文的源地址匹配ACL才可以地址转换

4.NAPT。

4.1 原理。

       动态NAT选择地址池中的地址进行地址转换时不会转换端口号，即No-PAT（No-Port Address Translation，非端口地址转换），公有地址与私有地址还是1:1的映射关系，无法提高公有地址利用率。NAPT（Network Address and Port Translation，网络地址端口转换）：从地址池中选择地址进行地址转换时不仅转换IP地址，同时也会对端口号进行转换，从而实现公有地址与私有地址的1:n映射，可以有效提高公有地址利用率。
       NAPT借助端口可以实现一个公有地址同时对应多个私有地址。该模式同时对IP地址和传输层端口进行转换，实现不同私有地址（不同的私有地址，不同的源端口）映射到同一个公有地址（相同的公有地址，不同的源端口）。NAPT不能实现外网主动访问内网。

4.2 配置。

       在动态NAT的基础上删除no-pat 参数。

参考静态NAT的实验拓扑：
[R1]nat address-group 1 122.1.2.1 122.1.2.3   //定义地址池
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1   //只有报文的源地址匹配ACL才可以地址转换

5.Easy IP。

5.1 原理。

       Easy IP实现原理和NAPT相同，同时转换IP地址、传输层端口，区别在于Easy IP没有地址池的概念，使用接口地址作为NAT转换的公有地址。Easy IP适用于不具备固定公网IP地址的场景：如通过DHCP、PPPoE拨号获取地址的私有网络出口，可以直接使用获取到的动态地址进行转换。

5.2 配置。

参考静态NAT的实验拓扑：
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1 
[R1-GigabitEthernet0/0/1]nat outbound 2000     //在接口开启地址转换

6.NAT Server。

6.1 原理。

       NAT Server指定 [公有地址:端口] 与 [私有地址:端口] 的一对一映射关系，将内网服务器映射到公网，当私有网络中的服务器需要对公网提供服务时使用。外网主机主动访问[公有地址:端口]实现对内网服务器的访问。

6.2 配置。

[R1]interface GigabitEthernet0/0/1 
[R1-GigabitEthernet0/0/1]ip address 122.1.2.1 24
[R1-GigabitEthernet0/0/1]nat server protocol tcp global 202.10.10.1 www inside 192.168.1.1 8080

7.总结。

• 在私有网络内使用私有地址，并在网络出口使用NAT技术，可以有效减少网络所需的IPv4公有地址数目，NAT技术有效地缓解了IPv4公有地址短缺的问题。
• 动态NAT、NAPT、Easy IP为私网主机访问公网提供源地址转换。
• NAT Server实现了内网主机对公网提供服务。
• 静态NAT提供了一对一映射，支持双向互访。