8.网络地址转化（NAT） (2)

网络地址转化（NAT）

NAT工作原理

NAT用来将内网地址和端口号转换成合法的公网地址和端口号，建立一个会话，与公网主机进行通信。

NAT外部的主机无法主动和NAT内部主机通信，必须和公网的一个IP通信，路由器建立映射关系，实现数据的转发。

NAT功能

NAT优点：节省公有合法IP地址（跨2个网络环境的IP就可以借助于NAT的技术来支持重复IP）

处理地址重叠，增强灵活性，安全性（让外网网络设备无法直接获取内网IP/PORT）

NAT缺点：延迟增大，配置、维护的复杂性，不支持某些应用（可以通过静态NAT映射来避免）。

NAT配置：静态NAT，动态NAT，PAT等等

静态NAT（一个内网地址对一个公网地址）

实现私有地址和公网地址的一对一转换，不节约公网地址，但是可以隐藏内部网络。

内部网络向外部发送报文时，静态NAT将报文源IP地址替换成对应的公网地址。

外部网络像内部发送响应报文时，静态NAT将目的地址替换成相应的私网地址。

静态转换和动态转换的重点在于NAT的转换表，方向，NAT类型。

配置方法有两种，

一种是在全局模式下设置静态NAT

……

[r1]nat static global (全局) 30.0.0.5映射地址 inside 192.168.10.10 内网主机IP地址

[r1]int g0/0/1——进入外网口，

[r1-GigabitEthernet0/0/1]nat static enable ——在网口上启动NAT静态配置

另外一种直接在接口上声明nat static

[r1]int g0/0/1——进入外网口

[r1]dis nat static ——查看NAT静态配置信息

动态NAT—PAT（多个内网地址对多个公网地址）配置

……

[r1]nat address-group 1 200.10.100.20 _{200.10.100.30——创建映射组1映射外部地址范围20}30（尽量不要把源地址包含在地址池内）

配置ACL访问控制

[r1]acl 2000——ACL的规则2000
#PS：acl (2000-2999) :只能匹配源ip地址
[r1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255（反掩码）——规则允许源地址
[r1-acl-basic-2000]q
[r1]int g0/0/1——确定在哪个接口那里
[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1——定义出去方向的规则,定义组1
[r1-GigabitEthernet0/0/1]display nat outbound ——查看

小结过程：配置映射出去的地址池（范围段），做一个ACL规则，确定在哪个网络接口引用两个规则，最后定义是出去的还是进来的规则。

Easyip（多个内网地址对一个接口地址） EIP

……

[r1]acl 2000——ACL的规则2000
#PS：acl (2000-2999) :只能匹配源ip地址
[r1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255（反掩码）——规则允许源地址
[r1-acl-basic-2000]q
[r1]int g0/0/1——确定在哪个接口那里
[r1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1——定义出去方向的规则,定义组1
[r1-GigabitEthernet0/0/1]display nat outbound ——查看

静态PAT（一对一，但是外网口IP和服务映射网内网服务器的IP和服务）

……

[r1]int g0/0/1
[r1-GigabitEthernet0/0/1]nat server protocol tcp global 15.0.0.10 21 inside 192.168.1.10 21
[r1-GigabitEthernet0/0/1]display nat server