比较完整的NAT(网络地址转换)配置

NAT原理和配置

一、NAT的基本原理

1.为何会出现NAT这种技术

有限的IPV4公有地址数量耗尽，为了满足人们对互联网的需求，NAT ( Network Address Translation，网络地址转换）技术应需而生。
由于私有地址无法在Internet上路由转发，访问Internet的IP数据包将缺乏路由无法到达私有网络出口设备。

功能：

NAT技术主要用于实现内部网络的主机访问外部网络。一方面NAT缓解了IPv4地址短缺的问题，另一方面NAT技术让外网无法直接与使用私有地址的内网进行通信，提升了内网的安全性。

2.NAT技术的原理

对IP数据报文中的IP地址进行转换，是一种在现网中被广泛部署的技术，一般部署在网络出口设备，例如路由器或防火墙上。
NAT的典型应用场景︰在私有网络内部（园区、家庭）使用私有地址，出口设备部署NAT，对于“从内到外”的流量，网络设备通过NAT将数据包的源地址进行转换（转换成特定的公有地址)，而对于“从外到内的”流量，则对数据包的目的地址进行转换。
通过私有地址的使用结合NAT技术，可以有效节约公网IPv4地址。

二、四种NAT配置

1. 静态NAT

使用静态NAT对内网地址和公网地址进行一对一的转换

配置如下：
配置IP地址后
1.在R1上配置静态NAT，对外使用100.1.1.3公网地址来访问100.1.1.2
nat static global 100.1.1.3 inside 192.168.1.1
（这里配置公网地址时候，不能用出口路由器的IP）
2.接口下启用静态nat
int g0/0/1
nat static enable
3.在R2配置回程静态路由
ip route-static 0.0.0.0 0.0.0.0 100.1.1.1

抓包发现对外源地址已经改变

3. 动态NAT

动态NAT∶静态NAT严格地一对一进行地址映射，这就导致即便内网主机长时间离线或者不发送数据时，与之对应的公有地址也处于使用状态。为了避免地址浪费，动态NAT提出了地址池的概念∶所有可用的公有地址组成地址池。
当内部主机访问外部网络时临时分配一个地址池中未使用的地址，并将该地址标记为“In Use”。当该主机不再访问外部网络时回收分配的地址，重新标记为“Not Use”。

配置：2、动态NAT
配置IP地址后
1.在R1上配置动态NAT
a. 公网地址池
nat address-group 1 100.1.1.5 100.1.1.10
b.acl 匹配内部地址
acl 2000
rule permit source 192.168.1.0 0.0.0.255
c.接口下应用
nat outbound 2000 address-group 1 no-pat
3.在R2配置回程静态路由 ip route-static 0.0.0.0 0.0.0.0 100.1.1.1

抓包测试

3.1、NAPT

•NAPT借助端口可以实现一个公有地址同时对应多个私有地址。该模式同时对IP地址和传输层端口进行转换，实现不同私有地址（不同的私有地址，不同的源端口）映射到同一个公有地址（相同的公有地址，不同的源端口）。
和动态NAT类似，只是进行端口映射，可以和动态NAT归为一类

配置：拓扑如动态NAT
a. 公网地址池
nat address-group 1 100.1.1.5 100.1.1.10
b.acl 匹配内部地址
acl 2000
rule permit source 192.168.1.0 0.0.0.255
c.接口下应用
nat outbound 2000 address-group 1 (这里去掉no-pat 表示进行端口映射)
3.在R2配置回程静态路由 ip route-static 0.0.0.0 0.0.0.0 100.1.1.1

4、EasyIP

Easy IP:实现原理和NAPT相同，同时转换IP地址、传输层端口，区别在于Easy lP没有地址池的概念，使用接口地址作为NAT转换的公有地址。

Easy IP适用于不具备固定公网IP地址的场景∶如通过DHCP、PPPoE拨号获取地址的私有网络出口，可以直接使用获取到的动态地址进行转换。

主要配置：
配置IP地址后
1.在R1上配置
a.acl 匹配内部地址
acl 2000
rule permit source 192.168.1.0 0.0.0.255
b.接口下应用
nat outbound 2000
3.在R2配置回程静态路由
ip route-static 0.0.0.0 0.0.0.0 100.1.1.1

5. NAT Server

NAT Server:指定[公有地址:端口]与[私有地址:端口]的一对一映射关系，将内网服务器映射到公网，当私有网络中的服务器需要对公网提供服务时使用。
外网主机主动访问[公有地址:端口]实现对内网服务器的访问。

配置： NAT server
配置IP地址后
1.在R1上配置
int g0/0/1
nat server protocol tcp global 100.1.1.3 8080 inside 192.168.1.0 8080
(可以根据访问的协议灵活配置)
3.在R2配置回程静态路由
ip route-static 0.0.0.0 0.0.0.0 100.1.1.1