实验 九-1– 配置动态和静态 NAT（十二步，步骤图在最后 服务器没做packettracer不支持isp的操作）

实验 – 配置动态和静态 NAT
拓扑

地址分配表

设备 接口 IP 地址 子网掩码 默认网关
网关 G0/1 192.168.1.1 255.255.255.0 N/A
S0/0/1 209.165.201.18 255.255.255.252 N/A
ISP S0/0/0 (DCE) 209.165.201.17 255.255.255.252 N/A
Lo0 192.31.7.1 255.255.255.255 N/A
PC-A（模拟服务器） NIC 192.168.1.20 255.255.255.0 192.168.1.1
PC-B NIC 192.168.1.21 255.255.255.0 192.168.1.1
ISP G0/0 192.168.3.1 255.255.255.0
http NIC 192.168.3.2 255.255.255.0 192.168.3.1
PC-C NIC 192.168.3.3 255.255.255.0 192.168.3.1
目标
第 1 部分：构建网络并检验连接
第 2 部分：配置和检验静态 NAT
第 3 部分：配置和检验动态 NAT
背景/场景
网络地址转换 (NAT) 是网络设备（例如思科路由器）为私有网络内的主机设备分配公有地址的过程。使用 NAT 主要是为了减少企业使用公有 IP 地址的数量，因为可用 IPv4 公有地址的数量是有限的。
在本实验中，ISP 已将公有 IP 地址空间 209.165.200.224/27 分配给一家公司。这可为公司提供 30 个公有 IP 地址。209.165.200.225 到 209.165.200.241 范围内的地址用于静态分配，而 209.165.200.242 到 209.165.200.254 范围内的地址用于动态分配。从 ISP 到网关路由器使用静态路由，从网关到 ISP 路由器使用默认路由。通过 ISP 路由器上的一个环回地址模拟 ISP 与 Internet 的连接。
注意：CCNA 动手实验所用的路由器是采用 Cisco IOS Release 15.2(4)M3（universalk9 映像）的 Cisco 1941 集成多业务路由器 (ISR)。所用的交换机是采用 Cisco IOS Release 15.0(2)（lanbasek9 映像）的 Cisco Catalyst 2960 系列。也可使用其他路由器、交换机以及 Cisco IOS 版本。根据型号以及 Cisco IOS 版本不同，可用命令和产生的输出可能与实验显示的不一样。请参考本实验末尾的“路由器接口摘要表”以了解正确的接口标识符。
注意：确保所使用的路由器和交换机的启动配置都已擦除。如果不确定，请联系教师。
所需资源
2 台路由器（支持 Cisco IOS 15.2(4)M3 版通用映像的 Cisco 1941 或同类路由器）
1 台交换机（支持 Cisco IOS 15.0(2) lanbasek9 版映像的 Cisco 2960 或同类交换机）
2 台 PC（采用 Windows 7、Vista 或 XP 且支持终端模拟程序，比如 Tera Term）
用于通过控制台电缆配置 Cisco IOS 设备的控制台端口
如拓扑所示的以太网电缆和串行电缆
第 1 部分:创建网络并检验连通性
在第 1 部分中，您将建立网络拓扑并配置基本设置，例如接口 IP 地址、静态路由、设备访问和密码。
第 1 步:建立如拓扑图所示的网络。
按照拓扑图所示连接设备和电缆。
第 2 步:配置 PC 主机。
第 3 步:根据需要初始化并重新加载路由器和交换机。
第 4 步:配置每个路由器的基本设置。
a.禁用 DNS 查找。
b.按照地址分配表列出的设置配置路由器的 IP 地址。
c.在 DCE 串行接口上，将时钟频率设为 1280000。
d.如拓扑所示配置设备名称。
e.指定 cisco 为控制台密码和 vty 密码。
f.指定 class 作为特权 EXEC 模式加密密码。
g.配置 logging synchronous 以防止控制台消息中断命令输入。
第 5 步:在 ISP 上创建模拟 Web 服务器。
a.创建一个名为 webuser 的本地用户，使用加密密码 webpass。
ISP(config)# username webuser privilege 15 secret webpass
b.在 ISP 上启用 HTTP 服务器服务。
ISP(config)# ip http server
c.配置 HTTP 服务，以便使用本地用户数据库。
ISP(config)# ip http authentication local
第 6 步:配置静态路由。
a.使用已分配的公有网络地址范围 209.165.200.224/27 创建从 ISP 路由器到网关路由器的静态路由。
ISP(config)# ip route 209.165.200.224 255.255.255.224 209.165.201.18
b.在网关路由器上创建到 ISP 路由器的默认路由。
Gateway(config)# ip route 0.0.0.0 0.0.0.0 209.165.201.17
第 7 步:将运行配置保存到启动配置。
第 8 步:检验网络连通性。
a.在 PC 主机上，对网关路由器上的 G0/1 接口执行 ping 操作。如果 ping 不成功，请排除故障。
b.显示两台路由器上的路由表，以检验静态路由是否位于路由表中而且在两台路由器上都已配置正确。
第 2 部分:配置和检验静态 NAT
静态 NAT 使用本地地址与全局地址的一对一映射，这些映射保持不变。静态 NAT 对于必须具有可从 Internet 访问的静态地址的 Web 服务器或设备尤其有用。
第 1 步:配置静态映射。
配置静态映射，以告知路由器进行私有内部服务器地址 192.168.1.20 和公有地址 209.165.200.225 之间的转换。这将允许用户从 Internet 访问 PC-A。PC-A 使用一个可从 Internet 访问的固定地址模拟服务器或设备。
Gateway(config)# ip nat inside source static 192.168.1.20 209.165.200.225
第 2 步:指定接口。
对接口发出 ip nat inside 和 ip nat outside 命令。
Gateway(config)# interface g0/1
Gateway(config-if)# ip nat inside
Gateway(config-if)# interface s0/0/1
Gateway(config-if)# ip nat outside
第 3 步:测试配置。
a.发出 show ip nat translations 命令以显示静态 NAT 表。
Gateway# show ip nat translations
Pro Inside global Inside local Outside local Outside global
— 209.165.200.225 192.168.1.20 — —
内部本地主机地址对应的转换是怎样的？
192.168.1.20 = 209.165.200.225
内部全局地址是由谁分配的？
S0/0/1
内部本地地址是由谁分配的？
G0/1
b.从 PC-A，对 ISP 上的 Lo0 接口 (192.31.7.1) 执行 ping 操作。如果 ping 不成功，请排除故障并纠正问题。在网关路由器上，显示 NAT 表。
Gateway# show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 209.165.200.225:1 192.168.1.20:1 192.31.7.1:1 192.31.7.1:1
— 209.165.200.225 192.168.1.20 — —
当 PC-A 向 ISP 上的 192.31.7.1 发送 ICMP 请求 (ping) 时，表中添加了一个 NAT 条目，其中 ICMP 列为协议。
此 ICMP 交换使用哪个端口号？I209.165.200.225
注意：可能需要禁用 PC-A 防火墙以使 ping 操作成功。
c.从 PC-A，使用 telnet 连接到 ISP 的 Lo0 接口并显示 NAT 表。
Pro Inside global Inside local Outside local Outside global
icmp 209.165.200.225:1 192.168.1.20:1 192.31.7.1:1 192.31.7.1:1
tcp 209.165.200.225:1034 192.168.1.20:1034 192.31.7.1:23 192.31.7.1:23
— 209.165.200.225 192.168.1.20 — —
注意：用于 ICMP 请求的 NAT 可能已超时并已从 NAT 表中删除。
此转换中使用的协议是什么？TCP/IP
使用的端口号是什么？209.165.200.225
内部全局/本地：209.165.200.225:1034 192.168.1.20:1034
外部全局/本地：192.31.7.1:23 192.31.7.1:23
d.因为为 PC-A 配置了静态 NAT，因此从 ISP 对位于静态 NAT 公有地址 (209.165.200.225) 的 PC-A 执行 ping 操作成功。
e.在网关路由器上，显示 NAT 表以检验转换。
Gateway# show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 209.165.200.225:12 192.168.1.20:12 209.165.201.17:12 209.165.201.17:12
— 209.165.200.225 192.168.1.20 — —
注意，外部本地和外部全局地址相同。此地址是 ISP 的远程网络源地址。为了使从 ISP 执行的 ping 操作成功，将内部全局静态 NAT 地址 209.165.200.225 转换为 PC-A 的内部本地地址 (192.168.1.20)。
f.在网关路由器上使用 show ip nat statistics 命令检验 NAT 统计数据。
Gateway# show ip nat statics
Total active translations: 2 (1 static, 1 dynamic; 1 extended)
Peak translations: 2, occurred 00:02:12 ago
Outside interfaces:
Serial0/0/1
Inside interfaces:
GigabitEthernet0/1
Hits: 39 Misses: 0
CEF Translated packets: 39, CEF Punted packets: 0
Expired translations: 3
Dynamic mappings:

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0
注意：这仅仅是一个输出示例。您的输出可能不完全匹配。
第 3 部分:配置和检验动态 NAT
动态 NAT 使用公有地址池，并以先到先得的原则分配这些地址。当内部设备请求访问外部网络时，动态 NAT 会从地址池中分配一个公共 IPv4 地址。动态 NAT 会产生本地地址和全局地址之间的多对多地址映射。
第 1 步:清除 NAT。
在继续添加动态 NAT 之前，请清除第 2 部分的 NAT 和统计信息。
Gateway# clear ip nat translation *
Gateway# clear ip nat statistics
第 2 步:定义与 LAN 私有 IP 地址范围相匹配的访问控制列表 (ACL)。
ACL 1 用来允许对 192.168.1.0/24 网络进行转换。
Gateway(config)# access-list 1 permit 192.168.1.0 0.0.0.255
第 3 步:检验 NAT 接口配置是否仍然有效。
在网关路由器上发出 show ip nat statistics 命令来检验 NAT 配置。
第 4 步:定义可用的公有 IP 地址池。
Gateway(config)# ip nat pool public_access 209.165.200.242 209.165.200.254 netmask 255.255.255.224
第 5 步:定义从内部源列表到外部地址池的 NAT。
注意：请记住，NAT 池的名称是区分大小写的，而且此处输入的地址池名称必须与上一步中使用的名称匹配。
Gateway(config)# ip nat inside source list 1 pool public_access
第 6 步:测试配置。
a.从 PC-B，对 ISP 上的 Lo0 接口 (192.31.7.1) 执行 ping 操作。如果 ping 不成功，请排除故障并纠正问题。在网关路由器上，显示 NAT 表。
Gateway#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 209.165.200.242:5 192.168.1.21:5 192.31.7.1:5 192.31.7.1:5
icmp 209.165.200.242:6 192.168.1.21:6 192.31.7.1:6 192.31.7.1:6
icmp 209.165.200.242:7 192.168.1.21:7 192.31.7.1:7 192.31.7.1:7
icmp 209.165.200.242:8 192.168.1.21:8 192.31.7.1:8 192.31.7.1:8
— 209.165.200.225 192.168.1.20 — —
PC-B 的内部本地主机地址对应的转换是怎样的？
192.168.1.21 =209.165.200.242
当 PC-B 向 ISP 上的 192.31.7.1 发送 ICMP 请求时，表中添加了一个动态 NAT 条目，其中 ICMP 列为tcpip协议。
此 ICMP 交换使用哪个端口号？209.165.200.242
b.在 PC-B 上，打开浏览器并输入 ISP 模拟的 Web 服务器（Lo0 接口）的 IP 地址。出现提示时，请使用用户名 webuser 和密码 webpass 登录。
c.显示 NAT 表。
Pro Inside global Inside local Outside local Outside global
— 209.165.200.225 192.168.1.20 — —
tcp 209.165.200.242:1038 192.168.1.21:1038 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1039 192.168.1.21:1039 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1040 192.168.1.21:1040 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1041 192.168.1.21:1041 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1042 192.168.1.21:1042 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1043 192.168.1.21:1043 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1044 192.168.1.21:1044 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1045 192.168.1.21:1045 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1046 192.168.1.21:1046 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1047 192.168.1.21:1047 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1048 192.168.1.21:1048 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1049 192.168.1.21:1049 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1050 192.168.1.21:1050 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1051 192.168.1.21:1051 192.31.7.1:80 192.31.7.1:80
tcp 209.165.200.242:1052 192.168.1.21:1052 192.31.7.1:80 192.31.7.1:80
— 209.165.200.242 192.168.1.22 — —
此转换中使用了什么协议？tcp
使用了哪些端口号？
内部：209.165.200.242 192.168.1.21
外部：192.31.7.1
使用了什么公认端口号和服务？192.31.7.1 telnet
d.在网关路由器上使用 show ip nat statistics 命令检验 NAT 统计数据。
Gateway# show ip nat statistics
Total active translations: 3 (1 static, 2 dynamic; 1 extended)
Peak translations: 17, occurred 00:06:40 ago
Outside interfaces:
Serial0/0/1
Inside interfaces:
GigabitEthernet0/1
Hits: 345 Misses: 0
CEF Translated packets: 345, CEF Punted packets: 0
Expired translations: 20
Dynamic mappings:
– Inside Source
[Id: 1] access-list 1 pool public_access refcount 2
pool public_access: netmask 255.255.255.224
start 209.165.200.242 end 209.165.200.254
type generic, total addresses 13, allocated 1 (7%), misses 0

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0
注意：这仅仅是一个输出示例。您的输出可能不完全匹配。
第 7 步:删除静态 NAT 条目。
在第 7 步中，静态 NAT 条目已删除而且您可以观察 NAT 条目。
a.删除第 2 部分中的静态 NAT。出现提示时，输入 yes 删除子条目。
Gateway(config)# no ip nat inside source static 192.168.1.20 209.165.200.225

Static entry in use, do you want to delete child entries? [no]: yes
b.清除 NAT 和统计信息。
c.从两台主机上对 ISP (192.31.7.1) 执行 ping 操作。
d.显示 NAT 表和统计信息。
Gateway# show ip nat statistics
Total active translations: 4 (0 static, 4 dynamic; 2 extended)
Peak translations: 15, occurred 00:00:43 ago
Outside interfaces:
Serial0/0/1
Inside interfaces:
GigabitEthernet0/1
Hits: 16 Misses: 0
CEF Translated packets: 285, CEF Punted packets: 0
Expired translations: 11
Dynamic mappings:
– Inside Source
[Id: 1] access-list 1 pool public_access refcount 4
pool public_access: netmask 255.255.255.224
start 209.165.200.242 end 209.165.200.254
type generic, total addresses 13, allocated 2 (15%), misses 0

Total doors: 0
Appl doors: 0
Normal doors: 0
Queued Packets: 0

Gateway# show ip nat translation
Pro Inside global Inside local Outside local Outside global
icmp 209.165.200.243:512 192.168.1.20:512 192.31.7.1:512 192.31.7.1:512
— 209.165.200.243 192.168.1.20 — —
icmp 209.165.200.242:512 192.168.1.21:512 192.31.7.1:512 192.31.7.1:512
— 209.165.200.242 192.168.1.21 — —
注意：这仅仅是一个输出示例。您的输出可能不完全匹配。
思考
1.为什么要在网络中使用 NAT？
提高网络安全性
提高ip利用率
可以更换isp而不用更改内部客户端
2.NAT 有什么局限性？
需要时间
Ip难以追溯
使隧道协议太复杂
路由器接口摘要表
路由器接口摘要
路由器型号 Ethernet Interface #1 Ethernet Interface #2 Serial Interface #1 Serial Interface #2
1800 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1)
1900 Gigabit Ethernet 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1)
2801 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/1/0 (S0/1/0) Serial 0/1/1 (S0/1/1)
2811 Fast Ethernet 0/0 (F0/0) Fast Ethernet 0/1 (F0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1)
2900 Gigabit Ethernet 0/0 (G0/0) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1)
注意：若要了解如何配置路由器，请查看接口来确定路由器类型以及路由器拥有的接口数量。我们无法为每类路由器列出所有的配置组合。下表列出了设备中以太网和串行接口组合的标识符。此表中未包含任何其他类型的接口，但实际的路由器可能会含有其他接口。例如 ISDN BRI 接口。括号中的字符串是约定缩写，可在 Cisco IOS 命令中用来代表接口。

第一步：配置路由器串口，关闭电源放入串口，打开电源，两个路由器相同操作

第二步，完成拓扑图

第三步：依照表格完成ip地址的配置

第四步：补充路由器基本设置，只做一个另一个重复

这里有一点做得不对hostname 是Gateway

第五步：为交换机和服务器pc机设置ip地址并配置

第六步：配置静态路由
一个是isp到gateway的静态路由
一个是gateway的默认路由


第七步：将运行配置保存到启动配置
在config模式下输入Copy running Startup-config
第八步：检验网络联通性
pc：

显示两个路由的路由表
show ip route


第九步：配置静态映射，将pca地址与公有地址转换，允许用户从internet访问pca，制定交换地址，显示配置结果

第十步：从 PC-A，对 ISP 上的 Lo0 接口 (192.31.7.1) 执行 ping 操作

此时查看nat表 有一行icmp
telnet以后在查看nat表 有一行tcp表

在isp中可以ping pc-a

第十一步：清除nat
定义控制访问列表
定义公有ip池
定义从内部源列表到外部地址池的 NA

第十二步：删除静态条目并用pca完成对isp lo0的ping