NAT端口映射
 
配置实现 Intranet通过DDN专线共享全局地址访问Internet，并使用合法地址202.128.62.33对外发布Web和FTP服务。网络拓扑如图8-8所示。Intranet内部采用专用网络地址192.168.1.0，子网掩码 255.255.255.0。申请到的合法Internet地址为202.128.62.33～202.128.62.62子网掩码255.255.255.224，广域网口地址为201.6.2.5 255.255.255.252（即所在的子网为201.6.2.4/30）广域网口封装HDLC。通过动态地址转换使内网的主机均可访问Internet。
 图 8-8 静态和动态NAT的基本配置
配置思路： Intranet通过DDN专线共享全局地址访问Internet使用Port NAT实现；使用合法地址202.128.62.33对外发布Web和FTP服务是使用静态地址-端口转换实现。
a. 内部主机访问 Internet的配置步骤
配置局域网口 IP地址指定内部端口：
router(config)#interface f 0/0
router(config-if)#ip address 192.168.1.1 255.255.255.0
router(config-if)#no shutdown
router(config-if)#ip nat inside
配置广域网口 IP地址指定外部端口：
router(config)#interface s1/0
router(config-if)# ip address 201.6.2.5 255.255.255.252
router(config-if)#ip nat outside
router(config-if)# no shutdown
封装 HDLC协议：
router(config-if)# encapsulation hdlc
设置允许访问的内部 IP地址列表：
router(config)#access list 1 permit 192.168.1.0 0.0.0.255
配置全局 IP地址池ssss：
router(config)#ip nat pool ssss 202.128.62.34 202.128.62.62 NETMASK 255.255.255.224
配置端口地址转换：
router(config)# ip nat inside source list 1 pool ssss overload
启用 RIP版本2，配置RIP路由：
router(config)# router rip
router(config-router)# version 2
router(config-router)# network 192.168.1.0
router(config-router)# network 201.6.2.4
配置默认IP路由：
router(config)# ip route 0.0.0.0 0.0.0.0 serial 1/0
因为本例是点到点的专线连接，不用配置RIP，只配置默认路由也可。
b.发布 Web和FTP的配置
由于要用一个合法地址提供两种服务，故使用 TCP静态地址-端口转换配置：
router(config)#ip nat inside source static tcp 192.168.1.2 80 202.128.62.33 80//Web局部到全局地址 -端口转换
router(config)#ip nat inside source static tcp 192.168.1.2 21 202.128.62.33 21//FTP局部到全局地址 -端口（控制端口）转换
router(config)#ip nat inside source static tcp 192.168.1.2 20 202.128.62.33 20//FTP局部到全局地址 -端口（数据端口）转换