文章目录
前言
公网环境下的IPv4地址已经用完,而公司内部的终端其实可以不用每一台都配置一个公网IP,因此,我们可以将环境内部的网络IP配置为私有IP,然后通过路由器进行转换,以节省公网IP的使用。
一、NAT的概述
NAT的工作原理
NAT用来将内网地址和端口号转换成合法的公网地址和端口号,建立一个会话,与公网主机进行通信
NAT外部的主机无法跟位于NAT内部的主机通信,NAT内部主机想要通信,必须主动和公网的一个IP通信,路由器负责建立一个映射关系,从而实现数据的转发
NAT的功能
NAT不仅能解决了IP地址不足的问题,而且还能够有效地避免来自网络外部地入侵,隐藏并保护网络内部地计算机。
1、宽带分享:这是NAT主机的最大功能。
2、安全防护:NAT之内的PC联机到Internet上面时,他所显示的IP是NAT主机的公网IP,所以client端的PC就具有一定程度的安全,外界在进行portscan(端口扫描)的时候,就侦测不到源client端的PC
NAT的优缺点
优点:节省公有合法IP地址、处理地址重叠、增强灵活性、安全性
缺点:延迟增大、配置和维护的复杂性、不支持某些应用(比如VPN)
NAT的种类
静态NAT
静态NAT实现私网地址和公网地址的一对一转换。有多少个私网地址就需要配置多少个公网地址、静态NAT不能节约公网地址,但可以起到隐藏内部网络的作用。
内部网络向外部网络发送报文时,静态NAT将报文的源IP地址替换对应的公网地址;外部网络向内部网络发送响应报文时,静态NAT将报文的目的地址替换为相应的私网地址。
动态NAT
动态NAT是在路由器上配置一个外网IP地址池,当内部有计算机需要和外部通信时,就从地址池里动态的取出一个外网IP,并将他们的对应关系绑定到NAT表中,通信结束后,这个外网IP才被释放,可供其他内部IP地址转换使用,这个DHCP租约IP有相似之处。
多个私网IP地址对应多个公网IP地址,基于地址池一对一映射
二、NAT基本命令
静态NAT
静态NAT有两种配置方法:
全局模式下的静态NAT
nat static global 8.8.8.8 inside 192.168.10.10
#### 将192.168.10.10这一IP以8.8.8.8形式开启NAT转换
int g0/0/1
####外网口
nat static enable
#####在网口上启动nat static enable功能
接口模式下的静态NAT
[R1]int g0/0/1
####外网口
nat static global 8.8.8.8 inside 192.168.10.10
#### 将192.168.10.10这一IP以8.8.8.8形式开启NAT转换
dis nat static
####查看NAT静态配置信息
动态NAT
1、配置外部网口和内部网口的IP地址
2、定义合法IP地址池
nat address-group 1 212.0.0.100 212.0.0.200
###新建一个名为1的nat地址池,并划分范围
3、定义访问控制列表
acl 2000
###创建ACL,允许源地址为192.168.20.0/24网段和11.0.0.0/24的数据通过
rule permit source 192.168.20.0 0.0.0.255
###允许192.168.20.254进行访问
rule permit source 11.0.0.0 0.0.0.255
###允许11.0.0.254进行访问
4、在外网口上设置动态IP地址转换
int g0/0/1
####外网口
nat outbound 2000 address-group 1 no-pat
###将ACL 2000匹配的数据转换为改接口的IP地址作为源地址(no pat 不能端口转换,只做IP地址转换,默认为pat)
[R1]dis nat outbound
####查看NAT outbound的信息
三、bat的概述
PAT的原理
PAT:端口多路复用
PAT又称NAPT,它实现一个公网地址和多个私网地址之间的映射,因此可以节约公网地址。PAT的基本原理是将不同私网地址的报文的源IP地址转换为同一公网地址,但他们被转换为地址的不同端口号,因此仍然能够共享同一地址。
PAT的作用
- 改变数据包的ip地址和端口号
- 能够大量节约公网ip地址
PAT的类型
动态PAT
包括NAPT和EASY IP
静态PAT
包括NAT Server
NAPT的基本配置
NAPT:多个私网IP地址:对应固定外网IP地址(比如200.1.1.10),配置方法与动态NAT类似
1、配置外部网口和内部网口的IP地址
2、定义合法IP地址池
[R1]nat address-group 1 200.1.1.10 200.1.1.10
####使用一个固定IP
3、定义访问控制列表
[R1]acl 2000
####允许源地址为192.168.30.0/24网段的数据通过
[R1-acl-basic-2000]rule permit source 192
NAT server配置命令
NAT server:端口映射,将私网地址端口映射到公网地址,实现内网服务器供外网用户访问
int g0/0/1
###进入G0/0/1端口
nat server protocol tcp global 9.9.9.9 www inside 192.168.10.100 www
###在连接公网的接口上将私网服务器地址和公网地址做一对NAT映射绑定
nat server protocol tcp global current-interface 8080
inside 10.1.1.1 www
###在连接公网的接口,上将私网服务器地址和外网接口做一对NAT映射绑定
nat server protocol tcp global current-interface 2121
inside 10.1.1.2 ftp
###端口号21可以直接使用关键字'FTP‘代替
总结
NAT的技术对于现在的网络环境来说,是必不可少的,他能够将私有网络转换为公网地址,既可以将多个私有地址转换为一个公网地址,也可以将一个私有地址转换为多个公网地址,使保密性也可以得到保障,最大的作用还是能够缓解IPv4网络存量不足带来的困扰,十分的实用。