九、常用网络协议与应用——静态NAT、动态NAT、NAPT、Easy ip NAT、NAT server

---

NAT 简介

网络地址转换技术NAT（Network Address Translation）主要用于实现位于内部网络的主机访问外部网络的功能。

1、私网地址

可以在局域网内部使用
私网地址+NAT====>解决ipv4地址枯竭问题
ipv4地址：2^32=42.9亿个

2、公网地址

全球独一无二，只有一个地方在使用
私网地址不能在公网（电信、联通、移动）上被路由，公网地址是需要花钱租赁的

---

一、静态 NAT

静态一对一NAT映射目的：可以将内网的地址直接映射成公网地址，即可以直接在外网通过访问公网地址来访问内网的机器
缺点：一对一，有多少内网地址就有多少公网地址

1、R1 配置静态nat：一对一（nat static）

允许内网地址192.168.1.2 在出外网时转换成公网地址 12.1.1.2

ip route-s 0.0.0.0 0 12.1.1.6
int gi0/0/1 (外网接口）
nat static global 12.1.1.2 inside 192.168.1.2

2、查看nat 映射记录

二、动态 NAT

1、特点

（1）多对多，映射关系不固定（不转换端口）
（2）当内部主机A和主机B需要与公网中的目的主机通信时，网关会从配置的公网地址池中选择一个未使用的公网地址与之做映射。每台主机都会分配到地址池中的一个唯一地址，当不需要此连接
时，对应的地址映射将会被删除，公网地址也会被恢复到地址池中待用。当网关收到回包后，会根据之前的映射再次进行转换之后转发给对应主机
（3）动态NAT地址池中的地址用尽以后，只能等待被占用的公用IP被释放后，其他主机才能使用它来访问公网

2、动态nat配置

2.1、使用acl匹配私网地址范围

acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255

2.2、建立公网地址池

nat address-group 1 12.1.1.1 12.1.1.5

2.3、端口下建立映射

interface Gi0/0/1
nat outbound 2000 address-group 1 no-pat

三、NAPT

网络地址端口转换NAPT（Network Address Port Translation）允许多个内部地址映射到同一个公有地址的不同端口（多对多、多对一）

1、转换过程

网关路由器会从配置的公网地址池中选择一个空闲的公网IP地址和端口号，并建立相应的NAPT表项。这些NAPT表项指定了报文的私网IP地址和端口号与公网IP地址和端口号的映射关系。之后，网关路由器将报文的源IP地址和端口号转换成公网IP地址和端口号，并转发报文到公网。当网关
路由器收到回复报文后，会根据之前的映射表再次进行转换之后转发回主机A。主机B同理。

2、NAPT 配置

2.1、使用acl匹配私网地址范围

acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255

2.2、建立公网地址池

nat address-group 1 12.1.1.1 12.1.1.5

2.3、端口下建立映射

interface Gi0/0/1
nat outbound 2000 address-group 1

四、Easy ip NAT：多对一（基于接口）

1、工作原理

数据包在出外网时，路由器将基于源端口将报文进行相应的地址转换并进行相应的映射记录（缓存），当报文回来时，基于端口来区分内网不同的PC。为了防止PC源端口相同，数据出包时源端口也会被转换掉。

2、配置

2.1、步骤一：使用acl匹配允许被nat转换的内网地址网段

acl 2000
rule permit source 192.168.1.0 0.0.0.255

2.2、步骤二：公网接口调用acl 2000

int gi 0/0/1
nat outbound 2000

注意：easy ip nat 内网数据包出外网时全部会转换成公网接口的ip地址（12.1.1.1）
注意：NAT天然能够保护企业内网

五、NAT server（端口映射）

1、作用

便于更安全的通过访问公网地址访问内网服务

2、配置

将内网的192.168.1.200的80端口映射成外网12.1.1.5的80端口

int gi 0/0/1
nat server protocol tcp global 12.1.1.5 80 inside 192.168.1.200 80

3、优点

将服务器放置于防火墙（路由器）的后面，通过将相关服务端口映射到防火墙（路由器）上面实
现访问，服务器得到保护，更加安全