NAT工作原理和实验配置

工作原理

1. Basic NAT
   Basic NAT 方式属于一对一的地址转换，在这种方式下只转换 IP 地址，而不处理 TCP/UDP 协议的端口号，一个公网 IP 地址不能同时被多个私网用户使用
   

①当内网主机需要访问公网设备时,NAT 设备从地址池中选取一个空闲的公网 IP 地址，建立与内网主机报文源 IP 地址间的 NAT 转换表项(正反向)
②根据此表项把报文源 ip 改成公网 ip 后转发出去
③NAT 设备收到公网主机的回应报文后，根据其目的IP 地址查找反向 NAT表项，并依据查表结果将报文转换后向私网主机发送

2. NAPT（Network Address Port Translation 网络地址端口转换）
   NAPT 方式属于多对一的地址转换，它通过使用“IP 地址＋端口号”的形式进行转换，使多个私网用户可共用一个公网 IP 地址访问外网
   
   ①当内网主机需要访问公网设备时，NAT 设备从地址池中选取一对空闲的“公网IP 地址十端口号”,，建立与内网侧报文“源 IP 地址十源端日号”间的 NAPT转换表项(正反向)
   ②根据此表项把报文”源 ip 和源端口“改成“公网 ip 和端口”后转发出去
   ③NAT 设备收到公网主机的回应报文后，根据其“日的 地址干自的端口号.查找反向 NAPT 表项，并依据查表结果将报文转换后向私网主机发送
3. NAT 的实现：

NAT 实现主要包括：Easy IP、地址池 NAT（NAPT）、NAT Server 和静态 NAT/NAPT
①Easy IP 方式可以利用访问控制列表来控制哪些内部地址可以进行地址转换。EasyIP 方式特别适合小型局域网访问 Internet 的情况。这里的小型局域网主要指中小型网吧、小型办公室等环境.一般具有以下特点:内部主机较少、出接口通过拨号方式获得临时公网IP 地址以供内部主机访问 Intermet

②NAT Server:当外网用户访问内网服务器时，NAT Server 通过事先配置好的“公网 IP 地址+端口号”与“私网 IP 地址+端口号”间的映射关系，将服务器的“公网 IP 地址+端口号”,根据映射关系替换成对应的“私网 IP地址+端口号”

③静态 NAT 是指在进行 NAT 转换时，内部网络主机的 IP 同公网 IP 是一对静静态 NAT 中的公网 IP 只会给唯一旦固定的内网主机转换使用态绑定的，静态 NAT 中的公网 IP 只会给唯一且固定的内网主机转换使用

④静态 NAPT 是指“内部网络主机的 IP+协议号+端口号”同“公网 IP+协议号+端口号”是一对一静态绑定的，静态 NAPT 中的公网 IP 可以为多个私网 IP使用

实验拓扑

实验需求

1、基本配基本配置 (接口 IP 地址、设备主机名等)
2、在AR1 上配置默认 路由
3、在 AR1 上配置 Basic NAT ，使 10.1.1.0/24 网 络内的用户使用公网地址 22.100.1.100-202.100.1.102 访问外网
4、在AR1上配置 NAPT，使 10.1.1.0/24 网络内的用户使用公网地址 202.100.1.100 访问外网
5、在AR1 上配置 EasyIP，使 10.1.1.024 网络内的用户使用AR1 的 S1/0/0 接口的 IP 地址访问外网
6、在 AR1上配置 NAT Server，分别满足下面需求 :
a、外网用户可以使用 202.100.1.101 访问内网的 WWW 服务器
b、外网用户可以使用 http://202.100.1.101访问内网的 WWW 服务器 (10.1.2.11) ，使用 ftp://202.100.1.101 访问内网的 FTP 服务器 (10.1.2.12)

实验步骤

1、基本配置基本配置
（接口 IP 地址、设备主机名等）【自行设置】

2、在 AR1 上配置默认路由

[AR1]ip route-static 0.0.0.0 0 202.100.1.2

3、在 AR1 上 配 置 Basic NAT
使 10.1.1.0/24 网 络 内 的 用 户 使 用 公 网 地 址 202.100.1.100-202.100.1.102 访问外网

[AR1]nat address-group 1 202.100.1.100 202.100.1.101
[AR1]acl 2001
[AR1-acl-basic-2001]rule permit source 10.1.1.0 0.0.0.255
[AR1-acl-basic-2001]q 
[AR1]int s1/0/0
[AR1-Serial1/0/0]nat outbound 2001 address-group 1 no-pat 

4、在AR1 上配置 NAPT
使 10.1.1.0/24 网络内的用户使用公网地址 202.100.1.100 访问外网

[AR1]int s1/0/0
[AR1-Serial1/0/0]undo nat outbound 2001 address-group 1 no-pat 
#
[AR1]nat address-group 2 202.100.1.100 202.100.1.100
[AR1]int s1/0/0
[AR1-Serial1/0/0]nat outbound 2001 address-group 2
[AR1-Serial1/0/0]qu

5、在 AR1 上配置 EasyIP
使 10.1.1.0/24 网络内的用户使用 AR1 的 S1/0/0 接口的 IP 地址访问外网

[AR1]int s1/0/0
[AR1-Serial1/0/0]nat outbound 2001

6.在 AR1 上配置 NAT Server
分别满足下面需求
1、外网用户可以使用 202.100.1.101 访问内网的 WWW 服务器
2、外网用户可以使用 http://202.100.1.101 访问内网的 WWW 服务器（10.1.2.11），使用 ftp://202.100.1.101 访问内网的 FTP 服务器（10.1.2.12）

[AR1-Serial1/0/0]nat server global 202.100.1.101 inside 10.1.2.11
[AR1-Serial1/0/0]nat server protocol tcp global 202.100.1.101 21 inside 10.1.2.12 21
[AR1-Serial1/0/0]nat server protocol tcp global 202.100.1.101 20 inside 10.1.2.12 20
[AR1-Serial1/0/0]nat server protocol tcp global 202.100.1.101 80 inside 10.1.2.11 80

实验总结

重要知识点：
NAT 是将 IP 数据报文头中的 IP 地址转换为另一个 IP 地址的过程，主要用于实现内部网络（私 有 IP 地址）访问外部网络（公有 IP 地址）的功能。

● Basic NAT
是实现一对一的 IP 地址转换，在这种方式下只转换 IP 地址，而不处理 TCP/UDP 协议的端口号，一个公网 IP 地址不能同时被多个私网用户使用。

● 网络地址端口转换 NAPT
（Network Address Port Translation）属于多对一的地址转换， 它通过使用“IP 地址＋端口号”的形式进行转换，使多个私网用户可共用一个公网 IP 地 址访问外网。

● NAT Server
用于外网用户可以随时访问内网服务器的场景。当外网用户访问内网服务 器时，它通过事先配置好的“公网 IP 地址+端口号”与“私网 IP 地址+端口号”间的映射关系，将服务器的“公网 IP 地址+端口号”根据映射关系替换成对应的“私网 IP 地址+端口号”。

● 静态 NAT/NAPT
静态 NAT ：
是指在进行 NAT 转换时，内部网络主机的 IP 同公网 IP 是一对一静态绑定的，静态 NAT 中的公网 IP 只会给唯一且固定的内网主机转换使用。
静态 NAPT ：
是指“内部网络主机的 IP+协议号+端口号”同“公网 IP+协议号+端口号” 是一对一静态绑定的，静态 NAPT 中的公网 IP 可以为多个私网 IP 使用。
静态 NAT/NAPT ：还支持将指定私网范围内的主机 IP 转换为指定的公网范围内的主 机 IP。当内部主机访问外部网络时，如果该主机地址在指定的内部主机地址范围内， 会被转换为对应的公网地址；同样，当公网主机对内部主机进行访问时，如果该公 网主机 IP 经过 NAT 转换后对应的私网 IP 地址在指定的内部主机地址范围内，也是 可以直接访问到内部主机。
● Easy IP
Easy IP技术，是NAPT的一种简化情况。Easy IP无需建立公有IP地址资源池，因为Easy IP只会用到一个公有IP地址，该IP地址就是路由器连接公网的出口IP地址。

−Easy IP会建立并维护一张动态地址及端口映射表，且会将表中公有IP地址绑定成路由器公网出口IP地址；

−路由器出口IP地址如果发生了变化，表中公有IP地址也会自动跟着变化；

−路由器出口IP地址可是手工配置，也可是动态分配。
如果企业规模很小，经费有限。大概率上企业可能仅仅购买1个公网IP地址。在这种情况下，我们想要实现内网多个主机同时上网的话，就只能用“配置在公网接口”上的这个IP地址进行 NAT 转换。