NAT技术五日通

最新推荐文章于 2022-07-03 09:00:10 发布

zgeyzq

最新推荐文章于 2022-07-03 09:00:10 发布

阅读量1.1k

点赞数

分类专栏：网络技术文章标签：路由器服务器网络 server list internet

网络技术专栏收录该内容

44 篇文章 1 订阅

订阅专栏

第一天
一、概述NAT技术，中文翻译为网络地址转换。该技术产生的原因：IPv4地址危机，在Internet上应用广泛的IPv4技术，由于其先天性不足，在九十年代初期时，已经预计到了IPv4地址不足，从而开始开发IPv6技术。但开发IPv6需要足够的时间，为了延长IPv4技术的使用时间，产生了NAT技术。

二、工作原理修改IP数据包中的源IP地址，或目的IP地址。主要目的是把RFC1918所提议的私有地址转变成在Internet上可路由的公有合法地址。对于某些有限的应用（如DNS、FTP等），它也可以修改IP数据包有效载荷中的地址。由于应用的复杂性，NAT目前支持的应用有限，当然，如果需要，完全可以针对新的应用做相应的开发工作。从配置了NAT技术的一台路由器上，把整个网络分成两部分：内部网络和外部网络。NAT技术中有四个术语：内部本地地址----局域网内部主机的拥有的一个真实地址，一般来说是一个私有地址内部全局地址----对于外部网络来说，局域网内部主机所表现的IP地址。外部本地地址----外部网络主机的真实地址。外部全局地址----对于内部网络来说，外部网络主机所表现的IP地址。对于网络地址转换技术来讲，最重要的一点是，在配置NAT的路由器上形成了NAT转换表，这个转换表的形成是非常关键的。配置NAT后，能形成正确的转换表，那么我们的工作就算成功了。

三、基本配置
1、静态转换：
Router(config)#ip nat inside source static 内部本地地址内部全局地址
2、动态转换：
Router(config)#ip nat pool 地址池起始地址最后地址 netmask 子网掩码
Router(config)#access-list 表号 permit 网络号反掩码
Router(config)#ip nat inside source list 表号 pool 地址池
3、 PAT：
Router(config)#access-list 表号 permit 网络号反掩码
Router(config)#ip nat inside source list 表号 interface 外部接口

四、简单案例如下图所示，一个中小型企业网络，使用一台路由器和外部相连接，企业有WWW服务器和FTP服务器，用来提供给外部用户访问。企业内部员工也需要和Internet连接。如果企业能够申请到多个公网地址
（六个公网地址：202.1.1.1-202.1.1.6）。

配置：根据企业目前需求，我们可以做如下配置：
（假设ISP端路由器使用202..1.1.6）
Router(config)#int e0 (1)
Router(config-if)#ip add 10.1.1.254 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 202.1.1.1 255.255.255.248
Router(config-if)#ip nat outside
Router(config)#ip nat inside source static 10.1.1.1 202.1.1.2 (2)
Router(config)#ip nat inside source static 10.1.1.2 202.1.1.3 (3)
Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255 (4)
Router(config)#ip nat inside source list 1 interface e1 overload (5)
Router(config)#ip route 0.0.0.0 0.0.0.0 202.1.1.6 (6)
命令解释：
（1）：配置路由器接口IP地址及标记NAT的内部端口和外部端口
（2）：当外部用户访问服务器202.1.1.2，路由器使用静态NAT的方式转到10.1.1.1
（3）：当外部用户访问服务器202.1.1.3，路由器使用静态NAT的方式转到10.1.1.2
（4）：配置标准访问控制列表，匹配内部10.1.1.0/24网络的主机
（5）：配置PAT，允许内部10.1.1.0/24用户能够进行NAT转换
（6）：配置静态路由，使经过NAT转换后的数据包能够发送至ISP
注意事项：当配置静态NAT后，NAT转换表中就会形成转换条目。动态NAT和PAT在配置映射后，在转换表中并没有形成条目。当内部符合访问控制列表1条件的数据包到达路由器后，触发转换条件，该数据包要求查找转换表，如果转换表中有转换条目存在，使用该条目转换，如果没有转换条目，则根据映射创建条目并转换。

第二天
一、端口地址重定向：
如图所示，该企业申请ADSL上网，只获得了一个公有合法IP地址。为了企业的应用，可以使用端口地址重定向功能来完成。

Router(config)#int e0 (1)
Router(config-if)#ip add 10.1.1.254 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 202.1.1.1 255.255.255.252
Router(config-if)#ip nat outside
Router(config)#ip nat inside source static tcp 10.1.1.1 80 202.1.1.1 80 (2)
Router(config)#ip nat inside source static tcp 10.1.1.2 21 202.1.1.1 21 (3)
Router(config)#ip nat inside source static tcp 10.1.1.2 20 202.1.1.1 20
Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255 (4)
Router(config)#ip nat inside source list 1 interface e1 overload (5)
Router(config)#ip route 0.0.0.0 0.0.0.0 202.1.1.2 (6)

命令解释：
（1）：配置路由器接口IP地址及标记NAT的内部端口和外部端口
（2）：当外部用户访问服务器202.1.1.1:80，路由器使用静态NAT的方式转到10.1.1.1:80
（3）：当外部用户访问服务器202.1.1.1:21，路由器使用静态NAT的方式转到10.1.1.1:21（由于FTP问题较复杂，这儿仅以一种FTP的应用为例）
（4）：配置标准访问控制列表，匹配内部10.1.1.0/24网络的主机
（5）：配置PAT，允许内部10.1.1.0/24用户能够进行NAT转换
（6）：配置静态路由，使经过NAT转换后的数据包能够发送至ISP

二、地址交叉（地址重叠）：
如果两个网络当前的网络地址出现相同的情况，且目前又需要两个网络之间相互直接通讯。这种情况被称之为地址重叠。如下图所示：
这时候可能出现多种情况：两个网络中都有双方需要访问的服务器
只有一方网络中有双方需要访问的服务器（如上图）不同的网络情况，配置时略有不同。概括起来讲，解决这个问题有两种方案：
1、静态转换 Router(config)#ip nat inside source static network 10.1.1.0 192.168.1.0 /24 (1)
Router(config)#ip nat outside source static network 10.1.1.0 192.168.2.0 /24 (2)
Router(config)#ip route 0.0.0.0 0.0.0.0 e1
Router(config)#int e0
Router(config-if)#ip add 10.1.1.254 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip nat outside
注解：
(1):把内部网络10.1.1.0转换成192.168.1.0，也就是说，对于外部网络而言，内部网络的地址是192.168.1.0/24
(2):把外部网络10.1.1.0传输来的数据全部修改成192.168.2.0网段，也就是说，对于内部网络而言，外部真实10.1.1.0网络被认为是192.168.2.0网络。
2、动态转换 Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255
Router(config)#ip nat pool in-pool 192.168.1.1 192.168.1.254 netmask 255.255.255.0
Router(config)#ip nat pool out-pool 192.168.2.1 192.168.2.254 netmask 255.255.255.0
Router(config)#ip nat inside list 1 pool in-pool
Router(config)#ip nat outside list 1 pool out-pool
Router(config)#ip route 0.0.0.0 0.0.0.0 e1
Router(config)#int e0
Router(config-if)#ip add 10.1.1.254 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip nat outside 该配置所得到的效果静态转换一样。在此不再多说。

三、负载分担（流量分配）：
随着企业的发展，企业的WWW服务器访问的用户越来越多，一台服务器已经不能满足当前的需要，更换一台高端服务器价格不菲，这时候可以使用NAT的流量分担功能。来解决企业当前的问题。如图所示：两台Web服务器承担着相当的WWW服务功能。对于外部用户而言，他们只知道该企业的WWW地址是200.1.1.1基本配置如下：
Router(config)#ip nat pool wwwserver 10.1.1.1 10.1.1.2 prefix-length 24 type rotary
Router(config)#access-list 1 permit 200.1.1.1 0.0.0.0
Router(config)#ip nat inside destination list 1 pool wwwserver
Router(config)#int e0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip nat outside
第一条命令是用来建立一个内部服务器的地址池，一定要注意后面的type rotary，该参数用来分配流量。Access-list用来指定虚拟服务器地址。第三条命用来定义转换关系。最后在两个接口上调用NAT转换表。注意，使用这种方法时，并不是最好的解决方案，相同的场景，以后会介绍更好的解决方案。

四、控制NAT转换表大小：
1、设置连接最大数量：该命令用来限制动态产生的转换表的条目
Router(config)#ip nat translation max-entries 最大数目
2、设置超时值：动态产生的NAT转换条目，根据不同的服务有不同的超时值。
Router(config)#ip nat translation 协议时间超时值在第二天NAT介绍文章中，提供了NAT的负载均衡的配置。但是，那种简单的负载均衡有较多的局限性
1、不检查内部服务器的状态，可能会造成路由黑洞
2、不能灵活调整服务器的负载为了解决这些问题，开始提出新的技术，引入了服务器负载平衡（Server Load Balancing）技术。该技术提供两种工作模式：定向模式和分派模式。

第三天
一、定向模式：在定向模式中，给服务器指定一个IP地址，真实的服务器不知道这个地址。在数据包进行转发的时候，需修改数据包中的IP地址，并重新进行CRC计算，再进行数据包的转发。
具体配置如下：
Router(config)#ip slb serverfarm Web_server (1)
Router(config-slb-sfarm)#nat server (2)
Router(config-slb-sfarm)#real 10.1.1.1 (3)
Router(config-slb-real)#weight 10 (4)
Router(config-slb-real)#faildetect numconns 8 numclients 3 (5)
Router(config-slb-real)#retry 60 (6)
Router(config-slb-real)#maxconns 2000 (7)
Router(config-slb-real)#inservice (8)
Router(config-slb-real)#exit
Router(config-slb-sfarm)#real 10.1.1.2 (9)
Router(config-slb-real)#weight 15
Router(config-slb-real)#faildetect numconns 8 numclients 3
Router(config-slb-real)#retry 60
Router(config-slb-real)#maxconns 3000
Router(config-slb-real)#inservice
Router(config-slb-real)#exit
Router(config)#ip slb vserver Out_server (10)
Router(config-slb-vserver)#serverfarm Web_server (11)
Router(config-slb-vserver)#virtual 200.1.1.1 tcp 80 (12)
Router(config-slb-vserver)#delay 10 (13)
Router(config-slb-vserver)#idle 1200 (14)
Router(config-slb-vserver)#inservice (15)
命令详解：
（1）建立一个真实服务器群组，群组名Web_server
（2）该群组使用定向模式提供服务。默认情况下真实服务器群组使用分派模式（如下一个图例配置情况就是分派模式。
（3）真实服务器的IP地址从
（4）--（8）是配置真实服务器的一些连接特性
（4）权重10。该命令的意思是：10.1.1.1服务器我承担的流量为10/（10+15）。15为另一台服务器的权重
（5）在认定该服务器失效前，路由器给服务器所发送的最多连接失败数
（6）指定在服务器失效后，路由器多长时间检测一次服务器
（7）该服务器最大连接数。这个参数设定是根据服务器的性能决定的
（8）在这个群组中启用该服务器
（9）建立群组中的另一台真实服务器
（10）建立虚拟服务器，指定虚拟服务器名Out_server
（11）指定哪个服务器群组处理该虚拟服务器的流量
（12）配置虚拟服务器地址及其协议和端口号
（13）连接终止后路由器上保持该SLB表项的时间
（14）空闲超时值
（15）启用虚拟服务器
二、分派模式：处于分派模式时，真实的服务器上配置两个地址：一个是自已的地址，一个是虚拟IP地址。当路由器进行数据转发的时候，不需要对数据包的IP地址转换，直接把数据包分发。注意，在分派模式的时候，中间的交换机必须是二层交换机。
具体配置如下：
Router(config)#ip slb serverfarm Web_server
Router(config-slb-sfarm)#real 10.1.1.1
Router(config-slb-real)#weight 10
Router(config-slb-real)#inservice
Router(config-slb-real)#exit
Router(config-slb-sfarm)#real 10.1.1.2
Router(config-slb-real)#weight 15
Router(config-slb-real)#inservice
Router(config-slb-real)#exit
Router(config)#ip slb vserver Out_server
Router(config-slb-vserver)#serverfarm Web_server
Router(config-slb-vserver)#virtual 200.1.1.1 tcp 80
Router(config-slb-vserver)#inservice
分派模式的配置和定向模式很多都是相同的。分派模式中只少了一条命令：Router(config-slb-sfarm)#nat server

第四天
一、使用ACL控制转换如下图所示：网络A和网络B都连接到Internet。由于业务需要，两个网络需要相互访问，因而在路由器A和路由器B之间建立了IPsec VPN。当网络A和网络B之间互访时，则不必做NAT转换。

路由器A配置如下：
Router(config)#access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 (1)
Router(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 any
Router(config)#ip nat inside source list 100 interface e1 overload (2)
Router(config)#int e0
Router(config-if)#ip add 192.168.10.1 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 202.1.1.1 255.255.255.252（外部接口地址）
Router(config-if)#ip nat outside
命令详解：
（1）访问控制列表100是用来匹配出进行NAT转换的数据包，第一个条目中从192.168.10.0到192.168.20.0的数据包不需要进行转换，到其它网络的数据包需要转换（关于VPN内容，以后有机会再说）。
（2）符合访问控制列表的流量进行PAT转换
如果该单位能申请到较多的IP地址，路由器A的配置可能如下：
Router(config)#access-list 100 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 (1)
Router(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 anyRouter(config)#ip nat pool Real_add 202.1.1.2 202.1.1.200 netmask 255.255.255.0
(2)Router(config)#ip nat inside source list 100 pool Real_add
(3)Router(config)#int e0
Router(config-if)#ip add 192.168.10.1 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 202.1.1.1 255.255.255.252（外部接口地址）
Router(config-if)#ip nat outside
命令详解：
（1）匹配需要进行转换的流量
（2）配置可以用来转换的地址池
（3）进行NAT转换配置，符合访问控制列的的流量使用地址池中的地址进行转换。
这时候使用访问控制列表来进行NAT转换的时候，NAT转换表中形的条目是这样的：
Pro Inside global Inside local Outside local Outside global
--- 202.1.1.1 192.168.10.10 ---- ----
也就是说，当使用访问控制列表来进行NAT转换时，不能形成一个完整的条目。这在某些应用中会产生问题，所以需要其它的技术，来形成一个完整的NAT转换条目。
二、使用路由图控制转换如图所示，企业为了优化网络访问，申请了两个ISP的宽带线路。可以提高内部用户访问Inbernet的速度。对于这个企业的需求，对网络的优化方案如下
1) 当内部用户所需要的资源在ISP1时，需要从E1端口进行通讯；当内部用户所需要的资源在ISP2时，需要从E0端口通讯。
2) 不同ISP网络上所来的访问，需要从各自的线路返回。

在这种拓扑中，如果使用ACL来控制NAT的转换，就会出现问题，比如说我们作了如下配置：（假设从ISP1的网络为100.1.1.0/24，从ISP2的网络地址为200.1.1.0/24）

NAT部分：
Router(config)#ip nat pool isp1 100.1.1.2 100.1.1.254 prefix-length 24
Router(config)#ip nat pool isp2 200.1.1.2 200.1.1.254 prefix-length 24
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 100.1.1.0 0.0.0.255
Router(config)#access-list 101 permit ip 10.1.1.0 0.0.0.255 200.1.1.0 0.0.0.255
Router(config)#ip nat inside source list 100 pool isp1
Router(config)#ip nat inside source list 101 pool isp2
Router(config)#int e0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip nat outside
Router(config)#int e2
Router(config-if)#ip nat outside
命令详解：（略）
如果内部一台主机10.1.1.10对外部进行一次telnet访问后，NAT转换表中形的条目如下：Pro Inside global Inside local Outside local Outside globaltcp 100.1.1.10:57767 10.1.1.1:57767 100.1.1.3:23 100.1.1.3:23--- 100.1.1.10 10.1.1.1 --- ---
如果该主机现在想访问ISP2的一个资源，NAT表中会出现如下情况：
Pro Inside global Inside local Outside local Outside globaltcp 100.1.1.10:24597 10.1.1.1:24597 200.1.1.3:23 200.1.1.3:23
tcp
100.1.1.10:26160 10.1.1.1:26160 100.1.1.3:23 100.1.1.3:23--- 100.1.1.10 10.1.1.1 --- ---
注意：这时候外出的数据包中的源IP地址是ISP1的地址。因而返回的数据包会从ISP2转到ISP1网络，再回到企业内部。所以在这种情况下，不能使用ACL来进行NAT的过滤。
可使用路由图来形成转换的配置如下：
Router(config)#ip nat pool isp1 100.1.1.10 100.1.1.100 prefix-length 24
Router(config)#ip nat pool isp2 200.1.1.10 200.1.1.100 prefix-length 24
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 100.1.1.0 0.0.0.255
Router(config)#access-list 101 permit ip 10.1.1.0 0.0.0.255 200.1.1.0 0.0.0.255
Router(config)#route-map isp1-map permit 10 (1)
Router(config-route-map)#match ip address 100 (2)
Router(config)#route-map isp2-map permit 10 (3)
Router(config-route-map)#match ip address 101
Router(config)#ip nat inside source route-map isp1-map pool isp1 （4）
Router(config)#ip nat inside source route-map isp2-map pool isp2
Router(config)#int e0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip nat outside
Router(config)#int e2
Router(config-if)#ip nat outside
命令详解：（1）建立ISP1的路由图
（2）符合访问控制列表的流量适用于路由图
（3）建立ISP2的路由图
（4）调用路由图，建立NAT的转换映射这种配置时，内部用户访问外部的时候，就形成了完整的NAT转换表。才能达到优化网络的目的。
Pro Inside global Inside local Outside local Outside globaltcp 100.1.1.10:11787 10.1.1.1:11787 100.1.1.3:23 100.1.1.3:23tcp 200.1.1.10:14877 10.1.1.1:14877 200.1.1.3:23 200.1.1.3:23

第五天
SNAT是NAT技术的重要内容，先写上一些再说吧冗余链路是很多网络所关注的问题，Cisco公司的NAT技术提供在两种情况下的冗余：
1、在小型网络中使用的冗余技术，静态NAT和HSRP协议配合使用
2、在大中型网络中使用的冗余技术，有状态的切换。
一、HSRP和静态NAT：用来提供网络访问服务的冗余链路。

配置如下：路由器A：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.10 255.255.255.0
Router(config-if)#no ip redirects
Router(config-if)#ip nat inside
Router(config-if)#standby 1 ip 10.1.1.254
Router(config-if)#standby 1 priority 120
Router(config-if)#standby 1 preempt
Router(config-if)#standby 1 name NAT
Router(config-if)#standby 1 track e1 50
Router(config)#int e1
Router(config-if)#ip add 100.1.1.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#ip nat inside source static 10.1.1.1 100.1.1.3 reduandancy NAT
Router(config)#ip nat inside source static 10.1.1.2 100.1.1.4 reduandancy NAT路由器B：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.11 255.255.255.0
Router(config-if)#no ip redirects
Router(config-if)#ip nat inside
Router(config-if)#standby 1 ip 10.1.1.254
Router(config-if)#standby 1 preempt
Router(config-if)#standby 1 name NATGROUP
Router(config)#int e1
Router(config-if)#ip add 100.1.1.2 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#ip nat inside source static 10.1.1.1 100.1.1.3 reduandancy NATGROUP

Router(config)#ip nat inside source static 10.1.1.2 100.1.1.4 reduandancy NATGROUP命令详解：常用于小型网络，只能为静态NAT提供转换
二、有状态的地址切换：有状态的地址切换，当流量从一台路由器上通过时，另一台路由器能够获得相同的NAT转换表，故称为有状态的地址切换。
1. 使用HSRP的有状态切换：
路由器A：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.10 255.255.255.0
Router(config-if)#no ip redirects
Router(config-if)#ip nat inside
Router(config-if)#standby 1 ip 10.1.1.254
Router(config-if)#standby 1 priority 120
Router(config-if)#standby 1 preempt
Router(config-if)#standby 1 name SNAT
Router(config-if)#standby 1 track e1 50
Router(config)#int e1
Router(config-if)#ip add 100.1.1.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#ip nat stateful id 1
Router(config-snat)#redundancy SNAT
Router(config-snat-red)#mapping-id 100
Router(config)#ip nat pool SNAT-POOL 100.1.1.10 100.1.1.254 prefix-length 24
Router(config)#ip nat inside source route-map SNAT-MAP pool SNAT-POOL mapping-id 100 overload
Router(config)#route-map SNAT-MAP permit 10
Router(config-route-map)#match ip address 100
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 any

路由器B：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.11 255.255.255.0
Router(config-if)#no ip redirects
Router(config-if)#ip nat inside
Router(config-if)#standby 1 ip 10.1.1.254
Router(config-if)#standby 1 preempt
Router(config-if)#standby 1 name SNAT
Router(config)#int e1
Router(config-if)#ip add 100.1.1.2 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#ip nat inside source static 10.1.1.1 100.1.1.3 reduandancy NATGROUP
Router(config)#ip nat inside source static 10.1.1.2 100.1.1.4 reduandancy NATGROUP
Router(config)#ip nat stateful id 2
Router(config-snat)#redundancy SNAT
Router(config-snat-red)#mapping-id 100
Router(config)#ip nat pool SNAT-POOL 100.1.1.10 100.1.1.254 prefix-length 24
Router(config)#ip nat inside source route-map SNAT-MAP pool SNAT-POOL mapping-id 100 overload
Router(config)#route-map SNAT-MAP permit 10
Router(config-route-map)#match ip address 100
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 any
命令详解：这种有状态的HSRP的SNAT，可以为两种类型的转换：NAT和PAT提供冗余。2、不使用HSRP的状态切换：
路由器A：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.1 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 100.1.1.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#int e2
Router(config-if)#ip add 192.168.1.254 255.255.255.0
Router(config)#ip nat stateful id 1
Router(config-ipnat-snat)#primary 192.168.1.254
Router(config-ipnat-snat-red)#peer 192.168.1.253
Router(config-ipnat-snat-red)#mapping-id 100
Router(config)#ip nat pool SNAT-POOL 100.1.1.10 100.1.1.100 prefix-length 24
Router(config)#ip nat inside source route-map SNAT-MAP pool SNAT-POOL mapping 100 overload
Router(config)#route-map SNAT-MAP permit 10
Router(config-route-map)#match ip addredd 100
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 any

路由器B：
Router(config)#int e0
Router(config-if)#ip add 10.1.1.1 255.255.255.0
Router(config-if)#ip nat inside
Router(config)#int e1
Router(config-if)#ip add 100.1.1.1 255.255.255.0
Router(config-if)#ip nat outside
Router(config)#int e2
Router(config-if)#ip add 192.168.1.254 255.255.255.0
Router(config)#ip nat stateful id 2
Router(config-ipnat-snat)#primary 192.168.1.254
Router(config-ipnat-snat-red)#peer 192.168.1.253
Router(config-ipnat-snat-red)#mapping-id 100
Router(config)#ip nat pool SNAT-POOL 100.1.1.10 100.1.1.100 prefix-length 24
Router(config)#ip nat inside source route-map SNAT-MAP pool SNAT-POOL mapping 100 overload
Router(config)#route-map SNAT-MAP permit 10
Router(config-route-map)#match ip addredd 100
Router(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 any
命令详解：这种有状态的SNAT，可以为大型网络提供转换。