04 NATPT配置.docx
《04 NATPT配置.docx》由会员分享,可在线阅读,更多相关《04 NATPT配置.docx(34页珍藏版)》请在冰豆网上搜索。
04NATPT配置
目录
11NAT-PT配置11-1
11.1NAT-PT简介11-2
11.1.1NAT-PT的使用条件11-2
11.1.2NAT-PT的三种机制11-2
11.1.3NAT-PT的优缺点11-4
11.1.4报文与消息转换11-5
11.1.5参考信息11-7
11.2配置静态NAT-PT11-7
11.2.1建立配置任务11-7
11.2.2使能接口的NAT-PT功能11-8
11.2.3配置NAT-PT前缀11-8
11.2.4配置IP报文的静态映射11-9
11.2.5配置ToS字段或Traffic-class字段取值为011-9
11.2.6检查配置结果11-10
11.3配置动态NAT-PT11-10
11.3.1建立配置任务11-10
11.3.2使能接口的NAT-PT功能11-11
11.3.3配置NAT-PT前缀11-12
11.3.4配置NAT-PT地址池11-12
11.3.5配置IPv4侧报文的动态映射11-13
11.3.6配置IPv6侧报文的动态映射11-13
11.3.7配置不同协议的NAT-PT有效时间11-14
11.3.8配置会话数量的最大值11-15
11.3.9配置ToS字段或Traffic-class字段取值为011-15
11.3.10检查配置结果11-15
11.4维护NAT-PT11-16
11.4.1清除统计信息11-16
11.4.2调试NAT-PT11-16
11.5NAT-PT典型配置举例11-17
11.5.1配置IPv6侧动态映射11-17
11.5.2配置IPv4侧静态映射和IPv6侧静态映射11-20
11.5.3基于DNS-ALG的IPv6DNS服务器11-24
11.5.4基于DNS-ALG的IPv4DNS服务器11-26
11.6NAT-PT故障处理11-28
插图目录
图11-1NAT-PT组网图11-2
图11-2NAT-PT静态映射报文的转换11-3
图11-3应用DNS-ALG的NAT-PT机制11-4
图11-4配置IPv6侧报文动态映射组网图11-17
图11-5NAT-PT组网图(IPv4/IPv6侧为静态映射)11-20
图11-6配置基于DNS-ALG的IPv6DNS服务器组网图11-24
图11-7配置IPv4DNSServer组网图11-26
表格目录
表11-1IPv6报文头转换为IPv4报文头11-5
表11-2包含分片报文头的IPv6报文头转换为IPv4报文头11-5
表11-3IPv4报文头转换为IPv6报文头11-6
NAT-PT配置
关于本章
本章描述内容如下表所示。
标题
内容
11.1NAT-PT简介
了解NAT-PT的基本原理
11.2配置静态NAT-PT
配置静态NAT-PT
举例:
配置IPv4侧静态映射和IPv6侧静态映射
11.3配置动态NAT-PT
配置动态NAT-PT
举例:
配置IPv6侧动态映射
11.4维护NAT-PT
清除NAT-PT的统计信息或调试NAT-PT
11.5NAT-PT典型配置举例
举例说明NAT-PT的典型配置
11.6NAT-PT故障处理
检测和排除NAT-PT的运行故障
NAT-PT简介
NAT-PT(NetworkAddressTranslation-ProtocolTranslation)是附带协议转换器的网络地址转换器,它通过修改IP报文头中的地址和协议,使IPv6网络和IPv4网络之间可以互通。
本节介绍了NAT-PT的基本原理,具体包括:
●NAT-PT的使用条件
●NAT-PT的三种机制
●NAT-PT的优缺点
●报文与消息转换
NAT-PT的使用条件
如图11-1所示,IPv6主机和IPv4主机需要互通时,就要在路由器上实现NAT-PT。
NAT-PT组网图
从基于IPv4的Internet发展到基于IPv6的Internet是个循序渐进的过程,有一个过渡阶段,在这期间,IPv4和IPv6节点同时存在并需要互相通信。
这就需要在IPv4和IPv6网络边缘的路由器上提供NAT-PT功能,实现IPv4和IPv6地址之间的相互转换。
NAT-PT的三种机制
有三种NAT-PT机制可实现IPv4和IPv6地址之间的相互转换:
静态映射的NAT-PT机制、应用DNS-ALG(ApplicationLevelGateway)的NAT-PT机制和动态映射的NAT-PT机制。
静态映射的NAT-PT机制
NAT-PT静态映射报文的转换过程如图11-2所示。
不管是IPv6地址到IPv4地址的转换,还是IPv4地址到IPv6地址的转换,均由NAT-PT服务器来完成。
NAT-PT静态映射报文的转换
步骤1IPv6主机发送IPv6报文到NAT-PT。
NAT-PT路由器进行地址的静态转换:
报文的IPv6地址转化为IPv4地址。
NAT-PT路由器将转化后的报文发送给IPv4主机。
IPv4主机接收到报文后,向IPv6发送相应报文,相应报文的目的地址和源地址与接收报文的地址互换。
NAT-PT路由器接收到IPv4的相应报文后,进行与第二步类似的地址转换,将IPv4地址转化成IPv6地址。
----结束
●IPv4侧报文发送和接收过程中的地址转换与以上步骤类似,不再描述。
●IPv6目的地址是在NAT-PT路由器上静态配置的子网地址。
应用DNS-ALG(ApplicationLevelGateway)的NAT-PT机制
IPv6主机如果要通过主机名而不是IP地址与IPv4主机通信,就需要先使用NAT-PT的DNS-ALG(ApplicationLevelGateway)对主机名进行解析。
另外,为了安全,IPv6主机会向IPv4DNS服务器查询解析的IP地址是否存在访问指针记录(PTR记录)等。
因此NAT-PT的DNS-ALG还需要能够对PTR记录等的查询报文进行转换。
DNS-ALG具体支持的DNS记录类型如下。
●IPv4主机发出的A查询报文
●IPv6主机发出的AAAA查询报文
●IPv4DNS服务器发出的A响应报文
●IPv6DNS服务器发出的AAAA响应报文
●IPv4/IPv6主机发出的PTR和CNAME查询报文
●IPv4/IPv6DNS服务器发出的PTR和CNAME响应报文
下面以图11-3为例,说明DNS-ALG支持主机名解析的过程。
应用DNS-ALG的NAT-PT机制
步骤2IPv6主机发送AAAA查询报文,要求解析名字“”。
该报文的目的地址是在IPv6主机上静态配置的DNS服务器IPv6地址。
NAT-PT路由器接收IPv6的查询报文后,将AAAA请求报文转换为A请求报文。
转换后的请求报文中的DNS服务器地址为IPv4地址形式。
报文的IPv6源地址(IPv6主机的IPv6地址)可静态或动态的转换为IPv4地址。
IPv4的DNS服务器响应A请求报文,并将响应报文发送给NAT-PT路由器。
NAT-PT路由器将DNS的A响应报文转换为AAAA响应报文(包括进行IPv4到IPv6地址的转换),并发给IPv6主机。
通过以上步骤,IPv6主机查询到了“”的IPv6地址。
IPv6主机可以通过主机名而不是IP地址与IPv4主机通信了。
●IPv6主机获得目的IPv4主机地址后,IPv6主机与目的IPv4主机通信过程中的IP地址转换与上面步骤中相同,可以是静态转化,也可以是动态转换。
●NAT-PT的DNS-ALG对PTR和CNAME的查询/响应报文的地址转换过程与上述过程类似,不再描述。
----结束
动态映射的NAT-PT机制
和静态映射不同,动态映射没有IPv6和IPv4地址之间的一一对应关系。
它要求先创建一个地址池,然后根据需要从地址池中选取空闲地址来完成IPv4到IPv6地址的映射。
NAT-PT的优缺点
NAT-PT的优点是不必修改已存在的IPv4网络就可实现内部网络IPv4主机对外部网络IPv6主机的访问。
NAT-PT的缺点:
●属于同一会话的请求和响应都要通过同一NAT-PT路由器。
●不能转换IPv4报文头的可选项部分。
●缺少端到端的安全性。
报文与消息转换
NAT-PT转换
协议转换器只对IP报文头进行转换,而不会对载荷产生影响。
NAT-PT可完成IPv6和IPv4报文头之间的相互转换。
●IPv6报文头转换为IPv4报文头
在下列情况下,协议转换器会将IPv6报文头转换为IPv4报文头:
−当所接收到的报文的目的地址为IPv4映射后的IPv6地址时。
−当存在对输入报文进行映射的会话时。
如果IPv6报文不包含分片报文头,IPv6报文头就会被转换为IPv4报文头,如表11-1所示。
IPv6报文头转换为IPv4报文头
IPv4字段
赋值
版本
4
ToS
与IPv6报文头的流量级别相同
总长度
IPv6报文头的载荷长度+IP报文头长度
标识字段
0
标志
MF设为0,DF设为1
TTL
IPv6报文头的跳数限制-1
协议
IPv6报文头的下一个报文头字段
报文头校验和
IPv4报文头创建后即进行校验
如果IPv6报文包含分片报文头,IPv6报文头按表11-2转换为IPv4报文头:
包含分片报文头的IPv6报文头转换为IPv4报文头
IPv4字段
赋值
版本
4
ToS
与IPv6报文头的流量级别相同
总长度
IPv6报文头的载荷长度-8(分片报文头的长度)+IP报文头长度
标识字段
分片报文头中标识字段的低阶16位
标志
MF与分片报文头MF相同,DF设为0
TTL
IPv6报文头的跳数限制-1
协议
分片报文头的下一个报文头字段
报文头校验和
IPv4报文头创建后即进行校验
●IPv4报文头转换为IPv6报文头
未分片的IPv4报文转换为IPv6报文头,如表11-3所示。
IPv4报文头转换为IPv6报文头
IPv6字段
赋值
版本
6
流量级别
与IPv4报文头ToS相同
流标签
0
净荷长度
IPv4报文头总长度-IPv4报文头长度和IPv4选项
下一个报文头
与IPv4报文头的协议字段相同
跳数限制
IPv4报文头TTL-1
本版本不支持含有分片报文头的IPv4报文转换。
ICMP消息转换
NAT-PTICMP-ALG可转换RFC2765中指定的ICMP消息(包括IPv4与IPv6之间的相互转换)。
ICMPv6中所有需要转换的ICMP消息都要求更新ICMP校验和,作为转换的一部分,而ICMPv4只包含伪报文头校验和。
另外,所有的ICMP报文都需要转换类型值,ICMP错误消息中包含的IP报文头也需要转换。
参考信息
如果要更详细了解NAT-PT的原理,请参考以下文档。
●RFC2765:
IPv6Jumbograms
●RFC2766:
NetworkAddressTranslation-ProtocolTranslation(NAT-PT)
●RFC3152:
DelegationofIP6.ARPA
配置静态NAT-PT
建立配置任务
应用环境
静态NAT-PT应用在IPv4和IPv6之间映射项较少的情况。
前置任务
在配置静态NAT-PT之前,需完成以下任务。
●配置接口的物理特性
●配置接口的链路层协议
●启动IPv6功能,并配置了接口的IP地址
数据准备
在配置静态NAT-PT之前,需准备以下数据。
序号
数据
1
需要启动NAT-PT功能的接口编号
2
全局前缀
3
接口编号及接口前缀
4
含有下一跳选项的接口前缀
5
IPv6侧的静态映射表项
6
IPv4侧的静态映射表项
配置过程
要完成配置静态NAT-PT的任务,需要执行如下的配置过程。
序号
过程
1
建立配置任务
2
配置NAT-PT前缀
3
配置IP报文的静态映射
4
配置ToS字段或Traffic-class字段取值为0
5
检查配置结果
使能接口的NAT-PT功能
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令interfaceinterface-typeinterface-number,进入接口视图。
执行命令natptenable,使能接口NAT-PT功能。
----结束
需要在NAT-PT路由器连接IPv4网络和IPv6网络的接口上启动NAT-PT功能。
一旦在某接口启动了NAT-PT功能,从这个接口收到的报文就会被通报给NAT-PT,从而转换IPv4报文头和IPv6报文头。
配置NAT-PT前缀
当删除NAT-PT前缀时可能会影响某些动态配置,所以请谨慎删除。
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptprefixipv6-prefix,定义全局前缀。
执行命令natptprefixipv6-prefixinterfaceinterface-typeinterface-number[nexthopipv4-address],定义接口前缀。
----结束
在NAT-PT路由器上,配置NAT-PT前缀有2个作用。
●对于从IPv6侧网络收到的报文,路由器将该报文的目的地址前缀与NAT-PT前缀进行比较,如果相同,则允许对该报文头转换,如果不相同,则不对该报文头进行转换。
●对于从IPv4侧网络收到的报文,如果接收该报文的接口启动了NAT-PT功能,路由器将修改该报文头中的目的IP地址,在原IPv4地址前加上NAT-PT前缀,变成IPv6地址。
NAT-PT前缀固定为96位。
在配置NAT-PT前缀后,NAT-PT路由器将该NAT-PT前缀发布到IPv6侧的网络中,目的地址为该前缀的报文会被路由到NAT-PT路由器。
在配置NAT-PT前缀时只需保证该前缀是可路由的。
也可以为指定的接口配置前缀。
如果IPv6报文前缀的目的地址使能了NAT,此报文转换后就会被转发到配置时前缀绑定的接口。
接口前缀也可配置下一跳选项,它会将转换后的报文转发到配置的下一跳地址。
配置IP报文的静态映射
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptv4boundstaticipv4-addressipv6-address,定义IPv4侧报文的静态映射。
执行命令natptv6boundstaticipv6-addressipv4-address,定义IPv6侧报文的静态映射。
执行命令natptv4boundstaticv6serverprotocol{tcp|udp}ipv4-addressport-numberipv6-addressport-number,定义IPv4侧报文的PAT静态映射。
----结束
IPv4侧报文的映射指的是从IPv4到IPv6的报文转换,在此配置中会增加IPv4源地址的IPv6映射地址。
当IPv4报文发送到IPv6域时,IPv4源地址将会转换为IPv6地址。
缺省情况下,相反的转换规则同样成立,适用于IPv6到IPv4地址的转换。
IPv4和IPv6的port-number取值范围都是1~12287。
如果含有可选关键字v6server,表明是从IPv4侧报文到目的地址的映射。
因为DNS-ALG不支持PAT(PortAddressTranslation),如果地址池很小,映射时就很可能会没有可用地址。
静态PAT命令可以帮助IPv4侧报文的地址转换,节省全球单播地址。
配置ToS字段或Traffic-class字段取值为0
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptturn-off{tos|traffic-class},配置ToS字段或Traffic-class字段取值为0。
natptturn-offtos命令用来设置IPv6报文的ToS字段为0。
当IPv6报文转换为IPv4报文时,将ToS字段设为0。
natptturn-offtraffic-class命令用来设置IPv6报文的流量级别字段为0。
当IPv4报文转换为IPv6报文时,将流量级别字段设为0。
----结束
检查配置结果
在完成上述配置后,在任一视图下执行下面的display命令,查看NAT-PT的运行信息,检查配置的效果。
运行信息的详细解释请参见《VRP命令参考》。
操作
命令
查看NAT-PT地址组配置信息
displaynatptaddress-group
查看NAT-PT的静态和动态映射信息
displaynatptaddress-mapping
查看NAT-PT连接的有效时间
displaynatptaging-time
查看所有NAT-PT配置信息
displaynatptall
查看NAT-PT分片会话信息
displaynatptfrag-sessionsslotslot-id
查看NAT-PT的统计信息
displaynatptstatistics[slotslot-id]
执行命令displaynatptaddress-mapping,可以看到配置的静态NAT-PT的配置信息和映射项。
执行命令displaynatptstatistics,可以看到静态NAT-PT的统计信息。
配置动态NAT-PT
建立配置任务
应用环境
动态NAT-PT应用在映射项较多的情况下。
前置任务
在配置动态NAT-PT之前,需完成以下任务。
●配置接口的物理特性
●配置接口的链路层协议
●启动IPv6功能,并配置了接口的IPv6地址
●配置用于IPv4侧动态NAT-PT的ACL4
●配置用于IPv6侧动态NAT-PT的ACL6
数据准备
在配置动态NAT-PT之前,需准备以下数据。
序号
数据
1
需要启动NAT-PT功能的接口编号
2
全局前缀
3
接口前缀及其接口编号以及下一跳的IP地址
4
含有下一跳选项的接口前缀
5
地址池的名称及起始地址
6
ACL4编号
7
ACL6编号
配置过程
要完成配置动态NAT-PT的任务,需要执行如下的配置过程。
序号
过程
1
使能接口的NAT-PT功能
2
配置NAT-PT前缀
3
配置NAT-PT地址池
4
配置IPv4侧报文的动态映射
5
配置IPv6侧报文的动态映射
6
配置不同协议的NAT-PT有效时间
7
配置会话数量的最大值
8
配置ToS字段或Traffic-class字段取值为0
9
检查配置结果
使能接口的NAT-PT功能
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令interfaceinterface-typeinterface-number,进入接口视图。
执行命令natptenable,使能接口NAT-PT功能。
----结束
需要在NAT-PT路由器连接IPv4网络和IPv6网络的接口上启动NAT-PT功能。
一旦在某接口启动了NAT-PT功能,从这个接口收到的报文就会被通报给NAT-PT,从而转换IPv4报文头和IPv6报文头。
配置NAT-PT前缀
当删除NAT-PT前缀时可能会影响某些动态配置,所以请谨慎删除。
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptprefixipv6-prefix,定义全局前缀。
执行命令natptprefixipv6-prefixinterfaceinterface-typeinterface-number[nexthopipv4-address],定义接口前缀。
----结束
在NAT-PT路由器上,配置NAT-PT前缀有2个作用。
●对于从IPv6侧网络收到的报文,路由器将该报文的目的地址前缀与NAT-PT前缀进行比较,如果相同时,则允许对该报文头转换,如果不相同,则不对该报文头进行转换。
●对于从IPv4侧网络收到的报文,如果接收该报文的接口启动了NAT-PT功能,路由器将修改该报文头中的目的IP地址,在原IPv4地址前加上NAT-PT前缀,变成IPv6地址。
NAT-PT前缀固定为96位。
在配置NAT-PT前缀后,NAT-PT路由器将该NAT-PT前缀发布到IPv6侧的网络中,目的地址为该前缀的报文会被路由到NAT-PT路由器。
在配置NAT-PT前缀时只需保证该前缀是可路由的。
也可以为指定的接口配置前缀。
如果IPv6报文前缀的目的地址使能了NAT,此报文转换后就会被转发到配置时前缀绑定的接口。
接口前缀也可配置下一跳选项,它会将转换后的报文转发到配置的下一跳地址。
配置NAT-PT地址池
地址池与地址转换的某个ACL建立连接后,不允许被删除。
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptaddress-groupgroup-numberstart-ipv4-addressend-ipv4-address,定义地址池。
----结束
地址池是一组连续的IPv4地址。
当内部网络的数据包通过NAT-PT发送到外部网络,它就会在地址池中选择一个地址作为IPv6报文转换后的源地址。
配置IPv4侧报文的动态映射
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptv4bounddynamicaclnumberacl-numberprefixnatpt-prefix,定义IPv4侧报文的动态映射。
----结束
根据配置命令时使用的选项来识别要转换的地址。
IPv4侧的报文映射需要ACL号和前缀列表。
如果从IPv4域发出的报文符合ACL号,地址转换时就会在前面加上命令指定的前缀。
配置IPv6侧报文的动态映射
请在路由器上进行以下配置。
执行命令system-view,进入系统视图。
执行命令natptv6bounddynamicacl6numberacl-numberaddress-groupgroup-number[no-pat],定义IPv6侧报文的动态映射(组合1)。
执行命令natptv6bounddynamicacl6numberacl-numberinterfaceinterface-typeinterface-number,定义IPv6侧报文的动态映射(组合2)。
执行命令natptv6bounddynamicprefixnatpt-prefixaddress-groupgroup-number[no-pat],定义IPv6侧报文的动态映射