NATWord文档格式.docx

1、虽然NAT可以借助于某些代理服务器来实现，但考虑到运算成本和网络性能，很多时候都是在路由器上来实现的。 随着接入Internet的计算机数量的不断猛增，IP地址资源也就愈加显得捉襟见肘。事实上，除了中国教育和科研计算机网（CERNET）外，一般用户几乎申请不到整段的C类IP地址。在其他ISP那里，即使是拥有几百台计算机的大型局域网用户，当他们申请IP地址时，所分配的地址也不过只有几个或十几个IP地址。显然，这样少的IP地址根本无法满足网络用户的需求，于是也就产生了NAT技术。l.NAT简介 借助于NAT，私有（保留）地址的内部网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域

2、网只需使用少量IP地址（甚至是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据都分别嵌入IP地址的应用程序就不能正常工作。2.NAT实现方式 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和 端口多路复用OverLoad。静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不

3、变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。端口多路复用（Port address Translation,PAT）是指改变外出数据包的

4、源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation）.采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。3.网络地址转换（NAT）的实现 在配置网络地址转换的过程之前，首先必须搞清楚内部接口和外部接口，以及在哪个外部接口上启用NAT。通常情况下，连接到用户内部网络的接口是NAT内部接口，而连接到外部网络（如Internet）的接口是NAT外部接口。1）

5、.静态地址转换的实现 假设内部局域网使用的lP地址段为192.168.0.1192.168.0.254，路由器局域网端（即默认网关）的IP地址为192.168.0.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.159.62.12861.159.62.135，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.248可用于转换的IP地址范围为61.159.62.13061.159.62.134。要求将内部网址192.168.0.2192.168.0.6分别转换为合法IP地址61.159.62.13061.159.62.134。第

6、一步，设置外部端口。interface serial 0 ip address 61.159.62.129 255.255.255.248 ip nat outside 第二步，设置内部端口。interface ethernet 0 ip address 192.168.0.1 255.255.255.0 ip nat inside 第三步，在内部本地与外部合法地址之间建立静态地址转换。ip nat inside source static 内部本地地址内部合法地址。示例：ip nat inside source static 192.168.0.2 61.159.62.130 /将内部网络地

7、址192.168.0.2转换为合法IP地址61.159.62.130 ip nat inside source static 192.168.0.3 61.159.62.131 /将内部网络地址192.168.0.3转换为合法IP地址61.159.62.131 ip nat inside source static 192.168.0.4 61.159.62.132 /将内部网络地址192.168.0.4转换为合法IP地址61.159.62.132 ip nat inside source static 192.168.0.5 61.159.62.133 /将内部网络地址192.168.0.5

8、转换为合法IP地址61.159.62.133 ip nat inside source static 192.168.0.6 61.159.62.134 /将内部网络地址192.168.0.6转换为合法IP地址61.159.62.134 至此，静态地址转换配置完毕。2）.动态地址转换的实现 假设内部网络使用的IP地址段为172.16.100.1172.16.100.254,路由器局域网端口（即默认网关）的IP地址为172.16.100.1,子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.159.62.12861.159.62.191，路由器在广域网中的IP地址为61.1

9、59.62.129,子网掩码为255.255.255.192,可用于转换的IP地址范围为61.159.62.13061.159.62.190。要求将内部网址172.16.100.1172.16.100.254动态转换为合法IP地址61.159.62.13061.159.62.190。设置外部端口命令的语法如下：interface serial 0 /进入串行端口serial 0 ip address 61.159.62.129 255.255.255.192/将其IP地址指定为61.159.62.129,子网掩码为255.255.255.192 ip nat outside /将串行口seri

10、al 0设置为外网端口 注意，可以定义多个外部端口。设置内部接口命令的语法如下：interface ethernet 0 /进入以太网端口Ethernet 0 ip address 172.16.100.1 255.255.255.0 / 将其IP地址指定为172.16.100.1,子网掩码为255.255.255.0 ip nat inside /将Ethernet 0 设置为内网端口。注意，可以定义多个内部端口。第三步，定义合法IP地址池。定义合法IP地址池命令的语法如下：ip nat pool 地址池名称 起始IP地址 终止IP地址 子网掩码 其中，地址池名字可以任意设定。ip nat

11、pool chinanet 61.159.62.130 61.159.62.190 netmask 255.255.255.192 /指明地址缓冲池的名称为chinanet,IP地址范围为61.159.62.13061.159.62.190,子网掩码为255.255.255.192。需要注意的是，即使掩码为255.255.255.0，也会由起始IP地址和终止IP地址对IP地址池进行限制。或ip nat pool test 61.159.62.130 61.159.62.190 prefix-length 26 注意，如果有多个合法IP地址范围，可以分别添加。例如，如果还有一段合法IP地址范围为

12、211.82.216.1211.82.216.254，那么，可以再通过下述命令将其添加至缓冲池中。ip nat pool cernet 211.82.216.1 211.82.216.254 netmask 255.255.255.0 或 ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24 第四步，定义内部网络中允许访问Internet的访问列表。定义内部访问列表命令的语法如下：access-list 标号 permit 源地址 通配符（其中，标号为199之间的整数） access-list 1 permit 172.16

13、.100.0 0.0.0.255 /允许访问Internet的网段为172.16.100.0172.16.100.255，反掩码为0.0.0.255。需要注意的是，在这里采用的是反掩码，而非子网掩码。反掩码与子网掩码的关系为：反掩码+子网掩码=255.255.255.255。例如，子网掩码为255.255.0.0，则反掩码为0.0.255.255；子网掩码为255.0.0.0,则反掩码为0.255.255.255;子网掩码为255.252.0.0,则反掩码为0.3.255.255;子网掩码为255.255.255.192，则反掩码为 0.0.0.63。另外，如果想将多个IP地址段转换为合法IP

14、地址，可以添加多个访问列表。例如，当欲将172.16.98.0172.16.98.255和172.16.99.0172.16.99.255转换为合法IP地址时，应当添加下述命令：access-list2 permit 172.16.98.0 0.0.0.255 access-list3 permit 172.16.99.0 0.0.0.255 第五步，实现网络地址转换。在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。命令语法如下：ip nat inside source list 访问列表标号 pool 内部合法地址池名字 ip nat ins

15、ide source list 1 pool chinanet 如果有多个内部访问列表，可以一一添加，以实现网络地址转换，如 ip nat inside source list 2 pool chinanet ip nat inside source list 3 pool chinanet 如果有多个地址池，也可以一一添加，以增加合法地址池范围，如 ip nat inside source list 1 pool cernet ip nat inside source list 2 pool cernet ip nat inside source list 3 pool cernet 至此，

16、动态地址转换设置完毕。3）.端口复用动态地址转换（PAT） 内部网络使用的IP地址段为10.100.100.110.100.100.254,路由器局域网端口（即默认网关）的IP地址为10.100.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为202.99.160.0202.99.160.3,路由器广域网中的IP地址为202.99.160.1,子网掩码为255.255.255.252，可用于转换的IP地址为202.99.160.2。要求将内部网址10.100.100.110.100.100.254 转换为合法IP地址202.99.160.2。ip address

17、202.99.160.1 255.255.255.252 ip address 10.100.100.1 255.255.255.0 ip nat pool onlyone 202.99.160.2 202.99.160.2 netmask 255.255.255.252 / 指明地址缓冲池的名称为onlyone,IP地址范围为202.99.160.2,子网掩码为255.255.255.252。由于本例只有一个IP地址可用，所以，起始IP地址与终止IP地址均为202.99.160.2。如果有多个IP地址，则应当分别键入起止的IP地址。第四步，定义内部访问列。access-list 1 perm

18、it 10.100.100.0 0.0.0.255 允许访问Internetr的网段为10.100.100.010.100.100.255，子网掩码为255.255.255.0。需要注意的是，在这里子网掩码的顺序跟平常所写的顺序相反，即0.0.0.255。第五步，设置复用动态地址转换。在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。ip nat inside source list访问列表号pool内部合法地址池名字overload ip nat inside source list1 pool onlyone overload /以端口复用方式，将访问列表1中

19、的私有IP地址转换为onlyone IP地址池中定义的合法IP地址。注意:overload是复用动态地址转换的关键词。至此，端口复用动态地址转换完成。示例一：全部采用端口复用地址转换 当ISP分配的IP地址数量很少，网络又没有其他特殊需求，即无需为Internet提供网络服务时，可采用端口利用地址转换方式，使网络内的计算机采用同一IP地址访问Internet，在节约IP地址资源的同时，又可有效保护网络内部的计算机。网络环境为：局域网采用10Mb/s光纤，以城域网方式接入Internet。路由器选用拥有2个10/100 Mb/s自适应端口的Cisco 2611。内部网络使用的IP地址段为192.

20、168.100.1192.168.100.254，局域网端口Ethernet 0的IP地址为192.168.100.1,子网掩码为255.255.0.0。网络分配的合法IP地址范围为202.99.160.128202.99.160.131,连接ISP的端口Ethernet 1的IP地址为202.99.160.129,子网掩码为255.255.255.252。可用于转换的IP地址为202.99.160.130。要求网络内部的所有计算机均可访问Internet。案例分析：既然只有一个可用的合法IP地址，同时处于局域网的服务器又只为局域网提供服务，而不允许Internet中的主机对其访问，因此完全可

21、以采用端口复用地址转换方式实现NAT，使得网络内的所有计算机均可独立访问Internet。配置清单：interface fastethernet0/0 ip address 192.168.100.1 255.255.0.0 /定义本地端口IP地址 duplex auto speed auto ip nat inside / 定义为本地端口 !interface fastethernet0/1 ip address 202.99.160.129 255.255.255.252 ip nat pool onlyone 202.99.160.130 202.99.160.130 netmask 2

22、55.255.255.252 /定义合法IP地址池，名称为onlyone access-list 1 permit 192.168.100.0 0.0.0.255 /定义本地访问列表 ip nat inside source list1 pool onlyone overload /采用端口复用动态地址转换 示例二：动态地址+端口复用地址转换 许多FTP网站考虑到服务器性能和Internet连接带宽的占用问题，都限制同一IP地址的多个进程访问。如果采用端口复地址转换方式，则网络内的所以计算机都采用同一IP地址访问Internet,那么，将因此而被禁止对该网站的访问。所以，当提供的合法IP地址数

23、量稍多时，可同时采用端口复用和动态地址转换方式，从而既可保证所有用户都能够获得访问Internet的权力，同时，又不致、某些计算机因使用同一IP地址而被限制权限。需要注意的是，由于所有计算机都采用动态地址转换方式，因此Internet中的所有计算机将无法实现对网络内部服务器的访问。网络环境：局域网以2Mb/s DDN专线接入Internet，路由器选用安装了广域网模块的Cisco 2611,如图4-2-2所示。内部网络使用的IP地址段为172.16.100.1172.16.102.254,局域网端口Ethernet 0的IP地址为172.16.100.1,子网掩码为255.255.0.0。网络

24、分配的合法IP地址范围为202.99.160.128202.99.160.192,子网掩码为255.255.255.192,可用于转换的IP地址范围为202.99.160.130202.99.160.190。要求网络部分的部分计算机可以不受任何限制地访问Internet，服务器无需提供Internet访问服务。既然要求网络中的部分计算机可以不受任何限制地访问Internet,同时，服务器无需提供Internet访问服务，那么，只需采用动态地址转换+端口复用地址转换方式即可实现。部分有特殊需求的计算机采用动态地址转换的NAT方式，其他计算机则采用端口复用地址转换的NAT方式。因此，部分有特殊需求

25、的计算机可采用内部网址172.16.100.1172.16.100.254，并动态转换为合法地址202.99.160.130202.99.160.189，其他计算机采用内部网址172.16.101.1172.16.102.254,全部转换为202.99.160.190。ip address 10.100.100.1 255.255.255.0 /定义局域网端口IP地址 ip nat inside /定义为局域端口 interface serial 0/0 ip address 202.99.160.129 255.255.255.192 /定义广域网端口IP地址 ip nat outside

26、/定义为广域端口 ip nat pool public 202.99.160.190 202.130.160.190 netmask 255.255.255.192 /定义合法IP地址池，名称为public ip nat pool super 202.99.160.130 202.130.160.189 netmask 255.255.255.192 /定义合法IP地址池，名称为super access-list1 permit 172.16.100.0 0.0.0.255 /定义本地访问列表1 access-list2 permit 172.16.101.0 0.0.0.255 /定义本地访

27、问列表2 access-list2 permit 172.16.102.0 0.0.0.255 ip nat inside source list1 pool super /定义列表1采用动态地址转换 ip nat inside source list2 pool public overload /定义列表2采用端口复用地址转换 示例三：静态地址转换+端口复用地址转换 其实在很多时候，网络中的服务器既为网络内部的客户提供网络服务，又同时为Internet中的用户提供访问服务。因此，如果采用端口复用地址转换或动态地址转换，将由于无法确定服务器的IP地址，而导致Internet用户无法实现对网络内部服务器的访问。此时，就应当采用静态地址转换+端口复用地址转换的NAT方式。也就是说，对服务器采用静态地址转换，以确保服务器拥有固定的合法IP地址。而对普通的客户计算机则采用端口复用地址转换，使所有用户都享有访问Internet的权力。局域网采用10Mb/s光纤，以城域网方式接入Interne