NAT網(wǎng)絡(luò)地址轉(zhuǎn)換ppt課件

1、本章目標(biāo)本章目標(biāo)v了解地址轉(zhuǎn)換了解地址轉(zhuǎn)換NAT的作用和工作原理的作用和工作原理v了解各種了解各種NAT術(shù)語(yǔ)術(shù)語(yǔ)v理解理解NAT的各種應(yīng)用：轉(zhuǎn)換內(nèi)部的各種應(yīng)用：轉(zhuǎn)換內(nèi)部LAN地址、復(fù)地址、復(fù)用內(nèi)部地址、負(fù)載均衡和處理地址交叉用內(nèi)部地址、負(fù)載均衡和處理地址交叉v掌握掌握NAT的配置和排錯(cuò)的配置和排錯(cuò)本章結(jié)構(gòu)本章結(jié)構(gòu)網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換NAT/PATNAT的優(yōu)勢(shì)缺點(diǎn)的優(yōu)勢(shì)缺點(diǎn)NAT的概念的概念NAT的術(shù)語(yǔ)的術(shù)語(yǔ)NAT概念和術(shù)語(yǔ)概念和術(shù)語(yǔ)NAT的配置的配置NAT的應(yīng)用的應(yīng)用NAT的檢查與排的檢查與排錯(cuò)錯(cuò)靜態(tài)靜態(tài)NAT的配置的配置動(dòng)態(tài)動(dòng)態(tài)NAT的配置的配置PAT的配置的配置TCP負(fù)載均衡配置負(fù)載均

2、衡配置用用NAT解決地址交叉的問(wèn)題解決地址交叉的問(wèn)題網(wǎng)絡(luò)地址轉(zhuǎn)換概述網(wǎng)絡(luò)地址轉(zhuǎn)換概述v地址轉(zhuǎn)換的提出背景地址轉(zhuǎn)換的提出背景v合法的合法的IP地址資源日益短缺地址資源日益短缺v一個(gè)局域網(wǎng)內(nèi)部有很多臺(tái)主機(jī)，但不是每臺(tái)主機(jī)都一個(gè)局域網(wǎng)內(nèi)部有很多臺(tái)主機(jī)，但不是每臺(tái)主機(jī)都有合法的有合法的IP地址，為了使所有內(nèi)部主機(jī)都可以連接地址，為了使所有內(nèi)部主機(jī)都可以連接因特網(wǎng)，需要使用地址轉(zhuǎn)換因特網(wǎng)，需要使用地址轉(zhuǎn)換v地址轉(zhuǎn)換技術(shù)可以有效地隱藏內(nèi)部局域網(wǎng)中的主機(jī)，地址轉(zhuǎn)換技術(shù)可以有效地隱藏內(nèi)部局域網(wǎng)中的主機(jī)，具有一定的網(wǎng)絡(luò)安全保護(hù)作用具有一定的網(wǎng)絡(luò)安全保護(hù)作用v地址轉(zhuǎn)換可以在局域網(wǎng)內(nèi)部提供給外部地址轉(zhuǎn)換可以在局域網(wǎng)

3、內(nèi)部提供給外部FTP、WWW、Telnet服務(wù)服務(wù)vNAT的原理的原理v改變改變IP包頭，使目的地址、源地址或兩個(gè)地址包頭，使目的地址、源地址或兩個(gè)地址在包頭中被不同地址替換在包頭中被不同地址替換局域網(wǎng)局域網(wǎng)PC2PC1Internet網(wǎng)絡(luò)地址轉(zhuǎn)換概述網(wǎng)絡(luò)地址轉(zhuǎn)換概述IP:Port:3010IP:Port:3000IP 數(shù)據(jù)包數(shù)據(jù)包IP:Port:3000IP:Port:3010網(wǎng)絡(luò)地址轉(zhuǎn)換概述網(wǎng)絡(luò)地址轉(zhuǎn)換概述vNAT的的3種實(shí)現(xiàn)方式種實(shí)現(xiàn)方式v靜態(tài)轉(zhuǎn)換靜態(tài)轉(zhuǎn)換v動(dòng)態(tài)轉(zhuǎn)換動(dòng)態(tài)轉(zhuǎn)換v端口多路復(fù)用端口多路復(fù)用 v使用雙

4、向使用雙向NAT可以處理地址交叉的情況可以處理地址交叉的情況v使用兩個(gè)方向上的動(dòng)態(tài)使用兩個(gè)方向上的動(dòng)態(tài)NATv會(huì)用到會(huì)用到4種類型的地址種類型的地址公司合并，公司合并，可能導(dǎo)致地可能導(dǎo)致地址交叉址交叉NAT的術(shù)語(yǔ)的術(shù)語(yǔ)外部主機(jī)外部主機(jī)B外部主機(jī)外部主機(jī)CinternetNAT主機(jī)主機(jī)A1234SA=DA1內(nèi)部局部地址內(nèi)部局部地址外部局部地址外部局部地址主機(jī)主機(jī)A發(fā)出的包發(fā)出的包SA=DA=經(jīng)過(guò)路由器轉(zhuǎn)換的包經(jīng)過(guò)路由器轉(zhuǎn)換的包2內(nèi)部全局地址內(nèi)部全局地址外部全局地址外部全局地址經(jīng)過(guò)路

5、由器轉(zhuǎn)換的包經(jīng)過(guò)路由器轉(zhuǎn)換的包SA=DA=4外部局部地址外部局部地址內(nèi)部局部地址內(nèi)部局部地址SA=DA=外部主機(jī)外部主機(jī)B返回的包返回的包3外部全局地址外部全局地址內(nèi)部全局地址內(nèi)部全局地址NAT的優(yōu)缺點(diǎn)的優(yōu)缺點(diǎn)vNAT的優(yōu)點(diǎn)的優(yōu)點(diǎn)v節(jié)省公有合法節(jié)省公有合法IP地址地址v處理地址交叉處理地址交叉v增強(qiáng)靈活性增強(qiáng)靈活性v安全性安全性vNAT的缺點(diǎn)的缺點(diǎn)v延遲增大延遲增大v配置和維護(hù)的復(fù)雜性配置和維護(hù)的復(fù)雜性v不支持某些應(yīng)用不支持某些應(yīng)用支持的業(yè)務(wù)類型和支持的業(yè)務(wù)類型和應(yīng)用應(yīng)用支持在數(shù)據(jù)流中有支持在數(shù)據(jù)流中有IP地址的業(yè)務(wù)類型地址的

6、業(yè)務(wù)類型不支持的不支持的業(yè)務(wù)類型業(yè)務(wù)類型任何應(yīng)用數(shù)據(jù)流中不承載任何應(yīng)用數(shù)據(jù)流中不承載源源/目的目的IP地址的地址的TCP/UDP業(yè)務(wù)業(yè)務(wù)ICMP路由表更新路由表更新HTTPFTP（包括（包括PORT和和 PASV)DNS區(qū)域傳送區(qū)域傳送TFTPTCP/IP上的上的NetBIOS（數(shù)據(jù)報(bào)、（數(shù)據(jù)報(bào)、名稱和會(huì)話服務(wù)名稱和會(huì)話服務(wù)BOOTPTelnetDNS（A和和PTR查詢）查詢）talk，ntalkNTPH.323/NetMeetingSNMPNFSIP多播（只轉(zhuǎn)換源地址）多播（只轉(zhuǎn)換源地址）NetshowSADA10.

7、1.1.1SADA協(xié)議協(xié)議 內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址地址外部用全局外部用全局IP地址地址TCP:23外部主機(jī)外部主機(jī)B外部主機(jī)外部主機(jī)C轉(zhuǎn)換轉(zhuǎn)換LAN內(nèi)部地址內(nèi)部地址Internet協(xié)議協(xié)議 內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址地址外部用全局外部用全局IP地址地址TCP:1492:1492:23TCP:1723:

8、1723:23TCP:1024:1024:1024:23復(fù)用復(fù)用LAN的內(nèi)部地址的內(nèi)部地址SADASADA外部主機(jī)外部主機(jī)B外部主機(jī)外部主機(jī)CInternet虛擬主機(jī)虛擬主機(jī)InternetSASA27DA27DA172.20.7

9、.3外部主機(jī)外部主機(jī)B外部主機(jī)外部主機(jī)C27協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地地址：端口號(hào)址：端口號(hào)內(nèi)部用全局內(nèi)部用全局IP地址：地址：端口號(hào)端口號(hào)外部用全局外部用全局IP地址：地址：端口號(hào)端口號(hào)TCP:8027:80:3058TCP:8027:80:4371TCP:8027:80:3062vNAT配置步驟配置步驟v1、接口、接口IP地址配置地址配置v2、使用訪問(wèn)控制列表定義哪些內(nèi)部主機(jī)能做、使用訪問(wèn)控制

10、列表定義哪些內(nèi)部主機(jī)能做NATv3、決定采用什么公有地址，靜態(tài)或地址池、決定采用什么公有地址，靜態(tài)或地址池v4、指定地址轉(zhuǎn)換映射、指定地址轉(zhuǎn)換映射v5、在內(nèi)部和外部端口上啟用、在內(nèi)部和外部端口上啟用NAT靜態(tài)靜態(tài)NAT配置配置InternetNAT外部端口外部端口NAT內(nèi)部端口內(nèi)部端口內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)-/24 29 v第一步：第一步： 設(shè)置外部端口設(shè)置外部端口v v第二步第二步 ：設(shè)置內(nèi)部端口：設(shè)置內(nèi)部端口v v第三步：第三步： 在內(nèi)部本地和內(nèi)部合法地址之間建立靜態(tài)在內(nèi)部本地和內(nèi)部合法地址之間建

11、立靜態(tài)地址轉(zhuǎn)換地址轉(zhuǎn)換v v第四步：在內(nèi)部和外部端口上啟用第四步：在內(nèi)部和外部端口上啟用NATRouter(config)#ip nat inside source static 30Router(config)#ip nat inside source static 31Router(config)#interface serial 0/0Router(config-if)#ip address 29 48Router(config)#inter

12、face FastEthernet 0/0Router(config-if)#ip address Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside靜態(tài)靜態(tài)NAT配置配置InternetSADADA30SA30 192.

13、59.62.129 NAT轉(zhuǎn)換表轉(zhuǎn)換表協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址地址外部用全局外部用全局IP地址地址TCP30TCP31TCP34外部主機(jī)外部主機(jī)外部主機(jī)外部主機(jī)InternetNAT外部端口外部端口NAT內(nèi)部端口內(nèi)

14、部端口內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)-/24 29 Internet動(dòng)態(tài)動(dòng)態(tài)NAT配置配置v第一步：第一步： 設(shè)置外部端口設(shè)置外部端口IP地址地址v第二步：第二步： 設(shè)置內(nèi)部端口設(shè)置內(nèi)部端口IP地址地址v第三步：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪第三步：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪問(wèn)控制列表問(wèn)控制列表Router(config)#interface serial 0/0Router(config-if)#ip address 29 92Router(config)

15、#interface FastEthernet 0/0Router(config-if)#ip address Router(config)#access-list 1 permit 55動(dòng)態(tài)動(dòng)態(tài)NAT配置配置v第四步：定義合法第四步：定義合法IP地址池地址池 v第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射v第六步：在內(nèi)部和外部端口上啟用第六步：在內(nèi)部和外部端口上啟用NATv Router(config)#ip nat inside source list 1 pool test0Rou

16、ter(config)#ip nat pool test0 30 90 network 92Router(config)#Interface serial 0/0Router(config-if)#Ip nat outsideRouter(config)#Interface fastethernet 0/0Router(config-if)#Ip nat insideRouter(config-if)#Ip nat insideInternetSADA172.168.100

17、.2DA30SA30 外部主機(jī)外部主機(jī)外部主機(jī)外部主機(jī)29 協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址：端口號(hào)地址：端口號(hào)外部用全局外部用全局IP地址地址TCP30TCP31TCP34NAT轉(zhuǎn)

18、換表轉(zhuǎn)換表InternetNAT外部端口外部端口NAT內(nèi)部端口內(nèi)部端口內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)-54/24 29 v第一步第一步 ：設(shè)置外部端口：設(shè)置外部端口IP地址地址v第二步：第二步： 設(shè)置內(nèi)部端口設(shè)置內(nèi)部端口IP地址地址v第三步第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪問(wèn)控：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪問(wèn)控制列表制列表v Router(config)#interface serial 0/0Router(config-if)#ip address 29 92Router(conf

19、ig)#interface FastEthernet 0/0Router(config-if)#ip address Router(config)#access-list 1 permit 55v第三步：定義合法第三步：定義合法IP地址池地址池v v第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射v第六步：在內(nèi)部和外部端口上啟用第六步：在內(nèi)部和外部端口上啟用NATv Router(config)#ip nat inside source list 1 pool onlyone overloadRouter(co

20、nfig)#ip nat pool onlyone 30 30 netmask 48Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePAT配置配置InternetSADADA30SA30 外部主機(jī)外部主機(jī)

21、外部主機(jī)外部主機(jī)29 協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址：端口號(hào)地址：端口號(hào)外部用全局外部用全局IP地址地址TCP:102630：1026TCP:1121230：11212TCP54:102730：1027NAT轉(zhuǎn)換表轉(zhuǎn)換表54v地址轉(zhuǎn)換過(guò)程中，也直接使用接口的IP地址作為轉(zhuǎn)換后的源地址In

22、ternet局域網(wǎng)局域網(wǎng) -254/24PC2PC1S0:2 PC1 和和 PC2 可以直接使可以直接使用用 S0接口的接口的IP 地址作為地址作為地址轉(zhuǎn)換后的公用地址轉(zhuǎn)換后的公用IP地址地址InternetNAT外部端口外部端口NAT內(nèi)部端口內(nèi)部端口內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)-54/24 29 10.1.1 .1v第一步：第一步： 設(shè)置外部端口設(shè)置外部端口v第二步第二步 ：設(shè)置內(nèi)部端口：設(shè)置內(nèi)部端口v第三步第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪問(wèn)控：定義內(nèi)部網(wǎng)絡(luò)中允許訪問(wèn)外部的訪問(wèn)控制列表制列表Rout

23、er(config)# interface serial 0/0Router(config-if)# ip address29 52Router(config)# interface FastEthernet 0/0Router(config-if)# ip address Router(config)# access-list 1 permit 55v第四步：定義合法第四步：定義合法IP地址池地址池v直接使用路由器的接口地址，不用定義地址池直接使用路由器的接口地址，不用

24、定義地址池v第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射v第六步：第六步： 在內(nèi)部和外部端口上啟用在內(nèi)部和外部端口上啟用NATv Router(config)#ip nat inside source list 1 interface serial0/0 overloadRouter(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePAT配置配置InternetSA10

25、.1.1.2DADA29SA29外部主機(jī)外部主機(jī)外部主機(jī)外部主機(jī)29 協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址：端口號(hào)地址：端口號(hào)外部用全局外部用全局IP地地址址TCP:102629:1026TCP:1121229:11212TCP54:102729:1027NAT

26、轉(zhuǎn)換表轉(zhuǎn)換表54v第一步：第一步： 設(shè)置外部端口設(shè)置外部端口vv第二步：設(shè)置內(nèi)部端口第二步：設(shè)置內(nèi)部端口v第三步：為虛擬主機(jī)定義一個(gè)標(biāo)準(zhǔn)的第三步：為虛擬主機(jī)定義一個(gè)標(biāo)準(zhǔn)的IP訪問(wèn)控訪問(wèn)控制列表制列表Router(config)#interface serial0/0Router(config-if)#ip address 24Router(config)#interface fastethernet0/0Router(config-if)#ip address 54 255.255.

27、255.0Router(config)#access-list 2 permit 27負(fù)載均衡配置負(fù)載均衡配置v第四步：給真實(shí)主機(jī)定義一個(gè)第四步：給真實(shí)主機(jī)定義一個(gè)NAT地址集地址集v第五步：設(shè)置訪問(wèn)控制列表和第五步：設(shè)置訪問(wèn)控制列表和NAT地址集之間地址集之間的映射的映射v第六步：在內(nèi)部和外部端口上啟用第六步：在內(nèi)部和外部端口上啟用NATRouter(config)#ip nat inside destination list 2 pool real-hostRouter(config)#ip nat pool real-host pref

28、ix-length 24 type rotaryRouter(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside負(fù)載均衡配置負(fù)載均衡配置InternetSASA27DA27DA協(xié)議協(xié)議內(nèi)部用局部?jī)?nèi)部用局部IP地址地址內(nèi)部用全局內(nèi)部用全局IP地址：端口號(hào)地址：端口號(hào)外部用全局外部用全局IP地址地址TCP:8

29、027:80:3085TCP:8027:80:4371TCP:8027:80:30627虛擬主機(jī)虛擬主機(jī)外部主機(jī)外部主機(jī)外部主機(jī)外部主機(jī)NAT檢查與排錯(cuò)檢查與排錯(cuò)v常見(jiàn)問(wèn)題常見(jiàn)問(wèn)題v動(dòng)態(tài)地址池中是否有正確的范圍的地址動(dòng)態(tài)地址池中是否有正確的范圍的地址v動(dòng)態(tài)地址池中是否有重復(fù)的地址動(dòng)態(tài)地址池中是否有重復(fù)的地址v靜態(tài)映射的地址與動(dòng)態(tài)地址池中的地址之間是否靜

30、態(tài)映射的地址與動(dòng)態(tài)地址池中的地址之間是否有重復(fù)有重復(fù)v訪問(wèn)列表是否指明了要轉(zhuǎn)換的正確地址，是否漏訪問(wèn)列表是否指明了要轉(zhuǎn)換的正確地址，是否漏掉一些地址，是否包括了一些不該包括的地址掉一些地址，是否包括了一些不該包括的地址v是否指明了正確的內(nèi)部和外部接口是否指明了正確的內(nèi)部和外部接口v不對(duì)稱路由問(wèn)題不對(duì)稱路由問(wèn)題NAT檢查與排錯(cuò)檢查與排錯(cuò)v測(cè)試聯(lián)通性驗(yàn)證測(cè)試聯(lián)通性驗(yàn)證NAT配置配置v命令命令vshow ip nat translationsvshow ip nat statisticsRouter# show ip nat translations Pro inside global inside

31、 local outside local outside global Tcp 30 - - Tcp 31 - -NAT檢查與排錯(cuò)檢查與排錯(cuò)s表示源地址是表示源地址是d表示目的地址是表示目的地址是-表示將地址表示將地址轉(zhuǎn)換為轉(zhuǎn)換為 Routerdebug ip natNat:s=-,d= 0N

32、at:s=, d=- 0Nat:s=-, d= 1vNAT的的debug調(diào)試調(diào)試清除清除NAT表的條目表的條目clear ip nat translation *清除清除NATNAT轉(zhuǎn)換表中的所有條轉(zhuǎn)換表中的所有條目目clear ip nat translation inside local-ip global-ip 清除包含內(nèi)部轉(zhuǎn)換的簡(jiǎn)單清除包含內(nèi)部轉(zhuǎn)換的簡(jiǎn)單轉(zhuǎn)換條目轉(zhuǎn)換條目clear ip nat translation outside local-ip global-ip 清除包含外部轉(zhuǎn)換的簡(jiǎn)單清除包含外部轉(zhuǎn)換的簡(jiǎn)單轉(zhuǎn)換條目轉(zhuǎn)換條目驗(yàn)證和監(jiān)控驗(yàn)證和監(jiān)控PATv測(cè)試網(wǎng)絡(luò)聯(lián)通性測(cè)試網(wǎng)絡(luò)聯(lián)通性v命令命令vshow ip nat translationsvshow ip nat statisticsRoutershow ip nat translations Pro inside global inside local outside local outsi