計算機安全nat詳解動態(tài)配置

1、動態(tài) NAT 配置本部分包括以下內(nèi)容：動態(tài)NAT 的配置動態(tài)NAPT 的配置接口動態(tài)NAPT 的配置網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)用于把一個IP 地址轉(zhuǎn)換為另一個 IP 地址。NAT 的一些術(shù)語：1、本地地址(Inside Local Address)指本網(wǎng)絡(luò)主機的IP 地址。該地址通常是未的私有 IP 地址。2、全局地址(Inside Global Address)指本地地址在外部網(wǎng)絡(luò)的IP 地址。它通常是的合法IP 地址，是 NAT 對本地地址轉(zhuǎn)換后的結(jié)果。3、外部本地地址(Outside Local Address)指外部網(wǎng)絡(luò)的主機在網(wǎng)絡(luò)中表現(xiàn)的IP 地址。 4、外部全局地址(Outside G

2、lobal Address) 指外部網(wǎng)絡(luò)主機的IP 地址。5、源地址NAT把 Inside Local Address 轉(zhuǎn)換為 Inside Global Address。這也是通常所說的NAT。在數(shù)據(jù)報送往時，它把主機的私有IP 地址轉(zhuǎn)換為的合法IP 地址，在數(shù)據(jù)報送入內(nèi)網(wǎng)時，把地址轉(zhuǎn)換為的私有IP 地址。6、外部源地址NAT把 Outside Global Address 轉(zhuǎn)換為 Outside Local Address。這種轉(zhuǎn)換只是在地址和外部地址發(fā)生時使用。7、NAPTNAPT 又稱port NAT 或PAT，它是通過端口復(fù)用技術(shù)，讓一個全局地址對應(yīng)多個本地地址，以節(jié)省對合法地址的使

3、用量。本部分只源地址的動態(tài)NAT 和動態(tài)NAPT 的配置。動態(tài) NAT 的配置這里指的是源地址的動態(tài)NAT 的配置。它有以下特征：1、本地地址和全局地址是一對一。2、動態(tài)NAT 是臨時的，如果過了一段時間沒有使用，關(guān)系就會刪除。動態(tài)需要把合法地址組建成一個地址池，當(dāng)內(nèi)網(wǎng)的客戶機時，從地址池中取出一個地址為它建立NAT，這個關(guān)系會一直保持到會話結(jié)束。動態(tài) NAT 的配置：Ruijie(config)#ip nat pool pool-name start-address end-addreetmask subnet-mask這個命令用于定義一個IP 地址池，pool-name 是地址池的名字，s

4、tart-address 是起始地址，end-address 是結(jié)束地址，subnet-mask 是子網(wǎng)掩碼。地址池中的地址是供轉(zhuǎn)換的全局地址，通常是的合法地址。Ruijie(config)#acs-list acs-list-numbermit address wildcard-mask這個命令定義了一個控制列表，acs-list-number 是表號，address 是地址，wildcard-mask 是通配符掩碼。它的作用是限定本地地址的格式，只有和這個列表匹配的地址才會進(jìn)行 NAT 轉(zhuǎn)換。Ruijie(config)#ip nat inside source list acs-list

5、-numbool pool-name這個命令定義了動態(tài)Ns-list-number 是列表的表號，pool-name 是地址池的名字。它表示把和列表匹配的本地地址，用地址池中的地址建立NAT。Ruijie(config)#erfaceerface-idRuijie(config-if)#ip nat inside以上命令指定了網(wǎng)絡(luò)的接口。 Ruijie(config-if)#erfaceerface-id Ruijie(config-if)#ip nat outside以上命令指定了網(wǎng)絡(luò)的外部接口。你可以配置多個 Inside 和 Outside 接口。配置舉例：Ruijieenable Ru

6、ijie#configure terminalRuijie(config)#ip nat pool np 200.10.10.6 200.10.10.15 netmask 255.255.255.0Ruijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255Ruijie(config)#acs-list 1 permit 192.168.20.0 0.0.0.255 Ruijie(config)#ip nat inside source list 1 pool np Ruijie(config)#erface f0/0Ruijie(config

7、-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat inside Ruijie(config-if)#no shutdown Ruijie(config-if)#erfa1/0Ruijie(config-if)#ip address 199.1.1.2 255.255.255.0Ruijie(config-if)#ip nat outsideRuijie(config-if)#no shutdownRuijie(config-if)#endRuijie#本例把合法地址組建為一個地址池，地址范圍是 200.10.10

8、.6200.10.10.15，內(nèi)網(wǎng)中客戶機的地址都是 192.168.10.*和 192.168.20.*的格式，當(dāng)這種地址射。時，會用地址池中的地址建立 NAT 映說明：列表的定義不要太寬，應(yīng)盡量準(zhǔn)確，否則可能會出現(xiàn)不可預(yù)知的結(jié)果。動態(tài) NAPT 的配置動態(tài)NAPT 可以使一個它有以下特征：本地地址相對應(yīng)，從而可以節(jié)省合法 IP 地址的使用量。全局地址和多個1、一個本地地址建立，用IP 地址+端全局地址可以和多個區(qū)分各個地址。（銳捷路由器中每個全局地址最多可提供 64512 個NAT 地址轉(zhuǎn)換）2、動態(tài)NAPT 是臨時的，如果過了一段時間沒有使用，關(guān)系就會刪除。3、動態(tài)NAPT 可以只使用一

9、個合法地址為所有本地地址建立，但數(shù)量是有限的，如果用多個合法地址組建成一個地址池，每個地址都能塞。多個本地地址，則可減少因地址耗盡導(dǎo)致的網(wǎng)絡(luò)擁動態(tài)NAPT 的配置與動態(tài)NAT 基本上相同，只是在 NAT 定義中，需要加上 overload 關(guān)鍵字：Ruijie(config)#ip nat inside source list acs-list-numbool pool-name overload這個命令定義了動態(tài)NAPT，acs-list-number 是列表的表號，pool-name 是地址池的名字。它表示把和列表匹配的本地地址，用地址池中的地址建立NAPT復(fù)用。overload 關(guān)鍵字表

10、示啟用端口加上 overload 關(guān)鍵字后，系統(tǒng)首先會使用地址池中的第一個地址為多個數(shù)量達(dá)到極限時，再使用第二個地址。本地地址建立，當(dāng)配置舉例：Ruijieenable Ruijie#configure terminalRuijie(config)#ip nat pool np 200.10.10.6 200.10.10.15 netmask 255.255.255.0Ruijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255Ruijie(config)#ip nat inside source list 1 pool np overload

11、Ruijie(config)#erface f0/0Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat insideRuijie(config-if)#no shutdownRuijie(config-if)#erfa1/0Ruijie(config-if)#ip address 199.1.1.2 255.255.255.0Ruijie(config-if)#ip nat outsideRuijie(config-if)#no shutdownRuijie(config-if)#endR

12、uijie#本例把合法地址組建為一個地址池，地址范圍是 200.10.10.6200.10.10.15，內(nèi)網(wǎng)中客戶機的地址都是 192.168.10.*的格式，當(dāng)這種地址時，會用地址池中的地址建立NAPT。接口動態(tài) NAPT 的配置你可以使用outside 接口的IP 地址作為唯一的全局地址為所有本地地址提供，它可看作動態(tài)NAPT 的特例。接口動態(tài) NAPT 的配置：Ruijie(config)#acs-list acs-list-numbermit address wildcard-mask這個命令定義了一個控制列表，acs-list-number 是表號，address 是地址，wildc

13、ard-mask 是通配符掩碼。它的作用是限定本地地址的格式，只有和這個列表匹配的地址才會進(jìn)行 NAT 轉(zhuǎn)換。Ruijie(config)#ip nat inside sourcelist acs-list-numbererfaceerface-id overload這個命令定義了動態(tài)NAPT，acs-list-number 是列表的表號， erfaceerface-id 指定了全局地址所在的接口，一般是outside 接口。它表示和列表匹配的本地地址，都用該接口的 IP地址建立NAPT。overload 關(guān)鍵字表示啟用端口復(fù)用。Ruijie(config)#erfaceerface-idRu

14、ijie(config-if)#ip nat inside以上命令指定了網(wǎng)絡(luò)的接口。 Ruijie(config-if)#erfaceerface-id Ruijie(config-if)#ip nat outside以上命令指定了網(wǎng)絡(luò)的外部接口。從以上配置可以看出，配置接口動態(tài)NAPT 時可以不配址池。在接口動態(tài)NAPT 的配置中，只是指定了時使用哪個接口的 IP 地址，當(dāng)該接口的 IP 地址改變時，不需要重新定義。配置舉例：Ruijieenable Ruijie#configure terminalRuijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255 Ruijie(config)#ip nat inside source list 1erfa1/0 overload Ruijie(config)#erface f0/0Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat inside Ruijie(config-if)#no shutdown Ruijie(config