實(shí)訓(xùn)四、路由器網(wǎng)絡(luò)地址轉(zhuǎn)換的配置

實(shí)訓(xùn)四、路由器網(wǎng)絡(luò)地址轉(zhuǎn)換的配置

重點(diǎn)內(nèi)容：

NAT的概念及作用；Cisco路由器NAT的配置方法。一、NAT的基本概念

NAT（NetworkAddressTranslation）全稱網(wǎng)絡(luò)地址轉(zhuǎn)換，簡單的說就是指將網(wǎng)絡(luò)地址從一個(gè)地址空間轉(zhuǎn)換為另一個(gè)地址空間的方法。

NAT將網(wǎng)絡(luò)劃分為內(nèi)部網(wǎng)絡(luò)（inside）和外部網(wǎng)絡(luò)（outside）兩部分。通常在一個(gè)內(nèi)部網(wǎng)絡(luò)中，計(jì)算機(jī)之間可以通過內(nèi)部的私有IP地址通信，而當(dāng)內(nèi)部的計(jì)算機(jī)要與外部internet網(wǎng)絡(luò)進(jìn)行通信時(shí)，具有NAT功能的設(shè)備（如路由器、防火墻）就可以負(fù)責(zé)將其內(nèi)部的IP地址轉(zhuǎn)換為合法的公網(wǎng)IP地址，然后進(jìn)行通信。當(dāng)然這個(gè)合法的公網(wǎng)IP地址必須要向互聯(lián)網(wǎng)服務(wù)提供商（ISP）申請后才能得到。

NAT的作用主要有兩方面：一方面從安全角度考慮，可以不讓外部網(wǎng)絡(luò)用戶了解自已的網(wǎng)絡(luò)結(jié)構(gòu)和內(nèi)部網(wǎng)絡(luò)地址；另一方面從IP地址資源角度考慮，當(dāng)內(nèi)部用戶很多時(shí)，就可以通過NAT實(shí)現(xiàn)多臺(tái)計(jì)算機(jī)共用一個(gè)合法IP地址訪問Internet，以實(shí)現(xiàn)節(jié)省合法IP地址使用量。

NAT的配置可以分為靜態(tài)地址轉(zhuǎn)換、動(dòng)態(tài)地址轉(zhuǎn)換、復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換（端口復(fù)用技術(shù)）三種。

靜態(tài)地址轉(zhuǎn)換是指將內(nèi)部私有IP地址（或稱本地IP地址）與外部公網(wǎng)IP地址（合法IP地址）進(jìn)行一對一的轉(zhuǎn)換，且需要指定和具體的某一個(gè)合法地址進(jìn)行轉(zhuǎn)換。當(dāng)內(nèi)部網(wǎng)絡(luò)中有使用內(nèi)網(wǎng)私有IP地址搭建的Web服務(wù)器、E-mail服務(wù)器、FTP服務(wù)器，如果這些服務(wù)器需要為外部用戶提供服務(wù)時(shí)，則這些服務(wù)器的IP地址必須通過靜態(tài)地址轉(zhuǎn)換成公網(wǎng)IP地址，以使外部用戶可以訪問這些內(nèi)網(wǎng)服務(wù)器。動(dòng)態(tài)地址轉(zhuǎn)換也是將內(nèi)網(wǎng)私有IP地址與合法IP地址進(jìn)行一對一的轉(zhuǎn)換，但是動(dòng)態(tài)地址轉(zhuǎn)換是從合法地址池中動(dòng)態(tài)地選擇一個(gè)未使用的地址對內(nèi)網(wǎng)私有IP地址進(jìn)行轉(zhuǎn)換。該方法也可以節(jié)省一定的合法IP地址，所以該方法經(jīng)常被使用。復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換是一種特殊的動(dòng)態(tài)地址轉(zhuǎn)換，因?yàn)樗梢栽试S多個(gè)內(nèi)網(wǎng)私有IP地址共用一個(gè)合法地址，這樣只要申請少量的合法IP地址卻可以同時(shí)讓多于合法IP地址數(shù)的用戶上網(wǎng)，這種動(dòng)態(tài)地址轉(zhuǎn)換也稱作端口復(fù)用技術(shù)。由于現(xiàn)在可分配的互聯(lián)網(wǎng)IP地址（合法地址）越來越少，所以目前該方法被廣泛的采用。二、NAT的配置1、靜態(tài)NAT的配置靜態(tài)NAT可將內(nèi)部地址和外部地址進(jìn)行一對一的轉(zhuǎn)換。這種方法要求申請到的合法（公網(wǎng)）IP地址要足夠多，才可以與內(nèi)部IP地址一一對應(yīng)，該方法不能節(jié)省合法IP地址的使用量。如果內(nèi)網(wǎng)有FTP服務(wù)器或WEB服務(wù)器等可以為外部用戶提供的服務(wù)，這些服務(wù)器的IP地址必須采用靜態(tài)地址轉(zhuǎn)換，以便外部用戶可以使用這些服務(wù)。其配置命令介紹如下：1）、在內(nèi)部地址和合法地址之間建立靜態(tài)轉(zhuǎn)換Router(config)#ipnatinsidesourcestatic內(nèi)部地址合法地址2）、指定連接內(nèi)部網(wǎng)絡(luò)的內(nèi)部端口Router(config-if)#ipnatinside3）、指定連接外部網(wǎng)絡(luò)的外部端口Router(config-if)#Ipnatoutside圖17-2

根據(jù)圖17-2網(wǎng)絡(luò)拓?fù)鋱D，要求在R1路由器中通過配置靜態(tài)NAT把內(nèi)網(wǎng)中的私有IP地址翻譯成合法IP地址去訪問外網(wǎng)。其配置方法如下：R1(config)#interfacee0//進(jìn)入路由器以太網(wǎng)e0接口R1(config-if)#ipnatinside//將該接口指定為內(nèi)部端口R1(config-if)#exitR1(config)#interfaces0//進(jìn)入路由器s0串口R1(config-if)#ipnatoutside//將該接口指定為外部端口R1(config-if)#exitR1(config)#ipnatinsidesourcestatic2、動(dòng)態(tài)NAT的配置

動(dòng)態(tài)NAT是將合法IP地址統(tǒng)一的組織起來，當(dāng)有內(nèi)部主機(jī)需要訪問外網(wǎng)時(shí)，就分配一個(gè)合法IP地址與內(nèi)部IP地址進(jìn)行轉(zhuǎn)換，當(dāng)內(nèi)部主機(jī)訪問完成后就歸還該合法IP地址。這種方法允許合法IP地址數(shù)少于主機(jī)數(shù)。其配置命令介紹如下：1）、定義合法地址池

Router(config)#Ipnatpool地址池名稱起始IP地址終止IP地址netmask子網(wǎng)掩碼2）、定義一個(gè)標(biāo)準(zhǔn)的訪問列表規(guī)則，指出允許哪些內(nèi)部地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換

Router(config)#Access-list訪問列表號(hào)permit源地址通配符掩碼提示：訪問列表號(hào)取值范圍為1-99；通配符掩碼又稱反掩碼，作用是與源或目標(biāo)地址一起來分辨匹配的地址范圍，使用55減去子網(wǎng)掩碼可得到其值。3）、將由訪問列表指定的內(nèi)部地址和指定的合法地址池進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換

Router(config)#Ipnatinsidesourcelist訪問列表號(hào)pool地址池名稱4）、指定連接內(nèi)部網(wǎng)絡(luò)的內(nèi)部端口Router(config-if)#Ipnatinside5）、指定連接外部網(wǎng)絡(luò)的外部端口Router(config-if)#Ipnatoutside

根據(jù)圖17-3網(wǎng)絡(luò)拓?fù)鋱D所示，要求在R1路由器中通過配置NAT地址池，使它可以將內(nèi)網(wǎng)網(wǎng)絡(luò)地址為中任意一個(gè)私有IP地址轉(zhuǎn)換成NAT地址池中的合法IP地址，其配置命令如下所示：圖17-3R1(config)#interfacee0R1(config-if)#ipnatinsideR1(config-if)#exitR1(config)#interfaces0R1(config-if)#ipnatoutsideR1(config)#access-list10permit55//本條命令為定義一個(gè)訪問列表，列表號(hào)取10，permit表示允許、55為通配符掩碼；列表規(guī)則是指允許網(wǎng)絡(luò)號(hào)為192.168.10、主機(jī)號(hào)可以為任意值的數(shù)據(jù)包通過。這個(gè)列表規(guī)則用于匹配內(nèi)網(wǎng)的IP地址。R1(config)#ipnatpoolpoola5netmask//本條命令為定義一個(gè)NAT地址池，地址池命名為poola，地址范圍為至5，子網(wǎng)掩碼為。R1(config)#ipnatinsidesourcelist10poolpoola//本條命令為啟用NAT轉(zhuǎn)換，作用是對訪問列表10中所設(shè)置的本地IP地址通過應(yīng)用名稱為poola的地址池進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換。3、復(fù)用動(dòng)態(tài)NAT或端口地址轉(zhuǎn)換（PAT）

復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換又稱端口復(fù)用技術(shù)，它可將多個(gè)內(nèi)部地址映射為一個(gè)合法地址，用不同的端口號(hào)區(qū)分各個(gè)內(nèi)部地址。這種方法只需要一個(gè)合法IP地址就可以讓多個(gè)內(nèi)部網(wǎng)用戶同時(shí)上網(wǎng)，但該方法可能會(huì)導(dǎo)致信道的一定擁塞。其配置命令與動(dòng)態(tài)地址轉(zhuǎn)換配置命令基本相同，現(xiàn)介紹如下：1）、定義合法地址池

Router(config)#Ipnatpool地址池名稱起始IP地址終止IP地址netmask子網(wǎng)掩碼2）、定義一個(gè)標(biāo)準(zhǔn)的訪問列表規(guī)則，指出允許哪些內(nèi)部地址可以進(jìn)行動(dòng)態(tài)地址轉(zhuǎn)換

Router(config)#Access-list訪問列表號(hào)permit源地址通配符掩碼 提示：訪問列表號(hào)可以隨意取，取值范圍從1-99；通配符掩碼或稱反掩碼，作用是與源或目標(biāo)地址一起來分辨匹配的地址范圍，用55減去子網(wǎng)掩碼可得到其值。3）、將由訪問列表指定的內(nèi)部地址和指定的合法地址池建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換

Router(config)#Ipnatinsidesourcelist訪問列表標(biāo)號(hào)pool地址池名稱overload

提示：與動(dòng)態(tài)地址轉(zhuǎn)換相比，只是在命令后多加一個(gè)overload參數(shù)4）、指定連接內(nèi)部網(wǎng)絡(luò)的內(nèi)部端口

Router(config-if)#Ipnatinside5）、指定連接外部網(wǎng)絡(luò)的外部端口

Router(config-if)#Ipnatoutside圖17-4

外網(wǎng)

內(nèi)網(wǎng)R1S0E0NAPT/24S0端口IP地址:

根據(jù)圖17-4網(wǎng)絡(luò)拓?fù)鋱D所示，要求在R1路由器中通過配置端口地址轉(zhuǎn)換，使它可以將內(nèi)網(wǎng)網(wǎng)絡(luò)地址為中任意一個(gè)私有IP地址轉(zhuǎn)換成路由器S0端口上的合法IP地址，其配置方法介紹如下：R1(config)#interfacee0R1(config-if)#ipnatinsideR1(config-if)#exitR1(config)#interfaces0R1(config-if)#ipnatoutsideR1(config)#access-list20permit55R1(config)#ipnatpoolpoolbnetmask