網絡地址轉換NAT

第9章網絡地址轉換NAT張書源9.1NAT概述NAT是將一個IP地址轉換為另一個IP地址的功能。通常，一個局域網由于申請不到足夠多的IP地址，或者只是為了編址方便，在局域網內部采用私有IP地址為設備編址，當設備訪問外網時，再通過NAT將私有地址翻譯為合法地址。Internet0私有地址注冊地址NAT網關局域網專用IP地址局域網專用IP地址是Internet特別劃分出來的，它們不會注冊給任何組織。IP地址范圍網絡類型網絡個數~55A1~55B16~55C256實際上，用戶可以使用任意IP作為私有地址，但有可能導致某些外網的站點無法訪問。使用私有地址的注意事項：私有地址不需要經過注冊就可以使用，這導致這些地址是不唯一的。所以私有地址只能限制在局域網內部使用，不能把它們路由到外網中去。R1E0S0192.168.*.*/24/24InternetR1是局域網和外網的邊界路由器。局域網中使用私有IP地址進行編址。如果在R1上啟用RIP協(xié)議，則：R1(config)#

routerripR1(config-router)#

networkR1(config-router)#

network×這里不應該在私有地址上啟用路由，它會導致私有地址被外網路由器學習到，擴大了它的有效范圍。NAT基本原理當一個使用私有地址的數據包到達NAT設備時，NAT設備負責把私有IP地址翻譯成外部合法IP地址，然后再轉發(fā)數據包，反之亦然。端口多路復用技術：NAT支持把多個私有IP地址映射為一個合法IP地址的技術，這時各個主機通過端口進行區(qū)分，這就是端口多路復用技術。利用端口多路復用技術可節(jié)省合法IP地址的使用量，但會加大NAT設備的負擔，影響其轉發(fā)速度。NAT類型1、靜態(tài)NAT：將內部地址和外部地址進行一對一的轉換。這種方法要求申請到的合法IP地址足夠多，可以與內部IP地址一一對應。靜態(tài)NAT一般用于那些需要固定的合法IP地址的主機，比如Web服務器、FTP服務器、E-mail服務器等。2、NAT池（動態(tài)NAT）：將多個合法IP地址統(tǒng)一的組織起來，構成一個IP地址池，當有主機需要訪問外網時，就分配一個合法IP地址與內部地址進行轉換，當主機用完后，就歸還該地址。對于NAT池，如果同時聯網用戶太多，可能出現地址耗盡的問題。NAT池3、PAT（端口NAT）：使用端口多路復用技術，將多個內部地址映射為一個合法地址，用不同的端口號區(qū)分各個內部地址。這種方法只需要一個合法IP地址。路由器支持的PAT會話數是有限制的，所以使用PAT的局域網，其網絡的規(guī)模不應該太大。S0:/244、復用NAT池（復用動態(tài)NAT）：將多個合法IP地址構成一個NAT池，使用復用技術映射其中的地址，每個地址有可以對應多臺主機，各主機用端口進行區(qū)分。復用NAT池是NAT池和PAT技術的結合，可用于大規(guī)模的局域網。說明：在端口復用技術中，用端口區(qū)分的不是一臺主機，而是一個網絡連接（會話），當一臺主機同時建立了多個會話時，它的每個會話會占用一個端口映射。假如一臺路由器支持4000個會話，那么它支持的主機數量會遠少于4000臺。5、TCP負載均衡：如果一個服務器的訪問量非常大，我們通常會建立多臺映像服務器對訪問進行分流。從外部來看，這些服務器的IP地址相同，NAT設備會把多個對服務器的訪問映射到不同的服務器上，實現負載均衡。S0:/24TCP負載均衡與其它NAT的主要區(qū)別在于，它是把來自外網的同一合法IP地址翻譯成不同的內網IP地址。常用NAT設備實現NAT可以使用不同的設備，它們的基本功能相同，但功能強弱有別，應根據需要進行選用。常用的設備有：1、路由器：功能強，支持多種NAT設置；2、防火墻：除NAT轉換外，還提供多種保護功能；3、代理服務器：提供局域網接入功能；4、雙網卡計算機：功能較弱，多用于小型網絡。9.2NAT的配置靜態(tài)NATNAT池PAT復用NAT池TCP負載均衡靜態(tài)NAT把私有地址和合法地址作一對一地轉換。E0S0配置命令：Router(config)#

ipnatinsidesourcestatic內部地址外部地址另外，還需要把E0口指定為NAT內部接口，S0口指定為NAT外部接口。例：Router(config)#

ipnatinsidesourcestaticRouter(config)#

ipnatinsidesourcestaticRouter(config)#

interfacee0Router(config-if)#

ipnatinsideRouter(config-if)#

interfaces0Router(config-if)#

ipnatoutside配置完成后，從外網來看，PC1的IP地址是，PC2的IP地址是，各計算機都可用此IP地址訪問PC1和PC2。用showipnattranslation命令可查看活躍的轉換。（靜態(tài)NAT始終是活躍的）用showipnatstatistics命令可查看轉換的統(tǒng)計信息。靜態(tài)NAT是一直存在的，管理員可以用“no”命令刪除靜態(tài)NAT條目。NAT池（動態(tài)NAT）NAT池主要工作：建立一個IP地址池。設定被轉換的IP地址范圍。建立轉換關系。設定轉換的入口和出口。1、建立IP地址池Router(config)#

ipnatpool地址池名字起始IP結束IPnetmask子網掩碼例：建立一個地址范圍為~0/24的IP地址池。Router(config)#

ipnatpoolP10netmaskP1是地址池的名字。說明：地址池中的地址應該是經過注冊的合法IP地址。2、設定被轉換的地址范圍：被轉換的地址范圍使用標準訪問控制列表進行定義。比如：被轉換的地址是形如192.168.*.*/24的地址，則可定義：Router(config)#

access-list1permit55說明：這里定義的ACL不是用于數據過濾的，它只是用于指定參與NAT轉換的私有地址范圍的。所以，我們不必把它用在一個接口上。3、建立被轉換的地址和地址池間的關系：Router(config)#

ipnatinsidesourcelistACL表號pool地址池名字例：把1號ACL定義的地址與名為P1的地址池建立NAT轉換關系。Router(config)#

ipnatinsidesourcelist1poolP1說明：經此定義后，每當路由器收到一個數據包，就檢測它的源地址，如果和1號ACL相匹配，就使用P1中的地址進行NAT轉換。4、指定NAT轉換的入口和出口：Router(config)#

interface內部接口Router(config-if)#

ipnatinsideRouter(config)#

interface外部接口Router(config-if)#

ipnatoutside說明：每種NAT都需要指定內部接口和外部接口。例：NAT池~54/24/8內部網絡地址為/8，注冊的IP地址是~54，用這些地址為內網的各個訪問提供NAT翻譯。R1f0/0s0/0R1(config)#

ipnatpoolippool54netmaskR1(config)#

access-list30permit55R1(config)#

ipnatinsidesourcelist30poolippoolR1(config)#

interfacef0/0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0/0R1(config-if)#

ipnatoutside復用NAT池當NAT池中的地址耗盡時，會導致后來的主機無法上網。所以當內網的主機數超過NAT池中的地址數時，通常應配置成復用NAT池，這樣每個IP地址可對應多個會話，各個會話用端口號進行區(qū)分。理論上講，一個IP地址可以映射約65000個會話，但實際的路由器往往只支持幾千個會話（Cisco支持約4000個）。在復用NAT池中，Cisco首先復用地址池中的第一個地址，達到能力極限后，再復用第二個地址，依此類推。復用NAT池的配置方法與NAT池的配置方法基本相同，只是：Router(config)#

ipnatinsidesourcelistACL表號pool地址池名字overload在上面的命令中加上overload關鍵字表示使用端口復用技術。PATPAT是復用NAT池的特例，它是通過端口復用技術用于一個合法IP地址映射內網的所有私有IP地址，這個地址往往就是路由器出口的IP地址。/8R1f0/0s0/0:上例中，把內網的私有IP地址都映射為R1的S0/0口的IP地址就是PAT。PAT的配置方法可以使用復用NAT池的配置方法，只要建立一個起始地址和結束地址相同的NAT池就行了。也可以不建立NAT池，用以下命令進行配置：R1(config)#

access-list30permit55R1(config)#

ipnatinsidesourcelist30interfaces0/0overloadR1(config)#

interfacef0/0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0/0R1(config-if)#

ipnatoutsidePAT可最大限度的節(jié)省IP地址用量，但由于它只能同時支持幾千個會話，所以使用PAT易造成擁塞。為了避免PAT和復用NAT池的擁塞，一方面可以多申請一些IP地址，建立一個大些的NAT池，另一方面也應該限制用戶使用那些占用會話數很多的應用（如BT）。TCP負載均衡TCP負載均衡是為了把一個外部的合法地址交替映射到多個內部地址上，這樣可以使多臺服務器使用同一個外部地址進行訪問。S0:/24E01、建立內部地址池，其中的地址必須是各服務器的真實地址(加上rotary關鍵字)。R1(config)#

ipnatpoolp1netmaskrotary2、建立訪問控制列表，定義轉換的合法IP地址R1(config)#

access-list1permithost3、用地址池和訪問控制列表建立映射R1(config)#

ipnatinsidedestinationlist1poolp14、指定NAT入口(E0口)和出口(S0口)R1(config)#

interfacee0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0R1(config-if)#

ipnatoutside配置了TCP負載均衡后，路由器會把對地址的訪問交替映射到~的各個地址上，使它們訪問不同的服務器主機。對使用TCP負載均衡的各服務器必須建立為鏡像服務器，它們可通過同步保持內容的一致性。NAT配置舉例/24E0:.1/24S0:.2S0:.1R1R2DCEPC1:.51PC2:.52E0:/8PC3:/8R1是局域網的邊界路由器，R2是ISP的路由器。局域網使用私有地址/24進行編址。ISP為局域網分配了一個合法地址塊/29。分析：地址塊：/2911111111111111111111111111111000掩碼為48。地址范圍為：~，共8個地址。其中可用的地址是~，共6個地址。R1的配置：采用復用NAT池技術使用6個合法IP地址。R1(config)#

ipnatpoolpool1netmask48R1(config)#

access-list1permit55R1(config)#

ipnatinsidesourcelist1poolpool1overloadR1(config)#

interfacee0R1(config-if)#

ipaddressR1(config-if)#

ipnatinsideR1(config-if)#

noshutdown

R