交換與路由技術(shù)課件 第9章 NAT

第九章NAT01

NAT概述02

NAT的工作原理03

NAT的配置CONTENT目錄04項(xiàng)目實(shí)驗(yàn)NAT概述01為什么要引入NAT？互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的快速發(fā)展，IPV4地址空間已經(jīng)無法滿足人們對IPV4地址日益增長的需求，2019年11月26日下午，負(fù)責(zé)英國、歐洲、中東和部分中亞地區(qū)互聯(lián)網(wǎng)資源分配的歐洲網(wǎng)絡(luò)協(xié)調(diào)中心(RIPENCC)宣布，全球所有43億個(gè)IPv4地址已全部分配完畢，IPv4地址徹底耗盡。網(wǎng)絡(luò)地址轉(zhuǎn)換（NetworkAddressTranslation，NAT）技術(shù)于1994年被提出，用來緩解IPv4地址空間即將耗盡的問題。它是IETF(InternetEngineeringTaskForce,Internet工程任務(wù)組)的一個(gè)標(biāo)準(zhǔn)，允許一個(gè)機(jī)構(gòu)以一個(gè)公用IP地址出現(xiàn)在Internet上。9.1.1

NAT的概念NAT是一種把內(nèi)部私有網(wǎng)絡(luò)地址（IP地址）翻譯成合法公網(wǎng)IP地址的技術(shù)，以便在外部公共網(wǎng)絡(luò)中傳輸數(shù)據(jù)流；NAT可以讓那些使用私有地址的內(nèi)部網(wǎng)絡(luò)連接到Internet或其它IP網(wǎng)絡(luò)上。NAT網(wǎng)關(guān)設(shè)備（如路由器、防火墻等）在將內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包發(fā)送到公用網(wǎng)絡(luò)時(shí)，在IP包的報(bào)頭把私有地址轉(zhuǎn)換成合法的公網(wǎng)IP地址RFC1918（AddressAllocationforPrivat，私有網(wǎng)絡(luò)地址分配）規(guī)定了三塊專有的地址，作為私有的內(nèi)部組網(wǎng)使用：A類：—55/8B類：—55/12C類：—55/169.1.2

NAT轉(zhuǎn)換類型1.靜態(tài)地址轉(zhuǎn)換（靜態(tài)NAT）靜態(tài)NAT是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公網(wǎng)IP地址，IP地址對是一對一的，是一成不變的，某個(gè)私有IP地址只轉(zhuǎn)換為某個(gè)公網(wǎng)IP地址。借助于靜態(tài)NAT，可以實(shí)現(xiàn)外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)中某些特定設(shè)備(如服務(wù)器)的訪問。靜態(tài)NAT主要的目的是為了隱藏企業(yè)內(nèi)部服務(wù)器的IP地址，以達(dá)到保護(hù)服務(wù)器的目的。2.動(dòng)態(tài)地址轉(zhuǎn)換（動(dòng)態(tài)NAT）動(dòng)態(tài)NAT是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公網(wǎng)IP地址時(shí)，IP地址是不確定的，是隨機(jī)的，是多對多的關(guān)系，所有被授權(quán)訪問上Internet的私有IP地址可隨機(jī)轉(zhuǎn)換為任何指定的合法公網(wǎng)IP地址。動(dòng)態(tài)轉(zhuǎn)換可以使用多個(gè)合法外部地址集。當(dāng)ISP提供的合法公網(wǎng)IP地址略少于網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)數(shù)量時(shí)，可以采用動(dòng)態(tài)轉(zhuǎn)換的方式。

3.端口地址轉(zhuǎn)換（PAT）端口地址轉(zhuǎn)換PAT（PortAddressTranslation，端口地址轉(zhuǎn)換），也稱為端口地址映射、端口多路復(fù)用或者NAPT（NetworkAddressPortTranslation，網(wǎng)絡(luò)地址端口轉(zhuǎn)換）。PAT在動(dòng)態(tài)NAT上又進(jìn)了一步，簡單地說，其工作模式就是多對一，可以將多個(gè)內(nèi)部網(wǎng)絡(luò)的私有IP地址對應(yīng)到一個(gè)公網(wǎng)IP地址。具體來說，就是內(nèi)網(wǎng)地址+端口號與公網(wǎng)地址+端口號進(jìn)行對應(yīng)。使用PAT，內(nèi)部網(wǎng)絡(luò)的多個(gè)主機(jī)均可共享一個(gè)合法外部IP地址實(shí)現(xiàn)對Internet的訪問，從而可以最大限度地節(jié)約IP地址資源。同時(shí)，又可隱藏網(wǎng)絡(luò)內(nèi)部的所有主機(jī)，有效避免來自internet的攻擊。因此，目前網(wǎng)絡(luò)中應(yīng)用最多的就是端口多路復(fù)用方式。9.1.3

NAT的作用與功能1.NAT的作用節(jié)省了IP地址空間：通過使用NAT，內(nèi)部主機(jī)可以使用同一個(gè)合法IP地址來與外部網(wǎng)絡(luò)通信；這樣只需要較少的公共地址就可以支持眾多的內(nèi)部主機(jī)，從而節(jié)省了IP地址。避免了重新編址：通過使用NAT，網(wǎng)絡(luò)管理員不必給需要訪問外部網(wǎng)絡(luò)的內(nèi)部主機(jī)重新分配IP地址，從而節(jié)省了時(shí)間和費(fèi)用，減輕了工作負(fù)擔(dān)。提高了網(wǎng)絡(luò)安全性：NAT對外部只通告合法的IP地址，屏蔽了內(nèi)部網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)和IP地址，內(nèi)部網(wǎng)的主機(jī)對外部網(wǎng)來說是不可見的，從而提高了內(nèi)部網(wǎng)絡(luò)的安全性。2.NAT的功能NAT就是把局域網(wǎng)內(nèi)部地址轉(zhuǎn)換成可在外部公共網(wǎng)絡(luò)或Internet上路由的全局地址。NAT可以使多臺計(jì)算機(jī)共享Internet連接，這一功能很好地解決了公共IP地址緊缺的問題。通過這種方法，您可以只申請一個(gè)合法IP地址，就把整個(gè)局域網(wǎng)中的計(jì)算機(jī)接入Internet中。NAT的工作原理029.2.1靜態(tài)NAT的工作原理靜態(tài)NAT使用私有地址和公有地址的一對一映射，這些映射由網(wǎng)絡(luò)管理員進(jìn)行配置，并保持不變。靜態(tài)NAT轉(zhuǎn)換示意圖9.2.2動(dòng)態(tài)NAT的工作原理靜態(tài)NAT嚴(yán)格地進(jìn)行一對一地址映射，這就導(dǎo)致即使內(nèi)網(wǎng)主機(jī)長期離線或者不發(fā)送數(shù)據(jù)，也會(huì)長期占用與之對應(yīng)的公網(wǎng)IP地址。為了避免公網(wǎng)地址的浪費(fèi)，動(dòng)態(tài)NAT引入了地址池的概念：所有可用的公網(wǎng)地址組成了地址池。動(dòng)態(tài)NAT轉(zhuǎn)換示意圖9.2.3PAT的工作原理動(dòng)態(tài)NAT選擇地址池中的地址進(jìn)行地址轉(zhuǎn)換時(shí)不會(huì)轉(zhuǎn)換端口號，即No-PAT（No-PortAddressTranslation，非端口地址轉(zhuǎn)換），公有地址與私有地址還是一對一的映射關(guān)系，無法提高公有地址的利用率。因此，引入了PAT即NAPT（NetworkAddressandPortTranslation，網(wǎng)絡(luò)地址端口轉(zhuǎn)換）的概念。PAT是把多個(gè)內(nèi)部地址映射為一個(gè)公有IP地址，但以不同的協(xié)議端口號（端口地址）與不同的內(nèi)部私有地址相對應(yīng)，即“內(nèi)部私有IP地址+內(nèi)部端口”與“外部公有IP地址+外部端口”之間的轉(zhuǎn)換。PAT也稱為“多對一”的NAT，或者叫NPAT（NetworkPortAddressTranslation，網(wǎng)絡(luò)端口地址轉(zhuǎn)換）、地址復(fù)用（AddressOverloading）。PAT與動(dòng)態(tài)NAT不同，它將內(nèi)部連接映射到外部網(wǎng)絡(luò)中的一個(gè)單獨(dú)的IP地址上，同時(shí)在該地址上加上一個(gè)由NAT設(shè)備選定的TCP或UDP端口號，通過轉(zhuǎn)換TCP或UDP端口號以及地址來提供并發(fā)性。從而實(shí)現(xiàn)公有地址與私有地址的一對多的映射，可以有效提高公有地址的利用率，基本解決了動(dòng)態(tài)NAT地址池地址不足的問題。PAT轉(zhuǎn)換的應(yīng)用場景PAT轉(zhuǎn)換示意圖9.2.4EasyIP的工作原理EasyIP實(shí)現(xiàn)原理和NAPT相同，同時(shí)轉(zhuǎn)換IP地址、傳輸層端口，區(qū)別在于EasyIP沒有地址池的概念，使用接口地址作為NAT轉(zhuǎn)換的公有地址。EasyIP適用于用戶只有一個(gè)固定的公網(wǎng)IP地址，或者不具備固定公網(wǎng)IP地址的場景。如通過DHCP、PPPoE撥號獲取地址的私有網(wǎng)絡(luò)出口，可以直接使用接口獲取到的動(dòng)態(tài)地址進(jìn)行轉(zhuǎn)換。例如小型網(wǎng)絡(luò)，如網(wǎng)吧和家庭網(wǎng)絡(luò)等。EasyIP轉(zhuǎn)換示意圖9.2.5NATServer的工作原理私網(wǎng)中有一些服務(wù)器需要向公網(wǎng)用戶提供服務(wù)，比如私網(wǎng)中部署的一些Web服務(wù)器、FTP服務(wù)器等，NAT支持這樣的應(yīng)用，此時(shí)可以配置NATServer來實(shí)現(xiàn)公網(wǎng)用戶對私網(wǎng)服務(wù)器的訪問。在NAT路由器上配置NATServer，固定“公網(wǎng)IP地址＋端口號”與“私網(wǎng)IP地址＋端口號”間的映射關(guān)系，實(shí)現(xiàn)公網(wǎng)主機(jī)通過該映射關(guān)系訪問私網(wǎng)服務(wù)器的功能。NATServer轉(zhuǎn)換示意圖NAT的配置039.3.1靜態(tài)NAT配置—配置步驟配置靜態(tài)地址映射分以下兩種方式：方式一：在接口視圖下配置靜態(tài)映射：（1）進(jìn)入接口視圖執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖；執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖。（2）根據(jù)地址之間的一對一映射執(zhí)行下述命令：natstaticglobalglobal-addressinsidehost-address其中：global-address代表外部公有地址；host-address代表內(nèi)部私有地址。

方式二：在系統(tǒng)視圖下配置靜態(tài)映射：（1）進(jìn)入系統(tǒng)視圖，配置地址映射關(guān)系執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖；根據(jù)地址之間的一對一映射執(zhí)行下述命令：natstaticglobalglobal-addressinsidehost-address（2）執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖。（3）執(zhí)行命令natstaticenable，在接口下開啟靜態(tài)nat功能。

【說明】（1）配置靜態(tài)NAT時(shí)，其中的global-address和host-address必須保證和設(shè)備現(xiàn)有地址沒有重復(fù)，包括設(shè)備接口地址，用戶地址池地址，以避免沖突。（2）在設(shè)備上執(zhí)行undonatstatic命令，設(shè)備上的靜態(tài)映射表項(xiàng)不會(huì)立刻消失，如果需要立刻清除靜態(tài)NAT映射表項(xiàng)，請手動(dòng)執(zhí)行resetnatsession命令來清除靜態(tài)映射表項(xiàng)信息。（3）多個(gè)接口使用同一條natstatic映射的情況下，建議使用第二種方法。9.3.2動(dòng)態(tài)NAT配置—配置步驟配置動(dòng)態(tài)NAT，具體步驟如下：（1）在系統(tǒng)視圖下，執(zhí)行下述命令創(chuàng)建地址池：nataddress-groupgroup-indexstart-addressend-address其中：group-index代表地址池組號；start-address代表地址池開始地址；end-address代表地址池結(jié)束地址。（2）使用編號創(chuàng)建一個(gè)ACL，并進(jìn)入ACL視圖：aclacl-number其中：acl-number為ACL的編號?！菊f明】用于配置地址轉(zhuǎn)換的ACL只能是2000～2999的基本ACL或3000～3999的高級ACL。

（3）定義ACL規(guī)則，允許通行的地址或地址段：rule[rule-id］permitsourcesource-addresssource-wildcard其中：rule-id為規(guī)則序號；source-address為源IP地址；source-wildcard為子網(wǎng)掩碼的反碼。（4）在端口上應(yīng)用ACL到nat上：執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖；執(zhí)行下述命令實(shí)現(xiàn)ACL到nat上的應(yīng)用：natoutboundacl-numberaddress-groupgroup-indexno-pat9.3.3PAT配置—配置步驟配置PAT，具體步驟如下：（1）在系統(tǒng)視圖下，執(zhí)行下述命令創(chuàng)建地址池：nataddress-groupgroup-indexstart-addressend-address（2）使用編號創(chuàng)建一個(gè)ACL，并進(jìn)入ACL視圖：aclacl-number【說明】用于配置地址轉(zhuǎn)換的ACL只能是2000～2999的基本ACL或3000～3999的高級ACL。

（3）定義ACL規(guī)則，允許通行的地址或地址段：

rule[rule-id］permitsourcesource-addresssource-wildcard（4）在端口上應(yīng)用ACL到nat上：執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖；執(zhí)行下述命令實(shí)現(xiàn)ACL到nat上的應(yīng)用：natoutboundacl-numberaddress-groupgroup-index【注意】PAT與動(dòng)態(tài)NAT配置中唯一的不同是上述命令中少了“no-pat”參數(shù)。9.3.4EasyIP配置—配置步驟配置EasyIP，具體步驟如下：（1）在系統(tǒng)視圖下，使用編號創(chuàng)建一個(gè)ACL，并進(jìn)入ACL視圖：aclacl-number【說明】用于配置地址轉(zhuǎn)換的ACL只能是2000～2999的基本ACL或3000～3999的高級ACL。（2）定義ACL規(guī)則，允許通行的地址或地址段：

rule[rule-id］permitsourcesource-addresssource-wildcard（3）在端口上應(yīng)用ACL到nat上：執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖；執(zhí)行下述命令實(shí)現(xiàn)ACL到nat上的應(yīng)用：natoutboundacl-number9.3.5NATServer配置—配置步驟配置NATServer，具體步驟如下：（1）進(jìn)入接口視圖執(zhí)行命令system-view，進(jìn)入系統(tǒng)視圖；執(zhí)行命令interfaceinterface-typeinterface-number，進(jìn)入接口視圖。（2）配置靜態(tài)NATServer一對一映射關(guān)系。根據(jù)地址之間的一對一映射執(zhí)行下述命令：natserverprotocol{tcp|udp}globalglobal-address[global-port]insidehost-address[host-port]【說明】外網(wǎng)主動(dòng)訪問內(nèi)網(wǎng)時(shí)，NATServer和NATStatic無差別。內(nèi)網(wǎng)主動(dòng)訪問外網(wǎng)時(shí)，NATServer僅作地址替換；NATStatic會(huì)同時(shí)替換地址和端口號。項(xiàng)目實(shí)驗(yàn)049.4.1靜態(tài)NAT配置實(shí)驗(yàn)項(xiàng)目背景：現(xiàn)在某集團(tuán)公司內(nèi)部使用