《銳捷RCNA路由與交換技術(shù)實(shí)戰(zhàn)》 課件 項(xiàng)目15 基于動(dòng)態(tài)NAT的公司出口鏈路配置

項(xiàng)目15基于動(dòng)態(tài)NAT的公司出口鏈路配置項(xiàng)目描述相關(guān)知識(shí)項(xiàng)目規(guī)劃設(shè)計(jì)項(xiàng)目實(shí)施項(xiàng)目驗(yàn)證項(xiàng)目拓展目錄項(xiàng)目描述Jan16公司有計(jì)算機(jī)若干臺(tái)，利用交換機(jī)建了局域網(wǎng)，并通過(guò)出口路由器連接到互聯(lián)網(wǎng)。為了保障內(nèi)部網(wǎng)絡(luò)的安全和解決私有地址在互聯(lián)網(wǎng)上通信的問(wèn)題，需在出口路由中配置動(dòng)態(tài)NAT，使內(nèi)部計(jì)算機(jī)IP地址映射為公網(wǎng)IP地址以訪問(wèn)互聯(lián)網(wǎng)。項(xiàng)目拓?fù)淙鐖D15-1所示，具體要求如下：（1）公司內(nèi)網(wǎng)使用192.168.1.0/24網(wǎng)段，出口為16.16.16.0/24網(wǎng)段。（2）出口路由器上申請(qǐng)了16.16.16.1-5等互聯(lián)網(wǎng)IP地址，可供NAT轉(zhuǎn)換使用。（3）測(cè)試計(jì)算機(jī)和路由器的IP和接口信息如拓?fù)渌?。?xiàng)目描述項(xiàng)目描述圖15-1網(wǎng)絡(luò)拓?fù)鋱D相關(guān)知識(shí)15.2.1動(dòng)態(tài)NAT動(dòng)態(tài)NAT，是將一個(gè)內(nèi)部IP地址轉(zhuǎn)換為一組外部IP地址池中的一個(gè)IP地址（公有地址）。動(dòng)態(tài)NAT和靜態(tài)NAT的在地址轉(zhuǎn)換上很相似，只是可用的公有IP地址不是被某個(gè)專用網(wǎng)絡(luò)的計(jì)算機(jī)所永久獨(dú)自占有。動(dòng)態(tài)NAT的工作過(guò)程如圖15-2所示。與靜態(tài)NAT類似，路由器上有一個(gè)公有IP地址池，地址池中有四個(gè)公有IP地址，它們是8.8.8.2/24-8.8.88.8.8.5/24。假設(shè)專用網(wǎng)絡(luò)的計(jì)算機(jī)A需要和互聯(lián)網(wǎng)的計(jì)算機(jī)C通信，其通信過(guò)程如下。第①步：計(jì)算機(jī)A發(fā)送源IP地址(SourceAddress，SA)為192.168.1.1的數(shù)據(jù)包給計(jì)算機(jī)C。15.2.1動(dòng)態(tài)NAT第②步：數(shù)據(jù)包經(jīng)過(guò)路由器的時(shí)候，路由器采用NAT技術(shù)，將數(shù)據(jù)包的源地址（192.168.1.1）轉(zhuǎn)換為公有IP地址（8.8.8.2）。為什么會(huì)轉(zhuǎn)換為8.8.8.2？由于路由器上的地址池有多個(gè)公有IP地址，當(dāng)需要進(jìn)行地址轉(zhuǎn)換時(shí)，路由器會(huì)在地址池中選擇一個(gè)未被占用的地址來(lái)進(jìn)行轉(zhuǎn)換。這里假設(shè)四個(gè)地址都未被占用，路由器挑選了第一個(gè)未被占用的地址而已。如果緊接著計(jì)算機(jī)A要發(fā)送數(shù)據(jù)包到Internet，則路由器會(huì)挑選第二個(gè)未被占用的IP地址，也就是8.8.8.3來(lái)進(jìn)行轉(zhuǎn)換。地址池中的公有IP地址的數(shù)量決定了可以同時(shí)訪問(wèn)Internet的內(nèi)網(wǎng)計(jì)算機(jī)的數(shù)量，如果地址池中的IP地址都被使用了，那么內(nèi)網(wǎng)的其他計(jì)算機(jī)就不能夠和Internet的計(jì)算機(jī)通信了。當(dāng)內(nèi)網(wǎng)計(jì)算機(jī)和外網(wǎng)計(jì)算機(jī)的通信連接結(jié)束后，路由器將釋放被占用的公有IP地址，這樣，被釋放的IP地址則又可以為其他內(nèi)網(wǎng)計(jì)算機(jī)提供公網(wǎng)接入服務(wù)了。15.2.1動(dòng)態(tài)NAT第③步：源地址為8.8.8.2的數(shù)據(jù)包在Internet上轉(zhuǎn)發(fā)，最終被計(jì)算機(jī)C接收。第④步：計(jì)算機(jī)C收到源地址為8.8.8.2的數(shù)據(jù)包后轉(zhuǎn)發(fā)，將響應(yīng)內(nèi)容封裝在目的地址（DestinationAddress，DA）為8.8.8.2的數(shù)據(jù)包中，然后將該數(shù)據(jù)包發(fā)送出去。第⑤步：目的地址為8.8.8.2數(shù)據(jù)包最終經(jīng)過(guò)路由轉(zhuǎn)發(fā)，到達(dá)連接專用網(wǎng)絡(luò)的路由器上，路由器對(duì)照自身的NAT映射表，找出對(duì)應(yīng)關(guān)系，將目的地址為8.8.8.2的數(shù)據(jù)包轉(zhuǎn)換為目的地址為192.168.1.1的數(shù)據(jù)包，然后發(fā)送到內(nèi)部專用網(wǎng)絡(luò)中。第⑥步：目的地址為192.168.1.1的數(shù)據(jù)包在專用網(wǎng)絡(luò)中傳送，最終到達(dá)計(jì)算機(jī)A。計(jì)算機(jī)A通過(guò)數(shù)據(jù)包的源地址（8.8.8.8）知道此數(shù)據(jù)包是Internet上的計(jì)算機(jī)C發(fā)送過(guò)來(lái)的。15.2.1動(dòng)態(tài)NAT動(dòng)態(tài)NAT的內(nèi)外網(wǎng)映射關(guān)系為臨時(shí)關(guān)系，因此，它主要用于內(nèi)網(wǎng)計(jì)算機(jī)臨時(shí)需要訪問(wèn)外部網(wǎng)絡(luò)的場(chǎng)景?？紤]到企業(yè)申請(qǐng)的共有IP的數(shù)量有限，而內(nèi)網(wǎng)計(jì)算機(jī)數(shù)量通常遠(yuǎn)大于共有IP數(shù)量，因此，它不適合給內(nèi)網(wǎng)計(jì)算機(jī)提供大規(guī)模上網(wǎng)服務(wù)場(chǎng)景，解決這類問(wèn)題需要使用超載NAT模式，關(guān)于超載NAT模式可以看本章下文相關(guān)的描述。圖15-2動(dòng)態(tài)NAT的工作原理項(xiàng)目規(guī)劃設(shè)計(jì)項(xiàng)目規(guī)劃設(shè)計(jì)動(dòng)態(tài)NAT轉(zhuǎn)換需要有多個(gè)公網(wǎng)IP地址，這里以16.16.16.1~16.16.16.5作為轉(zhuǎn)換后的公網(wǎng)IP地址。在路由器中將公網(wǎng)IP地址配置為NAT地址池，并建立ACL列表匹配內(nèi)部地址。在出口路由器的G0/1上應(yīng)用NAT轉(zhuǎn)換即可?；ヂ?lián)網(wǎng)連接方面，出口路由器可根據(jù)ISP服務(wù)商的網(wǎng)絡(luò)環(huán)境配置相應(yīng)的路由協(xié)議。配置步驟如下：（1）配置路由器接口。（2）配置動(dòng)態(tài)NAT。（3）配置各計(jì)算機(jī)的IP地址。項(xiàng)目規(guī)劃設(shè)計(jì)本項(xiàng)目的IP地址規(guī)劃、端口規(guī)劃見表15-1~表15-2。設(shè)備端口IP地址網(wǎng)關(guān)R1G0/0192.168.10.254/24-R1G0/116.16.16.16/24-PC1-192.168.10.1/24192.168.10.254PC2-192.168.10.2/24192.168.10.254PC3-192.168.10.3/24192.168.10.254PC4-16.16.16.15/24-表15-1IP地址規(guī)劃項(xiàng)目規(guī)劃設(shè)計(jì)本端設(shè)備本端端口對(duì)端設(shè)備對(duì)端端口R1G0/0SW1G0/1R1G0/1SW2G0/1SW1G0/1R1G0/0SW1G0/2PC1-SW1G0/3PC2-SW1G0/4PC3-SW2G0/1R1G0/1表15-2端口規(guī)劃項(xiàng)目實(shí)施任務(wù)15-1配置路由器接口任務(wù)描述根據(jù)項(xiàng)目規(guī)劃設(shè)計(jì)對(duì)路由器進(jìn)行基礎(chǔ)配置。任務(wù)實(shí)施在路由器接口配置對(duì)應(yīng)IP，配置命令如下。Ruijie>enable//進(jìn)入用戶模式Ruijie>configureterminal//進(jìn)入全局模式Router(config)#hostnameR1//將路由器名稱更改為R1R1(config)#interfaceGigabitEthernet0/0//進(jìn)入G0/0接口R1(config-if-GigabitEthernet0/0)#ipaddress192.168.10.254255.255.255.0//為接口配置IP地址R1(config-if-GigabitEthernet0/0)#exitR1(config)#interfaceGigabitEthernet0/1R1(config-if-GigabitEthernet0/1)#ipaddress16.16.16.16255.255.255.0任務(wù)15-1配置路由器接口任務(wù)驗(yàn)證在R1上使用【showipinterfacebrief】命令查看接口IP信息，配置命令如下?？梢钥吹揭呀?jīng)在接口上配置了IP地址。R1(config-if-GigabitEthernet0/1)#showipinterfacebriefInterface

IP-Address(Pri)

IP-Address(Sec)StatusProtocolGigabitEthernet0/0

192.168.10.254/24

noaddress

up

upGigabitEthernet0/1

16.16.16.16/24

noaddress

up

upGigabitEthernet0/2

noaddress

noaddress

up

down任務(wù)15-2配置動(dòng)態(tài)NAT任務(wù)描述根據(jù)項(xiàng)目規(guī)劃設(shè)計(jì)對(duì)路由器進(jìn)行動(dòng)態(tài)NAT配置。任務(wù)實(shí)施（1）在R1上使用【ipnatpoolpool-namestart-ipend-ip{netmasknetmask|prefix-lengthprefix-length}】命令配置NAT地址池，設(shè)置起始和結(jié)束地址分別為16.16.16.1和16.16.16.5。【ipnatpoolpool-namestart-ipend-ip{netmasknetmask|prefix-lengthprefix-length}】命令用來(lái)配置NAT地址池（申請(qǐng)到的公網(wǎng)IP不能全部納入地址池，必須至少保留1個(gè)用于路由器與公網(wǎng)通信）。任務(wù)15-2配置動(dòng)態(tài)NAT配置命令如下。R1(config)#ipnatpoolruijie16.16.16.116.16.16.5netmask255.255.255.0//配置NAT地址池，編號(hào)為1，地址段16.16.16.1~16.16.16.5任務(wù)15-2配置動(dòng)態(tài)NAT（2）創(chuàng)建標(biāo)準(zhǔn)ACL20，配置命令如下。（3）在G0/1接口下使用命令將ACL20與地址池相關(guān)聯(lián)，使得ACL中規(guī)定的地址可以使用地址池進(jìn)行地址轉(zhuǎn)換。【ipnatinsidesourcelistaccess-list-number{interfaceinterface|poolpool-name}】命令用來(lái)將一個(gè)訪問(wèn)控制列表ACL和一個(gè)地址池關(guān)聯(lián)起來(lái)，其表示ACL中規(guī)定的地址可以使用地址池進(jìn)行NAT轉(zhuǎn)換。R1(config)#ipaccess-liststandard20//創(chuàng)建一個(gè)編號(hào)20的標(biāo)準(zhǔn)ACLR1(config-std-nacl)#permit192.168.10.00.0.0.255//允許源地址網(wǎng)段為192.168.10.0/24的報(bào)文通過(guò)R1(config-std-nacl)#denyany//拒絕所有訪問(wèn)任務(wù)15-2配置動(dòng)態(tài)NAT配置命令如下。R1(config)#interfaceGigabitEthernet0/0R1(config-if-GigabitEthernet0/0)#ipnatinsideR1(config-if-GigabitEthernet0/0)#exitR1(config)#interfaceGigabitEthernet0/1R1(config-if-GigabitEthernet0/1)#ipnatoutsideR1(config-if-GigabitEthernet0/1)#exitR1(config)#ipnatinsidesourcelist20poolruijie//配置ACL20匹配的主機(jī)使用NAT地址池1的地址進(jìn)行1對(duì)1地址轉(zhuǎn)換任務(wù)15-2配置動(dòng)態(tài)NAT任務(wù)驗(yàn)證1 在R1上使用【showrunning-config|includenat】命令查看nat配置信息，配置命令如下?？梢钥吹揭呀?jīng)根據(jù)規(guī)劃配置了動(dòng)態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換。R1(config)#showrunning-config|includenatipnatinsideipnatoutsideipnatpoolruijie16.16.16.116.16.16.5netmask255.255.255.0ipnatinsidesourcelist20poolruijie任務(wù)15-3配置各計(jì)算機(jī)的IP地址任務(wù)描述根據(jù)項(xiàng)目規(guī)劃設(shè)計(jì)對(duì)各臺(tái)計(jì)算機(jī)進(jìn)行IP地址配置。任務(wù)實(shí)施PC1的IP地址配置結(jié)果如圖15-3所示，同理完成其他的PC的IP地址配置。圖15-3PC1IP配置任務(wù)15-3配置各計(jì)算機(jī)的IP地址任務(wù)驗(yàn)證（1）PC1上使用【ipconfig】命令查看IP地址，配置命令如下?？梢钥吹浇涌谝雅渲昧薎P地址。（2）在其他PC上同樣使用【ipconfig】命令驗(yàn)證IP地址是否配置正確。C:\Users\Administrator>ipconfig本地連接:連接特定的DNS后綴.......:IPv4地址............:192.168.10.1(首選)子網(wǎng)掩碼............:255.255.255.0默認(rèn)網(wǎng)關(guān).............:192.168.10.254項(xiàng)目驗(yàn)證項(xiàng)目驗(yàn)證（1）使用PC1Ping測(cè)試能否訪問(wèn)互聯(lián)網(wǎng)上的PC4，配置命令如下。結(jié)果顯示PC1可以與外部網(wǎng)絡(luò)通信。C:\Users\Administrator>ping16.16.16.15正在Ping16.16.16.15具有32字節(jié)的數(shù)據(jù):來(lái)自16.16.16.15的回復(fù):字節(jié)=32時(shí)間=76msTTL=63來(lái)自16.16.16.15的回復(fù):字節(jié)=32時(shí)間=2msTTL=63來(lái)自16.16.16.15的回復(fù):字節(jié)=32時(shí)間=2msTTL=63來(lái)自16.16.16.15的回復(fù):字節(jié)=32時(shí)間=2msTTL=6316.16.16.15的Ping統(tǒng)計(jì)信息:數(shù)據(jù)包:已發(fā)送=4，已接收=4，丟失=0(0%丟失)，往返行程的估計(jì)時(shí)間(以毫秒為單位):最短=2ms，最長(zhǎng)=76ms，平均=20ms項(xiàng)目驗(yàn)證（2）在R1上使用showipnattranslations命令查看NAT轉(zhuǎn)換信息，配置命令如下。結(jié)果顯示R1收到源為192.168.10.1的互聯(lián)網(wǎng)訪問(wèn)請(qǐng)求數(shù)據(jù)包時(shí)，將它的源地址轉(zhuǎn)換為互聯(lián)網(wǎng)地址16.16.16.1，使其能正常訪問(wèn)互聯(lián)網(wǎng)。R1(config)#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp16.16.16.2:1192.168.10.1:116.16.16.1516.16.16.15項(xiàng)目拓展一、理論題1.動(dòng)態(tài)NAT和靜態(tài)NAT的區(qū)別是什么？（ ）A.動(dòng)態(tài)NAT只能將一個(gè)內(nèi)部IP地址轉(zhuǎn)換為一個(gè)外部IP地址，而靜態(tài)NAT可以將多個(gè)內(nèi)部IP地址映射到一個(gè)外部IP地址上。B.動(dòng)態(tài)NAT和靜態(tài)NAT在地址轉(zhuǎn)換上非常相似，唯一的區(qū)別是動(dòng)態(tài)NAT可用的公有IP地址不是被某個(gè)專用網(wǎng)絡(luò)的計(jì)算機(jī)所永久獨(dú)自占有。C.動(dòng)態(tài)NAT只能用于內(nèi)網(wǎng)計(jì)算機(jī)臨時(shí)對(duì)外提供服務(wù)的場(chǎng)景，而靜態(tài)NAT適用于內(nèi)網(wǎng)計(jì)算機(jī)大規(guī)模上網(wǎng)服務(wù)場(chǎng)景。D.動(dòng)態(tài)NAT和靜態(tài)NAT沒(méi)有任何區(qū)別，只是名稱不同。一、理論題2.動(dòng)態(tài)NAT的工作過(guò)程中，當(dāng)需要進(jìn)行地址轉(zhuǎn)換時(shí)，路由器會(huì)如何選擇公有IP地址？（）A.路由器會(huì)選擇地址池中第一個(gè)IP地址B.路由器會(huì)選擇地址池中最后一個(gè)IP地址C.路由器會(huì)隨機(jī)選擇地址池中的一個(gè)IP地址D.路由器會(huì)選擇地址池中未被占用的第一個(gè)IP地址3.（多選）動(dòng)態(tài)NAT地址映射配置步驟包括？（ ）A.創(chuàng)建NAT地址池 B.端口應(yīng)用動(dòng)態(tài)NAT C.創(chuàng)建ACL D.配置路由二、項(xiàng)目實(shí)訓(xùn)題1.實(shí)訓(xùn)背景Jan16公司有網(wǎng)站服務(wù)器1臺(tái)和計(jì)算機(jī)若干臺(tái)，利用交換機(jī)建了局域網(wǎng)，并通過(guò)出口路由器