Cisco設備靜態(tài)NAT基本配置步驟

1、Cisco設備靜態(tài)NAT基本配置步驟以下內(nèi)容摘自筆者即將出版上市的金牌網(wǎng)管師大中型企業(yè)網(wǎng)絡組建、配置與管理一書，或者于明年將出版的Cisco/H3C路由器配置與管理完全手冊一書。當你與外部網(wǎng)絡進行通信時，你可以轉換自己的私有IP地址到全局唯一的IP地址。可以通過靜態(tài)或動態(tài)NAT來實現(xiàn)以上目的。靜態(tài)NAT在內(nèi)部本地址和內(nèi)部全局地址之間建立一對一的映射關系，而動態(tài)NAT建立一個內(nèi)部本地址到一個全局地址池的映射關系。一、靜態(tài)NAT工作原理靜態(tài)NAT是最基本的NAT方式，也是最常用的NAT方式之一。本節(jié)要利用網(wǎng)絡拓撲結構和具體的示例介紹Cisco設備上的靜態(tài)NAT基本配置步驟。示例中的基本網(wǎng)絡拓撲結構

2、如圖1所示。NAT路由器的兩個接口（s0和s1）分別連接了內(nèi)、外兩個不同的網(wǎng)絡（10.10.10.0/24和171.16.68.1/24）。現(xiàn)要使內(nèi)部網(wǎng)絡中的10.10.01.1主機和外部網(wǎng)絡中的171.16.68.5主機間進行數(shù)據(jù)包傳輸。圖1 靜態(tài)NAT基本配置示例網(wǎng)絡結構在上一篇說到了，NAT的應用可以是單方向（包括正向或反向），也可以是雙方向的地址轉換。我們把內(nèi)部網(wǎng)絡中的地址轉換成外部網(wǎng)絡中的地址，稱之為正向轉換，使用的NAT命令為“ip nat inside source static local-ip global-ip”，把本地網(wǎng)絡的本地址轉換成外部網(wǎng)絡的全局地址。把外部網(wǎng)絡中的地

3、址轉換成內(nèi)部網(wǎng)絡中的地址稱之為反向轉換，使用的NAT命令為“ip nat outside source staticglobal-ip local-ip”，把外部網(wǎng)絡的全地址轉換成本地網(wǎng)絡的本地地址。對比可以看出，兩個命令中的本地IP地址（local-ip）和全局IP地址（global-ip）的位置是相互調(diào)換的。而把需要同時具有兩方面的轉換，稱之為雙向轉換。正向轉換時只需要定義內(nèi)部本地址和內(nèi)部全局地址；反方向的轉換時則需要定義外部本地址和外部全局地址；雙向轉換時則需要同時定義內(nèi)部本地址、內(nèi)部全局地址、外部本地址和外部全局地址。下面分別予以介紹。1. 正向NAT地址轉換配置僅需要正向NAT轉換時

4、，只需要定義內(nèi)部本地地址和內(nèi)部全局地址。下面是一個配置示例（網(wǎng)絡結構參見圖1），要實現(xiàn)以下目的：當NAT路由器的內(nèi)部網(wǎng)絡s0接口上接收到一個源地址為10.10.10.1內(nèi)部本地地址的數(shù)據(jù)包時，源地址被轉換成171.16.68.5內(nèi)部全局地址。同樣，當在NAT路由器的外部網(wǎng)絡接口s1上接收源地址為172.16.68.5內(nèi)部全局地址的數(shù)據(jù)包時，目的地址將被轉換成10.10.10.1這個內(nèi)部本地地址。（1）使用ip nat inside source static全局配置命令創(chuàng)建從內(nèi)網(wǎng)到外網(wǎng)的靜態(tài)NAT IP地址轉換。Router（config）#ip nat inside source stati

5、c10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡本地地址10.10.10.1與內(nèi)部網(wǎng)絡全局地址171.16.68.5之間建立靜態(tài)NAT轉換關系，使內(nèi)部網(wǎng)絡主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡主機（2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0。Router（config）#interface s 0 # 進入s0串口配置模式Router（config-if）#ip nat inside # 把s0串口指定為內(nèi)部網(wǎng)絡接口（3）使用以下兩條語句配置路由器的NAT外部接口s1。Router（config）#interface s 1 # 進入s1串口配置模式Rou

6、ter（config-if）#ip nat outside # 把s1串口指定為外部網(wǎng)絡接口（4）使用show ip nat translations特權模式命令驗證上述進行的路由器NAT配置。內(nèi)部網(wǎng)絡的本地地址為10.10.10.1，內(nèi)部網(wǎng)絡的全局地址為171.16.68.5。Router#show ip nat translations# 在特權模式下顯示當前路由器NAT配置Pro Inside global Inside local Outside local Outside global- 171.16.68.5 10.10.10.1 - -此時如果對外網(wǎng)絡目的主機進行ping操作，此

7、時就會有有數(shù)據(jù)包從內(nèi)部網(wǎng)絡轉發(fā)到外部網(wǎng)絡后，再在路由器特權模式下執(zhí)行“show ip nat translations”命令，顯示的NAT信息如下。多了一條icmp協(xié)議類型數(shù)據(jù)包顯示，但因為此時沒有配置外部網(wǎng)絡的本地和全局地址，所以顯示的外部本地和全局地址都是一樣的，都是ping操作目的主機地址171.16.68.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside globalicmp 171.16.68.5:15 10.10.10.1:15 171.16.68.1:15 1

8、71.16.68.1:15- 171.16.68.5 10.10.10.1 - -通過以上配置后，從內(nèi)部網(wǎng)絡發(fā)往外部網(wǎng)絡的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉換（由內(nèi)部本地地址10.10.10.1轉換成內(nèi)部全局地址171.16.68.5），但目標地址（DA）不變，但從外部網(wǎng)絡發(fā)往內(nèi)部網(wǎng)絡的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由內(nèi)部網(wǎng)絡的全局地址172.16.68.5轉換成內(nèi)部網(wǎng)絡的本地地址10.10.10.1），因為此時還沒有為NAT路由器配置外部網(wǎng)絡的本地地址和全局地址轉換。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡中的源地址、目的地址的轉換方式如圖2所示。圖2 配置了

9、正向NAT地址轉換后的數(shù)據(jù)包地址轉換示例2. 反向NAT轉換配置反向NAT轉換與正向NAT轉換是相反的，它需要定義外部本地地址和外部全局地址。同樣以一個示例進行介紹（網(wǎng)絡結構仍參照圖1）。本示例要實現(xiàn)的目的是：當NAT路由器外部網(wǎng)絡接口s1接收到源地址為171.16.68.1外部本地地址的數(shù)據(jù)包后，數(shù)據(jù)包的源地址將轉變?yōu)?0.10.10.5外部全局地址。當NAT路由器在內(nèi)部網(wǎng)絡接口s0接收到源地址為10.10.10.5外部全局地址的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將被轉變?yōu)?71.16.68.1外部本地地址。完整的的配置如下：（1）使用ip nat outside source static全局配置

10、命令創(chuàng)建從外網(wǎng)到內(nèi)網(wǎng)的靜態(tài)NAT IP地址轉換。Router（config）#ip nat outside source static171.16.68.1 10.10.10.5 # 在外部網(wǎng)絡本地地址171.16.68.1與外部網(wǎng)絡全局地址10.10.10.5之間建立靜態(tài)NAT轉換關系，使外部網(wǎng)絡主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡主機（2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0Router（config）#interface s 0Router（config-if）#ip nat inside（3）使用以下兩條語句配置路由器的NAT內(nèi)部接口s1Router（conf

11、ig）#interface s 1Router（config-if）#ip nat outside（4）使用show ip nat translations特權模式命令驗證上述進行的路由器NAT配置。外部網(wǎng)絡的本地地址為10.10.10.5，外部網(wǎng)絡的全局地址為171.16.68.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1同樣，如果此時執(zhí)行一個從外部網(wǎng)絡主機（171.16.68.1）到內(nèi)部網(wǎng)絡主機（

12、10.10.10.1）的ping操作，然后再在路由器特權模式下執(zhí)行“show ip nat translations”命令，則顯示如下結果。因為此時僅配置了外部網(wǎng)絡本地地址和全局地址，所以結果中顯示的內(nèi)部網(wǎng)絡本地地址和全局地址都是一樣的，都是ping操作目的主機地址10.10.10.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1icmp 10.10.10.1:37 10.10.10.1:37 10.10

13、.10.5:37 171.16.68.1:37與前面僅配置內(nèi)部網(wǎng)絡本地地址和全局地址相反，此處從外部網(wǎng)絡發(fā)往內(nèi)部網(wǎng)絡的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉換（由外部本地地址171.16.68.1轉換成內(nèi)部全局地址10.10.10.5），但目標地址（DA）不變；但從內(nèi)部網(wǎng)絡發(fā)往外部網(wǎng)絡的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由外部網(wǎng)絡的全局地址10.10.10.5轉換成外部網(wǎng)絡的本地地址171.16.68.1），因為此時還沒有為NAT路由器配置內(nèi)部網(wǎng)絡的本地地址和全局地址轉換。如圖所示。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡中的源地址、目的地址的轉換方式如圖3所示。圖3

14、配置了反向NAT地址轉換后的數(shù)據(jù)包地址轉換示例3. 雙向NAT轉換下面介紹同時進行正、反向NAT轉換的配置方法，它需要同時定義本地網(wǎng)絡本地地址、本地網(wǎng)絡全局地址、外部網(wǎng)絡本地地址和外部網(wǎng)絡全局地址。在下面的示例中，通過配置可實現(xiàn)：當NAT路由器內(nèi)部網(wǎng)絡接口接收到源地址為10.10.10.1（內(nèi)部網(wǎng)絡本地地址）的數(shù)據(jù)包時，這個源地址將轉換成171.16.68.5（內(nèi)部網(wǎng)絡全局地址）。當NAT路由器外部接口接收到源地址為171.16.68.1（外部網(wǎng)絡本地地址）的數(shù)據(jù)包時，源地址將轉換成10.10.10.5（外部網(wǎng)絡全局地址）。同理，當NAT路由器外部網(wǎng)絡接口接收到目的地址為171.16.68.5

15、的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉換成10.10.10.1。當NAT路由器內(nèi)部接口接收到目的地址為10.10.10.5的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉換成171.16.68.1。本示例的完整配置如下：Router（config）#ip nat inside source static10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡本地地址10.10.10.1與內(nèi)部網(wǎng)絡全局地址171.16.68.5之間建立靜態(tài)NAT轉換關系，使內(nèi)部網(wǎng)絡主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡主機Router（config）#ip nat outside source static171.

16、16.68.1 10.10.10.5 # 在外部網(wǎng)絡本地地址171.16.68.1與外部網(wǎng)絡全局地址10.10.10.5之間建立靜態(tài)NAT轉換關系，使外部網(wǎng)絡主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡主機Router（config）#interfaces 0Router（config-if）#ip nat insideRouter（config-if）#endRouter（config）#interfaces 1Router（config-if）#ip nat outsideRouter（config-if）#endRouter（config）#endRouter#show ip n

17、at translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1171.16.68.5 10.10.10.1 - -同樣，如果此時分別執(zhí)行一個從內(nèi)部主機到外部主機，以及從外部主機到內(nèi)部主機的ping操作，然后再在路由器特權模式下執(zhí)行“show ip nat translations”命令，則顯示如下結果。因為此時同時配置了內(nèi)、外部網(wǎng)絡本地地址和全局地址，所以結果中顯示了兩條NAT配置項，分別顯示了與外部網(wǎng)絡和內(nèi)部網(wǎng)絡中的本地地址和全局地址轉換對應的ping

18、操作icmp消息：與外部網(wǎng)絡本地地址和全局地址對應的ping操作ICMP消息中顯示內(nèi)部網(wǎng)絡中的本地地址和全局地址是一樣的，而與內(nèi)部網(wǎng)絡本地地睛和全局地址對應的ping操作icmp消息中顯示外部網(wǎng)絡中的本地地址和全局地址是一樣的，都是對應的ping操作目的主機地址。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1icmp 10.10.10.1:4 10.10.10.1:4 10.10.10.5:4 171.16.68.1:4icmp 171.16.68.5:39 10.10.10.1:39 171.16.68.1:39 171.16.68.1:39- 171.16.68.5 10.10.10.1 - -經(jīng)過以上配置后，數(shù)據(jù)包發(fā)送時不僅源地址會發(fā)生變化，目標地址也會同時發(fā)生變化，如圖4所示。圖4 同時配置了內(nèi)、外部網(wǎng)絡本地地址和全局地址后的地址轉換示例總體來說，數(shù)據(jù)中的源地址是由發(fā)送數(shù)據(jù)包的源主機地址