網(wǎng)絡(luò)交換與路由技術(shù)：第九章 NAT地址轉(zhuǎn)換技術(shù)

第九章NAT地址轉(zhuǎn)換技術(shù)頂尖廣告股份有限公司是家私有企業(yè)，辦公環(huán)境有十幾臺電腦，規(guī)劃成對等網(wǎng)絡(luò)。申請通過ADSL專線接入Internet。滿足公司內(nèi)部信息化建設(shè)的需求，降低公司開銷。頂尖公司的辦公網(wǎng)環(huán)境呈現(xiàn)兩大特點(diǎn)：一是信息點(diǎn)少，不足20個(gè)；二是申請的ADSL專線接入Internet網(wǎng)，ADSL專線無法保證每一個(gè)節(jié)點(diǎn)都能配置一固定的公有IP地址，因此需要解決辦公網(wǎng)內(nèi)部公有地址不足的問題。如圖所示為該企業(yè)網(wǎng)絡(luò)拓?fù)洌褂肏P網(wǎng)絡(luò)服務(wù)器，配置雙網(wǎng)卡模擬路由接入Internet。在其上配置ADSL專線技術(shù)接入Internet網(wǎng)。用戶端計(jì)算機(jī)通過一臺二層交換機(jī)接入網(wǎng)絡(luò)。公司內(nèi)部網(wǎng)絡(luò)中的所有設(shè)備，通過服務(wù)器配置的動(dòng)態(tài)NAPT地址轉(zhuǎn)換技術(shù)，訪問Internet網(wǎng)絡(luò)。工程任務(wù)：NAT地址轉(zhuǎn)換回顧1、NAT?NAT分類2、套接字？使用NAT與代理服務(wù)器共享上網(wǎng)

網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）減少IP地址浪費(fèi)對客戶機(jī)網(wǎng)絡(luò)應(yīng)用程序控制能力比Proxy差一些具有防火墻功能InternetNAT服務(wù)器IntranetNAT/NAPT帶來的好處解決IPv4地址空間不足的問題私有IP地址網(wǎng)絡(luò)與公網(wǎng)互聯(lián)/8，/12，/16非注冊IP地址網(wǎng)絡(luò)與公網(wǎng)互聯(lián)；建網(wǎng)時(shí)分配了全局IP地址－但沒注冊網(wǎng)絡(luò)改造中，避免更改地址帶來的風(fēng)險(xiǎn)什么是NAT/NAPT

NAT是將網(wǎng)絡(luò)地址,從一個(gè)地址空間,轉(zhuǎn)換到另外一個(gè)地址空間的一個(gè)行為

NAT的類型

NAT（NetworkAddressTranslation）靜態(tài)動(dòng)態(tài)

NAPT（NetworkAddressPortTranslation）NAT/NAPT的術(shù)語內(nèi)部網(wǎng)絡(luò)

－Inside外部網(wǎng)絡(luò)

－Outside內(nèi)部本地地址－InsideLocalAddress內(nèi)部全局地址－InsideGlobalAddress外部本地地址－OutsideLocalAddress外部全局地址－OutsideGlobalAddress互聯(lián)網(wǎng)OutsideInside企業(yè)內(nèi)部網(wǎng)外部網(wǎng)NAT

NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換），局域網(wǎng)主機(jī)訪問互聯(lián)網(wǎng)時(shí)，網(wǎng)絡(luò)出口設(shè)備根據(jù)特定的規(guī)則，將局域網(wǎng)IP地址轉(zhuǎn)換為公網(wǎng)IP,從而實(shí)現(xiàn)局域網(wǎng)多臺主機(jī)利用NAT共享一條線路訪問互聯(lián)網(wǎng)。IP：AInternetIP：BIP：C（公網(wǎng)）IP：D（公網(wǎng)）server局域網(wǎng)A的數(shù)據(jù)到路由器后，路由器將A的IP轉(zhuǎn)換為公網(wǎng)IP(C)，發(fā)送給服務(wù)器服務(wù)器返回?cái)?shù)據(jù)到路由器后，路由器將公網(wǎng)IP(C)轉(zhuǎn)換為A的IP,轉(zhuǎn)發(fā)給主機(jī)ANAT工作原理/24/24源IP:目的IP:內(nèi)部本地地址內(nèi)部全局地址源IP:目的IP:源IP:目的IP:源IP:目的IP:NAPT工作原理/24源IP::1024目的IP::80內(nèi)部本地地址：端口內(nèi)部全局地址:端口外部全局地址:端口:1024:1024：80:1136:1136：80源IP::1023目的IP::80源IP::80目的IP::1024源IP::80目的IP::1024Web服務(wù)什么時(shí)候使用NAPT缺乏全局IP地址只有一個(gè)連接ISP的全局IP地址內(nèi)部網(wǎng)要求上網(wǎng)的主機(jī)數(shù)很多提高內(nèi)網(wǎng)的安全性NAT/NAPT的配置

NAT/NAPT的配置有兩種

靜態(tài)NAT/NAPT

動(dòng)態(tài)NAT/NAPT

靜態(tài)NAT/NAPT

需要向外網(wǎng)絡(luò)提供信息服務(wù)的主機(jī)永久的一對一IP地址或套接字映射關(guān)系

動(dòng)態(tài)NAT/NAPT

只訪問外網(wǎng)服務(wù)，不提供信息服務(wù)的主機(jī)內(nèi)部主機(jī)數(shù)可以大于全局IP地址數(shù)臨時(shí)的一對一IP地址映射關(guān)系靜態(tài)NAT1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interface

fastethernet0Router(config-if)#ip

nat

outsideRouter(config)#interface

fastethernet1Router(config-if)#ip

nat

inside2、建立靜態(tài)的映射關(guān)系Router(config)#ip

natinsidesourcestatic

動(dòng)態(tài)NAT配置1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ip

natoutsideRouter(config-if)#ip

natinside2、定義內(nèi)部本地地址范圍Router(config)#access-list10permit553、定義內(nèi)部全局地址池Router(config)#ip

natpoolabc0

netmask

4、建立映射關(guān)系Router(config)#ip

natinsidesourcelist10poolabc靜態(tài)NAPT1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interface

fastethernet0Router(config-if)#ip

natoutsideRouter(config)#interface

fastethernet1Router(config-if)#ip

natinside2、建立靜態(tài)的映射關(guān)系Router(config)#ip

natinsidesourcestatictcp10241024Router(config)#ip

natinsidesourcestaticudp

10241024動(dòng)態(tài)NAPT配置1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ip

natoutsideRouter(config-if)#ip

natinside2、定義內(nèi)部本地地址范圍Router(config)#access-list10permit553、定義內(nèi)部全局地址池Router(config)#ip

natpoolabc

netmask

4、建立映射關(guān)系Router(config)#ip

natinsidesourcelist10poolabc

overloadNAT/NAPT的配置靜態(tài)和動(dòng)態(tài)兩種

靜態(tài)1、定義inside和outside接口2、建立一對一映射關(guān)系3、NAT和NAPT之間區(qū)別在于NAPT需要指定協(xié)議的端口

動(dòng)態(tài)1、定義inside和outside接口2、定義內(nèi)網(wǎng)本地地址池（利用標(biāo)準(zhǔn)訪問列表定義）3、定義內(nèi)網(wǎng)全局地址池（利用ip

natpool）4、建立內(nèi)網(wǎng)本地地址池和內(nèi)網(wǎng)全局地址池的映射關(guān)系5、NAT和NAPT之間的區(qū)別在于NAPT在配置命令結(jié)尾加overloadNAT/NAPT的監(jiān)視和維護(hù)命令

顯示命令showip

natstatistics顯示翻譯統(tǒng)計(jì)showip

nattranslations顯示活動(dòng)翻譯

清除狀態(tài)命令clearip

nattranslation從NAT轉(zhuǎn)換表中清除所有動(dòng)態(tài)地址轉(zhuǎn)換項(xiàng)clearip

nattranslationinsidelocal-addressglobal-address

清除一個(gè)包含指定內(nèi)部翻譯的轉(zhuǎn)換項(xiàng)更多的命令用clearip

nat?NAT/NAPT帶來的限制

限制影響網(wǎng)絡(luò)性能不能處理IP報(bào)頭加密的報(bào)文無法實(shí)現(xiàn)端到端的路徑跟蹤（traceroute)某些應(yīng)用可能支持不了：內(nèi)嵌IP地址

內(nèi)嵌IP地址的應(yīng)用有FTPDNSNetMeetingH.323,VoIP其它自編應(yīng)用實(shí)習(xí)項(xiàng)目：配置NAPT實(shí)現(xiàn)小型網(wǎng)訪問Internet

【背景描述】頂尖廣告股份有限公司是家小型企業(yè)，有十幾臺電腦規(guī)劃成對等網(wǎng)絡(luò)。申請通過ADSL專線接入Internet。頂尖公司的辦公網(wǎng)環(huán)境呈現(xiàn)兩大特