網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

第9章網(wǎng)絡(luò)地址轉(zhuǎn)換NAT張書源9.1NAT概述NAT是將一個IP地址轉(zhuǎn)換為另一個IP地址的功能。通常，一個局域網(wǎng)由于申請不到足夠多的IP地址，或者只是為了編址方便，在局域網(wǎng)內(nèi)部采用私有IP地址為設(shè)備編址，當(dāng)設(shè)備訪問外網(wǎng)時，再通過NAT將私有地址翻譯為合法地址。Internet0私有地址注冊地址NAT網(wǎng)關(guān)局域網(wǎng)專用IP地址局域網(wǎng)專用IP地址是Internet特別劃分出來的，它們不會注冊給任何組織。IP地址范圍網(wǎng)絡(luò)類型網(wǎng)絡(luò)個數(shù)~55A1~55B16~55C256實際上，用戶可以使用任意IP作為私有地址，但有可能導(dǎo)致某些外網(wǎng)的站點(diǎn)無法訪問。使用私有地址的注意事項：私有地址不需要經(jīng)過注冊就可以使用，這導(dǎo)致這些地址是不唯一的。所以私有地址只能限制在局域網(wǎng)內(nèi)部使用，不能把它們路由到外網(wǎng)中去。R1E0S0192.168.*.*/24/24InternetR1是局域網(wǎng)和外網(wǎng)的邊界路由器。局域網(wǎng)中使用私有IP地址進(jìn)行編址。如果在R1上啟用RIP協(xié)議，則：R1(config)#

routerripR1(config-router)#

networkR1(config-router)#

network×這里不應(yīng)該在私有地址上啟用路由，它會導(dǎo)致私有地址被外網(wǎng)路由器學(xué)習(xí)到，擴(kuò)大了它的有效范圍。NAT基本原理當(dāng)一個使用私有地址的數(shù)據(jù)包到達(dá)NAT設(shè)備時，NAT設(shè)備負(fù)責(zé)把私有IP地址翻譯成外部合法IP地址，然后再轉(zhuǎn)發(fā)數(shù)據(jù)包，反之亦然。端口多路復(fù)用技術(shù)：NAT支持把多個私有IP地址映射為一個合法IP地址的技術(shù)，這時各個主機(jī)通過端口進(jìn)行區(qū)分，這就是端口多路復(fù)用技術(shù)。利用端口多路復(fù)用技術(shù)可節(jié)省合法IP地址的使用量，但會加大NAT設(shè)備的負(fù)擔(dān)，影響其轉(zhuǎn)發(fā)速度。NAT類型1、靜態(tài)NAT：將內(nèi)部地址和外部地址進(jìn)行一對一的轉(zhuǎn)換。這種方法要求申請到的合法IP地址足夠多，可以與內(nèi)部IP地址一一對應(yīng)。靜態(tài)NAT一般用于那些需要固定的合法IP地址的主機(jī)，比如Web服務(wù)器、FTP服務(wù)器、E-mail服務(wù)器等。2、NAT池（動態(tài)NAT）：將多個合法IP地址統(tǒng)一的組織起來，構(gòu)成一個IP地址池，當(dāng)有主機(jī)需要訪問外網(wǎng)時，就分配一個合法IP地址與內(nèi)部地址進(jìn)行轉(zhuǎn)換，當(dāng)主機(jī)用完后，就歸還該地址。對于NAT池，如果同時聯(lián)網(wǎng)用戶太多，可能出現(xiàn)地址耗盡的問題。NAT池3、PAT（端口NAT）：使用端口多路復(fù)用技術(shù)，將多個內(nèi)部地址映射為一個合法地址，用不同的端口號區(qū)分各個內(nèi)部地址。這種方法只需要一個合法IP地址。路由器支持的PAT會話數(shù)是有限制的，所以使用PAT的局域網(wǎng)，其網(wǎng)絡(luò)的規(guī)模不應(yīng)該太大。S0:/244、復(fù)用NAT池（復(fù)用動態(tài)NAT）：將多個合法IP地址構(gòu)成一個NAT池，使用復(fù)用技術(shù)映射其中的地址，每個地址有可以對應(yīng)多臺主機(jī)，各主機(jī)用端口進(jìn)行區(qū)分。復(fù)用NAT池是NAT池和PAT技術(shù)的結(jié)合，可用于大規(guī)模的局域網(wǎng)。說明：在端口復(fù)用技術(shù)中，用端口區(qū)分的不是一臺主機(jī)，而是一個網(wǎng)絡(luò)連接（會話），當(dāng)一臺主機(jī)同時建立了多個會話時，它的每個會話會占用一個端口映射。假如一臺路由器支持4000個會話，那么它支持的主機(jī)數(shù)量會遠(yuǎn)少于4000臺。5、TCP負(fù)載均衡：如果一個服務(wù)器的訪問量非常大，我們通常會建立多臺映像服務(wù)器對訪問進(jìn)行分流。從外部來看，這些服務(wù)器的IP地址相同，NAT設(shè)備會把多個對服務(wù)器的訪問映射到不同的服務(wù)器上，實現(xiàn)負(fù)載均衡。S0:/24TCP負(fù)載均衡與其它NAT的主要區(qū)別在于，它是把來自外網(wǎng)的同一合法IP地址翻譯成不同的內(nèi)網(wǎng)IP地址。常用NAT設(shè)備實現(xiàn)NAT可以使用不同的設(shè)備，它們的基本功能相同，但功能強(qiáng)弱有別，應(yīng)根據(jù)需要進(jìn)行選用。常用的設(shè)備有：1、路由器：功能強(qiáng)，支持多種NAT設(shè)置；2、防火墻：除NAT轉(zhuǎn)換外，還提供多種保護(hù)功能；3、代理服務(wù)器：提供局域網(wǎng)接入功能；4、雙網(wǎng)卡計算機(jī)：功能較弱，多用于小型網(wǎng)絡(luò)。9.2NAT的配置靜態(tài)NATNAT池PAT復(fù)用NAT池TCP負(fù)載均衡靜態(tài)NAT把私有地址和合法地址作一對一地轉(zhuǎn)換。E0S0配置命令：Router(config)#

ipnatinsidesourcestatic內(nèi)部地址外部地址另外，還需要把E0口指定為NAT內(nèi)部接口，S0口指定為NAT外部接口。例：Router(config)#

ipnatinsidesourcestaticRouter(config)#

ipnatinsidesourcestaticRouter(config)#

interfacee0Router(config-if)#

ipnatinsideRouter(config-if)#

interfaces0Router(config-if)#

ipnatoutside配置完成后，從外網(wǎng)來看，PC1的IP地址是，PC2的IP地址是，各計算機(jī)都可用此IP地址訪問PC1和PC2。用showipnattranslation命令可查看活躍的轉(zhuǎn)換。（靜態(tài)NAT始終是活躍的）用showipnatstatistics命令可查看轉(zhuǎn)換的統(tǒng)計信息。靜態(tài)NAT是一直存在的，管理員可以用“no”命令刪除靜態(tài)NAT條目。NAT池（動態(tài)NAT）NAT池主要工作：建立一個IP地址池。設(shè)定被轉(zhuǎn)換的IP地址范圍。建立轉(zhuǎn)換關(guān)系。設(shè)定轉(zhuǎn)換的入口和出口。1、建立IP地址池Router(config)#

ipnatpool地址池名字起始IP結(jié)束IPnetmask子網(wǎng)掩碼例：建立一個地址范圍為~0/24的IP地址池。Router(config)#

ipnatpoolP10netmaskP1是地址池的名字。說明：地址池中的地址應(yīng)該是經(jīng)過注冊的合法IP地址。2、設(shè)定被轉(zhuǎn)換的地址范圍：被轉(zhuǎn)換的地址范圍使用標(biāo)準(zhǔn)訪問控制列表進(jìn)行定義。比如：被轉(zhuǎn)換的地址是形如192.168.*.*/24的地址，則可定義：Router(config)#

access-list1permit55說明：這里定義的ACL不是用于數(shù)據(jù)過濾的，它只是用于指定參與NAT轉(zhuǎn)換的私有地址范圍的。所以，我們不必把它用在一個接口上。3、建立被轉(zhuǎn)換的地址和地址池間的關(guān)系：Router(config)#

ipnatinsidesourcelistACL表號pool地址池名字例：把1號ACL定義的地址與名為P1的地址池建立NAT轉(zhuǎn)換關(guān)系。Router(config)#

ipnatinsidesourcelist1poolP1說明：經(jīng)此定義后，每當(dāng)路由器收到一個數(shù)據(jù)包，就檢測它的源地址，如果和1號ACL相匹配，就使用P1中的地址進(jìn)行NAT轉(zhuǎn)換。4、指定NAT轉(zhuǎn)換的入口和出口：Router(config)#

interface內(nèi)部接口Router(config-if)#

ipnatinsideRouter(config)#

interface外部接口Router(config-if)#

ipnatoutside說明：每種NAT都需要指定內(nèi)部接口和外部接口。例：NAT池~54/24/8內(nèi)部網(wǎng)絡(luò)地址為/8，注冊的IP地址是~54，用這些地址為內(nèi)網(wǎng)的各個訪問提供NAT翻譯。R1f0/0s0/0R1(config)#

ipnatpoolippool54netmaskR1(config)#

access-list30permit55R1(config)#

ipnatinsidesourcelist30poolippoolR1(config)#

interfacef0/0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0/0R1(config-if)#

ipnatoutside復(fù)用NAT池當(dāng)NAT池中的地址耗盡時，會導(dǎo)致后來的主機(jī)無法上網(wǎng)。所以當(dāng)內(nèi)網(wǎng)的主機(jī)數(shù)超過NAT池中的地址數(shù)時，通常應(yīng)配置成復(fù)用NAT池，這樣每個IP地址可對應(yīng)多個會話，各個會話用端口號進(jìn)行區(qū)分。理論上講，一個IP地址可以映射約65000個會話，但實際的路由器往往只支持幾千個會話（Cisco支持約4000個）。在復(fù)用NAT池中，Cisco首先復(fù)用地址池中的第一個地址，達(dá)到能力極限后，再復(fù)用第二個地址，依此類推。復(fù)用NAT池的配置方法與NAT池的配置方法基本相同，只是：Router(config)#

ipnatinsidesourcelistACL表號pool地址池名字overload在上面的命令中加上overload關(guān)鍵字表示使用端口復(fù)用技術(shù)。PATPAT是復(fù)用NAT池的特例，它是通過端口復(fù)用技術(shù)用于一個合法IP地址映射內(nèi)網(wǎng)的所有私有IP地址，這個地址往往就是路由器出口的IP地址。/8R1f0/0s0/0:上例中，把內(nèi)網(wǎng)的私有IP地址都映射為R1的S0/0口的IP地址就是PAT。PAT的配置方法可以使用復(fù)用NAT池的配置方法，只要建立一個起始地址和結(jié)束地址相同的NAT池就行了。也可以不建立NAT池，用以下命令進(jìn)行配置：R1(config)#

access-list30permit55R1(config)#

ipnatinsidesourcelist30interfaces0/0overloadR1(config)#

interfacef0/0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0/0R1(config-if)#

ipnatoutsidePAT可最大限度的節(jié)省IP地址用量，但由于它只能同時支持幾千個會話，所以使用PAT易造成擁塞。為了避免PAT和復(fù)用NAT池的擁塞，一方面可以多申請一些IP地址，建立一個大些的NAT池，另一方面也應(yīng)該限制用戶使用那些占用會話數(shù)很多的應(yīng)用（如BT）。TCP負(fù)載均衡TCP負(fù)載均衡是為了把一個外部的合法地址交替映射到多個內(nèi)部地址上，這樣可以使多臺服務(wù)器使用同一個外部地址進(jìn)行訪問。S0:/24E01、建立內(nèi)部地址池，其中的地址必須是各服務(wù)器的真實地址(加上rotary關(guān)鍵字)。R1(config)#

ipnatpoolp1netmaskrotary2、建立訪問控制列表，定義轉(zhuǎn)換的合法IP地址R1(config)#

access-list1permithost3、用地址池和訪問控制列表建立映射R1(config)#

ipnatinsidedestinationlist1poolp14、指定NAT入口(E0口)和出口(S0口)R1(config)#

interfacee0R1(config-if)#

ipnatinsideR1(config-if)#

interfaces0R1(config-if)#

ipnatoutside配置了TCP負(fù)載均衡后，路由器會把對地址的訪問交替映射到~的各個地址上，使它們訪問不同的服務(wù)器主機(jī)。對使用TCP負(fù)載均衡的各服務(wù)器必須建立為鏡像服務(wù)器，它們可通過同步保持內(nèi)容的一致性。NAT配置舉例/24E0:.1/24S0:.2S0:.1R1R2DCEPC1:.51PC2:.52E0:/8PC3:/8R1是局域網(wǎng)的邊界路由器，R2是ISP的路由器。局域網(wǎng)使用私有地址/24進(jìn)行編址。ISP為局域網(wǎng)分配了一個合法地址塊/29。分析：地址塊：/2911111111111111111111111111111000掩碼為48。地址范圍為：~，共8個地址。其中可用的地址是~，共6個地址。R1的配置：采用復(fù)用NAT池技術(shù)使用6個合法IP地址。R1(config)#

ipnatpoolpool1netmask48R1(config)#

access-list1permit55R1(config)#

ipnatinsidesourcelist1poolpool1overloadR1(config)#

interfacee0R1(config-if)#

ipaddressR1(config-if)#

ipnatinsideR1(config-if)#

noshutdown

R