《windows 組網(wǎng)實(shí)訓(xùn)教程》課件第12章

第十二部分NAT的安裝與配置實(shí)驗(yàn)四十二安裝和配置NAT服務(wù)器實(shí)驗(yàn)四十三讓外網(wǎng)用戶通過NAT服務(wù)器訪問內(nèi)部服務(wù)知識(shí)背景

NAT是NetworkAddressTranslation(網(wǎng)絡(luò)地址轉(zhuǎn)換)的英文縮寫。網(wǎng)絡(luò)地址轉(zhuǎn)換工作在網(wǎng)絡(luò)層和傳輸層，主要用于內(nèi)部網(wǎng)絡(luò)共享Internet連接。網(wǎng)絡(luò)地址轉(zhuǎn)換有兩方面的作用：一是共享IP地址和網(wǎng)絡(luò)連接。它使內(nèi)部網(wǎng)絡(luò)使用私有的IP地址，共用一個(gè)或少量的Internet公用地址，從而節(jié)省IP地址資源，彌補(bǔ)IP地址的不足；二是保護(hù)網(wǎng)絡(luò)安全，通過隱藏內(nèi)部網(wǎng)絡(luò)的IP地址，防止黑客攻擊。在WindowsServer2003“路由和遠(yuǎn)程訪問”服務(wù)中包括NAT路由協(xié)議。服務(wù)器上只要安裝和配置了NAT路由協(xié)議，此服務(wù)器就成為NAT服務(wù)器。將WindowsServer2003作為NAT服務(wù)器時(shí)，它就相當(dāng)于一臺(tái)路由器，但它是利用軟件來實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換的。

NAT分為源地址翻譯(SNAT，SourceNetworkAddressTranslation)和目的地址翻譯(DNAT，DestinationNetworkAddressTranslation)。源地址翻譯讓一個(gè)局域網(wǎng)里的計(jì)算機(jī)共享一個(gè)或少量IP上Internet(外網(wǎng))。目的地址翻譯就是端口映射，允許外網(wǎng)的計(jì)算機(jī)(Internet上的客戶機(jī))訪問局域網(wǎng)內(nèi)的機(jī)器，例如，在局域網(wǎng)內(nèi)建了個(gè)Web服務(wù)器，要想讓外網(wǎng)的用戶來訪問它，就用DNAT。

NAT服務(wù)器必須安裝兩個(gè)網(wǎng)卡，其中一個(gè)網(wǎng)卡連接到Internet或校園網(wǎng)，即外網(wǎng)；另一個(gè)網(wǎng)卡連接到局域網(wǎng)，即內(nèi)網(wǎng)。NAT服務(wù)器作為局域網(wǎng)和互聯(lián)網(wǎng)之間的一個(gè)網(wǎng)關(guān)。局域網(wǎng)中的每一個(gè)PC通過NAT服務(wù)器的內(nèi)網(wǎng)網(wǎng)卡相連，并向這臺(tái)NAT服務(wù)器發(fā)送HTTP請(qǐng)求，NAT服務(wù)器充當(dāng)路由器，將這些請(qǐng)求轉(zhuǎn)發(fā)到外網(wǎng)網(wǎng)卡上，并代表客戶機(jī)在互聯(lián)網(wǎng)上或校園網(wǎng)上轉(zhuǎn)發(fā)這個(gè)請(qǐng)求，因此從外網(wǎng)看，所有的請(qǐng)求看上去都像是來自NAT服務(wù)器的外部IP地址。當(dāng)此請(qǐng)求有回應(yīng)時(shí)，這個(gè)回應(yīng)將發(fā)送到NAT服務(wù)器上，NAT服務(wù)器又充當(dāng)路由器的角色，再把這個(gè)回應(yīng)轉(zhuǎn)發(fā)給原來提出這個(gè)申請(qǐng)的客戶機(jī)上，其結(jié)果總是使客戶機(jī)不必直接與互聯(lián)網(wǎng)聯(lián)系。網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)能夠在轉(zhuǎn)發(fā)數(shù)據(jù)包時(shí)轉(zhuǎn)換內(nèi)部的IP地址和TCP/UDP端口號(hào)。對(duì)于由內(nèi)網(wǎng)傳出的數(shù)據(jù)包，源IP地址和TCP/UDP端口號(hào)被映射到一個(gè)公共源IP地址和一個(gè)可能被改變的TCP/IP端口號(hào)上。而對(duì)從外網(wǎng)傳入的數(shù)據(jù)包，也必須經(jīng)過網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)。在NAT轉(zhuǎn)換表中存在一種特定的映射，使目標(biāo)IP地址和TCP/UDP端口號(hào)被映射到專用IP地址和缺省的TCP/IP端口號(hào)上，從而把來自Internet的數(shù)據(jù)轉(zhuǎn)發(fā)到特定網(wǎng)絡(luò)或特定的計(jì)算機(jī)上。例如，在專用網(wǎng)絡(luò)上安裝了一個(gè)Web服務(wù)器，該專用網(wǎng)絡(luò)以一個(gè)NAT服務(wù)器作為邊界，假定已在一個(gè)ISP供應(yīng)商中創(chuàng)建了一個(gè)域名(DNS)記錄，將所申請(qǐng)到的公網(wǎng)域名如映射到ISP供應(yīng)商處申請(qǐng)的公共IP地址上。當(dāng)外部某個(gè)Internet客戶端訪問專用網(wǎng)絡(luò)上的Web服務(wù)器時(shí)，將按以下步驟完成：

(1)?Internet上的一個(gè)Web客戶端計(jì)算機(jī)(使用公共IP地址)上的用戶在他們的Web瀏覽器中鍵入。

(2)?InternetWeb客戶端使用DNS將名稱解析為地址。

(3)InternetWeb客戶端計(jì)算機(jī)從/TCP端口2000向/TCP端口80發(fā)送一個(gè)傳輸控制協(xié)議(TCP)同步(SYN)段。

(4)當(dāng)NAT服務(wù)器接收到該TCPSYN段時(shí)，檢查自己的NAT轉(zhuǎn)換表。

(5)如果在NAT轉(zhuǎn)換表中不存在針對(duì)目標(biāo)/TCP端口80的條目，該TCPSYN段將自動(dòng)被丟棄。

(6)?InternetWeb客戶端計(jì)算機(jī)一直重試，直至最終顯示一條出錯(cuò)消息為止。

NAT服務(wù)器為解決此問題，必須進(jìn)行手動(dòng)靜態(tài)配置。通常有兩種靜態(tài)配置，一種是將某個(gè)特定公共IP地址的所有流量映射到某個(gè)特定的專用地址上(地址映射，不分端口)。其特點(diǎn)是內(nèi)網(wǎng)中特定的專用地址的計(jì)算機(jī)對(duì)外開放，配置容易，但易受攻擊，但不能對(duì)外開放多種資源服務(wù)(如Web服務(wù)、FTP服務(wù)、郵件服務(wù)等)，若需要這些服務(wù)都對(duì)外開放，需多個(gè)公共外網(wǎng)IP地址。另一種是將一個(gè)特定的公共IP地址/端口號(hào)映射到一個(gè)特定的專用IP地址/端口號(hào)(地址/端口映射)。其特點(diǎn)是要額外配置，不易受到攻擊，但對(duì)不同的資源服務(wù)(如Web服務(wù)、FTP服務(wù)、郵件服務(wù)等)可使用一個(gè)公共IP地址。我們這里將介紹第二種靜態(tài)配置。實(shí)驗(yàn)四十二安裝和配置NAT服務(wù)器【實(shí)驗(yàn)條件】

(1)在WindowsServer2003上安裝兩塊網(wǎng)卡，一塊網(wǎng)卡與外網(wǎng)(校園網(wǎng)或Internet)相連，一塊網(wǎng)卡與內(nèi)網(wǎng)(Windows2000Professional客戶端和WindowsXP客戶端)相連。

(2)在WindowsServer2003上能訪問外網(wǎng)。

(3)?WindowsServer2003、Windows2000Professional和WindowsXP三臺(tái)計(jì)算機(jī)網(wǎng)絡(luò)連通?！緦?shí)驗(yàn)說明】本實(shí)驗(yàn)詳細(xì)介紹安裝和配置NAT服務(wù)器的步驟?！緦?shí)驗(yàn)任務(wù)】

(1)網(wǎng)絡(luò)環(huán)境的配置說明。

(2)安裝和配置NAT服務(wù)器。

(3)客戶端通過NAT服務(wù)器訪問外網(wǎng)?！緦?shí)驗(yàn)?zāi)康摹?/p>

(1)掌握NAT服務(wù)器的安裝和配置方法。

(2)掌握NAT的使用?！緦?shí)驗(yàn)內(nèi)容】

一、配置NAT服務(wù)器所需的環(huán)境將WindowsServer2003作NAT服務(wù)器，其上的兩個(gè)網(wǎng)卡設(shè)置如下：

8139網(wǎng)卡(外網(wǎng)網(wǎng)卡，與校園網(wǎng)或Internet連接)：

IP地址：219.220.237.服務(wù)器的機(jī)器號(hào)子網(wǎng)掩碼：默認(rèn)網(wǎng)關(guān)：54首選DNS：

D-LINK網(wǎng)卡(內(nèi)網(wǎng)網(wǎng)卡，與另兩臺(tái)工作站連接)：

IP：192.168.1.服務(wù)器的機(jī)器號(hào)子網(wǎng)掩碼：網(wǎng)關(guān)：

DNS：

二、安裝NAT服務(wù)器(以01小組為例)

(1)在“管理工具”菜單中選擇“路由和遠(yuǎn)程訪問”菜單，出現(xiàn)“路由和遠(yuǎn)程訪問”控制臺(tái)窗口，展開服務(wù)器名稱win2003s-01(此時(shí)服務(wù)器的左邊有一個(gè)大的紅點(diǎn)，表明這臺(tái)服務(wù)器目前還沒有作為路由使用)，用鼠標(biāo)右鍵點(diǎn)擊此服務(wù)器，從快捷菜單中選擇“配置并啟用路由和遠(yuǎn)程訪問”菜單，Windows將啟動(dòng)“路由和遠(yuǎn)程訪問服務(wù)器安裝向?qū)А?。單擊“下一步”按鈕，出現(xiàn)如圖12-1-1所示對(duì)話框。圖12-1-1

(2)選中“網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)”，單擊“下一步”按鈕，出現(xiàn)兩行以上的連接說明，顯示各網(wǎng)卡所對(duì)應(yīng)的連接名及IP地址，其中一個(gè)是連接到外網(wǎng)(這里是校園網(wǎng))的網(wǎng)絡(luò)接口的選項(xiàng)(這里是RealTek8139，IP地址是219.220.237.服務(wù)器的機(jī)器號(hào))，并選中“通過設(shè)置基本防火墻來對(duì)選擇的接口進(jìn)行保護(hù)”，如圖12-1-2所示，然后單擊“下一步”按鈕。圖12-1-2

(3)出現(xiàn)如圖12-1-3所示對(duì)話框，詢問是否開啟并配置DNS和DHCP服務(wù)，因局域網(wǎng)內(nèi)采用靜態(tài)IP，且WindowsServer2003系統(tǒng)中已啟用了DNS服務(wù)，這里選“我將稍后設(shè)置名稱和地址服務(wù)”。單擊“下一步”按鈕，開始啟動(dòng)路由和遠(yuǎn)程訪問，從而完成NAT服務(wù)器的基本設(shè)置。圖12-1-3三、在NAT服務(wù)器中啟動(dòng)DHCP服務(wù)的配置(這里可省略，因?yàn)榭蛻舳瞬捎玫氖庆o態(tài)IP地址)配置路由和遠(yuǎn)程訪問NAT服務(wù)器，使其為客戶端分配IP地址。當(dāng)客戶端需要自動(dòng)獲得IP地址時(shí)，NAT服務(wù)器可以自動(dòng)為內(nèi)部網(wǎng)絡(luò)客戶端分配IP地址。如果沒有DHCP服務(wù)器(雖安裝了但沒有使用)，可使用此功能。

NAT服務(wù)器分配IP地址的操作步驟如下：

(1)在“路由和遠(yuǎn)程訪問”控制臺(tái)窗口中，右擊“IP路由選擇”的“NAT/基本防火墻”，然后單擊“屬性”按鈕。

(2)單擊“地址分配”選項(xiàng)卡，選中“使用DHCP自動(dòng)分配IP地址”復(fù)選框，在“IP地址”框中鍵入網(wǎng)絡(luò)ID，在掩碼框中鍵入子網(wǎng)掩碼。這些都是將自動(dòng)分配給客戶端的網(wǎng)絡(luò)號(hào)和子網(wǎng)掩碼。四、在NAT服務(wù)器中啟動(dòng)DNS服務(wù)的配置(這里可省略，因?yàn)閃indowsServer2003上已啟動(dòng)了DNS服務(wù))

NAT服務(wù)器還可以代表NAT客戶端執(zhí)行域名系統(tǒng)(DNS)查詢?！奥酚珊瓦h(yuǎn)程訪問”NAT服務(wù)器對(duì)包括在客戶請(qǐng)求中的Internet主機(jī)名進(jìn)行解析，然后將該IP地址轉(zhuǎn)發(fā)給該客戶端。由于此WindowsServer2003系統(tǒng)中已安裝并使用了DNS服務(wù)，因而這里不需要在NAT服務(wù)器中執(zhí)行域名系統(tǒng)(DNS)查詢。如果需要DNS解析，則在“路由和遠(yuǎn)程訪問”控制臺(tái)窗口中，右擊“IP路由選擇”的“NAT/基本防火墻”，然后單擊“屬性”按鈕。切換到“名稱解析”選項(xiàng)卡，選中“使用域名系統(tǒng)(DNS)的客戶”復(fù)選框，并選中“當(dāng)名稱需要解析時(shí)連接到公共網(wǎng)絡(luò)”復(fù)選框，然后在網(wǎng)絡(luò)接口中選中連接外網(wǎng)的連接名稱。

五、配置內(nèi)部網(wǎng)絡(luò)客戶端使用NAT服務(wù)器在客戶端的“Internet協(xié)議(TCP/IP)”配置中，在“默認(rèn)網(wǎng)關(guān)”框中，鍵入NAT服務(wù)器的內(nèi)部IP地址。在兩個(gè)客戶機(jī)上啟動(dòng)D-LINK網(wǎng)卡，設(shè)置如下：

IP地址：192.168.1.客戶機(jī)的機(jī)器號(hào)子網(wǎng)掩碼：默認(rèn)網(wǎng)關(guān)：192.168.1.服務(wù)器的機(jī)器號(hào)首選DNS：192.168.1.服務(wù)器的機(jī)器號(hào)

注意：如果客戶端從“動(dòng)態(tài)主機(jī)配置協(xié)議”(DHCP)服務(wù)器接收它的IP地址，則在“常規(guī)”選項(xiàng)卡的“Internet協(xié)議(TCP/IP)”配置中選擇“自動(dòng)獲得IP地址”項(xiàng)，然后單擊“高級(jí)”按鈕，選擇“IP設(shè)置”選項(xiàng)卡，再單擊“網(wǎng)關(guān)”下的“添加”按鈕，鍵入NAT服務(wù)器的內(nèi)部IP地址，最后單擊“添加”按鈕以完成設(shè)置。實(shí)驗(yàn)四十三讓外網(wǎng)用戶通過NAT服務(wù)器訪問內(nèi)部服務(wù)【實(shí)驗(yàn)條件】

(1)在WindowsServer2003上安裝兩塊網(wǎng)卡，一塊網(wǎng)卡與外網(wǎng)(校園網(wǎng)或Internet)相連，一塊網(wǎng)卡與內(nèi)網(wǎng)(Windows2000Professional客戶端和WindowsXP客戶端)相連。

(2)在WindowsServer2003上已安裝了NAT服務(wù)器。(3)WindowsServer2003、Windows2000Professional和WindowsXP三臺(tái)計(jì)算機(jī)網(wǎng)絡(luò)互連?！緦?shí)驗(yàn)說明】

(1)本實(shí)驗(yàn)詳細(xì)介紹如何讓外網(wǎng)(其他小組)中的用戶訪問本小組中的Web站點(diǎn)。

(2)本實(shí)驗(yàn)詳細(xì)介紹如何讓外網(wǎng)(其他小組)中的用戶訪問本小組中的FTP站點(diǎn)?！緦?shí)驗(yàn)任務(wù)】

(1)配置網(wǎng)絡(luò)環(huán)境，在局域網(wǎng)中增加Web和FTP服務(wù)。

(2)配置NAT服務(wù)器，進(jìn)行Web的端口地址映射。

(3)配置NAT服務(wù)器，進(jìn)行FTP的端口地址映射。【實(shí)驗(yàn)?zāi)康摹?/p>

(1)熟悉外網(wǎng)訪問內(nèi)網(wǎng)的網(wǎng)絡(luò)環(huán)境。

(2)掌握NAT中端口地址映射的配置?！緦?shí)驗(yàn)內(nèi)容】

一、網(wǎng)絡(luò)環(huán)境說明(以第1小組與第2小組為例)按圖12-2-1所示進(jìn)行網(wǎng)絡(luò)設(shè)置，其中NAT服務(wù)器的兩塊網(wǎng)卡的設(shè)置同實(shí)驗(yàn)四十二。圖12-2-1

(1)將前面實(shí)驗(yàn)中在WindowsServer2003上所建立的FTP站點(diǎn)和Web站點(diǎn)停用或刪除。

(2)分別在本小組內(nèi)的WindowsProfessional及WindowsXP上安裝Internet信息服務(wù)(IIS)。

(3)將WindowsXP作為Web服務(wù)器(建立站點(diǎn)web-gp1或在默認(rèn)網(wǎng)站下建虛擬目錄web-gp1)，其站點(diǎn)目錄為C:\web-gp1，并在此目錄下建立一個(gè)index.htm網(wǎng)頁(yè)文件，其IP地址為0。

(4)將WindowsProfessional作為FTP服務(wù)器(安裝FTP，建立FTP站點(diǎn)ftp-gp1或在默認(rèn)FTP站點(diǎn)下建虛擬目錄ftp-gp1)，其站點(diǎn)目錄為C:\ftp-gp1，在此目錄下放一些文件，其IP地址為0。

(5)請(qǐng)第2小組的同學(xué)幫忙，測(cè)試在第2小組的WindowsServer2003上能否用在IE中訪問第1小組的FTP站點(diǎn)(在WindowsProfessional上的站點(diǎn))。同樣在IE中輸入htp://:8080，看能否訪問第1小組的Web站點(diǎn)(WindowsXP上的站點(diǎn))，結(jié)論是不行。二、NAT服務(wù)器端口映射的配置(以01小組為例)

1．內(nèi)網(wǎng)FTP站點(diǎn)的端口映射的配置

(1)單擊“開始”，指向“程序”，指向“管理工具”，然后單擊“路由和遠(yuǎn)程訪問”。

(2)在控制臺(tái)樹中，打開服務(wù)器名稱“win2003s-01”，然后打開“IP路由選擇”，再單擊“NAT/基本防火墻”，如圖12-2-2所示。在右窗口中右鍵單擊“外網(wǎng)”公共接口，然后單擊“屬性”按鈕。圖12-2-2

(3)在“外網(wǎng)屬性”窗口的“服務(wù)和端口”選項(xiàng)卡上，在“服務(wù)”列表中，定位與資源服務(wù)器匹配的預(yù)定義服務(wù)，如FTP服務(wù)器(在列表最上方)或Web服務(wù)器(在列表最下方)等，如圖12-2-3所示。圖12-2-3

(4)如果存在所匹配的服務(wù)，單擊服務(wù)左邊的復(fù)選框(如FTP服務(wù)器或Web服務(wù)器)，這里選擇“FTP服務(wù)器”。此時(shí)彈出“編輯服務(wù)”窗口，如圖12-2-4所示。在此窗口中，選擇“在此接口”或“在此地址池項(xiàng)”選項(xiàng)。如果選擇“在此地址池項(xiàng)”，則鍵入已保留的“外網(wǎng)”公共地址。這里選“在此接口”，跳過第(5)步，然后執(zhí)行步驟(6)。圖12-2-4

(5)如果不存在匹配的服務(wù)(或已有存在的服務(wù)，但不是缺省的端口，也需添加)，則單擊“添加”按鈕，在“添加服務(wù)”對(duì)話框中配置以下選項(xiàng)：

在“服務(wù)描述”中，鍵入正在配置的服務(wù)的描述。

在“公共地址”中，選擇“在此接口”(如果針對(duì)資源服務(wù)器的流量被發(fā)送到該公共接口的公共地址)或“在此地址池項(xiàng)”(如果資源服務(wù)器使用一個(gè)已保留的公共地址)。如果選擇“在此地址池項(xiàng)”，則鍵入已保留的公共地址。

(6)在“協(xié)議”中選擇“TCP”或“UDP”，這里選擇“TCP”。

(7)在“傳入端口”中，鍵入從Internet外網(wǎng)發(fā)送到該資源服務(wù)器的傳入流量的TCP或UDP端口號(hào)。這里是FTP服務(wù)器，其缺省值為21。

(8)在“專用地址”中，鍵入資源服務(wù)器的靜態(tài)專用IP地址，即鍵入資源服務(wù)器(如FTP服務(wù)器或Web服務(wù)器)的專用IP地址，這里是FTP服務(wù)器的IP地址0。

(9)在“傳出端口”中，鍵入由NAT服務(wù)器轉(zhuǎn)發(fā)到資源服務(wù)器的流量的TCP或UDP目標(biāo)端口號(hào)。這里是FTP服務(wù)器，其缺省值也是21。

(10)單擊“確定”按鈕，保存服務(wù)配置。再單擊“確定”按鈕，返回到圖12-2-2所示窗口，以保存對(duì)外網(wǎng)公共接口所做的更改。

2．內(nèi)網(wǎng)Web站點(diǎn)的端口映射的配置

(1)選擇“開始”→“程序”→“管理工具”，然后單擊“路由和遠(yuǎn)程訪問”。在控制臺(tái)樹中，打開服務(wù)器名稱“win2003s-01”，然后打開“IP路由”，再單擊“NAT/基本防火墻”，如圖12-2-2所示。在右窗口中，右鍵單擊“外網(wǎng)”公共接口，然后單擊“屬性”。在“外網(wǎng)屬性”窗口中選擇“服務(wù)和端口”選項(xiàng)卡，單擊“添加”按鈕，出現(xiàn)如圖12-2-5所示對(duì)話框。

(2)在此“添加服務(wù)”對(duì)話框中配置以下選項(xiàng)：在“服務(wù)描述”中鍵入正在配置的服務(wù)的描述，這里為“Web_8080”；在“公共地址”中選擇“在此接口”；在“協(xié)議”中選擇“TCP”；在“傳入端口”中鍵入“8080”；在“專用地址”中鍵入Web服務(wù)器的IP地址0；在“傳出端口”中鍵入“80”，如圖12-2-5所示，然后單擊“確定”按鈕。圖12-2-5

(3)此時(shí)在圖12-2-3所示的“外網(wǎng)屬性”窗口中新添了一個(gè)Web_8080的服務(wù)，如圖12-2-6所示。

(4)單擊“確定”按鈕，保存服務(wù)配置。再單擊“確定”按鈕，返回到圖12-2-2所示窗口，以保存對(duì)外網(wǎng)公共接口所做的更改。圖12-2-6三、訪問內(nèi)網(wǎng)的服務(wù)(以02小組為例，訪問01小組的FTP站點(diǎn)和Web站點(diǎn))

1．在外網(wǎng)中訪問內(nèi)網(wǎng)的FTP站點(diǎn)和Web站點(diǎn)在第2小組的WindowsServer200