以下內(nèi)容摘自筆者即將出版上市的《金牌網(wǎng)管師——大中型企業(yè)網(wǎng)絡(luò)組建、配置與管理》一書，或者于明年將出版的《Cisco/H3C路由器配置與管理完全手冊》一書。 當你與外部網(wǎng)絡(luò)進行通信時，你可以轉(zhuǎn)換自己的私有IP地址到全局唯一的IP地址。可以通過靜態(tài)或動態(tài)NAT來實現(xiàn)以上目的。靜態(tài)NAT在內(nèi)部本地址和內(nèi)部全局地址之間建立一對一的映射關(guān)系，而動態(tài)NAT建立一個內(nèi)部本地址到一個全局地址池的映射關(guān)系。 一、靜態(tài)NAT工作原理 靜態(tài)NAT是最基本的NAT方式，也是最常用的NAT方式之一。本節(jié)要利用網(wǎng)絡(luò)拓撲結(jié)構(gòu)和具體的示例介紹Cisco設(shè)備上的靜態(tài)NAT基本配置步驟。示例中的基本網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖1所示。NAT路由器的兩個接口（s0和s1）分別連接了內(nèi)、外兩個不同的網(wǎng)絡(luò)（10.10.10.0/24和171.16.68.1/24）。現(xiàn)要使內(nèi)部網(wǎng)絡(luò)中的10.10.01.1主機和外部網(wǎng)絡(luò)中的171.16.68.5主機間進行數(shù)據(jù)包傳輸。 圖1 靜態(tài)NAT基本配置示例網(wǎng)絡(luò)結(jié)構(gòu) 在上一篇說到了，NAT的應(yīng)用可以是單方向（包括正向或反向），也可以是雙方向的地址轉(zhuǎn)換。我們把內(nèi)部網(wǎng)絡(luò)中的地址轉(zhuǎn)換成外部網(wǎng)絡(luò)中的地址，稱之為正向轉(zhuǎn)換，使用的NAT命令為“ip nat inside source static {local-ip global-ip}”，把本地網(wǎng)絡(luò)的本地址轉(zhuǎn)換成外部網(wǎng)絡(luò)的全局地址。把外部網(wǎng)絡(luò)中的地址轉(zhuǎn)換成內(nèi)部網(wǎng)絡(luò)中的地址稱之為反向轉(zhuǎn)換，使用的NAT命令為“ip nat outside source static global-ip local-ip}”，把外部網(wǎng)絡(luò)的全地址轉(zhuǎn)換成本地網(wǎng)絡(luò)的本地地址。對比可以看出，兩個命令中的本地IP地址（local-ip）和全局IP地址（global-ip）的位置是相互調(diào)換的。而把需要同時具有兩方面的轉(zhuǎn)換，稱之為雙向轉(zhuǎn)換。正向轉(zhuǎn)換時只需要定義內(nèi)部本地址和內(nèi)部全局地址；反方向的轉(zhuǎn)換時則需要定義外部本地址和外部全局地址；雙向轉(zhuǎn)換時則需要同時定義內(nèi)部本地址、內(nèi)部全局地址、外部本地址和外部全局地址。下面分別予以介紹。 1. 正向NAT地址轉(zhuǎn)換配置 僅需要正向NAT轉(zhuǎn)換時，只需要定義內(nèi)部本地地址和內(nèi)部全局地址。下面是一個配置示例（網(wǎng)絡(luò)結(jié)構(gòu)參見圖1），要實現(xiàn)以下目的：當NAT路由器的內(nèi)部網(wǎng)絡(luò)s0接口上接收到一個源地址為10.10.10.1內(nèi)部本地地址的數(shù)據(jù)包時，源地址被轉(zhuǎn)換成171.16.68.5內(nèi)部全局地址。同樣，當在NAT路由器的外部網(wǎng)絡(luò)接口s1上接收源地址為172.16.68.5內(nèi)部全局地址的數(shù)據(jù)包時，目的地址將被轉(zhuǎn)換成10.10.10.1這個內(nèi)部本地地址。 （1）使用ip nat inside source static全局配置命令創(chuàng)建從內(nèi)網(wǎng)到外網(wǎng)的靜態(tài)NAT IP地址轉(zhuǎn)換。 Router（config）#ip nat inside source static 10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡(luò)本地地址10.10.10.1與內(nèi)部網(wǎng)絡(luò)全局地址171.16.68.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使內(nèi)部網(wǎng)絡(luò)主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡(luò)主機 （2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0。 Router（config）#interface s 0 # 進入s0串口配置模式 Router（config-if）#ip nat inside # 把s0串口指定為內(nèi)部網(wǎng)絡(luò)接口 （3）使用以下兩條語句配置路由器的NAT外部接口s1。 Router（config）#interface s 1 # 進入s1串口配置模式 Router（config-if）#ip nat outside # 把s1串口指定為外部網(wǎng)絡(luò)接口 （4）使用show ip nat translations特權(quán)模式命令驗證上述進行的路由器NAT配置。內(nèi)部網(wǎng)絡(luò)的本地地址為10.10.10.1，內(nèi)部網(wǎng)絡(luò)的全局地址為171.16.68.5。 Router#show ip nat translations # 在特權(quán)模式下顯示當前路由器NAT配置 Pro Inside global Inside local Outside local Outside global --- 171.16.68.5 10.10.10.1 --- --- 此時如果對外網(wǎng)絡(luò)目的主機進行ping操作，此時就會有有數(shù)據(jù)包從內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)到外部網(wǎng)絡(luò)后，再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，顯示的NAT信息如下。多了一條icmp協(xié)議類型數(shù)據(jù)包顯示，但因為此時沒有配置外部網(wǎng)絡(luò)的本地和全局地址，所以顯示的外部本地和全局地址都是一樣的，都是ping操作目的主機地址171.16.68.1。 Router#show ip nat translations Pro Inside global Inside local Outside local Outside global icmp 171.16.68.5:15 10.10.10.1:15 171.16.68.1:15 171.16.68.1:15 --- 171.16.68.5 10.10.10.1 --- --- 通過以上配置后，從內(nèi)部網(wǎng)絡(luò)發(fā)往外部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉(zhuǎn)換（由內(nèi)部本地地址10.10.10.1轉(zhuǎn)換成內(nèi)部全局地址171.16.68.5），但目標地址（DA）不變，但從外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由內(nèi)部網(wǎng)絡(luò)的全局地址172.16.68.5轉(zhuǎn)換成內(nèi)部網(wǎng)絡(luò)的本地地址10.10.10.1），因為此時還沒有為NAT路由器配置外部網(wǎng)絡(luò)的本地地址和全局地址轉(zhuǎn)換。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡(luò)中的源地址、目的地址的轉(zhuǎn)換方式如圖2所示。 圖2 配置了正向NAT地址轉(zhuǎn)換后的數(shù)據(jù)包地址轉(zhuǎn)換示例 2. 反向NAT轉(zhuǎn)換配置 反向NAT轉(zhuǎn)換與正向NAT轉(zhuǎn)換是相反的，它需要定義外部本地地址和外部全局地址。同樣以一個示例進行介紹（網(wǎng)絡(luò)結(jié)構(gòu)仍參照圖1）。本示例要實現(xiàn)的目的是：當NAT路由器外部網(wǎng)絡(luò)接口s1接收到源地址為171.16.68.1外部本地地址的數(shù)據(jù)包后，數(shù)據(jù)包的源地址將轉(zhuǎn)變?yōu)?0.10.10.5外部全局地址。當NAT路由器在內(nèi)部網(wǎng)絡(luò)接口s0接收到源地址為10.10.10.5外部全局地址的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將被轉(zhuǎn)變?yōu)?71.16.68.1外部本地地址。完整的的配置如下： （1）使用ip nat outside source static全局配置命令創(chuàng)建從外網(wǎng)到內(nèi)網(wǎng)的靜態(tài)NAT IP地址轉(zhuǎn)換。 Router（config）#ip nat outside source static 171.16.68.1 10.10.10.5 # 在外部網(wǎng)絡(luò)本地地址171.16.68.1與外部網(wǎng)絡(luò)全局地址10.10.10.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使外部網(wǎng)絡(luò)主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡(luò)主機 （2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0 Router（config）#interface s 0 Router（config-if）#ip nat inside （3）使用以下兩條語句配置路由器的NAT內(nèi)部接口s1 Router（config）#interface s 1 Router（config-if）#ip nat outside （4）使用show ip nat translations特權(quán)模式命令驗證上述進行的路由器NAT配置。外部網(wǎng)絡(luò)的本地地址為10.10.10.5，外部網(wǎng)絡(luò)的全局地址為171.16.68.1。 Router#show ip nat translations Pro Inside global Inside local Outside local Outside global --- --- --- 10.10.10.5 171.16.68.1 同樣，如果此時執(zhí)行一個從外部網(wǎng)絡(luò)主機（171.16.68.1）到內(nèi)部網(wǎng)絡(luò)主機（10.10.10.1）的ping操作，然后再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，則顯示如下結(jié)果。因為此時僅配置了外部網(wǎng)絡(luò)本地地址和全局地址，所以結(jié)果中顯示的內(nèi)部網(wǎng)絡(luò)本地地址和全局地址都是一樣的，都是ping操作目的主機地址10.10.10.1。 Router#show ip nat translations Pro Inside global Inside local Outside local Outside global --- --- --- 10.10.10.5 171.16.68.1 icmp 10.10.10.1:37 10.10.10.1:37 10.10.10.5:37 171.16.68.1:37 與前面僅配置內(nèi)部網(wǎng)絡(luò)本地地址和全局地址相反，此處從外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉(zhuǎn)換（由外部本地地址171.16.68.1轉(zhuǎn)換成內(nèi)部全局地址10.10.10.5），但目標地址（DA）不變；但從內(nèi)部網(wǎng)絡(luò)發(fā)往外部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由外部網(wǎng)絡(luò)的全局地址10.10.10.5轉(zhuǎn)換成外部網(wǎng)絡(luò)的本地地址171.16.68.1），因為此時還沒有為NAT路由器配置內(nèi)部網(wǎng)絡(luò)的本地地址和全局地址轉(zhuǎn)換。如圖所示。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡(luò)中的源地址、目的地址的轉(zhuǎn)換方式如圖3所示。 圖7-10 配置了反向NAT地址轉(zhuǎn)換后的數(shù)據(jù)包地址轉(zhuǎn)換示例 3. 雙向NAT轉(zhuǎn)換 下面介紹同時進行正、反向NAT轉(zhuǎn)換的配置方法，它需要同時定義本地網(wǎng)絡(luò)本地地址、本地網(wǎng)絡(luò)全局地址、外部網(wǎng)絡(luò)本地地址和外部網(wǎng)絡(luò)全局地址。在下面的示例中，通過配置可實現(xiàn)：當NAT路由器內(nèi)部網(wǎng)絡(luò)接口接收到源地址為10.10.10.1（內(nèi)部網(wǎng)絡(luò)本地地址）的數(shù)據(jù)包時，這個源地址將轉(zhuǎn)換成171.16.68.5（內(nèi)部網(wǎng)絡(luò)全局地址）。當NAT路由器外部接口接收到源地址為171.16.68.1（外部網(wǎng)絡(luò)本地地址）的數(shù)據(jù)包時，源地址將轉(zhuǎn)換成10.10.10.5（外部網(wǎng)絡(luò)全局地址）。 同理，當NAT路由器外部網(wǎng)絡(luò)接口接收到目的地址為171.16.68.5的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉(zhuǎn)換成10.10.10.1。當NAT路由器內(nèi)部接口接收到目的地址為10.10.10.5的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉(zhuǎn)換成171.16.68.1。 本示例的完整配置如下： Router（config）#ip nat inside source static 10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡(luò)本地地址10.10.10.1與內(nèi)部網(wǎng)絡(luò)全局地址171.16.68.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使內(nèi)部網(wǎng)絡(luò)主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡(luò)主機 Router（config）#ip nat outside source static 171.16.68.1 10.10.10.5 # 在外部網(wǎng)絡(luò)全局地址171.16.68.1與外部網(wǎng)絡(luò)本地地址10.10.10.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使外部網(wǎng)絡(luò)主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡(luò)主機 Router（config）#interface s 0 Router（config-if）#ip nat inside Router（config-if）#end Router（config）#interface s 1 Router（config-if）#ip nat outside Router（config-if）#end Router（config）# end Router#show ip nat translations Pro Inside global Inside local Outside local Outside global --- --- --- 10.10.10.5 171.16.68.1 171.16.68.5 10.10.10.1 --- --- 同樣，如果此時分別執(zhí)行一個從內(nèi)部主機到外部主機，以及從外部主機到內(nèi)部主機的ping操作，然后再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，則顯示如下結(jié)果。因為此時同時配置了內(nèi)、外部網(wǎng)絡(luò)本地地址和全局地址，所以結(jié)果中顯示了兩條NAT配置項，分別顯示了與外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)中的本地地址和全局地址轉(zhuǎn)換對應(yīng)的ping操作icmp消息：與外部網(wǎng)絡(luò)本地地址和全局地址對應(yīng)的ping操作ICMP消息中顯示內(nèi)部網(wǎng)絡(luò)中的本地地址和全局地址是一樣的，而與內(nèi)部網(wǎng)絡(luò)本地地址和全局地址對應(yīng)的ping操作icmp消息中顯示外部網(wǎng)絡(luò)中的本地地址和全局地址是一樣的，都是對應(yīng)的ping操作目的主機地址。 Router#show ip nat translations Pro Inside global Inside local Outside local Outside global --- --- --- 10.10.10.5 171.16.68.1 icmp 10.10.10.1:4 10.10.10.1:4 10.10.10.5:4 171.16.68.1:4 icmp 171.16.68.5:39 10.10.10.1:39 171.16.68.1:39 171.16.68.1:39 --- 171.16.68.5 10.10.10.1 --- --- 經(jīng)過以上配置后，數(shù)據(jù)包發(fā)送時不僅源地址會發(fā)生變化，目標地址也會同時發(fā)生變化，如圖4所示。 圖4 同時配置了內(nèi)、外部網(wǎng)絡(luò)本地地址和全局地址后的地址轉(zhuǎn)換示例 總體來說，數(shù)據(jù)中的源地址是由發(fā)送數(shù)據(jù)包的源主機地址（也就是源主機的本地地址）在經(jīng)過NAT路由器后變成為目的主機所在網(wǎng)絡(luò)的本地全局地址；數(shù)據(jù)包中的目標地址則先是封裝為目的主機所在網(wǎng)絡(luò)的全局地址，在經(jīng)過NAT路由器后變成為目的主機地址（也就是目的主機的本地地址）。而且不管數(shù)據(jù)包是從內(nèi)部網(wǎng)絡(luò)的主機發(fā)往外部網(wǎng)絡(luò)的主機，還是從外部網(wǎng)絡(luò)的主機發(fā)往內(nèi)部網(wǎng)絡(luò)的主機上。具體來講，如果數(shù)據(jù)包是從內(nèi)部網(wǎng)絡(luò)發(fā)往外部網(wǎng)絡(luò)，則源地址和目的地地址的轉(zhuǎn)換方式如圖5所示；而如果數(shù)據(jù)包是從外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)，則源地址和目的地址的轉(zhuǎn)換方式如圖6所示。 從以上圖示可以看出，兩種數(shù)據(jù)包發(fā)送方向中的源地址、目標地址轉(zhuǎn)換恰好是相反的，圖5中的源地址轉(zhuǎn)換過程恰好是圖6中的目的地址轉(zhuǎn)換過程。同理，圖5中的源地址轉(zhuǎn)換過程恰好是圖6中的目的地址轉(zhuǎn)換過程。但無論數(shù)據(jù)包是發(fā)往哪個方面，源地址的轉(zhuǎn)換過程都由本地地址（Local Address）轉(zhuǎn)換成全局地址（Global Address），而目的地址轉(zhuǎn)換則也是相反的，即由全局地址轉(zhuǎn)換成本地地址。從目的地址的轉(zhuǎn)換過程還可以看出，數(shù)據(jù)包在NAT服務(wù)下的發(fā)送數(shù)據(jù)包的真正主機地址被所配置的本地網(wǎng)絡(luò)全局地址屏蔽了，保護了本地網(wǎng)絡(luò)；數(shù)據(jù)包的傳送也不是一直以同一個目的地址，一步到位轉(zhuǎn)發(fā)的，而是先把從發(fā)送主機中把數(shù)據(jù)包交給本地網(wǎng)絡(luò)的全局地址，然后再從全局地址轉(zhuǎn)發(fā)到真正的地址，也就是經(jīng)過了兩個步驟。 圖5 數(shù)據(jù)包從內(nèi)部網(wǎng)絡(luò)發(fā)到外部網(wǎng)絡(luò)時的地址轉(zhuǎn)換方式 圖6 數(shù)據(jù)包從外部網(wǎng)絡(luò)發(fā)到內(nèi)部網(wǎng)絡(luò)時的地址轉(zhuǎn)換方式

總結(jié)

以上是生活随笔為你收集整理的Cisco设备静态NAT基本配置步骤的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。