NAT:对IP数据报文中的IP地址进行转换,是一种在现网中被广泛部署的技术,一般部署在网络出口设备,例如路由器或防火墙上。在私有网络内部(园区、家庭)使用私有地址,出口设备部署NAT,对于“从内到外”的流量,网络设备通过NAT将数据包的源地址进行转换(转换成特定的公有地址),而对于“从外到内的”流量,则对数据包的目的地址进行转换。
静态NAT
静态NAT:每个私有地址都有一个与之对应并且固定的公有地址,即私有地址和公有地址之间的关系是一对一映射。私有地址访问Internet经过出口设备NAT转换时,会被转换成对应的公有地址。同时,外部网络访问内部网络时,其报文中携带的公有地址(目的地址)也会被NAT设备转换成对应的私有地址。完完全没有解决地址枯竭问题,一般不采用
静态NAT配置
方式一:接口视图下配置静态NAT
[Huawei-GigabitEthernet0/0/0] nat static global { global-address} inside {host-address }
方式二:系统视图下配置静态NAT
[Huawei] nat static global { global-address} inside {host-address }
配置命令相同,视图为系统视图,之后在具体的接口下开启静态NAT。
[Huawei-GigabitEthernet0/0/0] nat static enable
动态NAT
地址池的概念:所有可用的公有地址组成地址池。当内部主机访问外部网络时临时分配一个地址池中未使用的地址,并将该地址标记为“In Use”。当该主机不再访问外部网络时回收分配的地址,重新标记为“Not Use”,然后生成一个临时的映射表,对应公网IP和私网IP,当主机不再访问外网时再删除此对应关系
配置介绍
创建地址池(配置公有地址范围,其中group-index为地址池编号,start-address、end-address分别为地址池起始地址、结束地址)
[Huawei] nat address-group group-index start-address end-address
配置地址转换的ACL规则(配置基础ACL,匹配需要进行动态转换的源地址范围。)
[Huawei] acl number
[Huawei-acl-basic-number ] rule permit source source-address source-wildcard
接口视图下配置带地址池的NAT Outbound (接口下关联ACL与地址池进行动态地址转换,no-pat参数指定不进行端口转换。)
[Huawei-GigabitEthernet0/0/0] nat outbound acl-number address-group group-index [ no-pat ]
NAPT
动态NAT选择地址池中的地址进行地址转换时不会转换端口号,即No-PAT(No-Port Address Translation,非端口地址转换),公有地址与私有地址还是1:1的映射关系,无法提高公有地址利用率。NAPT(Network Address and Port Translation,网络地址端口转换):从地址池中选择地址进行地址转换时不仅转换IP地址,同时也会对端口号进行转换,从而实现公有地址与私有地址的1:n映射,可以有效提高公有地址利用率。
配置命令
创建地址池(配置公有地址范围,其中group-index为地址池编号,start-address、end-address分别为地址池起始地址、结束地址)
[Huawei] nat address-group group-index start-address end-address
配置地址转换的ACL规则(配置基础ACL,匹配需要进行动态转换的源地址范围。)
[Huawei] acl number
[Huawei-acl-basic-number ] rule permit source source-address source-wildcard
接口视图下配置带地址池的NAT Outbound (接口下关联ACL与地址池进行动态地址转换,no-pat参数指定不进行端口转换,默认开启,不指定该参数则是开启)
[Huawei-GigabitEthernet0/0/0] nat outbound acl-number address-group group-index
Easy IP
Easy IP:实现原理和NAPT相同,同时转换IP地址、传输层端口,区别在于Easy IP没有地址池的概念,使用接口地址作为NAT转换的公有地址。
配置命令
配置地址转换的ACL规则(配置基础ACL,匹配需要进行动态转换的源地址范围。)
[Huawei] acl number
[Huawei-acl-basic-number ] rule permit source source-address source-wildcard
接口视图下配置带地址池的NAT Outbound(不需要指定地址池)
[Huawei-GigabitEthernet0/0/0] nat outbound acl-number
NAT Server
NAT Server:指定[公有地址:端口]与[私有地址:端口]的一对一映射关系,将内网服务器映射到公网,当私有网络中的服务器需要对公网提供服务时使用。外网主机主动访问[公有地址:端口]实现对内网服务器的访问。
转换示例
配置命令
[R1-GigabitEthernet0/0/1]nat server protocol tcp global 122.1.2.1 www inside 192.168.1.10 8080