《nat和策略路由》由会员分享，可在线阅读，更多相关《nat和策略路由（36页珍藏版）》请在金锄头文库上搜索。
1、网络出口设计网络技术应用网网络技术应用网网络技术应用网网络技术应用网本章内容NAT背景NAT术语静态NAT动态NATNAPT处理地址空间重叠的网络TCP负载均衡配置NAT使用策略路由配置基于策略的路由选择策略路由示例课程议题NATNAT为什么使用NAT？ 使用单个使用单个IPIP地址支持基本的地址支持基本的TCPTCP负载分配负载分配 没有足够的全局唯一的没有足够的全局唯一的IPIP地址供网络中的主机用来连接到地址供网络中的主机用来连接到internetinternet 更换更换internetinternet服务提供商后，需要对网络进行重新编址服务提供商后，需要对网络进行重新编址 合并两个使
2、用重叠地址空间的内部网络合并两个使用重叠地址空间的内部网络NAT实施 NAT优点： 节省公共地址 可减少编址方案重叠的情况发生 将私有网络转化成公网时，无需要重新进行编址 NAT缺点： NAT会增加延迟 无法进行端到端的IP跟踪 NAT使某些在有效负载中使用IP地址的应用无法运行NAT术语 内部/外部：IP主机相对于NAT设备的物理位 置。 本地/全局：用户相对于NAT设备的位置或 视角。NAT术语参数参数描述描述内部本地内部本地IPIP地址地址 分配给内部网络中的主机的分配给内部网络中的主机的IPIP地址，通常这种地址来自地址，通常这种地址来自RFC 1918RFC
3、 1918指定的私有地址空指定的私有地址空 间。间。 内部全局内部全局IPIP地址地址 内部全局内部全局IPIP地址，对外代表一个或多个内部本地地址，对外代表一个或多个内部本地IPIP地址，通常这种地址来自全局惟一地址，通常这种地址来自全局惟一 的地址空间，通常是的地址空间，通常是ISPISP提供的。提供的。 外部全局外部全局IPIP地址地址 外部网络中的主机的外部网络中的主机的IPIP地址，通常来自全局可路由的地址空间。地址，通常来自全局可路由的地址空间。 外部本地外部本地IPIP地址地址 在内部网络中看到
4、的外部主机的在内部网络中看到的外部主机的IPIP地址，通常来自地址，通常来自RFC 1918RFC 1918定义的私有地址空间。定义的私有地址空间。 简单转换条目简单转换条目 将一个将一个IPIP地址映射到另一个地址映射到另一个IPIP地址（通常被称为网络地址转换）的转换条目。地址（通常被称为网络地址转换）的转换条目。 扩展转换条目扩展转换条目 将一个将一个IPIP地址和端口对映射到另一个地址和端口对映射到另一个IPIP地址和端口（通常被称为端口地址转换）对的地址和端口（通常被称为端口地址转换）对的 转换条目。转换条目。 NAT术语静
5、态NAT：按照一一对应的方式将每个内部IP地址转换为一个外部IP地址，这种方式经常用于企业网的内部设备需要能够被外部网络访问到时。动态NAT：将一个内部IP地址转换为一组外部IP地址（地址池）中的一个IP地址。超载（Overloading）NAT：动态NAT的一种实现形式，利用不同端口号将多个内部IP地址转换为一个外部IP地址，也称为PAT、NAPT或端口复用NAT。重叠（Overlapping）NAT：当在内部网络中使用的IP地址是其它网络中已经使用的已注册IP地址时，NAT路由器就需要维护一张查找表，以便用惟一的IP地址来替换这些已注册的IP地址。静态NAT 静态NAT：按照一一对应的方式
6、将每个内部IP 地址转换为一个外部IP地址，这种方式经常用 于企业网的内部设备需要能够被外部网络访问 到时。动态NAT 动态NAT：将一个内部IP地址转换为一组外 部IP地址（地址池）中的一个IP地址。 NAPT NAPT是动态NAT的一种实现形式，NAPT利 用不同的端口号将多个内部IP地址转换为一 个外部IP地址，NAPT也称为PAT或端口级复 用NAT。 地址空间重叠 TCP负载均衡 NAT TCP负载均衡只适用于TCP连接，对于非 TCP连接请求，NAT进程将不会对其进行转 换。 配置静态NAT 第一步：在路由器上配置IP路由选择和IP地 址。 第二步：至少指定一个内部接
7、口和一个外部 接口，方法是进入接口配置模式下，执行命 令ip nat inside | outside 。 第三步：使用全局命令ip nat inside source static local-ip interface interface | global-ip 配置静态转换条目。配置静态端口地址转换 第一步：在路由器上配置IP路由选择和IP地 址。 第二步：至少指定一个内部接口和一个外部 接口，并执行命令ip nat inside | outside 。 第三步：使用全局命令ip nat inside source static tcp | udp lo
8、cal-ip local-port interface interface | global-ip global-port指 定静态PAT条目。配置静态外部源地址转换 第一步：在路由器上配置IP路由选择和IP地 址。 第二步：至少指定一个内部接口和一个外部 接口，方法是进入接口配置模式下，并执行 命令ip nat inside | outside 。 第三步：使用全局命令ip nat outside source static global-ip local-ip指定静态转换条目。配置动态NAT第一步：在路由器上配置IP路由选择和IP地址。第二
9、步：至少指定一个内部接口和一个外部接口，方法是进入 接口配置模式下，并执行命令ip nat inside | outside 。第三步：使用命令access-list access-list-number permit | deny 定义IP访问控制列表，以明确哪些报文将被进行NAT转换。第四步：使用命令ip nat pool pool-name start-ip end-ip netmask netmask | prefix-length prefix-length 定义一个地址池，用于转换地址。配置动态NAT 第五步：使用命令ip nat inside source list
10、 access-list-number interface interface | pool pool-name 将符合访问控制列表条件的内部 本地地址转换到地址池中的内部全局地址。配置NAPT第一步：在路由器上配置IP路由选择和IP地址。第二步：至少指定一个内部接口和一个外部接口，并执行命令ip nat inside | outside 。第三步：使用命令access-list access-list-number permit | deny 定义IP访问控制列表，以明确哪些报文将被进行NAT转换。第四步：使用命令ip nat pool pool-name
11、start-ip end-ip netmask netmask | prefix-length prefix-length 定义一个地址池，用于转换地址。第五步：使用命令ip nat inside source list access-list-number interface interface | pool pool-name overload将符合访问控制列表条件的内部本地地址转换到地址池中的内部全局地址。 配置NAPT配置地址重叠中的NAT转换第一步：在路由器上配置IP路由选择和IP地址。第二步：至少指定一个内部接口和一个外部接口，并执行命令 ip nat in
12、side | outside 。第三步：定义两个IP访问控制列表，它们分别指定了要对哪些内部地址和外部地址进行转换。由于内部网络和外部网络的地 址空间相同，因此也可以使用同一个访问列表，第四步：使用命令ip nat pool pool-name start-ip end-ip netmask netmask | prefix-length prefix-length 定义一个内部全局地址池，用于内部到外部的转换。配置地址重叠中的NAT转换 第五步：使用命令ip nat pool pool-name start-ip end-ip netmask netmask | pr
13、efix-length prefix-length 定义一个外部本地地址池，用于从外部到内部的转换。 第六步：使用命令ip nat inside source list access-list- number pool pool-name将符合访问控制列表条件的内部本地地址动态映射到内部全局地址池。 第七步：使用命令ip nat outside source list access-list- number pool pool-name将符合访问控制列表条件的外部全局地址动态映射外部本地地址池。配置地址重叠中的NAT转换配置TCP负载均衡第一步：在路由器上配置IP路由选择和IP地址。第二步：至
14、少指定一个内部接口和一个外部接口，方法是进入接口配置模式下，并执行命令ip nat inside | outside 。第三步：定义访问控制列表，指定发送到哪个地址（虚拟主机地址）的请求被进行负载分担。第四步：使用命令ip nat pool name start-ip end-ip netmask netmask | prefix-length prefix-length type rotary为真实的内部主机或服务器定义地址池。当使用NAT进行TCP负载均衡时，必须配置type rotary关键字，以保证地址池中的地址轮流使用。第五步：使用命令ip nat inside destinatio
15、n list access-list-number pool name定义访问控制列表与真实主机地址池之间的映射； 配置TCP负载均衡验证和诊断NAT转换 验证和诊断NAT转换的内容包括： 使用show命令查看NAT运行的状态 使用debug命令对NAT的转换操作进行调试 使用clear命令清楚特定的或所有的NAT转换条目 常用命令 show ip nat translations access-list-number | icmp | tcp | udp verbose show ip nat statistics debug ip nat address | event | rule-ma
16、tch clear ip nat translation * clear ip nat statistics课程议题路由策略路由策略使用策略路由 策略路由是一种入站机制，用于入站报文 。 通过使用基于策略的路由选择，能够根据 数据包的源地址、目的地址、源端口、目 的端口和协议类型让报文选择不同的路径 。 策略路由有以下优点： 灵活的操纵报文 服务质量 节省费用 负载均衡 配置基于策略的路由选择 route-map命令 route-map name permit | deny sequence-number 参数参数描述描述namename Route-mapRoute-map的名称，拥有相同名称的的名称，拥有相同名称的route-maproute-map子句将组成一个子句将组成一个route-map route-map permitpermit
