《组网技术课件》由会员分享，可在线阅读，更多相关《组网技术课件（26页珍藏版）》请在金锄头文库上搜索。
1、组网技术网络地址转换(NAT) u一、NAT技术的定义 uNAT英文全称是Network Address Translation ，称是网络地址转换，它是一个IETF标准，允 许一个机构以一个地址出现在Internet上。 NAT将每个局域网节点的地址转换成一个IP地 址，反之亦然。它也可以应用到防火墙技术里 ，把个别IP地址隐藏起来不被外界发现，使外 界无法直接访问内部网络设备，同时，它还帮 助网络可以超越地址的限制，合理地安排网络 中的公有Internet 地址和私有IP地址的使用 。NAT技术基本原理NAT技术能帮助解决令人头痛的IP地址紧缺 的问题，而且能使得内外网络隔离，提 供一定的
2、网络安全保障。它解决问题的 办法是：在内部网络中使用内部地址， 通过NAT把内部地址翻译成合法的IP地址 在Internet上使用，其具体的做法是把 IP包内的地址域用合法的IP地址来替换 。NAT技术的类型三种类型：u静态NAT(Static NAT):设置起来最为简单和最容易, 内部网络中的每个主机都被永久映射成外部网络中 的某个合法的地址。u动态地址NAT(Pooled NAT):在外部网络中定义了一 系列的合法地址，采用动态分配的方法映射到内部 网络。u网络地址端口转换NAPT（PortLevel NAT):把内部 地址映射到外部网络的一个IP地址的不同端口上。 NAPT与动态地址NA
3、T不同，它将内部连接映射到外部网 络中的一个单独的IP地址上，同时在该地址上加上 一个由NAT设备选定的TCP端口号。 NAT使用的几种情况： A、连接到internet，但却没有足够的合法 地址分配给内部主机。 B、更改到一个需要重新分配地址的ISP。 C、有相同的IP地址的两个internat合并。 D、想支持负载均衡（主机）。NAT的几个相关概念：uInside Local IP address: 指定于内部网络 的主机地址，全局唯一，但为私有地址。uInside Global IP address: 代表一个或更多 内部IP到外部世界的合法IP。uOutside Global IP a
4、ddress: 外部网络主机 的合法IP。uOutside Local IP address: 外部网络的主机 地址，看起来是内部网络的，私有地址。uSimple Translation Entry: 影射IP到另一个 地址的Entry。uExtended Translation Entry:影射IP地址和 端口到另一个pair的Entry。静态地址转换适用的环境 u静态地址转换将内部本地地址与内部合 法地址进行一对一的转换，且需要指定 和哪个合法地址进行转换。如果内部网 络有E-mail服务器或FTP服务器等可以为 外部用户提供的服务，这些服务器的IP 地址必须采用静态地址转换，以便外部 用
5、户可以使用这些服务。 静态地址转换基本配置步骤（1）、在内部本地地址与内部合法地址之间建 立静态地址转换。在全局设置状态下输入： Ip nat inside source static 内部 本地地址 内部合法地址 （2）、指定连接网络的内部端口 在端口设置状 态下输入： ip nat inside （3）、指定连接外部网络的外部端口 在端口设 置状态下输入： ip nat outside 实例1： 本实例实现静态NAT地址转换功能。将2501的以太口作为内部端口，同步端口 作为外部端口。其中10.1.1.2，10.1.1.3，10.1.1.4的内部本地地址采用静态地 址转换。其内部合法地址分
6、别对应为192.1.1.2，192.1.1.3，192.1.1.4。 路由器2501的配置： Current configuration： version 11.3 no service password-encryption hostname 2501 ip nat inside source static 10.1.1.2 192.1.1.2 ip nat inside source static 10.1.1.3 192.1.1.3 ip nat inside source static 10.1.1.4 192.1.1.4 interface Ethernet0 ip address
7、10.1.1.1 255.255.255.0 ip nat inside interface Serial0 ip address 192.1.1.1 255.255.255.0 ip nat outside no ip mroute-cache bandwidth 2000 no fair-queue clockrate 2000000 interface Serial1 no ip address shutdown no ip classless ip route 0.0.0.0 0.0.0.0 Serial0 line con 0 line aux 0 line vty 0 4 pass
8、word cisco end 配置完成后可以用以下语句进行查看： show ip nat statistcs show ip nat translations 动态地址转换适用的环境 u动态地址转换也是将本地地址与内部合 法地址一对一的转换，但是动态地址转 换是从内部合法地址池中动态地选择一 个末使用的地址对内部本地地址进行转 换。 动态地址转换基本配置步骤（1）、在全局设置模式下，定义内部合法地址池 ip nat pool 地址池名称 起始IP地址 终止IP地 址 子网掩码 其中地址池名称可以任意设定。 （2）、在全局设置模式下，定义一个标准的access-list 规则以允许哪些内部地址可
9、以进行动态地址转换。 Access-list 标号 permit 源地址 通配符 其中标号为1-99之间的整数。 （3）、在全局设置模式下，将由access-list指 定的内部本地地址与指定的内部合法地址池进 行地址转换。 ip nat inside source list 访问列表 标号 pool内部合法地址池名字 （4）、指定与内部网络相连的内部端口在端口 设置状态下： ip nat inside （5）、指定与外部网络相连的外部端口 Ip nat outside实例2： 本实例中硬件配置同上，运用了动态NAT地址转换功能。将2501的以太口作 为内部端口，同步端口作为外部端口。其中10
10、.1.1.0网段采用动态地址转换。 对应内部合法地址为192.1.1.2192.1.1.10 Current configuration： version 11.3 no service password-encryption hostname 2501 ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0 ip nat inside source list 1 pool aaa interface Ethernet0 ip address 10.1.1.1 255.255.255.0 ip nat inside interfac
11、e Serial0 ip address 192.1.1.1 255.255.255.0 ip nat outside no ip mroute-cache bandwidth 2000 no fair-queue clockrate 2000000 interface Serial1 no ip address shutdown no ip classless ip route 0.0.0.0 0.0.0.0 Serial0 access-list 1 permit 10.1.1.0 0.0.0.255 line con 0 line aux 0 line vty 0 4 password
12、cisco end 复用动态地址转换适用的环境 u复用动态地址转换首先是一种动态地址转换， 但是它可以允许多个内部本地地址共用一个内 部合法地址。只申请到少量IP地址但却经常同 时有多于合法地址个数的用户上外部网络的情 况，这种转换极为有用。 注意：当多个用户同时使用一个IP地址，外部 网络通过路由器内部利用上层的如TCP或UDP 端口号等唯一标识某台计算机。 复用动态地址转换配置步骤在全局设置模式下，定义内部合地址池 ip nat pool 地址池名字 起始IP地址 终止IP地址 子网掩码 其中地址池名字可以任意设定。 在全局设置模式下，定义一个标准的access-list规则以 允许哪些内
13、部本地地址可以进行动态地址转换。 access-list 标号 permit 源地址 通配符 其中标号为199之间的整数。 在全局设置模式下，设置在内部的本地地址与内部合法 IP地址间建立复用动态地址转换。 ip nat inside source list 访问列表标号 pool 内部合法地址池名字 overload 在端口设置状态下，指定与内部网络相连 的内部端口 ip nat inside 在端口设置状态下，指定与外部网络相连 的外部端口 ip nat outside实例：应用了复用动态NAT地址转换功能。将2501的以太口作为内部端口，同步 端口作为外部端口。10.1.1.0网段采用复
14、用动态地址转换。假设企业只申请了 一个合法的IP地址192.1.1.1。 2501的配置 Current configuration： version 11.3 no service password-encryption hostname 2501 ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0 ip nat inside source list 1 pool bbb overload interface Ethernet0 ip address 10.1.1.1 255.255.255.0 ip nat inside in
15、terface Serial0 ip address 192.1.1.1 255.255.255.0 ip nat outside no ip mroute-cache bandwidth 2000 no fair-queue clockrate 2000000 interface Serial1 no ip address shutdown no ip classless ip route 0.0.0.0 0.0.0.0 Serial0 access-list 1 permit 10.1.1.0 0.0.0.255 line con 0 line aux 0 line vty 0 4 pas
16、sword cisco end cisco NAT 的配置例子version 12.0 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname nat-r1 ! enable secret 5 $1$FEQr$INhRecYBeCb.UqTQ3b9mY0 ! ip subnet-zero ! interface Ethernet0 ip address 172.18.150.150 255.255.0.0 no ip directed-broadcast ip nat inside /* 定义此为网络 的内部端口 */ ! interface Serial0 ip address 192.1.1.1
