《NAT网络地址转换》由会员分享，可在线阅读，更多相关《NAT网络地址转换（42页珍藏版）》请在金锄头文库上搜索。
1、网络地址转换网络地址转换网络地址转换网络地址转换(NAT)(NAT)本章目标本章目标本章目标本章目标v了解地址转换（了解地址转换（NAT）的作用和工作原理）的作用和工作原理v了解各种了解各种NAT术语术语v理解理解NAT的各种应用：的各种应用：转换内部转换内部LAN地址、复地址、复用内部地址、负载均衡用内部地址、负载均衡和处理地址交叉和处理地址交叉v掌握掌握NAT的配置和排错的配置和排错本章结构本章结构网络地址转换网络地址转换NAT/PATNAT的优势缺点的优势缺点NAT的概念的概念NAT的术语的术语NAT概念和术语概念和术语NAT的配置的配置NAT的应用的应用NAT的检查与排的检查与排错错静
2、态静态NAT的配置的配置动态动态NAT的配置的配置PAT的配置的配置TCP负载均衡配置负载均衡配置用用NAT解决地址交叉的问题解决地址交叉的问题网络地址转换概述网络地址转换概述网络地址转换概述网络地址转换概述v地址转换的提出背景地址转换的提出背景合法的合法的IP地址资源日益短缺地址资源日益短缺一个局域网内部有很多台主机，但不是每台主机都有合一个局域网内部有很多台主机，但不是每台主机都有合法的法的IP地址，为了使所有内部主机都可以连接因特网，地址，为了使所有内部主机都可以连接因特网，需要使用地址转换需要使用地址转换地址转换技术可以有效地隐藏内部局域网中的主机，具地址转换技术可以有效地隐藏内部局域
3、网中的主机，具有一定的网络安全保护作用有一定的网络安全保护作用地址转换可以在局域网内部提供给外部地址转换可以在局域网内部提供给外部FTP、WWW、Telnet服务服务vNAT的原理的原理改变改变IP包头，使目的地址、源地址或两个地址在包包头，使目的地址、源地址或两个地址在包头中被不同地址替换头中被不同地址替换网络地址转换概述网络地址转换概述网络地址转换概述网络地址转换概述局域网局域网PC2PC1Internet网络地址转换概述网络地址转换概述网络地址转换概述网络地址转换概述IP:202.0.0.1Port:3010地址转换地址转换地址转换地址转换IP:202.0.0.1Port:3000IP
4、数据包数据包IP:192.168.0.1Port:3000IP:192.168.0.2Port:3010网络地址转换概述网络地址转换概述网络地址转换概述网络地址转换概述vNAT的的3种实现方式种实现方式静态转换静态转换动态转换动态转换端口多路复用端口多路复用 v使用双向使用双向NAT可以处理地址交叉的情况可以处理地址交叉的情况v使用两个方向上的动态使用两个方向上的动态NATv会用到会用到4种类型的地址种类型的地址NATNAT的术语的术语的术语的术语公司合并，公司合并，可能导致地可能导致地址交叉址交叉NATNAT的术语的术语的术语的术语10.1.1.1外部主机外部主机B10.1.1.2外部主机外
5、部主机Cinternet10.1.1.1NAT主机主机A1234SA=10.1.1.1DA193.3.3.11内部局部地址内部局部地址外部局部地址外部局部地址主机主机A发出的包发出的包SA=192.2.2.1DA=10.1.1.1经过路由器转换的包经过路由器转换的包2内部全局地址内部全局地址外部全局地址外部全局地址经过路由器转换的包经过路由器转换的包SA=193.3.3.1DA=10.1.1.14外部局部地址外部局部地址内部局部地址内部局部地址SA=10.1.1.1DA=192.2.2.1外部主机外部主机B返回的包返回的包3外部全局地址外部全局地址内部全局地址内部全局地址NATNAT的优缺点的
6、优缺点的优缺点的优缺点vNAT的优点的优点节省公有合法节省公有合法IP地址地址处理地址交叉处理地址交叉增强灵活性增强灵活性安全性安全性vNAT的缺点的缺点延迟增大延迟增大配置和维护的复杂性配置和维护的复杂性不支持某些应用不支持某些应用支持的业务类型和支持的业务类型和应用应用支持在数据流中有支持在数据流中有IP地址的业务类型地址的业务类型不支持的不支持的业务类型业务类型任何应用数据流中不承载任何应用数据流中不承载源源/目的目的IP地址的地址的TCP/UDP业务业务ICMP路由表更新路由表更新HTTPFTP（包括（包括PORT和和 PASV)DNS区域传送区域传送TFTPTCP/IP上的上的Net
7、BIOS（数据报、（数据报、名称和会话服务名称和会话服务BOOTPTelnetDNS（A和和PTR查询）查询）talk，ntalkNTPH.323/NetMeetingSNMPNFSIP多播（只转换源地址）多播（只转换源地址）NetshowNATNAT支持的数据流支持的数据流支持的数据流支持的数据流SA192.168.2.2DA192.168.2.210.1.1.310.1.1.210.1.1.1SA10.1.1.11DA10.1.1.152 NAT转换表转换表43协议协议 内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址地址外部用全局外部用全局IP地址地址TCP10.1.1.11
8、92.168.2.2172.20.7.3:23172.20.7.3外部主机外部主机B172.21.7.3外部主机外部主机C转换转换转换转换LANLAN内部地址内部地址内部地址内部地址Internet协议协议 内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址地址外部用全局外部用全局IP地址地址TCP10.1.1.3:1492192.168.2.2:1492172.21.7.3:23TCP10.1.1.2:1723192.168.2.2:1723172.21.7.3:23TCP10.1.1.1:1024192.168.2.2:1024172.20.7.3:23复用复用复用复用LANLA
9、N的内部地址的内部地址的内部地址的内部地址SA192.168.2.2DA192.168.2.2SA10.1.1.11DA10.1.1.152 NAT转换表转换表43172.20.7.3外部主机外部主机B172.21.7.3外部主机外部主机CInternet10.1.1.310.1.1.210.1.1.1虚拟主机虚拟主机InternetSA10.1.1.1SA10.1.1.127DA10.1.1.127DA10.1.1.110.1.1.310.1.1.210.1.1.1432 NAT转换表转换表15172.20.7.3外部主机外部主机B172.21.7.3外部主机外部主机C10.1.1.127协
10、议协议内部用局部内部用局部IP地地址：端口号址：端口号内部用全局内部用全局IP地址：地址：端口号端口号外部用全局外部用全局IP地址：地址：端口号端口号TCP10.1.1.1:8010.1.1.127:80172.20.7.3:3058TCP10.1.1.2:8010.1.1.127:80172.21.7.3:4371TCP10.1.1.3:8010.1.1.127:80172.20.7.3:3062TCPTCP负载均衡负载均衡负载均衡负载均衡NATNAT配置配置配置配置vNAT配置步骤配置步骤1、接口、接口IP地址配置地址配置2、使用访问控制列表定义、使用访问控制列表定义哪些哪些内部主机能做内
11、部主机能做NAT3、决定采用什么公有地址，静态或地址池、决定采用什么公有地址，静态或地址池4、指定地址转换映射、指定地址转换映射5、在内部和外部端口上启用、在内部和外部端口上启用NAT静态静态静态静态NATNAT配置配置配置配置InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络192.168.100.2-192.168.100.6/24 61.159.62.129 192.168.100.1将内部网络地址将内部网络地址将内部网络地址将内部网络地址192.168.100.2-192.168.100.6,192.168.100.2-192.168.100.6,转换为合法的
12、外部地址转换为合法的外部地址转换为合法的外部地址转换为合法的外部地址61.159.62.130-61.159.62.13461.159.62.130-61.159.62.134v第一步：第一步： 设置外部端口设置外部端口 v第二步第二步 ：设置内部端口：设置内部端口 v第三步：第三步： 在内部本地和内部合法地址之间建立静态在内部本地和内部合法地址之间建立静态地址转换地址转换 v第四步：在内部和外部端口上启用第四步：在内部和外部端口上启用NATRouter(config)#ip nat inside source static 192.168.100.2 61.159.62.130Router(
13、config)#ip nat inside source static 192.168.100.3 61.159.62.131Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.248Router(config)#interface FastEthernet 0/0Router(config-if)#ip address 192.168.100.1 255.255.255.0Router(config)#interface serial 0/0Router(confi
14、g-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside静态静态静态静态NATNAT配置配置配置配置静态静态静态静态NATNAT配置配置配置配置InternetSA192.168.100.21DA192.168.100.252 NAT转换转换DA61.159.62.1304SA61.159.62.130 3192.168.100.161.159.62.129 NAT转换表转换表192.168.100.6192.168.100.3192.168.100.2协议协议内部用
15、局部内部用局部IP地址地址内部用全局内部用全局IP地址地址外部用全局外部用全局IP地址地址TCP192.168.100.261.159.62.130155.34.2.3TCP192.168.100.361.159.62.131210.3.4.5TCP192.168.100.661.159.62.134210.3.4.5155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络172.168.100.2-172.168.100.6/24 61.159.62.129 172.168.100.1 将内部网络地址将
16、内部网络地址将内部网络地址将内部网络地址172.168.100.1-172.168.100.254172.168.100.1-172.168.100.254转换为转换为转换为转换为合法的外部地址合法的外部地址合法的外部地址合法的外部地址61.159.62.130-61.159.62.190 61.159.62.130-61.159.62.190 动态动态动态动态NATNAT配置配置配置配置Internet动态动态动态动态NATNAT配置配置配置配置v第一步：第一步： 设置外部端口设置外部端口IP地址地址v第二步：第二步： 设置内部端口设置内部端口IP地址地址v第三步：定义内部网络中允许访问外部
17、的访第三步：定义内部网络中允许访问外部的访问控制列表问控制列表Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.192Router(config)#interface FastEthernet 0/0Router(config-if)#ip address 172.168.100.1 255.255.255.0Router(config)#access-list 1 permit 172.168.100.0 0.0.0.255动态动态动态动态NATNAT配置配置配置
18、配置v第四步：定义合法第四步：定义合法IP地址池地址池 v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NAT Router(config)#ip nat inside source list 1 pool test0Router(config)#ip nat pool test0 61.159.62.130 61.159.62.190 network 255.255.255.192Router(config)#Interface serial 0/0Router(config-if)#Ip nat outsideRout
19、er(config)#Interface fastethernet 0/0Router(config-if)#Ip nat insideInternet172.168.100.2SA172.168.100.21DA172.168.100.252 NAT转换转换DA61.159.62.1304SA61.159.62.130 3155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机172.168.100.3172.168.100.6172.168.100.161.159.62.129 协议协议内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址：端口号地址：端口号外部用全局
20、外部用全局IP地址地址TCP172.168.100.261.159.62.130155.34.2.3TCP172.168.100.361.159.62.131210.3.4.5TCP172.168.100.661.159.62.134210.3.4.5NAT转换表转换表动态动态动态动态NATNAT配置配置配置配置InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络10.1.1.2-10.1.1.254/24 61.159.62.129 10.1.1.1将内部网络地址将内部网络地址将内部网络地址将内部网络地址10.1.1.1-10.1.1.25410.1.1.1-10.1
21、.1.254，转换，转换，转换，转换为合法的外部地址为合法的外部地址为合法的外部地址为合法的外部地址61.159.62.13061.159.62.130PATPAT配置配置配置配置v第一步第一步 ：设置外部端口：设置外部端口IP地址地址v第二步：第二步： 设置内部端口设置内部端口IP地址地址v第三步第三步 ：定义内部网络中允许访问外部的访问控：定义内部网络中允许访问外部的访问控制列表制列表 Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.192Router(con
22、fig)#interface FastEthernet 0/0Router(config-if)#ip address 10.1.1.1 255.255.255.0Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255PATPAT配置配置配置配置v第三步：定义合法第三步：定义合法IP地址池地址池 v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NAT Router(config)#ip nat inside source list 1 pool onlyone over
23、loadRouter(config)#ip nat pool onlyone 61.159.62.130 61.159.62.130 netmask 255.255.255.248Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePATPAT配置配置配置配置PAT配置配置InternetSA10.1.1.21DA10.1.1.252 NAT转换转换DA61.159.62
24、.1304SA61.159.62.130 3155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机10.1.1.161.159.62.129 协议协议内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址：端口号地址：端口号外部用全局外部用全局IP地址地址TCP10.1.1.2:102661.159.62.130：1026155.34.2.3TCP10.1.1.3:1121261.159.62.130：11212210.3.4.5TCP10.1.1.254:102761.159.62.130：1027210.3.4.5NAT转换表转换表10.1.1.210.1.1.310
25、.1.1.254v地址转换过程中，也直接使用接口的地址转换过程中，也直接使用接口的IP地址作为转地址作为转换后的源地址换后的源地址Internet局域网局域网 192.168.1.2-254/24PC2PC1S0:207.35.14.82 PC1 和和 PC2 可以直接使可以直接使用用 S0接口的接口的IP 地址作为地址作为地址转换后的公用地址转换后的公用IP地址地址PATPAT配置配置配置配置InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络10.1.1.2-10.1.1.254/24 61.159.62.129 10.1.1 .1将内部网络地址将内部网络地址将内部
26、网络地址将内部网络地址10.1.1.1-10.1.1.25410.1.1.1-10.1.1.254，转换为路由，转换为路由，转换为路由，转换为路由器的接口地址器的接口地址器的接口地址器的接口地址61.159.62.12961.159.62.129 PATPAT配置配置配置配置v第一步：第一步： 设置外部端口设置外部端口v第二步第二步 ：设置内部端口：设置内部端口v第三步第三步 ：定义内部网络中允许访问外部的访问控：定义内部网络中允许访问外部的访问控制列表制列表Router(config)# interface serial 0/0Router(config-if)# ip address61.
27、159.62.129 255.255.255.252Router(config)# interface FastEthernet 0/0Router(config-if)# ip address 10.1.1.1 255.255.255.0Router(config)# access-list 1 permit 10.1.1.0 0.0.0.255PATPAT配置配置配置配置v第四步：定义合法第四步：定义合法IP地址池地址池直接使用路由器的接口地址，不用定义地址池直接使用路由器的接口地址，不用定义地址池v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：第六步： 在内部和外部端
28、口上启用在内部和外部端口上启用NAT Router(config)#ip nat inside source list 1 interface serial0/0 overloadRouter(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePATPAT配置配置配置配置PAT配置配置InternetSA10.1.1.21DA10.1.1.252 NAT转换转换DA61.159.62
29、.1294SA61.159.62.1293155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机10.1.1.161.159.62.129 协议协议内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址：端口号地址：端口号外部用全局外部用全局IP地地址址TCP10.1.1.2:102661.159.62.129:1026155.34.2.3TCP10.1.1.3:1121261.159.62.129:11212210.3.4.5TCP10.1.1.254:102761.159.62.129:1027210.3.4.5NAT转换表转换表10.1.1.210.1.1.310.
30、1.1.254v第一步：第一步： 设置外部端口设置外部端口v第二步：设置内部端口第二步：设置内部端口v第三步：为虚拟主机定义一个标准的第三步：为虚拟主机定义一个标准的IP访问控制访问控制列表列表Router(config)#interface serial0/0Router(config-if)#ip address 172.20.7.1 255.255.255.224Router(config)#interface fastethernet0/0Router(config-if)#ip address 10.1.1.254 255.255.255.0Router(config)#access
31、-list 2 permit 10.1.1.127负载均衡配置负载均衡配置负载均衡配置负载均衡配置负载均衡配置负载均衡配置负载均衡配置负载均衡配置v第四步：给真实主机定义一个第四步：给真实主机定义一个NAT地址集地址集v第五步：设置访问控制列表和第五步：设置访问控制列表和NAT地址集之间的地址集之间的映射映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NATRouter(config)#ip nat inside destination list 2 pool real-hostRouter(config)#ip nat pool real-host 10.1.1.1 10.
32、1.1.3 prefix-length 24 type rotaryRouter(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside负载均衡配置负载均衡配置InternetSA10.1.1.14SA10.1.1.1275DA10.1.1.1271DA10.1.1.13协议协议内部用局部内部用局部IP地址地址内部用全局内部用全局IP地址：端口号地址：端口号外部用全局外部用全局IP地址地
33、址TCP10.1.1.1:8010.1.1.127:80172.21.7.3:3085TCP10.1.1.2:8010.1.1.127:80172.21.7.3:4371TCP10.1.1.3:8010.1.1.127:80172.21.7.3:30622 NAT转换表转换表10.1.1.310.1.1.210.1.1.110.1.1.127虚拟主机虚拟主机172.20.7.3外部主机外部主机172.21.7.3外部主机外部主机NATNAT检查与排错检查与排错检查与排错检查与排错v常见问题常见问题动态地址池中是否有正确的范围的地址动态地址池中是否有正确的范围的地址动态地址池中是否有重复的地址动
34、态地址池中是否有重复的地址静态映射的地址与动态地址池中的地址之间是否有重静态映射的地址与动态地址池中的地址之间是否有重复复访问列表是否指明了要转换的正确地址，是否漏掉一访问列表是否指明了要转换的正确地址，是否漏掉一些地址，是否包括了一些不该包括的地址些地址，是否包括了一些不该包括的地址是否指明了正确的内部和外部接口是否指明了正确的内部和外部接口不对称路由问题不对称路由问题NATNAT检查与排错检查与排错检查与排错检查与排错v测试联通性验证测试联通性验证NAT配置配置v命令命令show ip nat translationsshow ip nat statisticsRouter# show i
35、p nat translations Pro inside global inside local outside local outside global Tcp 61.159.62.130 192.168.100.2 - - Tcp 61.159.62.131 192.168.100.3 - -NATNAT检查与排错检查与排错检查与排错检查与排错s10.1.1.1表示源地址是表示源地址是10.1.1.1d172.16.2.2表示目的地址是表示目的地址是172.16.2.210.1.1.1-192.168.2.1表示将地址表示将地址10.1.1.1转换为转换为 192.168.2.1Rout
36、erdebug ip natNat:s=10.1.1.1-192.168.2.1,d=172.16.2.2 0Nat:s=172.16.2.2, d=192.168.2.1-10.1.1.1 0Nat:s=10.1.1.1-192.168.2.1, d=172.16.2.2 1vNAT的的debug调试调试清除清除清除清除NATNAT表的条目表的条目表的条目表的条目命令命令作用作用clear ip nat translation *清除清除NATNAT转换表中的所有条转换表中的所有条目目clear ip nat translation inside local-ip global-ip 清除包
37、含内部转换的简单清除包含内部转换的简单转换条目转换条目clear ip nat translation outside local-ip global-ip 清除包含外部转换的简单清除包含外部转换的简单转换条目转换条目验证和监控验证和监控验证和监控验证和监控PATPATv测试网络联通性测试网络联通性v命令命令show ip nat translationsshow ip nat statisticsRoutershow ip nat translations Pro inside global inside local outside local outside global Tcp 207.
38、35.14.82:6003 192.168.1.1:6003 207.35.14.83:1765 207.35.14.83:1765 Tcp 207.35.14.82:1067 192.168.1.2:1067 207.35.14.83:1766 207.35.14.83:1766本章总结本章总结网络地址转换网络地址转换NAT/PATNAT的优势缺点的优势缺点NAT的概念的概念NAT的术语的术语NAT概念和术语概念和术语NAT的配置的配置NAT的应用的应用NAT的检查与排的检查与排错错网络地址转换（网络地址转换（NATNAT，Network Address Network Address Tr
39、anslationTranslation）广泛应用于）广泛应用于各种类型因特网接入方式各种类型因特网接入方式和各种类型的网络中和各种类型的网络中NATNAT可以解决可以解决IPIP地址不足地址不足的问题，而且还能够有效的问题，而且还能够有效地避免来自网络外部的攻地避免来自网络外部的攻击，隐藏并保护网络内部击，隐藏并保护网络内部的计算机的计算机 静态静态NAT的配置的配置动态动态NAT的配置的配置PAT的配置的配置TCP负载均衡配置负载均衡配置用用NAT解决地址交叉的问题解决地址交叉的问题NATNAT的实现方式有的实现方式有3 3种：静种：静态转换、动态转换、端口态转换、动态转换、端口多路复用多
40、路复用 NATNAT的应用和配置：使用的应用和配置：使用NATNAT静态转换内部地址；静态转换内部地址；使用使用NATNAT动态转换内部地动态转换内部地址；使用址；使用PATPAT转换内部地转换内部地址；使用址；使用NATNAT实现实现TCPTCP负载负载均衡；使用均衡；使用NATNAT处理地址处理地址交叉交叉 实验拓扑实验拓扑 10.1.1.2/2410.1.1.3/24路由器路由器A172.16.1.2/24172.16.1.3/24路由器路由器B10.1.1.1/24192.168.1.1/24192.168.1.2/24172.16.1.1/24实验任务实验任务实验任务实验任务 v任务任务1 静态静态NAT的配置的配置v任务任务2 动态动态NAT的配置的配置v任务任务3 PAT的配置的配置 v完成标准完成标准网络正确联通网络正确联通内部网络经过内部网络经过NAT后，每个小组的内部后，每个小组的内部PC能能与外部地址通讯与外部地址通讯使用使用show ip nat translations 可以查看到相可以查看到相应的地址转换应的地址转换
