nat實例教程._-_cisco_learning_network

1、淘花/百度專用,1,網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT),淘花/百度專用,2,本章目標,了解地址轉(zhuǎn)換（NAT）的作用和工作原理了解各種NAT術(shù)語理解NAT的各種應(yīng)用：轉(zhuǎn)換內(nèi)部LAN地址、復(fù)用內(nèi)部地址和處理地址交叉掌握NAT的配置和排錯,淘花/百度專用,3,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-1,地址轉(zhuǎn)換的提出背景合法的IP地址資源日益短缺一個局域網(wǎng)內(nèi)部有很多臺主機，但不是每臺主機都有合法的IP地址，為了使所有內(nèi)部主機都可以連接因特網(wǎng)，需要使用地址轉(zhuǎn)換地址

2、轉(zhuǎn)換技術(shù)可以有效地隱藏內(nèi)部局域網(wǎng)中的主機，具有一定的網(wǎng)絡(luò)安全保護作用地址轉(zhuǎn)換可以在局域網(wǎng)內(nèi)部提供給外部FTP、WWW、Telnet服務(wù),淘花/百度專用,4,NAT的原理改變IP包頭，使目的地址、源地址或兩個地址在包頭中被不同地址替換,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-2,淘花/百度專用,5,,,,,,,局域網(wǎng),PC2,PC1,Internet,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-3,地址轉(zhuǎn)換,淘花/百度專用,6,網(wǎng)絡(luò)地址轉(zhuǎn)換概述4-4,NAT的3種實現(xiàn)方式靜態(tài)

3、轉(zhuǎn)換動態(tài)轉(zhuǎn)換端口多路復(fù)用,淘花/百度專用,7,使用雙向NAT可以處理地址交叉的情況使用兩個方向上的動態(tài)NAT會用到4種類型的地址,NAT的術(shù)語2-1,公司合并，可能導(dǎo)致地址交叉,淘花/百度專用,8,NAT的術(shù)語2-2,,,10.1.1.1外部主機B,10.1.1.2外部主機C,,internet,10.1.1.1,主機A,淘花/百度專用,9,NAT的優(yōu)缺點,NAT的優(yōu)點節(jié)省公有合法IP地址處理地址交叉增強靈活性安全性

4、NAT的缺點延遲增大配置和維護的復(fù)雜性不支持某些應(yīng)用,淘花/百度專用,10,,,,,,,10.1.1.3,10.1.1.2,10.1.1.1,2 NAT轉(zhuǎn)換表,4,3,172.20.7.3外部主機B,172.21.7.3外部主機C,,轉(zhuǎn)換LAN內(nèi)部地址,Internet,淘花/百度專用,11,復(fù)用LAN的內(nèi)部地址,,,,,,,2 NAT轉(zhuǎn)換表,4,3,172.20.7.3外部主機B,172.21.7.3外部主機C,,

5、Internet,10.1.1.3,10.1.1.2,10.1.1.1,淘花/百度專用,12,虛擬主機,Internet,,,,,,,10.1.1.3,10.1.1.2,10.1.1.1,4,3,2 NAT轉(zhuǎn)換表,1,5,172.20.7.3外部主機B,172.21.7.3外部主機C,,,10.1.1.127,TCP負載均衡,淘花/百度專用,13,NAT配置,NAT配置步驟1、接口IP地址配置2、使用訪問控制列表定義哪些內(nèi)部主機

6、能做NAT3、決定采用什么公有地址，靜態(tài)或地址池4、指定地址轉(zhuǎn)換映射5、在內(nèi)部和外部端口上啟用NAT,淘花/百度專用,14,靜態(tài)NAT配置3-1,,,,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),192.168.100.2-192.168.100.6/24,61.159.62.129,192.168.100.1,,將內(nèi)部網(wǎng)絡(luò)地址192.168.100.2-192.168.100.6,轉(zhuǎn)換為合法的外部地址61.15

7、9.62.130-61.159.62.134,淘花/百度專用,15,第一步： 設(shè)置外部端口 第二步 ：設(shè)置內(nèi)部端口 第三步： 在內(nèi)部本地和內(nèi)部合法地址之間建立靜態(tài)地址轉(zhuǎn)換 第四步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside source static 192.168.100.2 61.159.62.130Router(config)#ip nat insid

8、e source static 192.168.100.3 61.159.62.131……,Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.248,Router(config)#interface FastEthernet 0/0Router(config-if)#ip address 192.168

9、.100.1 255.255.255.0,Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside,靜態(tài)NAT配置3-2,淘花/百度專用,16,,,靜態(tài)NAT配置3-3,Internet,,,,,2 NAT轉(zhuǎn)換,

10、192.168.100.1,61.159.62.129,NAT轉(zhuǎn)換表,192.168.100.6,192.168.100.3,192.168.100.2,155.34.2.3外部主機,210.3.4.5外部主機,,淘花/百度專用,17,,,,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),172.168.100.2-172.168.100.6/24,61.159.62.129,172.168.100.1,,將內(nèi)部網(wǎng)絡(luò)地址

11、172.168.100.1-172.168.100.254轉(zhuǎn)換為合法的外部地址61.159.62.130-61.159.62.190,動態(tài)NAT配置4-1,Internet,淘花/百度專用,18,動態(tài)NAT配置4-2,第一步： 設(shè)置外部端口IP地址第二步： 設(shè)置內(nèi)部端口IP地址第三步：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)#interface serial 0/0Router(config-

12、if)#ip address 61.159.62.129 255.255.255.192,Router(config)#interface FastEthernet 0/0Router(config-if)#ip address 172.168.100.1 255.255.255.0,Router(config)#access-list 1 permit 172.168.100.0 0.0.0.255,淘花/百度專用,19,動態(tài)NAT

13、配置4-3,第四步：定義合法IP地址池 第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第六步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside source list 1 pool test0,Router(config)#ip nat pool test0 61.159.62.130 61.159.62.190 netmask 255.255.255.192,Router(config)#Inter

14、face serial 0/0Router(config-if)#Ip nat outsideRouter(config)#Interface fastethernet 0/0Router(config-if)#Ip nat inside,淘花/百度專用,20,Internet,,,,,,,172.168.100.2,2 NAT轉(zhuǎn)換,155.34.2.3外部主機,210.3.4.5外部主機,172.168.100.3,172.

15、168.100.6,172.168.100.1,61.159.62.129,NAT轉(zhuǎn)換表,動態(tài)NAT配置4-4,淘花/百度專用,21,,,,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),10.1.1.2-10.1.1.254/24,61.159.62.129,10.1.1.1,,將內(nèi)部網(wǎng)絡(luò)地址10.1.1.1-10.1.1.254，轉(zhuǎn)換為合法的外部地址61.159.62.130,PAT配置9-1,淘花/百度專用,22,第一

16、步 ：設(shè)置外部端口IP地址第二步： 設(shè)置內(nèi)部端口IP地址第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.192,Router(config)#interface FastEthernet 0/0Router(config-if)#ip

17、address 10.1.1.1 255.255.255.0,Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255,PAT配置9-2,淘花/百度專用,23,第四步：定義合法IP地址池 第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第六步：在內(nèi)部和外部端口上啟用NAT,Router(config)#ip nat inside source list 1 pool onlyone o

18、verload,Router(config)#ip nat pool onlyone 61.159.62.130 61.159.62.130 netmask 255.255.255.248,Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-

19、if)#ip nat inside,PAT配置9-3,淘花/百度專用,24,PAT配置9-4,Internet,,,,,,,2 NAT轉(zhuǎn)換,155.34.2.3外部主機,210.3.4.5外部主機,10.1.1.1,61.159.62.129,NAT轉(zhuǎn)換表,10.1.1.2,10.1.1.3,10.1.1.254,,淘花/百度專用,25,地址轉(zhuǎn)換過程中，也直接使用接口的IP地址作為轉(zhuǎn)換后的源地址,,,,,Internet,局域網(wǎng) 1

20、92.168.1.2-254/24,,,PC2,PC1,S0:207.35.14.82,,PC1 和 PC2 可以直接使用 S0接口的IP 地址作為地址轉(zhuǎn)換后的公用IP地址,PAT配置9-5,淘花/百度專用,26,,,,Internet,NAT外部端口,NAT內(nèi)部端口,內(nèi)部網(wǎng)絡(luò),10.1.1.2-10.1.1.254/24,61.159.62.129,10.1.1 .1,,將內(nèi)部網(wǎng)絡(luò)地址10.1.1.1-10.1.1.254，轉(zhuǎn)換為路由

21、器的接口地址61.159.62.129,PAT配置9-6,淘花/百度專用,27,第一步： 設(shè)置外部端口第二步 ：設(shè)置內(nèi)部端口第三步 ：定義內(nèi)部網(wǎng)絡(luò)中允許訪問外部的訪問控制列表,Router(config)# interface serial 0/0Router(config-if)# ip address61.159.62.129 255.255.255.252,Router(config)# interface FastE

22、thernet 0/0Router(config-if)# ip address 10.1.1.1 255.255.255.0,Router(config)# access-list 1 permit 10.1.1.0 0.0.0.255,PAT配置9-7,淘花/百度專用,28,第四步：定義合法IP地址池直接使用路由器的接口地址，不用定義地址池第五步：指定網(wǎng)絡(luò)地址轉(zhuǎn)換映射第六步： 在內(nèi)部和外部端口上啟用NAT,Router(

23、config)#ip nat inside source list 1 interface serial0/0 overload,Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside,PAT配置9-8,淘花/

24、百度專用,29,PAT配置9-9,Internet,,,,,,,2 NAT轉(zhuǎn)換,155.34.2.3外部主機,210.3.4.5外部主機,10.1.1.1,61.159.62.129,NAT轉(zhuǎn)換表,10.1.1.2,10.1.1.3,10.1.1.254,,淘花/百度專用,30,NAT檢查與排錯3-1,常見問題動態(tài)地址池中是否有正確的范圍的地址動態(tài)地址池中是否有重復(fù)的地址靜態(tài)映射的地址與動態(tài)地址池中的地址之間是否有重復(fù)訪問列

25、表是否指明了要轉(zhuǎn)換的正確地址，是否漏掉一些地址，是否包括了一些不該包括的地址是否指明了正確的內(nèi)部和外部接口不對稱路由問題,淘花/百度專用,31,NAT檢查與排錯3-2,測試聯(lián)通性驗證NAT配置命令show ip nat translationsshow ip nat statistics,Router# show ip nat translations Pro inside global inside local

26、 outside local outside global Tcp 61.159.62.130 192.168.100.2 ------ ----- Tcp 61.159.62.131 192.168.100.3 ------ -----,淘花/百度專用,32,NAT檢查與排錯3-3,,s＝10.1.1.1表示源地址是1

27、0.1.1.1d＝172.16.2.2表示目的地址是172.16.2.210.1.1.1->192.168.2.1表示將地址10.1.1.1轉(zhuǎn)換為 192.168.2.1,Router＃debug ip natNat:s=10.1.1.1->192.168.2.1,d=172.16.2.2 [0]Nat:s=172.16.2.2, d=192.168.2.1->10.1.1.1 [0]Nat:s=10.1.1

28、.1->192.168.2.1, d=172.16.2.2 [1],NAT的debug調(diào)試,淘花/百度專用,33,清除NAT表的條目,淘花/百度專用,34,驗證和監(jiān)控PAT,測試網(wǎng)絡(luò)聯(lián)通性命令show ip nat translationsshow ip nat statistics,Router＃show ip nat translations Pro inside global inside

29、 local outside local outside global Tcp 207.35.14.82:6003 192.168.1.1:6003 207.35.14.83:1765 207.35.14.83:1765 Tcp 207.35.14.82:1067 192.168.1.2:1067 207.35.14.83:1766 207.35.14.83:1766,淘花/百度專用

30、,35,實驗,實驗背景A公司對因特網(wǎng)的訪問需求逐步提升，新申請了一段合法IP地址用于連接互聯(lián)網(wǎng)。作為網(wǎng)絡(luò)管理員，需要對路由器上的NAT配置進行重新規(guī)劃設(shè)置使用實驗拓撲圖進行A網(wǎng)絡(luò)環(huán)境的模擬，10.1.1.0和172.16.1.0子網(wǎng)分別作為內(nèi)部子網(wǎng)，通過地址翻譯訪問對方的網(wǎng)絡(luò),淘花/百度專用,36,,實驗拓撲,,,10.1.1.2/24,10.1.1.3/24,路由器A,172.16.1.2/24,,,,,172.16.1.3/24