1、Cisco設(shè)備靜態(tài)NAT基本配置步驟以下內(nèi)容摘自筆者即將出版上市的金牌網(wǎng)管師大中型企業(yè)網(wǎng)絡(luò)組建、配置與管理一書，或者于明年將出版的Cisco/H3C路由器配置與管理完全手冊一書。當(dāng)你與外部網(wǎng)絡(luò)進行通信時，你可以轉(zhuǎn)換自己的私有IP地址到全局唯一的IP地址?？梢酝ㄟ^靜態(tài)或動態(tài)NAT來實現(xiàn)以上目的。靜態(tài)NAT在內(nèi)部本地址和內(nèi)部全局地址之間建立一對一的映射關(guān)系，而動態(tài)NAT建立一個內(nèi)部本地址到一個全局地址池的映射關(guān)系。一、靜態(tài)NAT工作原理靜態(tài)NAT是最基本的NAT方式，也是最常用的NAT方式之一。本節(jié)要利用網(wǎng)絡(luò)拓撲結(jié)構(gòu)和具體的示例介紹Cisco設(shè)備上的靜態(tài)NAT基本配置步驟。示例中的基本網(wǎng)絡(luò)拓撲結(jié)構(gòu)

2、如圖1所示。NAT路由器的兩個接口（s0和s1）分別連接了內(nèi)、外兩個不同的網(wǎng)絡(luò)（10.10.10.0/24和171.16.68.1/24）?，F(xiàn)要使內(nèi)部網(wǎng)絡(luò)中的10.10.01.1主機和外部網(wǎng)絡(luò)中的171.16.68.5主機間進行數(shù)據(jù)包傳輸。圖1 靜態(tài)NAT基本配置示例網(wǎng)絡(luò)結(jié)構(gòu)在上一篇說到了，NAT的應(yīng)用可以是單方向（包括正向或反向），也可以是雙方向的地址轉(zhuǎn)換。我們把內(nèi)部網(wǎng)絡(luò)中的地址轉(zhuǎn)換成外部網(wǎng)絡(luò)中的地址，稱之為正向轉(zhuǎn)換，使用的NAT命令為“ip nat inside source static local-ip global-ip”，把本地網(wǎng)絡(luò)的本地址轉(zhuǎn)換成外部網(wǎng)絡(luò)的全局地址。把外部網(wǎng)絡(luò)中的地

3、址轉(zhuǎn)換成內(nèi)部網(wǎng)絡(luò)中的地址稱之為反向轉(zhuǎn)換，使用的NAT命令為“ip nat outside source staticglobal-ip local-ip”，把外部網(wǎng)絡(luò)的全地址轉(zhuǎn)換成本地網(wǎng)絡(luò)的本地地址。對比可以看出，兩個命令中的本地IP地址（local-ip）和全局IP地址（global-ip）的位置是相互調(diào)換的。而把需要同時具有兩方面的轉(zhuǎn)換，稱之為雙向轉(zhuǎn)換。正向轉(zhuǎn)換時只需要定義內(nèi)部本地址和內(nèi)部全局地址；反方向的轉(zhuǎn)換時則需要定義外部本地址和外部全局地址；雙向轉(zhuǎn)換時則需要同時定義內(nèi)部本地址、內(nèi)部全局地址、外部本地址和外部全局地址。下面分別予以介紹。1. 正向NAT地址轉(zhuǎn)換配置僅需要正向NAT轉(zhuǎn)換時

4、，只需要定義內(nèi)部本地地址和內(nèi)部全局地址。下面是一個配置示例（網(wǎng)絡(luò)結(jié)構(gòu)參見圖1），要實現(xiàn)以下目的：當(dāng)NAT路由器的內(nèi)部網(wǎng)絡(luò)s0接口上接收到一個源地址為10.10.10.1內(nèi)部本地地址的數(shù)據(jù)包時，源地址被轉(zhuǎn)換成171.16.68.5內(nèi)部全局地址。同樣，當(dāng)在NAT路由器的外部網(wǎng)絡(luò)接口s1上接收源地址為172.16.68.5內(nèi)部全局地址的數(shù)據(jù)包時，目的地址將被轉(zhuǎn)換成10.10.10.1這個內(nèi)部本地地址。（1）使用ip nat inside source static全局配置命令創(chuàng)建從內(nèi)網(wǎng)到外網(wǎng)的靜態(tài)NAT IP地址轉(zhuǎn)換。Router（config）#ip nat inside source stati

5、c10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡(luò)本地地址10.10.10.1與內(nèi)部網(wǎng)絡(luò)全局地址171.16.68.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使內(nèi)部網(wǎng)絡(luò)主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡(luò)主機（2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0。Router（config）#interface s 0 # 進入s0串口配置模式Router（config-if）#ip nat inside # 把s0串口指定為內(nèi)部網(wǎng)絡(luò)接口（3）使用以下兩條語句配置路由器的NAT外部接口s1。Router（config）#interface s 1 # 進入s1串口配置模式Rou

6、ter（config-if）#ip nat outside # 把s1串口指定為外部網(wǎng)絡(luò)接口（4）使用show ip nat translations特權(quán)模式命令驗證上述進行的路由器NAT配置。內(nèi)部網(wǎng)絡(luò)的本地地址為10.10.10.1，內(nèi)部網(wǎng)絡(luò)的全局地址為171.16.68.5。Router#show ip nat translations# 在特權(quán)模式下顯示當(dāng)前路由器NAT配置Pro Inside global Inside local Outside local Outside global- 171.16.68.5 10.10.10.1 - -此時如果對外網(wǎng)絡(luò)目的主機進行ping操作，此

7、時就會有有數(shù)據(jù)包從內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)到外部網(wǎng)絡(luò)后，再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，顯示的NAT信息如下。多了一條icmp協(xié)議類型數(shù)據(jù)包顯示，但因為此時沒有配置外部網(wǎng)絡(luò)的本地和全局地址，所以顯示的外部本地和全局地址都是一樣的，都是ping操作目的主機地址171.16.68.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside globalicmp 171.16.68.5:15 10.10.10.1:15 171.16.68.1:15 1

8、71.16.68.1:15- 171.16.68.5 10.10.10.1 - -通過以上配置后，從內(nèi)部網(wǎng)絡(luò)發(fā)往外部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉(zhuǎn)換（由內(nèi)部本地地址10.10.10.1轉(zhuǎn)換成內(nèi)部全局地址171.16.68.5），但目標(biāo)地址（DA）不變，但從外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由內(nèi)部網(wǎng)絡(luò)的全局地址172.16.68.5轉(zhuǎn)換成內(nèi)部網(wǎng)絡(luò)的本地地址10.10.10.1），因為此時還沒有為NAT路由器配置外部網(wǎng)絡(luò)的本地地址和全局地址轉(zhuǎn)換。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡(luò)中的源地址、目的地址的轉(zhuǎn)換方式如圖2所示。圖2 配置了

9、正向NAT地址轉(zhuǎn)換后的數(shù)據(jù)包地址轉(zhuǎn)換示例2. 反向NAT轉(zhuǎn)換配置反向NAT轉(zhuǎn)換與正向NAT轉(zhuǎn)換是相反的，它需要定義外部本地地址和外部全局地址。同樣以一個示例進行介紹（網(wǎng)絡(luò)結(jié)構(gòu)仍參照圖1）。本示例要實現(xiàn)的目的是：當(dāng)NAT路由器外部網(wǎng)絡(luò)接口s1接收到源地址為171.16.68.1外部本地地址的數(shù)據(jù)包后，數(shù)據(jù)包的源地址將轉(zhuǎn)變?yōu)?0.10.10.5外部全局地址。當(dāng)NAT路由器在內(nèi)部網(wǎng)絡(luò)接口s0接收到源地址為10.10.10.5外部全局地址的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將被轉(zhuǎn)變?yōu)?71.16.68.1外部本地地址。完整的的配置如下：（1）使用ip nat outside source static全局配置

10、命令創(chuàng)建從外網(wǎng)到內(nèi)網(wǎng)的靜態(tài)NAT IP地址轉(zhuǎn)換。Router（config）#ip nat outside source static171.16.68.1 10.10.10.5 # 在外部網(wǎng)絡(luò)本地地址171.16.68.1與外部網(wǎng)絡(luò)全局地址10.10.10.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使外部網(wǎng)絡(luò)主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡(luò)主機（2）使用以下兩條語句配置路由器的NAT內(nèi)部接口s0Router（config）#interface s 0Router（config-if）#ip nat inside（3）使用以下兩條語句配置路由器的NAT內(nèi)部接口s1Router（conf

11、ig）#interface s 1Router（config-if）#ip nat outside（4）使用show ip nat translations特權(quán)模式命令驗證上述進行的路由器NAT配置。外部網(wǎng)絡(luò)的本地地址為10.10.10.5，外部網(wǎng)絡(luò)的全局地址為171.16.68.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1同樣，如果此時執(zhí)行一個從外部網(wǎng)絡(luò)主機（171.16.68.1）到內(nèi)部網(wǎng)絡(luò)主機（

12、10.10.10.1）的ping操作，然后再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，則顯示如下結(jié)果。因為此時僅配置了外部網(wǎng)絡(luò)本地地址和全局地址，所以結(jié)果中顯示的內(nèi)部網(wǎng)絡(luò)本地地址和全局地址都是一樣的，都是ping操作目的主機地址10.10.10.1。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1icmp 10.10.10.1:37 10.10.10.1:37 10.10

13、.10.5:37 171.16.68.1:37與前面僅配置內(nèi)部網(wǎng)絡(luò)本地地址和全局地址相反，此處從外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址（SA）將在經(jīng)過路由器后進行轉(zhuǎn)換（由外部本地地址171.16.68.1轉(zhuǎn)換成內(nèi)部全局地址10.10.10.5），但目標(biāo)地址（DA）不變；但從內(nèi)部網(wǎng)絡(luò)發(fā)往外部網(wǎng)絡(luò)的數(shù)據(jù)包的源地址沒有改變，只是經(jīng)過路由器后的數(shù)據(jù)目的地址發(fā)生了改變（由外部網(wǎng)絡(luò)的全局地址10.10.10.5轉(zhuǎn)換成外部網(wǎng)絡(luò)的本地地址171.16.68.1），因為此時還沒有為NAT路由器配置內(nèi)部網(wǎng)絡(luò)的本地地址和全局地址轉(zhuǎn)換。如圖所示。此時，數(shù)據(jù)包在內(nèi)、外部網(wǎng)絡(luò)中的源地址、目的地址的轉(zhuǎn)換方式如圖3所示。圖3

14、配置了反向NAT地址轉(zhuǎn)換后的數(shù)據(jù)包地址轉(zhuǎn)換示例3. 雙向NAT轉(zhuǎn)換下面介紹同時進行正、反向NAT轉(zhuǎn)換的配置方法，它需要同時定義本地網(wǎng)絡(luò)本地地址、本地網(wǎng)絡(luò)全局地址、外部網(wǎng)絡(luò)本地地址和外部網(wǎng)絡(luò)全局地址。在下面的示例中，通過配置可實現(xiàn)：當(dāng)NAT路由器內(nèi)部網(wǎng)絡(luò)接口接收到源地址為10.10.10.1（內(nèi)部網(wǎng)絡(luò)本地地址）的數(shù)據(jù)包時，這個源地址將轉(zhuǎn)換成171.16.68.5（內(nèi)部網(wǎng)絡(luò)全局地址）。當(dāng)NAT路由器外部接口接收到源地址為171.16.68.1（外部網(wǎng)絡(luò)本地地址）的數(shù)據(jù)包時，源地址將轉(zhuǎn)換成10.10.10.5（外部網(wǎng)絡(luò)全局地址）。同理，當(dāng)NAT路由器外部網(wǎng)絡(luò)接口接收到目的地址為171.16.68.5

15、的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉(zhuǎn)換成10.10.10.1。當(dāng)NAT路由器內(nèi)部接口接收到目的地址為10.10.10.5的數(shù)據(jù)包時，數(shù)據(jù)包的目的地址將轉(zhuǎn)換成171.16.68.1。本示例的完整配置如下：Router（config）#ip nat inside source static10.10.10.1 171.16.68.5 # 在內(nèi)部網(wǎng)絡(luò)本地地址10.10.10.1與內(nèi)部網(wǎng)絡(luò)全局地址171.16.68.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使內(nèi)部網(wǎng)絡(luò)主機知道要以171.16.68.5這個地址到達外部網(wǎng)絡(luò)主機Router（config）#ip nat outside source static171.

16、16.68.1 10.10.10.5 # 在外部網(wǎng)絡(luò)本地地址171.16.68.1與外部網(wǎng)絡(luò)全局地址10.10.10.5之間建立靜態(tài)NAT轉(zhuǎn)換關(guān)系，使外部網(wǎng)絡(luò)主機知道要以10.10.10.5這個地址到達內(nèi)部網(wǎng)絡(luò)主機Router（config）#interfaces 0Router（config-if）#ip nat insideRouter（config-if）#endRouter（config）#interfaces 1Router（config-if）#ip nat outsideRouter（config-if）#endRouter（config）#endRouter#show ip n

17、at translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1171.16.68.5 10.10.10.1 - -同樣，如果此時分別執(zhí)行一個從內(nèi)部主機到外部主機，以及從外部主機到內(nèi)部主機的ping操作，然后再在路由器特權(quán)模式下執(zhí)行“show ip nat translations”命令，則顯示如下結(jié)果。因為此時同時配置了內(nèi)、外部網(wǎng)絡(luò)本地地址和全局地址，所以結(jié)果中顯示了兩條NAT配置項，分別顯示了與外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)中的本地地址和全局地址轉(zhuǎn)換對應(yīng)的ping

18、操作icmp消息：與外部網(wǎng)絡(luò)本地地址和全局地址對應(yīng)的ping操作ICMP消息中顯示內(nèi)部網(wǎng)絡(luò)中的本地地址和全局地址是一樣的，而與內(nèi)部網(wǎng)絡(luò)本地地睛和全局地址對應(yīng)的ping操作icmp消息中顯示外部網(wǎng)絡(luò)中的本地地址和全局地址是一樣的，都是對應(yīng)的ping操作目的主機地址。Router#show ip nat translationsPro Inside global Inside local Outside local Outside global- - - 10.10.10.5 171.16.68.1icmp 10.10.10.1:4 10.10.10.1:4 10.10.10.5:4 171.16.68.1:4icmp 171.16.68.5:39 10.10.10.1:39 171.16.68.1:39 171.16.68.1:39- 171.16.68.5 10.10.10.1 - -經(jīng)過以上配置后，數(shù)據(jù)包發(fā)送時不僅源地址會發(fā)生變化，目標(biāo)地址也會同時發(fā)生變化，如圖4所示。圖4 同時配置了內(nèi)、外部網(wǎng)絡(luò)本地地址和全局地址后的地址轉(zhuǎn)換示例總體來說，數(shù)據(jù)中的源地址是由發(fā)送數(shù)據(jù)包的源主機地址