- 相關(guān)推薦
路由器NAT功能介紹及配置
隨著(zhù)Internet的網(wǎng)絡(luò )迅速發(fā)展，為了解決IP地址短缺這個(gè)問(wèn)題，出現了多種解決方案。下面小編幾紹一種在目前網(wǎng)絡(luò )環(huán)境中比較有效的方法即地址轉換(NAT)功能。
一、NAT簡(jiǎn)介
NAT(Network Address Translation)的功能，就是指在一個(gè)網(wǎng)絡(luò )內部，根據需要可以隨意自定義的IP地址，而不需要經(jīng)過(guò)申請。在網(wǎng)絡(luò )內部，各計算機間通過(guò)內部的IP地址進(jìn)行通訊。而當內部的計算機要與外部internet網(wǎng)絡(luò )進(jìn)行通訊時(shí)，具有NAT功能的設備(比如：路由器)負責將其內部的IP地址轉換為合法的IP地址(即經(jīng)過(guò)申請的IP地址)進(jìn)行通信。
二、NAT 的應用環(huán)境：
情況1：一個(gè)企業(yè)不想讓外部網(wǎng)絡(luò )用戶(hù)知道自己的網(wǎng)絡(luò )內部結構，可以通過(guò)NAT將內部網(wǎng)絡(luò )與外部Internet 隔離開(kāi)，則外部用戶(hù)根本不知道通過(guò)NAT設置的內部IP地址。
情況2：一個(gè)企業(yè)申請的合法Internet IP地址很少，而內部網(wǎng)絡(luò )用戶(hù)很多�？梢酝ㄟ^(guò)NAT功能實(shí)現多個(gè)用戶(hù)同時(shí)公用一個(gè)合法IP與外部Internet 進(jìn)行通信。
三、設置NAT所需路由器的硬件配置和軟件配置：
設置NAT功能的路由器至少要有一個(gè)內部端口(Inside)，一個(gè)外部端口(Outside)。內部端口連接的網(wǎng)絡(luò )用戶(hù)使用的是內部IP地址。
內部端口可以為任意一個(gè)路由器端口。外部端口連接的是外部的網(wǎng)絡(luò )，如Internet 。外部端口可以為路由器上的任意端口。
設置NAT功能的路由器的IOS應支持NAT功能(本文事例所用路由器為Cisco2501，其IOS為11.2版本以上支持NAT功能)。
四、關(guān)于NAT的幾個(gè)概念：
內部本地地址(Inside local address)：分配給內部網(wǎng)絡(luò )中的計算機的內部IP地址。
內部合法地址(Inside global address)：對外進(jìn)入IP通信時(shí)，代表一個(gè)或多個(gè)內部本地地址的合法IP地址。需要申請才可取得的IP地址。
五、NAT的設置方法：
NAT設置可以分為靜態(tài)地址轉換、動(dòng)態(tài)地址轉換、復用動(dòng)態(tài)地址轉換。
1、靜態(tài)地址轉換適用的環(huán)境
靜態(tài)地址轉換將內部本地地址與內部合法地址進(jìn)行一對一的轉換，且需要指定和哪個(gè)合法地址進(jìn)行轉換。如果內部網(wǎng)絡(luò )有E-mail服務(wù)器或FTP服務(wù)器等可以為外部用戶(hù)提供的服務(wù)，這些服務(wù)器的IP地址必須采用靜態(tài)地址轉換，以便外部用戶(hù)可以使用這些服務(wù)。
靜態(tài)地址轉換基本配置步驟：
(1)、在內部本地地址與內部合法地址之間建立靜態(tài)地址轉換。在全局設置狀態(tài)下輸入：
Ip nat inside source static 內部本地地址 內部合法地址
(2)、指定連接網(wǎng)絡(luò )的內部端口 在端口設置狀態(tài)下輸入：
ip nat inside
(3)、指定連接外部網(wǎng)絡(luò )的外部端口 在端口設置狀態(tài)下輸入：
ip nat outside
注：可以根據實(shí)際需要定義多個(gè)內部端口及多個(gè)外部端口。
實(shí)例1：
本實(shí)例實(shí)現靜態(tài)NAT地址轉換功能。將2501的以太口作為內部端口，同步端口0作為外部端口。其中10.1.1.2，10.1.1.3，10.1.1.4的內部本地地址采用靜態(tài)地址轉換。其內部合法地址分別對應為192.1.1.2，192.1.1.3，192.1.1.4。
路由器2501的配置：
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat inside source static 10.1.1.2 192.1.1.2
ip nat inside source static 10.1.1.3 192.1.1.3
ip nat inside source static 10.1.1.4 192.1.1.4
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
line con 0
line aux 0
line vty 0 4
password cisco
end
配置完成后可以用以下語(yǔ)句進(jìn)行查看：
show ip nat statistcs
show ip nat translations
2、動(dòng)態(tài)地址轉換適用的環(huán)境：
動(dòng)態(tài)地址轉換也是將本地地址與內部合法地址一對一的轉換，但是動(dòng)態(tài)地址轉換是從內部合法地址池中動(dòng)態(tài)地選擇一個(gè)末使用的地址對內部本地地址進(jìn)行轉換。
動(dòng)態(tài)地址轉換基本配置步驟：
(1)、在全局設置模式下，定義內部合法地址池
ip nat pool 地址池名稱(chēng) 起始IP地址 終止IP地址 子網(wǎng)掩碼
其中地址池名稱(chēng)可以任意設定。
(2)、在全局設置模式下，定義一個(gè)標準的access-list規則以允許哪些內部地址可以進(jìn)行動(dòng)態(tài)地址轉換。
Access-list 標號 permit 源地址 通配符
其中標號為1-99之間的整數。
(3)、在全局設置模式下，將由access-list指定的內部本地地址與指定的內部合法地址池進(jìn)行地址轉換。
ip nat inside source list 訪(fǎng)問(wèn)列表標號 pool內部合法地址池名字
(4)、指定與內部網(wǎng)絡(luò )相連的內部端口在端口設置狀態(tài)下：
ip nat inside
(5)、指定與外部網(wǎng)絡(luò )相連的外部端口
Ip nat outside
實(shí)例2：
本實(shí)例中硬件配置同上，運用了動(dòng)態(tài)NAT地址轉換功能。將2501的以太口作為內部端口，同步端口0作為外部端口。其中10.1.1.0網(wǎng)段采用動(dòng)態(tài)地址轉換。對應內部合法地址為192.1.1.2~192.1.1.10
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0
ip nat inside source list 1 pool aaa
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end
3、復用動(dòng)態(tài)地址轉換適用的環(huán)境：
復用動(dòng)態(tài)地址轉換首先是一種動(dòng)態(tài)地址轉換，但是它可以允許多個(gè)內部本地地址共用一個(gè)內部合法地址。只申請到少量IP地址但卻經(jīng)常同時(shí)有多于合法地址個(gè)數的用戶(hù)上外部網(wǎng)絡(luò )的情況，這種轉換極為有用。
注意：當多個(gè)用戶(hù)同時(shí)使用一個(gè)IP地址，外部網(wǎng)絡(luò )通過(guò)路由器內部利用上層的如TCP或UDP端口號等唯一標識某臺計算機。
復用動(dòng)態(tài)地址轉換配置步驟：
在全局設置模式下，定義內部合地址池
ip nat pool 地址池名字 起始IP地址 終止IP地址 子網(wǎng)掩碼
其中地址池名字可以任意設定。
在全局設置模式下，定義一個(gè)標準的access-list規則以允許哪些內部本地地址可以進(jìn)行動(dòng)態(tài)地址轉換。
access-list 標號 permit 源地址 通配符
其中標號為1-99之間的整數。
在全局設置模式下，設置在內部的本地地址與內部合法IP地址間建立復用動(dòng)態(tài)地址轉換。
ip nat inside source list 訪(fǎng)問(wèn)列表標號 pool 內部合法地址池名字 overload
在端口設置狀態(tài)下，指定與內部網(wǎng)絡(luò )相連的內部端口
ip nat inside
在端口設置狀態(tài)下，指定與外部網(wǎng)絡(luò )相連的外部端口
ip nat outside
實(shí)例：應用了復用動(dòng)態(tài)NAT地址轉換功能。將2501的以太口作為內部端口，同步端口0作為外部端口。10.1.1.0網(wǎng)段采用復用動(dòng)態(tài)地址轉換。假設企業(yè)只申請了一個(gè)合法的IP地址192.1.1.1。
2501的配置
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0
ip nat inside source list 1 pool bbb overload
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end
【路由器NAT功能介紹及配置】相關(guān)文章：
思科路由器的安全配置06-03
華為路由器配置命令04-10
思科路由器配置基礎08-13
Cisco路由器配置命令大全06-12
CISCO路由器CHAP認證配置06-17
Cisco路由器安全配置命令10-27
h3c路由器配置01-22
思科路由器配置基礎知識06-19
華為路由器IP性能配置命令10-23