NAT配置与管理

为解决IPv4地址日益枯竭，出现NAT（Network Address Translation，网络地址转换）技术。NAT可以将来自一个网络的IP数据报报头中的IP地址（可以是源IP地址或目的IP地址，或两者同时）转换为另一个网络的IP地址，主要用于实现私网用户和公网用户之间的互访。

一、NAT主要特性

在AR G3路由器中把支持的NAT特性分为三大类：动态NAT、静态NAT和NAT Server（NAT服务器），在实际应用中，分别对应配置动态地址转换、配置静态地址转换和配置内部服务器。

1、动态NAT

私网IP与公网IP之间的转换不是固定的。把需要访问公网的私网IP地址动态地与公网IP地址建立临时映射关系，将报文中的私网IP地址进行对应的临时替换，待返回报文到达设备时再根据映射表“反向”把公网IP地址临时替换回对应的私网IP地址，转发给主机，实现内网用户和外网的通信。

动态NAT的实现方式有Basic NAT和NAPT两种（Easy IP是NAPT的一种特例）。Basic NAT是一种“一对一”的动态地址转换；NAPT则通过引入“端口”变量，是一种“多对一”的动态地址转换（映射的公网端口不同）。

2、静态NAT

建立固定的一对一的公网IP地址和私网IP地址的映射。

3、NAT Server

内网向外网提供服务，内网服务器不能被屏蔽，这是一种由外网发起向内网访问的NAT转换情形。外网用户访问内网服务器，通过“公网IP地址：端口号”与服务器的“私网IP地址：端口号”的固定映射，从私网IP地址与公网IP地址的映射关系看，也是一种静态映射关系。

二、BasicNAT实现原理

Basic Nat方式属于一对一地址转换，但不是静态一对一，是动态。

内网向公网发起连接请求时，请求报文中的私网IP地址通过事先准备好的公网IP地址池动态建立私网IP与公网IP的NAT映射表项，利用映射的公网IP将报文中的源IP地址（即内网私网IP地址）进行替换。然后送达给外网的目的主机。外网主机收到请求报文后进行响应时，响应报文到达NAT设备，又将依据前面请求把我摁所建立的私网IP与公网IP映射关系反向将报文中的目的IP替换成对应的私网IP，然后送达给内部源主机。

①当内网侧Host要访问公网侧Server时，向Router发送请求报文（即Outbound方向），此时报文中的源IP为Host自己的10.1.1.100，目的IP为Server的IP：211.100.7.34。

②Router收到来自Host请求报文后，从公网地址池选取一个空闲公网IP，建立与内网侧报文源IP间的NAT转换映射表项，包括正（Outbound）、反（Inbound）两个方向，依据正向NAT表项将报文中的源IP地址转换为对应的公网IP后向公网侧发送。此时发送的报文的源IP地址是转换后的公网IP：162.105.178.65，目的IP不变，仍为Server的IP：211.100.7.34。

③当Server收到请求报文后，需向Router发送响应报文（Inbound方向），此时只须将收到的请求报文中的源IP和目的IP对调即可，即报文的源IP是Server自己的IP：211.100.7.34，目的地址是Host私网IP转换后的公网IP：162.105.178.65。

④当Router收到来自公网Server发送的响应报文后，会根据报文中的目的IP查找NAT映射表项，将报文中的目的IP转换为Host主机对应的私网IP地址（源地址不变）后向私网侧发送，此时报文中的源IP仍是Server的IP：211.100.7.34，目的IP地址转换为Host的私网IP：10.1.1.100。

Basic NAT中的请求报文转换的仅是其中的源IP地址（目的IP不变），即仅关心源IP地址；响应报文转换的仅是其中的目的IP（源IP不变），即仅关心目的IP。

三、NAPT实现原理

多对一地址转换，NAPT使用“IP地址+端口号”的形式进行转换。

NAPT请求报文中转换的仅是源IP地址和源端口号（目的IP和目的端口号不变），即仅关系源IP和源端口号；响应报文中转换的是目的IP和目的端口号（源IP和源端口号不变），即仅关心目的IP和目的端口号。不同私网主机可以转换成同一个公网IP，但转换后的端口号必须不一样。

四、EasyIP实现原理

实现原理与地址池NAPT转换原理类似，可以算是NAPT的一种特例，不同的是Easy IP方式可以实现自动根据路由器上WAN接口的公网IP地址实现与私网IP地址之间的映射（无需创建公网地址池）。主要用于将路由器WAN接口IP地址作为要被映射的公网IP地址的情形，特别适合小型局域网接入Internet情况。

五、NATServer实现原理

NAT Server用于外网用户需要使用固定公网IP地址访问内部服务器的情形。通过事先配置好的服务器的“公网IP+端口号”与服务器的“私网IP+端口号”间的静态映射关系来实现。（要先在Router上配置好静态的NAT Server转换映射表）。

①Router在收到外网用户发起的访问请求报文后（即Inbound方向），根据该请求的“目的IP：端口号”查找NAT Server转换映射表，找出对应的“私网IP：端口号”，然后用找到的结果直接替换报文的“目的IP：端口号”，最后想内网侧发送。上图外网发送的请求报文中目的IP是202.102.1.68，端口号80，经过Router转换后的目的IP和端口号为192.168.1.68:80。

②内网服务器收到由Router转发的请求报文后，向Router发送响应报文（即Outbound方向）。此时报文中的源IP、端口号与目的IP、端口号与收到的请求报文中的完全对调，即响应报文中的源IP和端口号为前面的192.168.1.68:80.

③Router收到内网服务器的响应报文后又根据该响应报文中的“源IP：端口号”查抄NAT Server转换表项，找出对应的“公网IP：端口号”，然后替换报文中的“源IP：端口号”。本例中内网服务器相应外网主机的报文的源IP和端口号是192.168.1.68:80，经Router转换后的源IP和端口号为209.102.1.68:80。

由外网向内网服务器发送的请求报文中转换的仅是目的IP和目的端口号（源IP和源端口号不变），即仅关心目的IP和目的端口号；从内网向外网发送的响应报文转换的仅是源IP和源端口号（目的IP和目的端口号不变），即仅关心源IP和源端口号。

综上总结：NAT中凡是由内网向外网发送的报文（不管是请求报文还是响应报文），在NAT路由器上转换的都是源IP地址（或同时包括源端口号），而凡是由外网向内网发送的报文（不管是请求报文还是响应报文），在NAT路由器上转换的都是目的IP地址（或同时包括源端口号）。

六、静态NAT/NAPT

静态NAT是指在进行NAT转换时，内部网络主机的IP与公网IP是一对一静态绑定的，且每个公网IP只会分配给固定的内网主机转换使用。与Basic NAT不同的只是这里先要在NAT路由器上配置好静态NAT转换映射表，而不仅是地址池。

静态NAPT是指“内部网络主机的私网IP+协议号+端口号”与“公网IP+协议号+端口号”是一对一静态绑定的，静态NAPT中的公网IP可以为多个私网IP使用。与NAPT不同的也是要先在NAT路由器上配置好静态NAPT转换映射表，而不仅是地址池。

七、NAT与路由器的本质区别

两种技术主要存在实现机制和主要应用两个方面的本质区别。

1、实现机制不同

NAT是通过解决两个网络间互访的“身份”问题来解决实现两个网络的主机的互访，即通过将报文中的源IP或目的IP转换为对方网络的IP地址来实现两个网络中的主机互访。这里报文中的IP地址转换相当于“身份”的转换，即使一个网络中的主机具有访问对方网络的合法“身份”。

路由器则是通过解决两个网络互访“渠道”问题来实现两个网络的主机的互访，即建立一条互访的“路径”（即路由表）来实现双方主机的互访，而双方传输报文中的源IP和目的IP都不变，也就是双方的“身份”并没有经过转换。

2、主要应用不同

NAT主要应用于内部局域网主机与Internet主机互访的情形（当然也可以实现两个局域网之间的互联，但这不是NAT的主要应用），解决公网IPv4不足的问题。另外，在局域网与Internet的互联中也不可能建立一个双向互访的具体路由表，一则是因为私网IP在Internet无法识别，再则因为Internet不是单一IP网段的网络。

路由之所以选择通过建立路径来实现两个网络的主机的互访，是因为路由主要都是使用私网IP，有明确IP网段的局域网之间的互联。

https://blog.csdn.net/kaoa000/article/details/52368106

为什么要使用NAT

1 内网中主机过多，没有足够的合法IP地址可用。

2 当ISP发生变化时，使用NAT技术避免了IP地址的重新编址。

3 当两个合并的网络中出现了重复地址的时候。

4 利用NAT来解决TCP的负载均衡问题。

5 隐藏内部网络，增强安全性。

 

NAT就是将内网中使用的私有地址转换成可在Internet上进行路由的合法地址的技术。

私有地址范围：

10.0.0.0 ~ 10.255.255.255

172.16.0.0 ~ 172..31.255.255

192.168.0.0 ~ 192.168.255.255

 

NAT技术主要分为NAT和PAT。

NAT是从内部本地地址到内部全局地址的一对一转换。

PAT是从多个内部本地地址到内部全局地址的多对一转换。通过端口号确定其多个内部主机的唯一性。

 

NAT术语

Inside network：需要翻译成外部地址的内部网络。

Outside network：使用合法地址进行通信的外部网络。

Local address：内部网络使用的地址。

Global address：外部网络使用的地址。

Inside local address：内部本地地址。数据在内部网络使用的地址，一般为private ip address。

Inside global address：内部全局地址。数据为了到达外部网络，用来代表inside local address的地址，一般为ISP提供的合法地址。

Outside local address：外部本地地址，不必是合法地址。当外部网络数据到达内部网络，外部网络中的主机IP地址与内部网络中的主机处在同一网段时，为防止内部主机误认外部主机与自己在同一网段而广播ARP请求，造成无法通信，将外部主机的地址转换成外部本地地址之后再与内部主机进行通信。

Outside global address：数据在外部网络使用的地址，是个合法地址。

Simple translation entry：把一个IP地址映射到另外一个地址上的一对一的翻译方式。

Extended translation entry：把IP地址和端口（port）的组合翻译成另外一个地址和端口的组合。

Static address translation：静态地址翻译，把一个local对应到一个global上去。

Dynamic address translation：动态翻译，local和global池（pool）建立动态对应关系。

Port address translation（PAT）：通过使用地址和端口的结合来达到多个local对应一个global的状态。端口号用来确定每个local的唯一性。这样的技术也叫超载（overloading）。

 

NAT的优缺点

优点：

1 极大的节省了合法的IP地址。

2 能够处理地址重复情况，避免了地址的重新编号，增加了编址的灵活性。

3 隐藏了内部网络地址，增强了安全性。

4 可以使多个使用TCP负载特性的服务器之间实现基本的数据包负载均衡。

缺点：

1 由于NAT要在边界路由器上进行地址的转换，增大了传输的延迟。

2 由于NAT改动了IP地址，失去了跟踪端到端IP流量的能力。当出现恶意流量时，会使故障排除和流量跟踪变的更加棘手。

3 不支持一些特定的应用程序。如早期版本的MSN。

4 增大了资源开销。处理NAT进程增加了CPU的负荷，并需要更多内存来存储NAT表项。

 

配置NAT

inside & outside

每个包含了NAT进程的接口必须被指定为内部接口或外部接口，但不能被同时指定为这两个接口。在路由器上，必须至少有一个接口被配置成内部接口，一个接口被配置成外部接口。这样路由器就知道怎样在接口上处理入站和出站流量了。

D-Lab(config)#int e0    //进入接口模式

D-Lab(config-if)#ip nat inside   //指定inside接口出站

D-Lab(config-if)#int s0

D-Lab(config-if)#ip nat outside //指定outside接口入站

 

静态NAT

inside|outside local和inside|outside global的一对一映射

D-Lab(config)#ip nat {inside|outside} source static <inside local> < inside global>

这样就在NAT表中创建了一个永久表项。

配置示例：

D-Lab#config t

D-Lab(config)#int e0

D-Lab(config-if)#ip nat inside

D-Lab(config-if)#int s0

D-Lab(config-if)#ip nat outside

D-Lab(config)#ip nat inside source static 192.168.1.1 210.83.202.1

D-Lab(config)#ip nat outside source static 210.83.202.2 192.168.2.3

 

静态PAT

D-Lab(config)#ip nat {inside|outside} source static <protocol> <inside local> < port> < inside global> < port>

配置示例：

D-Lab(config)#ip nat inside source static tcp 10.1.1.1 80 214.118.21.121 80

 

动态NAT

动态NAT用来将inside local快速映射到inside global上。这些inside local放在可用的IP地址池中。同样，必须给参与NAT进程的路由器接口分配IP地址。

当内部网络主机要与Internet上的主机进行通信时，NAT边界路由器会从标记为“NAT内部”的接口接收数据包。

D-Lab(config)#ip nat pool <pool-name> <start-ip> <end-ip> netmask xxxx

D-Lab(config)#ip nat pool <pool-name> <start-ip> <end-ip> prefix-length xx     //掩码长度

例：

D-Lab(config)#ip nat pool dyn-nat-pool 211.10.121.1 211.10.121.254 netmask 255.255.255.0

D-Lab(config)#ip nat pool dyn-nat-pool 211.10.121.1 211.10.121.254 prefix-length 24

配置示例：

D-Lab(config)#inter e0 

D-Lab(config-if)#ip add 192.168.1.1 255.255.255.0    

D-Lab(config-if)#ip nat inside     //指定内部接口

D-Lab(config-if)#inter s0

D-Lab(config-if)#ip add 210.83.202.1 255.255.255.192

D-Lab(config-if)#ip nat outside    //指定外部接口

D-Lab(config-if)#exit

D-Lab(config)#access-list 1 permit 192.168.1.0 0.0.0.255     //标记inside local范围

D-Lab(config)#ip nat pool in-out210.83.202.2 210.83.202.8 prefix 24    //设置inside global地址池 

!

D-Lab(config)#ip nat inside source list 1 pool in-out    //启用inside源地址翻译，把标记的inside local范围与inside global池关联起来

 

动态PAT（多对一映射）

路由器为每个转换表项添加第四层协议和端口信息

D-Lab(config)#ip nat inside source list 1 pool in-out overload

如果不知道出站IP地址，可在命令中指定出站接口

D-Lab(config)#ip nat inside source list 1 e0 overload

//如果接口shut或者接口没有设置IP地址的话,NAT不会生效

配置实例：

D-Lab(config)#inter e0

D-Lab(config-if)#ip add 192.168.1.1 255.255.255.0

D-Lab(config)#access-list 9 permit 192.168.1.0 0.0.0.255

 

为重复地址配置NAT

D-Lab(config)#ip nat pool in-out211.121.1.1 211.121.1.254 prefix-length 24   //设置local global池

D-Lab(config)#ip nat pool out-in10.1.2.1 10.1.2.254 prefix-length 24   //设置outside local池

D-Lab(config)#ip nat inside source list 1 pool in-out    //启用inside源地址翻译，把标记的inside local范围与inside global池关联起来

D-Lab(config)#ip nat inside source list 1 pool out-in    //将在标记的inside local范围里的outside global转换成outside local池里的地址

D-Lab(config)#int fa0/0

D-Lab(config-if)#ip nat inside    //指定出站接口

D-Lab(config-if)#int s1/1

D-Lab(config-if)#ip nat outside    //指定入站接口

D-Lab(config-if)#exit

D-Lab(config)#access-list 1 permit 10.1.1.0 0.0.0.255    //标记inside local地址范围

 

更灵活的地址池的配置：

ip nat pool <name> { netmask <mask> | prefix-length <length> } [ type { rotary } ]

这样可以允许定义不连续地址池,接下来定义地址空间：

address <start> <end>

例：

D-Lab(config)#ip nat pool D-lab prefix-length 24

D-Lab(config-ipnat-pool)#address 11.69.73.12 11.69.73.14

D-Lab(config-ipnat-pool)#address 11.69.73.18 11.69.73.244

这样就定义了一个11.69.73.12 ~ 11.69.73.14和11.69.73.18~11.69.73.244的地址池

 

NAT关联routemap的配置：

ip nat inside source route-map <name> pool <name>

例：

ip nat pool d-1 173.26.232.1 173.26.232.254 prefix-length 24

ip nat inside source route-map d2-map pool d-2

 

配置NAT超时设置：

ip nat translation timeout <seconds>    //特权模式下

 

 

NAT配置的验证和故障排除

sh ip nat translations    //查看生效的NAT表项

sh ip nat translations verbose    //查看生效的NAT表项的详细信息

sh ip nat statistics    //显示NAT的统计数字和配置信息

 

clear ip nat translation *    //清除所有NAT表项

clear ip nat translation inside <global-ip>    //清除指定的内部NAT表项 :

clear ip nat translation <protocol> <global-ip> <local-ip> <global-port> <local-port>    //清除指定的NAT表项

 

debug ip nat [ <list> ] [ detailed ]    //调试NAT进程