網(wǎng)絡(luò)地址轉(zhuǎn)換Cisco路由器NAT配置

《網(wǎng)絡(luò)地址轉(zhuǎn)換Cisco路由器NAT配置》由會(huì)員分享，可在線閱讀，更多相關(guān)《網(wǎng)絡(luò)地址轉(zhuǎn)換Cisco路由器NAT配置（46頁珍藏版）》請?jiān)谘b配圖網(wǎng)上搜索。

1、會(huì)計(jì)學(xué)1網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換Cisco路由器路由器NAT配置配置第第6章章 路由器配置基礎(chǔ)路由器配置基礎(chǔ)第1頁/共46頁6.1 6.1 路由器概述路由器概述6.1.1 路由器簡介路由器簡介路由器是工作在網(wǎng)絡(luò)層的網(wǎng)絡(luò)設(shè)備，最主要的功能是提供路由和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）的功能。路由器常用于實(shí)現(xiàn)網(wǎng)絡(luò)的互聯(lián)，特別是異構(gòu)網(wǎng)絡(luò)之間的互聯(lián)。第2頁/共46頁6.1 6.1 路由器概述路由器概述6.1.2 路由器的組成路由器的組成路由器由硬件和軟件兩部分組成。硬件系統(tǒng)主要由CPU、存儲(chǔ)器和各種網(wǎng)絡(luò)接口組成。軟件系統(tǒng)主是由自引導(dǎo)程序、IOS操作系統(tǒng)、啟動(dòng)配置文件和路由器管理程序等組成。1.CPU2.存儲(chǔ)器（只

2、讀存儲(chǔ)器ROM、閃存Flash Memory、NVRAM、RAM）第3頁/共46頁6.1 6.1 路由器概述路由器概述6.1.2 路由器的組成路由器的組成3.管理接口4.網(wǎng)絡(luò)接口5.自舉程序6.路由器操作系統(tǒng)7.配置文件8.實(shí)現(xiàn)管理程序第4頁/共46頁6.2 6.2 路由協(xié)議簡介路由協(xié)議簡介6.2.1 可被路由協(xié)議與路由協(xié)議可被路由協(xié)議與路由協(xié)議1.可被路由協(xié)議屬于網(wǎng)絡(luò)層的協(xié)議，主要有IP、IPX、AppleTalk。2.路由協(xié)議也稱為路由選擇協(xié)議，屬于應(yīng)用層協(xié)議，主要有:RIP、IGRP、EIGRP、OSPF、BGP第5頁/共46頁6.2 6.2 路由協(xié)議簡介路由協(xié)議簡介6.2.2 靜態(tài)路由

3、與動(dòng)態(tài)路由靜態(tài)路由與動(dòng)態(tài)路由1.直連路由對在同一個(gè)網(wǎng)絡(luò)設(shè)備的不同接口的網(wǎng)絡(luò)地址，路由器會(huì)自動(dòng)添加這些網(wǎng)絡(luò)地址之間的路由到路由表中，這種路由就屬于直連路由。2.靜態(tài)路由由管理員手工配置和添加的路由。第6頁/共46頁6.2 6.2 路由協(xié)議簡介路由協(xié)議簡介6.2.2 靜態(tài)路由與動(dòng)態(tài)路由靜態(tài)路由與動(dòng)態(tài)路由3.動(dòng)態(tài)路由又稱為自適應(yīng)路由。通過各路由器之間相互連接的網(wǎng)絡(luò)，利用路由協(xié)議，動(dòng)態(tài)地相互交換路由信息，從而實(shí)現(xiàn)自動(dòng)更新和維護(hù)路由表。第7頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.1 NAT概述概述1.NAT的概念為了解決IP地址緊缺的問題，將一部分IP地址劃分為私網(wǎng)地址。為了解決使用

4、私網(wǎng)地址的局域網(wǎng)用戶訪問因特網(wǎng)的問題，從而誕生了網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（NAT）。代理服務(wù)器的實(shí)質(zhì)就是網(wǎng)絡(luò)地址轉(zhuǎn)換。第8頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.1 NAT概述概述2.NAT的相關(guān)術(shù)語（1）內(nèi)部網(wǎng)絡(luò)（2）外部網(wǎng)絡(luò)（3）內(nèi)部本地地址（4）內(nèi)部全局地址（5）外部本地地址（6）外部全局地址（7）地址池第9頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.2 NAT的工作原理的工作原理報(bào)文出去時(shí)，替換修改源IP地址；報(bào)文回來時(shí)，替換修改目的IP地址。第10頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.3 NAT的分類的分類1.靜態(tài)地址轉(zhuǎn)換局域網(wǎng)內(nèi)部的

5、私網(wǎng)地址，一對一地映射為一個(gè)公網(wǎng)地址。2.動(dòng)態(tài)地址轉(zhuǎn)換有一個(gè)供轉(zhuǎn)換用的公網(wǎng)地址池，從地址池中選擇未用的公網(wǎng)地址，實(shí)現(xiàn)私網(wǎng)地址與公網(wǎng)地址間一對一對映射轉(zhuǎn)換。可提供公網(wǎng)地址的利用率。第11頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.3 NAT的分類的分類3.網(wǎng)絡(luò)地址端口轉(zhuǎn)換用一個(gè)公網(wǎng)地址的一個(gè)端口來對應(yīng)一個(gè)私網(wǎng)地址的某個(gè)端口，從而建立起基于IP地址和端口的一一對應(yīng)關(guān)系。對于一個(gè)公網(wǎng)IP地址，由于有6萬多個(gè)TCP端口，因此，理論上可代理6萬多臺(tái)使用私網(wǎng)地址的主機(jī)訪問因特網(wǎng)。第12頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.4 Cisco路由器路由器NAT配置配置1.配

6、置地址端口轉(zhuǎn)換配置步驟和配置方法：（1）配置內(nèi)部全局地址池 （可選配置）ip nat pool ip nat pool pool-name start-ip end-ip netmasknetmask netmaskip nat pool ip nat pool pool-name start-ip end-ip prefix-lengthprefix-length prefixlength（2）配置接口類型ip nat inside|outsideinside定義接口為內(nèi)網(wǎng)接口，outside定義為外網(wǎng)口。第13頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.4 Cisco路由器

7、路由器NAT配置配置（3）配置訪問列表access-list number permit network wildcard訪問列表用于配置允許哪些網(wǎng)絡(luò)可以進(jìn)行NAT以訪問因特網(wǎng)。Number取值范圍為1-99，wildcard為子網(wǎng)掩碼的反碼。例如：若允許192.168.0.0/16網(wǎng)絡(luò)進(jìn)行NAT，則配置命令為：access-list 1 permit 192.168.0.0 0.0.255.255第14頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.4 Cisco路由器路由器NAT配置配置（4）配置內(nèi)部源地址的轉(zhuǎn)換ip nat inside source list acl-num

8、ber pool pool-name overloadip nat inside source list acl-number interface int-type int-number overload 示例：ip nat inside source list 1 pool mypool overloadip nat inside source list 1 interface fa0/1 overload第15頁/共46頁6.3 6.3 網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換6.3.4 Cisco路由器路由器NAT配置配置配置示例參見教材第198頁的例6.1?？稍贑isco Packet Tracert

9、軟件中進(jìn)行模擬操作。第16頁/共46頁6.3.4 Cisco6.3.4 Cisco路由器路由器NATNAT配置配置2.配置靜態(tài)地址轉(zhuǎn)換配置靜態(tài)地址轉(zhuǎn)換配置命令：ip nat inside source static tcp|udp local-ip port global-ip port該命令的具體用法有兩種：（1）公網(wǎng)地址與私網(wǎng)地址建立一對一的映射ip nat inside source static local-ip global-ip示例：ip nat inside source static 192.168.2.2 61.186.202.35第17頁/共46頁6.3.4 Cisco6.

10、3.4 Cisco路由器路由器NATNAT配置配置2.配置靜態(tài)地址轉(zhuǎn)換配置靜態(tài)地址轉(zhuǎn)換（2）公網(wǎng)地址的某個(gè)端口與私網(wǎng)地址的某個(gè)端口間建立一一對應(yīng)的映射關(guān)系ip nat inside source static tcp|udp local-ip port global-ip port 例 如，若 要 將 61.186.202.34的 TCP 80端 口 與192.168.2.2主機(jī)的TCP 80端口建立一一對應(yīng)關(guān)系。ip nat inside source static tcp 192.168.2.2 80 61.186.202.34 80第18頁/共46頁6.3.4 Cisco6.3.4 Ci

11、sco路由器路由器NATNAT配置配置3.配置動(dòng)態(tài)地址轉(zhuǎn)換配置動(dòng)態(tài)地址轉(zhuǎn)換與使用地址池的地址端口轉(zhuǎn)換配置方法和配置步驟基本相同，只是在配置內(nèi)部源地址轉(zhuǎn)換時(shí)，命令中不使用overload關(guān)鍵字。第19頁/共46頁6.3.4 Cisco6.3.4 Cisco路由器路由器NATNAT配置配置4.驗(yàn)證驗(yàn)證NAT配置配置show ip nat translations 顯示NAT轉(zhuǎn)換表show ip nat statistics 顯示NAT統(tǒng)計(jì)信息clear ip nat translations*清除NAT轉(zhuǎn)換表clear ip nat statistics 清除NAT統(tǒng)計(jì)信息以上命令在特權(quán)模式執(zhí)行。

12、第20頁/共46頁6.3.4 Cisco6.3.4 Cisco路由器路由器NATNAT配置配置5.NAT配置的刪除配置的刪除使用帶no的相同命令來刪除。刪除時(shí)，不能有內(nèi)網(wǎng)用戶正在使用NAT轉(zhuǎn)換。可斷開路由器與內(nèi)網(wǎng)用戶的連接，并清除NAT轉(zhuǎn)換表，然后再刪除NAT的相關(guān)配置。第21頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置1.配置地址端口轉(zhuǎn)換配置地址端口轉(zhuǎn)換華為路由器不支持以外網(wǎng)口地址來作為NAT轉(zhuǎn)換的地址，必須使用NAT地址池的方式。配置步驟如下：（1）配置內(nèi)、外網(wǎng)接口的IP地址（2）配置NAT轉(zhuǎn)換用的地址池nat address-group g

13、roup-name start-ip end-ip mask netmask示例：nat address-group 1 61.186.202.35 61.186.202.36 mask 255.255.255.248nat address-group 1 61.186.202.35 61.186.202.36 mask 255.255.255.248第22頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置1.配置地址端口轉(zhuǎn)換配置地址端口轉(zhuǎn)換（3）配置訪問控制列表，指定允許進(jìn)行NAT轉(zhuǎn)換的內(nèi)網(wǎng)地址段acl number acl-numberrule r

14、ule-id permit source network wildcardAcl-number取值范圍為2000至2999。示例：若允許192.168.0.0/16網(wǎng)絡(luò)進(jìn)行NAT轉(zhuǎn)換。acl number 2000rule 0 permit source 192.168.0.0 0.0.255.255第23頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置1.配置地址端口轉(zhuǎn)換配置地址端口轉(zhuǎn)換（4）在外網(wǎng)口配置對匹配訪問列表的主機(jī)進(jìn)行NAT轉(zhuǎn)換。nat outbound acl-number address-group address-group-num

15、ber示例：nat outbound 2000 address-group 1（5）配置路由配置默認(rèn)路由指向路由器的網(wǎng)關(guān)地址。若NAT地址池中的IP與外網(wǎng)接口不在同一網(wǎng)段，則還要配置空路由。第24頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置2.配置示例配置示例參見教材第202頁至第203頁。第25頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置3.靜態(tài)地址轉(zhuǎn)換靜態(tài)地址轉(zhuǎn)換配置步驟與配置方法與地址端口轉(zhuǎn)換基本相同。（1）配置內(nèi)、外網(wǎng)接口的IP地址（2）配置靜態(tài)地址轉(zhuǎn)換用的地址池（3）配置訪問控制列表（4）

16、在外網(wǎng)接口上配置NAT Server 將一個(gè)私網(wǎng)地址與一個(gè)公網(wǎng)地址建立一一對應(yīng)nat server global global-ip inside local-ip acl-number address-group group-name第26頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置3.靜態(tài)地址轉(zhuǎn)換靜態(tài)地址轉(zhuǎn)換示例：nat server global 61.186.202.37 inside 192.168.2.2 2001 address-group 2 將一個(gè)公網(wǎng)地址的某個(gè)端口與一個(gè)私網(wǎng)地址的某個(gè)端口，建立一一對應(yīng)關(guān)系nat server

17、protocol tcp|udp global global-ip port inside local-ip port acl-number address-group group-name第27頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置3.靜態(tài)地址轉(zhuǎn)換靜態(tài)地址轉(zhuǎn)換示例：nat server protocol tcp global 61.186.202.37 80 inside 192.168.2.2 80 2001 address-group 2（5）配置空路由地址池掩碼為32位，與外網(wǎng)接口不相同，需要配置到地址池主機(jī)的路由為空路由，讓下一跳

18、指向null 0ip route-static 61.186.202.37 255.255.255.255 null 0第28頁/共46頁6.3.5 6.3.5 華為華為NE20NE20路由器路由器NATNAT配置配置3.靜態(tài)地址轉(zhuǎn)換靜態(tài)地址轉(zhuǎn)換完整的配置示例參見教材第204頁的例6.3。第29頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置1.配置案例配置案例配置案例參見教材第205頁的第例6.4。第30頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置2.配置注意事項(xiàng)配置注意事項(xiàng)對于NE40，路由

19、器與因特網(wǎng)的互聯(lián)接口地址最好與NAT地址池的地址，屬于不同的網(wǎng)段，以簡化配置。若規(guī)劃為同一網(wǎng)段，則必須增加以下兩項(xiàng)配置：（1）nat enable address-group address-group-name為地址池中的地址自動(dòng)添加空接口路由。（2）nat match-host address-group-name配置響應(yīng)針對地址池中的地址的ARP請求。第31頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法（1）配置地址池nat nat address-group address-group group

20、-name start-ip end-ip maskmask netmask slotslot slot-id no-patno-patslot-id用于指定NAT板所在的槽位號(hào)。no-pat為可選項(xiàng)。若選用該參數(shù)項(xiàng)，則地址池中的地址僅用于靜態(tài)地址轉(zhuǎn)換；若不選用，則地址池中的地址用于地址端口轉(zhuǎn)換。第32頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法對于本例6.4的要求，地址池的定義為：nat nat address-group address-group 1 1 61.186.202.36 61.186.

21、202.36 61.186.202.39 61.186.202.39 mask mask 255.255.255.252 slot 2255.255.255.252 slot 2(2)配置流分類規(guī)則根據(jù)流的特征，對報(bào)文進(jìn)行過濾，即進(jìn)行流分類。NE40利用流分類規(guī)則，來定義允許進(jìn)行NAT轉(zhuǎn)換的內(nèi)網(wǎng)地址段。第33頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法(2)配置流分類規(guī)則配 置 命 令：rule-map intervlan rule-name protocol src-addr wildcard|any

22、 dest-addr wildcard|any對于本例，允許192.168.0.0/16的網(wǎng)絡(luò)進(jìn)行NAT，則流分類規(guī)則定義為：rule-map intervlan r1 ip 192.168.0.0 0.0.255.255 anyrule-map intervlan r1 ip 192.168.0.0 0.0.255.255 any刪除流分類規(guī)則：undo rule-map rule-name例如：undo rule-map r1第34頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法（3）配置服務(wù)級(jí)別為4，

23、連接數(shù)沒有限制配置命令：nat service-class 4 connections 0（4）配置NAT動(dòng)作，指定NAT轉(zhuǎn)換所使用的地址池，服務(wù)級(jí)別設(shè)置為4flow-actionflow-action action-name nat nat address-group address-group group-name service-classservice-class class-level命令功能：定義流的動(dòng)作為按指定的服務(wù)級(jí)別和地址轉(zhuǎn)換方式進(jìn)行網(wǎng)絡(luò)地址轉(zhuǎn)換。第35頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步

24、驟與配置方法對于本例，NAT轉(zhuǎn)換使用地址池1，若流動(dòng)作名命名為to-internet，則配置命令為：flow-action to-internet nat address-group 1 service-class 4flow-action to-internet nat address-group 1 service-class 4刪除流動(dòng)作：undo flow-action 刪除所有沒有被應(yīng)用的動(dòng)作。undo flow-action action-name刪除名為action-name的動(dòng)作，但不能刪除正在被應(yīng)用的流動(dòng)作。第36頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路

25、由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法（5）配置EACL，將流分類規(guī)則與NAT動(dòng)作關(guān)聯(lián)。EACL（Enhanced Access List）是一種增強(qiáng)的訪問控制列表，用于關(guān)聯(lián)報(bào)文流和流動(dòng)作。配置命令：eacl eacl-name rule-name action-name對于本例，其配置命令應(yīng)為：eacl out r1 to-internet第37頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置3.配置步驟與配置方法配置步驟與配置方法（6）配置內(nèi)網(wǎng)接口地址，并在該接口（入口）上應(yīng)用EACL配置命令：access

26、-group router eacl eacl-name對于本例，其配置命令應(yīng)為：access-group router eacl out（7）配置外網(wǎng)接口地址（8）配置路由第38頁/共46頁6.3.6 6.3.6 華為華為NE40NE40路由器的路由器的NATNAT配置配置4.案例的配置實(shí)現(xiàn)案例的配置實(shí)現(xiàn)例6.4的完整配置步驟和配置命令，參見教材第209頁。第39頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.1 NE40路由器的配置需求分析路由器的配置需求分析1.訪問因特網(wǎng)的配置需求分析有電信公網(wǎng)和教育網(wǎng)兩條出口線路，訪問教育網(wǎng)時(shí)，優(yōu)先通

27、過教育網(wǎng)出口訪問；訪問非教育網(wǎng)資源時(shí)，優(yōu)先通過電信線路出口進(jìn)行訪問。第40頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.1 NE40路由器的配置需求分析路由器的配置需求分析2.NE40的接口規(guī)劃與網(wǎng)絡(luò)拓?fù)涞?1頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.1 NE40路由器的配置需求分析路由器的配置需求分析3.路由配置分析4.NAT板在本網(wǎng)絡(luò)工程案例中，NAT板插在2號(hào)槽位上。要求利用NAT板來提供基于硬件的NAT轉(zhuǎn)換。5.靜態(tài)地址轉(zhuǎn)換配置校園網(wǎng)有少部分服務(wù)器使用內(nèi)網(wǎng)地址，放置在校園網(wǎng)內(nèi)

28、部，并允許因特網(wǎng)用戶訪問，對這部分服務(wù)器，需要配置靜態(tài)地址轉(zhuǎn)換。第42頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.2 配置配置NE40互聯(lián)接口與路由互聯(lián)接口與路由配置步驟與方法參見教材第211頁至第212頁。第43頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.3 NE40的雙出口的雙出口NAT配置配置配置步驟與方法參見教材第213頁至第218頁。第44頁/共46頁6.4 6.4 配置校園網(wǎng)華為配置校園網(wǎng)華為NE40NE40出口路由器出口路由器6.4.4 NE40的靜態(tài)地址轉(zhuǎn)換配置的靜態(tài)地址轉(zhuǎn)換配置配置步驟與方法參見教材第218頁至第220頁。第45頁/共46頁