NAT地址轉(zhuǎn)換原理及配置ppt課件

1、NAT地址轉(zhuǎn)換原理及配置地址轉(zhuǎn)換原理及配置ISSUE 1.1日期：n 掌握掌握NAT的工作原理的工作原理n 熟悉熟悉NAT的配置實現(xiàn)的配置實現(xiàn)n 了解了解NAT監(jiān)控調(diào)試方法監(jiān)控調(diào)試方法n 常見組網(wǎng)及故障排查方法常見組網(wǎng)及故障排查方法課程目標(biāo)課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：學(xué)習(xí)完本課程，您應(yīng)該能夠：n NAT工作原理工作原理n NAT配置實現(xiàn)配置實現(xiàn)n NAT驗證及調(diào)試驗證及調(diào)試n NAT常見組網(wǎng)常見組網(wǎng)目錄目錄NATl 地址轉(zhuǎn)換是在地址轉(zhuǎn)換是在IP地址日益短缺的背景下出現(xiàn)的。地址日益短缺的背景下出現(xiàn)的。l 一個局域網(wǎng)內(nèi)部有很多臺主機，可是不能保證每臺主機都一個局域網(wǎng)內(nèi)部有很多臺主機，可是不能

2、保證每臺主機都擁有合法的擁有合法的IP地址，為了使所有的內(nèi)部主機都可以訪問地址，為了使所有的內(nèi)部主機都可以訪問Internet，需要進行地址轉(zhuǎn)換。，需要進行地址轉(zhuǎn)換。l 地址轉(zhuǎn)換技術(shù)可以有效隱藏局域網(wǎng)地址轉(zhuǎn)換技術(shù)可以有效隱藏局域網(wǎng)內(nèi)的內(nèi)的主機，是一種有效主機，是一種有效的網(wǎng)絡(luò)安全保護技術(shù)。的網(wǎng)絡(luò)安全保護技術(shù)。l 地址轉(zhuǎn)換可以按照用戶的需要，在局域網(wǎng)內(nèi)向外提供地址轉(zhuǎn)換可以按照用戶的需要，在局域網(wǎng)內(nèi)向外提供FTP、WWW、Telnet等服務(wù)。等服務(wù)。地址類別（公有地址和私有地址）地址類別（公有地址和私有地址）l 公有地址和私有地址公有地址和私有地址公有地址是因特網(wǎng)上全球唯一的IP地址，由IANA統(tǒng)

3、一分配。私有地址為RFC規(guī)定的保留IP地址段，僅用于內(nèi)部網(wǎng)，不能與Internet直接通信。Internet私有/8私有/12私有/24LAN ALAN BLAN C私有地址范圍：私有地址范圍： - 55 - 55 - 55NAT基本概念基本概念2NAT tableInside Address1PrivatePublicAddre

4、ss Pool IP Addresspool110Address PoolGlobal AddressHostARTA54/24/24HostBInternetHostC/24address-group 1（10）Basic NAT/24HostARTA54/24/24HostBInternetHostC13245S=10.0

5、.0.1D=S=1D=S=D=1S=D=2NAT tableInside Address1Global AddressS：源IP地址D：目的IP地址address-group 1（10）NAPTHostARTA54/24/24HostBInternetHostC

6、/2413245S= P=1024D= P=21S=1 P=2001D= P=21S= P=21D=1 P=2001S= P=21D= P=1024 10241 3001NAT tableInside AddressPort 10241 2001Global AddressPortS：源IP地址D：目的IP地址P：TCP、UDP端口ad

7、dress-group 1（10）ALGl ALG：有些應(yīng)用層協(xié)議在數(shù)據(jù)中攜帶IP地址或端口信息，對它們作NAT時需要同時修改上層數(shù)據(jù)中的IP地址或端口信息。一些非TCP、UDP的協(xié)議（如ICMP、PPTP）作上層NAT時，需要對它們的特征參數(shù)（如ICMP的ID參數(shù)）進行轉(zhuǎn)換。HostARTA54/24/24HostBInternetHostC/2413245S= P=1024D= P=21S=1 P

8、=2001D= P=21S= P=21D=1 P=2002S= P=21D= P=500 50011 2002NAT tableInside AddressPort 10241 2001Global AddressPort“S= P=5001”“S=1 P=2002”FTP Control 通道通道FTP Data 通道通道address-group 1（

9、10）NAT DNS mappingn NAT工作原理工作原理n NAT配置實現(xiàn)配置實現(xiàn)n NAT驗證及調(diào)試驗證及調(diào)試n NAT常見組網(wǎng)常見組網(wǎng)目錄目錄EASY IPl Easy IP：在地址轉(zhuǎn)換的過程中直接使用接口的：在地址轉(zhuǎn)換的過程中直接使用接口的IP地址作地址作為轉(zhuǎn)換后的源地址。在接口視圖下配置：為轉(zhuǎn)換后的源地址。在接口視圖下配置：nat outbound acl-numberPrivatePublicHostARTA54/24/24HostBInternetHostC/24

10、RTA使用E0/1接口的IP 地址作為地址轉(zhuǎn)換后的公有IP地址E0/0E0/1Static NATl 靜態(tài)映射：在內(nèi)部私有靜態(tài)映射：在內(nèi)部私有IP與外部公用與外部公用IP之間建立一對一的映之間建立一對一的映射關(guān)系。配置如下：射關(guān)系。配置如下：（全局）（全局） nat static ip-addr1 ip-addr2（接口）（接口） nat outbound staticPrivatePublicHostARTA54/24/24HostBInternetHostC/24RTA為HostA和HostB靜態(tài)映

11、射公有地址E0/0E0/1多對多多對多NATl Address Pool：連續(xù)：連續(xù)IP地址的集合，用于為內(nèi)部用戶動態(tài)分地址的集合，用于為內(nèi)部用戶動態(tài)分配公用地址。配置如下：配公用地址。配置如下：（全局）（全局） nat address-group pool-number start-addr end-addr（接口）（接口） nat outbound acl-number address-group pool-number no-pat注：注：no-pat指基于指基于IP的地址轉(zhuǎn)換，缺省為的地址轉(zhuǎn)換，缺省為pat方式。方式。PrivatePublicHostARTA10.0.

12、0.254/24/24HostBInternetHostC/24從地址池pool1中為HostA和HostB動態(tài)分配公有地址E0/0E0/1address-group 1（10）NAT Serverl 內(nèi)部服務(wù)器：將（外部地址、端口）映射到內(nèi)部的服務(wù)器上，將（外部地址、端口）映射到內(nèi)部的服務(wù)器上，使外部網(wǎng)絡(luò)可訪問內(nèi)部服務(wù)器。配置如下：使外部網(wǎng)絡(luò)可訪問內(nèi)部服務(wù)器。配置如下：（接口）（接口） nat server acl-number protocol pro-type global globa

13、l-addr global-port inside host-addr host-port PrivatePublicHostARTA54/24/24HostBInternetHostC/24RTA為HostA和HostB靜態(tài)映射（公有地址:端口）E0/0E0/1n NAT工作原理工作原理n NAT配置實現(xiàn)配置實現(xiàn)n NAT驗證及調(diào)試驗證及調(diào)試n NAT常見組網(wǎng)常見組網(wǎng)目錄目錄驗證調(diào)試驗證調(diào)試l 顯示地址轉(zhuǎn)換信息顯示地址轉(zhuǎn)換信息display nat address-group | aging-time

14、 | all | outbound | server | statistics | session | slot slot-number | source global global-addr | source inside inside-addr | destionation ip-addr l 調(diào)試地址轉(zhuǎn)換過程調(diào)試地址轉(zhuǎn)換過程debugging nat alg | event | packet interface interface-type interface-number l 清除地址轉(zhuǎn)換連接清除地址轉(zhuǎn)換連接reset nat sessionn NAT工作原理工作原理n NAT配置實現(xiàn)

15、配置實現(xiàn)n NAT驗證、調(diào)試驗證、調(diào)試n NAT常見組網(wǎng)常見組網(wǎng)目錄目錄（一）（一）Easy IP and Static NATl 組網(wǎng)：HostA訪問訪問HostC時使用時使用Easy IP轉(zhuǎn)換，同時在轉(zhuǎn)換，同時在RTA上為上為HostB提供靜態(tài)映射地址提供靜態(tài)映射地址。PrivatePublicHostARTA54/24/24HostC1RTB/24E0/0E0/12E0/1E0/0HostB（一）配置實現(xiàn)（一）配置實現(xiàn)l RTA配置interface E

16、thernet0/0 ip address 54 interface Ethernet0/1 ip address nat outbound 2000 nat outbound staticacl number 2000 rule 0 permit source 55nat static ip route-static 0 l RTB配置interface Ethernet0/0 ip add

17、ress interface Ethernet0/1 ip address （二）內(nèi)部服務(wù)器（二）內(nèi)部服務(wù)器l 組網(wǎng)：組網(wǎng)：RTA上配置內(nèi)部服務(wù)器，使上配置內(nèi)部服務(wù)器，使HostC能夠訪問內(nèi)網(wǎng)能夠訪問內(nèi)網(wǎng)的的FTP服務(wù)器。當(dāng)服務(wù)器。當(dāng)HostA訪問訪問HostC時使用時使用address-group 1中的地址。中的地址。PrivatePublicHostARTA54/24/24HostC1RTB/

18、24E0/0E0/12E0/1E0/0http Serveraddress-group 1（10）（二）配置實現(xiàn)（二）配置實現(xiàn)l RTA配置interface Ethernet0/0 ip address 54 interface Ethernet0/1 ip address nat outbound 2000 address-group 1 nat server 3000 protocol tcp global 0

19、http inside httpacl number 2000 rule 0 permit source 55acl number 3000 rule 0 permit ip source 0 destination 0 rule 1 deny ipnat address-group 1 1 0 ip route-static 0 l RTB配置interface Ethernet0/0 ip address 198.76

20、.28.2 interface Ethernet0/1 ip address 內(nèi)部服務(wù)器（續(xù)）內(nèi)部服務(wù)器（續(xù)）l 組網(wǎng)：組網(wǎng)：PC機同時要實現(xiàn)使用公網(wǎng)域名與公網(wǎng)機同時要實現(xiàn)使用公網(wǎng)域名與公網(wǎng)IP訪問訪問訪問訪問內(nèi)部服務(wù)器內(nèi)部服務(wù)器配置實現(xiàn)（續(xù)）配置實現(xiàn)（續(xù)）l 路由器配置命令(MSR最新版本)interface GigabitEthernet0/1 #外網(wǎng)口 port link-mode route nat outbound 2000 nat server protocol tcp global w

21、ww inside www ip address l 路由器配置命令（MSR之前版本）H3C-acl-adv-3000rule 0 permit ip source 55 destination 0interface GigabitEthernet0/0 #內(nèi)網(wǎng)口H3C-GigabitEthernet0/0nat outbound 3000H3C-GigabitEthernet0/0nat server protocol tcp global

22、www inside www（三）雙出口地址轉(zhuǎn)換（三）雙出口地址轉(zhuǎn)換l 組網(wǎng)：用戶有多條用戶有多條Internet出口線路，通往出口線路，通往Public1和和Public2，要求，要求HostA訪問訪問Public1時用時用address-group 1地址，訪問地址，訪問Public2時用時用address-group 2地址。地址。PrivatePublicHostARTA54/24/24HostB1RTB/24HostC/24RTC198.7

23、7.29.1/24/24E0/0E0/1212E1/0E0/0E0/1E0/1E0/0address-group 2（10）Public1address-group 1（10）（三）配置實現(xiàn)（三）配置實現(xiàn)l RTA配置interface Ethernet0/0 ip address 54 interface Ethernet0/1 ip address nat outbound 2000 address-group 1interface Ethernet1/0 ip address nat outbound 2000 address-group 2acl number 2000 rule 0 permit source 55nat address-group 1 1 0nat address-group 2 1 0ip route-static 24 i