計(jì)算機(jī)安全nat詳解動(dòng)態(tài)配置

1、動(dòng)態(tài) NAT 配置本部分包括以下內(nèi)容：動(dòng)態(tài)NAT 的配置動(dòng)態(tài)NAPT 的配置接口動(dòng)態(tài)NAPT 的配置網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)用于把一個(gè)IP 地址轉(zhuǎn)換為另一個(gè) IP 地址。NAT 的一些術(shù)語：1、本地地址(Inside Local Address)指本網(wǎng)絡(luò)主機(jī)的IP 地址。該地址通常是未的私有 IP 地址。2、全局地址(Inside Global Address)指本地地址在外部網(wǎng)絡(luò)的IP 地址。它通常是的合法IP 地址，是 NAT 對(duì)本地地址轉(zhuǎn)換后的結(jié)果。3、外部本地地址(Outside Local Address)指外部網(wǎng)絡(luò)的主機(jī)在網(wǎng)絡(luò)中表現(xiàn)的IP 地址。 4、外部全局地址(Outside G

2、lobal Address) 指外部網(wǎng)絡(luò)主機(jī)的IP 地址。5、源地址NAT把 Inside Local Address 轉(zhuǎn)換為 Inside Global Address。這也是通常所說的NAT。在數(shù)據(jù)報(bào)送往時(shí)，它把主機(jī)的私有IP 地址轉(zhuǎn)換為的合法IP 地址，在數(shù)據(jù)報(bào)送入內(nèi)網(wǎng)時(shí)，把地址轉(zhuǎn)換為的私有IP 地址。6、外部源地址NAT把 Outside Global Address 轉(zhuǎn)換為 Outside Local Address。這種轉(zhuǎn)換只是在地址和外部地址發(fā)生時(shí)使用。7、NAPTNAPT 又稱port NAT 或PAT，它是通過端口復(fù)用技術(shù)，讓一個(gè)全局地址對(duì)應(yīng)多個(gè)本地地址，以節(jié)省對(duì)合法地址的使

3、用量。本部分只源地址的動(dòng)態(tài)NAT 和動(dòng)態(tài)NAPT 的配置。動(dòng)態(tài) NAT 的配置這里指的是源地址的動(dòng)態(tài)NAT 的配置。它有以下特征：1、本地地址和全局地址是一對(duì)一。2、動(dòng)態(tài)NAT 是臨時(shí)的，如果過了一段時(shí)間沒有使用，關(guān)系就會(huì)刪除。動(dòng)態(tài)需要把合法地址組建成一個(gè)地址池，當(dāng)內(nèi)網(wǎng)的客戶機(jī)時(shí)，從地址池中取出一個(gè)地址為它建立NAT，這個(gè)關(guān)系會(huì)一直保持到會(huì)話結(jié)束。動(dòng)態(tài) NAT 的配置：Ruijie(config)#ip nat pool pool-name start-address end-addreetmask subnet-mask這個(gè)命令用于定義一個(gè)IP 地址池，pool-name 是地址池的名字，s

4、tart-address 是起始地址，end-address 是結(jié)束地址，subnet-mask 是子網(wǎng)掩碼。地址池中的地址是供轉(zhuǎn)換的全局地址，通常是的合法地址。Ruijie(config)#acs-list acs-list-numbermit address wildcard-mask這個(gè)命令定義了一個(gè)控制列表，acs-list-number 是表號(hào)，address 是地址，wildcard-mask 是通配符掩碼。它的作用是限定本地地址的格式，只有和這個(gè)列表匹配的地址才會(huì)進(jìn)行 NAT 轉(zhuǎn)換。Ruijie(config)#ip nat inside source list acs-list

5、-numbool pool-name這個(gè)命令定義了動(dòng)態(tài)Ns-list-number 是列表的表號(hào)，pool-name 是地址池的名字。它表示把和列表匹配的本地地址，用地址池中的地址建立NAT。Ruijie(config)#erfaceerface-idRuijie(config-if)#ip nat inside以上命令指定了網(wǎng)絡(luò)的接口。 Ruijie(config-if)#erfaceerface-id Ruijie(config-if)#ip nat outside以上命令指定了網(wǎng)絡(luò)的外部接口。你可以配置多個(gè) Inside 和 Outside 接口。配置舉例：Ruijieenable Ru

6、ijie#configure terminalRuijie(config)#ip nat pool np 200.10.10.6 200.10.10.15 netmask 255.255.255.0Ruijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255Ruijie(config)#acs-list 1 permit 192.168.20.0 0.0.0.255 Ruijie(config)#ip nat inside source list 1 pool np Ruijie(config)#erface f0/0Ruijie(config

7、-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat inside Ruijie(config-if)#no shutdown Ruijie(config-if)#erfa1/0Ruijie(config-if)#ip address 199.1.1.2 255.255.255.0Ruijie(config-if)#ip nat outsideRuijie(config-if)#no shutdownRuijie(config-if)#endRuijie#本例把合法地址組建為一個(gè)地址池，地址范圍是 200.10.10

8、.6200.10.10.15，內(nèi)網(wǎng)中客戶機(jī)的地址都是 192.168.10.*和 192.168.20.*的格式，當(dāng)這種地址射。時(shí)，會(huì)用地址池中的地址建立 NAT 映說明：列表的定義不要太寬，應(yīng)盡量準(zhǔn)確，否則可能會(huì)出現(xiàn)不可預(yù)知的結(jié)果。動(dòng)態(tài) NAPT 的配置動(dòng)態(tài)NAPT 可以使一個(gè)它有以下特征：本地地址相對(duì)應(yīng)，從而可以節(jié)省合法 IP 地址的使用量。全局地址和多個(gè)1、一個(gè)本地地址建立，用IP 地址+端全局地址可以和多個(gè)區(qū)分各個(gè)地址。（銳捷路由器中每個(gè)全局地址最多可提供 64512 個(gè)NAT 地址轉(zhuǎn)換）2、動(dòng)態(tài)NAPT 是臨時(shí)的，如果過了一段時(shí)間沒有使用，關(guān)系就會(huì)刪除。3、動(dòng)態(tài)NAPT 可以只使用一

9、個(gè)合法地址為所有本地地址建立，但數(shù)量是有限的，如果用多個(gè)合法地址組建成一個(gè)地址池，每個(gè)地址都能塞。多個(gè)本地地址，則可減少因地址耗盡導(dǎo)致的網(wǎng)絡(luò)擁動(dòng)態(tài)NAPT 的配置與動(dòng)態(tài)NAT 基本上相同，只是在 NAT 定義中，需要加上 overload 關(guān)鍵字：Ruijie(config)#ip nat inside source list acs-list-numbool pool-name overload這個(gè)命令定義了動(dòng)態(tài)NAPT，acs-list-number 是列表的表號(hào)，pool-name 是地址池的名字。它表示把和列表匹配的本地地址，用地址池中的地址建立NAPT復(fù)用。overload 關(guān)鍵字表

10、示啟用端口加上 overload 關(guān)鍵字后，系統(tǒng)首先會(huì)使用地址池中的第一個(gè)地址為多個(gè)數(shù)量達(dá)到極限時(shí)，再使用第二個(gè)地址。本地地址建立，當(dāng)配置舉例：Ruijieenable Ruijie#configure terminalRuijie(config)#ip nat pool np 200.10.10.6 200.10.10.15 netmask 255.255.255.0Ruijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255Ruijie(config)#ip nat inside source list 1 pool np overload

11、Ruijie(config)#erface f0/0Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat insideRuijie(config-if)#no shutdownRuijie(config-if)#erfa1/0Ruijie(config-if)#ip address 199.1.1.2 255.255.255.0Ruijie(config-if)#ip nat outsideRuijie(config-if)#no shutdownRuijie(config-if)#endR

12、uijie#本例把合法地址組建為一個(gè)地址池，地址范圍是 200.10.10.6200.10.10.15，內(nèi)網(wǎng)中客戶機(jī)的地址都是 192.168.10.*的格式，當(dāng)這種地址時(shí)，會(huì)用地址池中的地址建立NAPT。接口動(dòng)態(tài) NAPT 的配置你可以使用outside 接口的IP 地址作為唯一的全局地址為所有本地地址提供，它可看作動(dòng)態(tài)NAPT 的特例。接口動(dòng)態(tài) NAPT 的配置：Ruijie(config)#acs-list acs-list-numbermit address wildcard-mask這個(gè)命令定義了一個(gè)控制列表，acs-list-number 是表號(hào)，address 是地址，wildc

13、ard-mask 是通配符掩碼。它的作用是限定本地地址的格式，只有和這個(gè)列表匹配的地址才會(huì)進(jìn)行 NAT 轉(zhuǎn)換。Ruijie(config)#ip nat inside sourcelist acs-list-numbererfaceerface-id overload這個(gè)命令定義了動(dòng)態(tài)NAPT，acs-list-number 是列表的表號(hào)， erfaceerface-id 指定了全局地址所在的接口，一般是outside 接口。它表示和列表匹配的本地地址，都用該接口的 IP地址建立NAPT。overload 關(guān)鍵字表示啟用端口復(fù)用。Ruijie(config)#erfaceerface-idRu

14、ijie(config-if)#ip nat inside以上命令指定了網(wǎng)絡(luò)的接口。 Ruijie(config-if)#erfaceerface-id Ruijie(config-if)#ip nat outside以上命令指定了網(wǎng)絡(luò)的外部接口。從以上配置可以看出，配置接口動(dòng)態(tài)NAPT 時(shí)可以不配址池。在接口動(dòng)態(tài)NAPT 的配置中，只是指定了時(shí)使用哪個(gè)接口的 IP 地址，當(dāng)該接口的 IP 地址改變時(shí)，不需要重新定義。配置舉例：Ruijieenable Ruijie#configure terminalRuijie(config)#acs-list 1 permit 192.168.10.0 0.0.0.255 Ruijie(config)#ip nat inside source list 1erfa1/0 overload Ruijie(config)#erface f0/0Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0Ruijie(config-if)#ip nat inside Ruijie(config-if)#no shutdown Ruijie(config