項(xiàng)目20 把辦公網(wǎng)接入互聯(lián)網(wǎng)

《網(wǎng)絡(luò)組建與維護(hù)技術(shù)》項(xiàng)目20把辦公網(wǎng)接入互聯(lián)網(wǎng)核心技術(shù)

配置辦公網(wǎng)路由器NAT技術(shù)，把辦公網(wǎng)接入互聯(lián)網(wǎng)學(xué)習(xí)目標(biāo)

了解網(wǎng)絡(luò)私有地址知識(shí)

了解地址轉(zhuǎn)換的NAT技術(shù)

區(qū)別不同類型NAT地址轉(zhuǎn)換技術(shù)

了解NAPT端口地址轉(zhuǎn)換技術(shù)

配置地址轉(zhuǎn)換的NAT技術(shù)

配置地址轉(zhuǎn)換的NAPT技術(shù)

【項(xiàng)目背景】綠豐公司是家消費(fèi)品銷售公司，公司為適應(yīng)電子商務(wù)時(shí)代發(fā)展需要，組建互聯(lián)互通辦公網(wǎng)絡(luò)，搭建客戶銷售數(shù)據(jù)服務(wù)器，實(shí)現(xiàn)資源共享。此外在企業(yè)網(wǎng)絡(luò)的出口處，安裝一臺(tái)路由器設(shè)備作為企業(yè)網(wǎng)的出口設(shè)備：一方面實(shí)現(xiàn)企業(yè)內(nèi)部辦公網(wǎng)之間的互聯(lián)互通；另一方面把辦公網(wǎng)接入Internet網(wǎng)絡(luò)。企業(yè)內(nèi)部網(wǎng)絡(luò)在構(gòu)建過(guò)程中，使用私有IP地址規(guī)劃，構(gòu)建了企業(yè)的內(nèi)聯(lián)網(wǎng)（Intranet）。為了把辦公網(wǎng)接入Internet網(wǎng)絡(luò)，企業(yè)向中國(guó)電信申請(qǐng)到有限的幾個(gè)公有IP地址，在路由器設(shè)備上通過(guò)配置NAT地址轉(zhuǎn)換技術(shù)，實(shí)現(xiàn)企業(yè)的私有網(wǎng)絡(luò)訪問(wèn)外部的Internet網(wǎng)。【項(xiàng)目分析】由于IP地址的使用需求旺盛，造成了全球公有IP地址的枯竭。因此目前所有的企業(yè)網(wǎng)在構(gòu)建的過(guò)程中，都只能使用私有IP地址。但互聯(lián)網(wǎng)上的路由器不轉(zhuǎn)發(fā)帶有私有IP地址的數(shù)據(jù)包，因此企業(yè)內(nèi)部計(jì)算機(jī)如果需要訪問(wèn)互聯(lián)網(wǎng)，就需要在企業(yè)網(wǎng)絡(luò)的出口路由器或者防火墻設(shè)備上，配置NAT地址轉(zhuǎn)換技術(shù)，把企業(yè)網(wǎng)中的私有地址轉(zhuǎn)換為公有IP地址，才能實(shí)現(xiàn)企業(yè)網(wǎng)訪問(wèn)互聯(lián)網(wǎng)。【項(xiàng)目目標(biāo)】本項(xiàng)目主要從網(wǎng)絡(luò)管理員日常安全管理角度出發(fā)，講解私有地址以及私有地址和公有地址轉(zhuǎn)換的NAT設(shè)計(jì)基礎(chǔ)知識(shí)。通過(guò)本單元的學(xué)習(xí)，了解私有地址的基礎(chǔ)知識(shí)，熟悉私有地址轉(zhuǎn)換為公有地址的過(guò)程，會(huì)配置NAT以及NAPT地址轉(zhuǎn)換技術(shù)，實(shí)現(xiàn)企業(yè)網(wǎng)訪問(wèn)互聯(lián)網(wǎng)。NAT/NAPT帶來(lái)的好處解決IPv4地址空間不足的問(wèn)題；私有IP地址網(wǎng)絡(luò)與公網(wǎng)互聯(lián)；/8，/12，/16非注冊(cè)IP地址網(wǎng)絡(luò)與公網(wǎng)互聯(lián)；建網(wǎng)時(shí)分配了全局IP地址－但沒(méi)注冊(cè)網(wǎng)絡(luò)改造中，避免更改地址帶來(lái)的風(fēng)險(xiǎn)；什么是NAT/NAPT

NAT將網(wǎng)絡(luò)地址,從一個(gè)地址空間,轉(zhuǎn)換到另外一個(gè)地址空間的一個(gè)行為。

NAT的類型

NAT（NetworkAddressTranslation）轉(zhuǎn)換后，一個(gè)本地IP地址對(duì)應(yīng)一個(gè)全局IP地址

NAPT（NetworkAddressPortTranslation）轉(zhuǎn)換后，多個(gè)本地地址對(duì)應(yīng)一個(gè)全局IP地址NAT/NAPT的術(shù)語(yǔ)內(nèi)部網(wǎng)絡(luò)－Inside外部網(wǎng)絡(luò)－Outside內(nèi)部本地地址－InsideLocalAddress內(nèi)部全局地址－InsideGlobalAddress外部本地地址－OutsideLocalAddress外部全局地址－OutsideGlobalAddress互聯(lián)網(wǎng)OutsideInside企業(yè)內(nèi)部網(wǎng)外部網(wǎng)NAT

NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換），局域網(wǎng)主機(jī)訪問(wèn)互聯(lián)網(wǎng)時(shí)，網(wǎng)絡(luò)出口設(shè)備根據(jù)特定的規(guī)則，將局域網(wǎng)IP地址轉(zhuǎn)換為公網(wǎng)IP,從而實(shí)現(xiàn)局域網(wǎng)多臺(tái)主機(jī)利用NAT共享一條線路訪問(wèn)互聯(lián)網(wǎng)。IP：AInternetIP：BIP：C（公網(wǎng)）IP：D（公網(wǎng)）server局域網(wǎng)A的數(shù)據(jù)到路由器后，路由器將A的IP轉(zhuǎn)換為公網(wǎng)IP(C)，發(fā)送給服務(wù)器服務(wù)器返回?cái)?shù)據(jù)到路由器后，路由器將公網(wǎng)IP(C)轉(zhuǎn)換為A的IP,轉(zhuǎn)發(fā)給主機(jī)ANAT工作原理/24/24源IP:

目的IP:內(nèi)部本地地址內(nèi)部全局地址

源IP:

目的IP:

源IP:

目的IP:

源IP:

目的IP:NAPT工作原理/24源IP::1024

目的IP::80內(nèi)部本地地址：端口內(nèi)部全局地址:端口外部全局地址:端口:1024:1024：80:1136:1136：80

源IP::1023

目的IP::80

源IP::80

目的IP::1024

源IP::80

目的IP::1024Web服務(wù)什么時(shí)候使用NAPT缺乏全局IP地址只有一個(gè)連接ISP的全局IP地址內(nèi)部網(wǎng)要求上網(wǎng)的主機(jī)數(shù)很多提高內(nèi)網(wǎng)的安全性NAT/NAPT的配置

NAT/NAPT的配置有兩種靜態(tài)NAT/NAPT

動(dòng)態(tài)NAT/NAPT

靜態(tài)NAT/NAPT

需要向外網(wǎng)絡(luò)提供信息服務(wù)的主機(jī)永久的一對(duì)一IP地址映射關(guān)系

動(dòng)態(tài)NAT/NAPT

只訪問(wèn)外網(wǎng)服務(wù)，不提供信息服務(wù)的主機(jī)內(nèi)部主機(jī)數(shù)可以大于全局IP地址數(shù)最多訪問(wèn)外網(wǎng)主機(jī)數(shù)決定于全局IP地址數(shù)臨時(shí)的一對(duì)一IP地址映射關(guān)系靜態(tài)NAT1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside2、建立靜態(tài)的映射關(guān)系Router(config)#ipnatinsidesourcestatic

動(dòng)態(tài)NAT配置1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定義內(nèi)部本地地址范圍Router(config)#access-list10permit553、定義內(nèi)部全局地址池Router(config)#ipnatpoolabc0netmask4、建立映射關(guān)系Router(config)#ipnatinsidesourcelist10poolabc靜態(tài)NAPT1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config)#interfacefastethernet0Router(config-if)#ipnatoutsideRouter(config)#interfacefastethernet1Router(config-if)#ipnatinside2、建立靜態(tài)的映射關(guān)系Router(config)#ipnatinsidesourcestatictcp10241024Router(config)#ipnatinsidesourcestaticudp10241024動(dòng)態(tài)NAPT配置1、定義內(nèi)網(wǎng)接口和外網(wǎng)接口Router(config-if)#ipnatoutsideRouter(config-if)#ipnatinside2、定義內(nèi)部本地地址范圍Router(config)#access-list10permit553、定義內(nèi)部全局地址池Router(config)#ipnatpoolabcnetmask4、建立映射關(guān)系Router(config)#ipnatinsidesourcelist10poolabcoverloadNAT/NAPT的配置靜態(tài)和動(dòng)態(tài)兩種

靜態(tài)1、定義inside和outside接口2、建立一對(duì)一映射關(guān)系3、NAT和NAPT之間區(qū)別在于NAPT需要指定協(xié)議的端口

動(dòng)態(tài)1、定義inside和outside接口2、定義內(nèi)網(wǎng)本地地址池（利用標(biāo)準(zhǔn)訪問(wèn)列表定義）3、定義內(nèi)網(wǎng)全局地址池（利用ipnatpool）4、建立內(nèi)網(wǎng)本地地址池和內(nèi)網(wǎng)全局地址池的映射關(guān)系5、NAT和NAPT之間的區(qū)別在于NAPT在配置命令結(jié)尾加overloadNAT/NAPT的監(jiān)視和維護(hù)命令

顯示命令showipnatstatistics顯示翻譯統(tǒng)計(jì)showipnattranslations[verbose]顯示活動(dòng)翻譯

清除狀態(tài)命令clearipnattranslation*從NAT轉(zhuǎn)換表中清除所有動(dòng)態(tài)地址轉(zhuǎn)換項(xiàng)clearipnattranslationinsidelocal-addressglobal-address

清除一個(gè)包含指定內(nèi)部翻譯的轉(zhuǎn)換項(xiàng)更多的命令用clearipnat?NAT/NAPT帶來(lái)的限制

限制影響網(wǎng)絡(luò)性能不能處理IP報(bào)頭加密的報(bào)文；無(wú)法實(shí)現(xiàn)端到端的路徑跟蹤（traceroute)某些應(yīng)用可能支持不了：內(nèi)嵌IP地址

內(nèi)嵌IP地址的應(yīng)用有FTPDNSNetMeetingH.323,VoIP其它自編應(yīng)用項(xiàng)目實(shí)施20.8項(xiàng)目實(shí)施：把辦公網(wǎng)接入互聯(lián)網(wǎng)【任務(wù)描述】綠豐公司在企業(yè)網(wǎng)絡(luò)的出口處，安裝一臺(tái)路由器設(shè)備作為企業(yè)網(wǎng)的出