《ccna-网络地址转换(NAT)配置教学演示.ppt》由会员分享，可在线阅读，更多相关《ccna-网络地址转换(NAT)配置教学演示.ppt（53页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、Page 2/44本章目标本章目标v了解地址转换（了解地址转换（NAT）的作用和工作原理）的作用和工作原理v了解各种了解各种NAT术语术语v理解理解NAT的各种应用：的各种应用：转换内部转换内部LAN地址、复地址、复用内部地址、负载均衡用内部地址、负载均衡和处理地址交叉和处理地址交叉v掌握掌握NAT的配置和排错的配置和排错一、案例一、案例v问题问题1：企业不想让外部网络用户知道自己的网：企业不想让外部网络用户知道自己的网络内部结构，我们可以采用路由器将内网与外网络内部结构，我们可以采用路由器将内网与外网隔离的方案，但如何才能保证内网用户正常访问隔离的方案，但如何才能保证内网用户正常访问外网资源
2、？外网资源？ v问题问题2：企业申请的公网：企业申请的公网 IP地址很少，而内部网地址很少，而内部网络用户很多，如何才能使内网的每个用户都可以络用户很多，如何才能使内网的每个用户都可以正常访问外网？正常访问外网？ 二、技术路线二、技术路线v情况情况1：可以通过：可以通过NAT将内部网络与外部将内部网络与外部Internet 隔离开，使外部用户根本不知道通过隔离开，使外部用户根本不知道通过NAT设置的设置的内部内部IP地址。地址。 v情况情况2：可以通过：可以通过NAT功能实现多个用户同时公用功能实现多个用户同时公用一个合法一个合法IP与外部与外部Internet 进行通信。进行通信。 NAT网
3、络地址翻译网络地址翻译 v 随着随着Internet的飞速发展，网上丰富的资源产生着巨大的的飞速发展，网上丰富的资源产生着巨大的吸引力吸引力v 接入接入Internet成为当今信息业最为迫切的需求。成为当今信息业最为迫切的需求。v 但这受到但这受到IP地址的许多限制地址的许多限制v 首先，许多局域网在未联入首先，许多局域网在未联入Internet之前，就已经运行许之前，就已经运行许多年了，局域网上有了许多现成的资源和应用程序，但它多年了，局域网上有了许多现成的资源和应用程序，但它的的IP地址分配不符合地址分配不符合Internet的国际标准，因而需要重新的国际标准，因而需要重新分配局域网的分配
4、局域网的IP地址，这无疑是劳神费时的工作。地址，这无疑是劳神费时的工作。v 其二，随着其二，随着Internet的膨胀式发展，其可用的的膨胀式发展，其可用的IP地址越来地址越来越少，要想在越少，要想在ISP处申请一个新的处申请一个新的IP地址已不是很容易的地址已不是很容易的事了。事了。vNAT（网络地址翻译）能解决不少令人头疼的问（网络地址翻译）能解决不少令人头疼的问题题v它解决问题的办法是：在内部网络中使用内部地它解决问题的办法是：在内部网络中使用内部地址，通过址，通过NAT把内部地址翻译成合法的把内部地址翻译成合法的IP地址，地址，在在Internet上使用。上使用。v其具体的做法是把其具
5、体的做法是把IP包内的地址池（内部本地）包内的地址池（内部本地）用合法的用合法的IP地址段（内部全局）来替换。地址段（内部全局）来替换。私有私有IP地址空间地址空间企业边缘的NAT中小型组织与 ISP 之间一般只有一条连接。连接到 ISP 的是配置了 NAT 的本地边界路由器。大型组织可能会有多条 ISP 连接，各个位置上的边界路由器都执行 NAT。在边界路由器上使用 NAT 能提高安全性。内部私有地址每次会转换为不同的公有地址。这样可以隐藏企业内主机和服务器的实际地址。大多数实施 NAT 的路由器还会阻止来自私有网络外部的数据包（除非这些数据包是内部主机所发出请求的应答数据包）。 Page
6、9/44vNAT的原理的原理 改变改变IP包头，使目的地址、源地址或两个地址在包包头，使目的地址、源地址或两个地址在包头中被不同地址替换头中被不同地址替换网络地址转换概述网络地址转换概述4-2Page 10/44局域网局域网PC2PC1Internet网络地址转换概述网络地址转换概述4-3IP:202.0.0.1Port:3010IP:202.0.0.1Port:3000IP 数据包数据包IP:192.168.0.1Port:3000IP:192.168.0.2Port:3010Page 11/44网络地址转换概述网络地址转换概述4-4vNAT的的3种实现方式种实现方式 静态转换静态转换 动态
7、转换动态转换 端口多路复用端口多路复用 Page 12/44v使用双向使用双向NAT可以处理地址交叉的情况可以处理地址交叉的情况v使用两个方向上的动态使用两个方向上的动态NATv会用到会用到4种类型的地址种类型的地址NAT的术语的术语2-1公司合并，公司合并，可能导致地可能导致地址交叉址交叉Page 13/44NAT的术语的术语2-210.1.1.1外部主机外部主机B10.1.1.2外部主机外部主机Cinternet10.1.1.1NAT主机主机A1234SA=10.1.1.1DA193.3.3.11内部局部地址内部局部地址外部外部全局全局地址地址主机主机A发出的包发出的包SA=192.2.2
8、.1DA=10.1.1.1经过路由器转换的包经过路由器转换的包2内部全局地址内部全局地址外部局部地址外部局部地址经过路由器转换的包经过路由器转换的包SA=193.3.3.1DA=10.1.1.14外部全局地址外部全局地址内部局部地址内部局部地址SA=10.1.1.1DA=192.2.2.1外部主机外部主机B返回的包返回的包3外部局部地址外部局部地址内部全局地址内部全局地址Page 14/44NAT的优缺点的优缺点vNAT的优点的优点 节省公有合法节省公有合法IP地址地址 处理地址交叉处理地址交叉 增强灵活性增强灵活性 安全性安全性vNAT的缺点的缺点 延迟增大延迟增大 配置和维护的复杂性配置和
9、维护的复杂性 不支持某些应用不支持某些应用Page 15/44NAT支持的数据流支持的数据流Page 16/44SA192.168.2.2DA192.168.2.210.1.1.310.1.1.210.1.1.1SA10.1.1.1DA10.1.1.1 NAT转换表转换表172.20.7.3外部主机外部主机B172.21.7.3外部主机外部主机C转换转换LAN内部地址内部地址InternetPage 17/44复用复用LAN的内部地址的内部地址SA192.168.2.2DA192.168.2.2SA10.1.1.1DA10.1.1.1 NAT转换表转换表172.20.7.3外部主机外部主机B1
10、72.21.7.3外部主机外部主机CInternet10.1.1.310.1.1.210.1.1.1Page 18/44虚拟主机虚拟主机InternetSA10.1.1.1SA10.1.1.127DA10.1.1.127DA10.1.1.110.1.1.310.1.1.210.1.1.1 NAT转换表转换表172.20.7.3外部主机外部主机B172.21.7.3外部主机外部主机C10.1.1.127TCP负载均衡负载均衡Page 19/44NAT配置配置vNAT配置步骤配置步骤1、接口、接口IP地址配置地址配置2、使用访问控制列表定义哪些内部主机能做、使用访问控制列表定义哪些内部主机能做NA
11、T3、决定采用什么公有地址，静态或地址池、决定采用什么公有地址，静态或地址池4、指定地址转换映射、指定地址转换映射5、在内部和外部端口上启用、在内部和外部端口上启用NATPage 20/44定义定义NAT地址池地址池v 地址池给出了内部全局地址池给出了内部全局IP地址的可选范围。地址的可选范围。v 定义地址池的命令格式如下：定义地址池的命令格式如下：v ip nat pool地址池名地址池名stat_ip end-ip netmask mask |pre-fix-lengthv 前缀长度前缀长度)【type rotary】v 其中，网络地址的屏蔽码可以采用其中，网络地址的屏蔽码可以采用netm
12、ask形式形式(如：如：netv mask 2552552550)，也可以通过前缀长度表示，也可以通过前缀长度表示(如：如：prev fix-length 24)。v type rotary选项用于控制循环选择地址，用于选项用于控制循环选择地址，用于TCP负载平衡的应用负载平衡的应用Page 21/44指定地址转换映射指定地址转换映射vip nat inside source list访问列表访问列表pool地址池名地址池名 【overload】v其中，其中，overload选项指定采用扩展转换方式，否选项指定采用扩展转换方式，否则为简单转换方式。则为简单转换方式。静态静态NAT转换转换v静态
13、转换是最简单的一种转换方式，它在静态转换是最简单的一种转换方式，它在NAT表表中为每一个需要转换的内部地址创建了固定的转中为每一个需要转换的内部地址创建了固定的转换条目，换条目， 内部地址与全局地址一一对应。每当内内部地址与全局地址一一对应。每当内部节点与外界通信时，内部地址就会转化为对应部节点与外界通信时，内部地址就会转化为对应的全局地址。的全局地址。v当外出的数据包到达边缘网关时，从当外出的数据包到达边缘网关时，从NAT表中查表中查找相应的静态转换条目，检索出对应的全局地址，找相应的静态转换条目，检索出对应的全局地址，并替换数据包中的源地址并替换数据包中的源地址(内部地址内部地址)，而当外
14、部，而当外部的数据包要通过边缘网关的时候，目的地址的数据包要通过边缘网关的时候，目的地址(全局全局地址地址)被替换成相应的内部地址。被替换成相应的内部地址。 Page 23/44静态静态NAT配置配置3-1InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络192.168.100.2-192.168.100.6/24 61.159.62.129 192.168.100.1Page 24/44v第一步：第一步： 设置外部端口设置外部端口 v第二步第二步 ：设置内部端口：设置内部端口 v第三步：第三步： 在内部本地和内部合法地址之间建立静态在内部本地和内部合法地址之间建立静
15、态地址转换地址转换 v第四步：在内部和外部端口上启用第四步：在内部和外部端口上启用NATRouter(config)#ip nat inside source static 192.168.100.2 61.159.62.130Router(config)#ip nat inside source static 192.168.100.3 61.159.62.131Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.248Router(config)#interfac
16、e FastEthernet 0/0Router(config-if)#ip address 192.168.100.1 255.255.255.0Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat inside静态静态NAT配置配置3-2Page 25/44静态静态NAT配置配置3-3InternetSA192.168.100.2DA192.168.100.2 NAT转换转换DA6
17、1.159.62.130SA61.159.62.130 192.168.100.161.159.62.129 NAT转换表转换表192.168.100.6192.168.100.3192.168.100.2155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机动态动态NAT转换转换 动态地址NAT只是转换IP地址，它为每一个内部的IP地址分配一个临时的外部IP地址，主要应用于拨号。当远程用户联接上之后，动态地址NAT就会分配给他一个IP地址，用户断开时，这个IP地址就会被释放而留待以后使用。 动态转换将可用的全局地址集定义成NAT池(NAT pool)。对于要与外界进行通信的内
18、部节点，如果还没有建立转换映射，边缘路由器或者防火墙将会动态的从NAT池中选择全局地址对内部地址进行转化。每个转换条目在连接建立时动态建立，而在连接终止时会被回收。 Page 27/44InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络172.168.100.2-172.168.100.6/24 61.159.62.129 172.168.100.1动态动态NAT配置配置4-1InternetPage 28/44动态动态NAT配置配置4-2v第一步：第一步： 设置外部端口设置外部端口IP地址地址v第二步：第二步： 设置内部端口设置内部端口IP地址地址v第三步：定义内部
19、网络中允许访问外部的访第三步：定义内部网络中允许访问外部的访问控制列表问控制列表Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.192Router(config)#interface FastEthernet 0/0Router(config-if)#ip address 172.168.100.1 255.255.255.0Router(config)#access-list 1 permit 172.168.100.0 0.0.0.255Page 29/44动
20、态动态NAT配置配置4-3v第四步：定义合法第四步：定义合法IP地址池地址池 v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NAT Router(config)#ip nat inside source list 1 pool test0Router(config)#ip nat pool test0 61.159.62.130 61.159.62.190 network 255.255.255.192Router(config)#Interface serial 0/0Router(config-if)#Ip nat
21、outsideRouter(config)#Interface fastethernet 0/0Router(config-if)#Ip nat insidePage 30/44Internet172.168.100.2SA172.168.100.2DA172.168.100.2 NAT转换转换DA61.159.62.130SA61.159.62.130 155.34.2.3外部主机外部主机210.3.4.5外部主机外部主机172.168.100.3172.168.100.6172.168.100.161.159.62.129 NAT转换表转换表动态动态NAT配置配置4-4PAT网络地址端口转
22、换网络地址端口转换 网络端口地址转换PAT是动态转换的一种变形。它可以使多个内部节点共享一个全局IP地址。PAT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。 在Internet中使用PAT时，所有不同的TCP和UDP信息流看起来好像来源于同一个IP地址。这个优点在小型办公室内非常实用，通过从ISP处申请的一个IP地址，将多个连接通过PAT接入Internet。Page 32/44InternetNAT外部端口外部端口NAT内部端口内部端口内部网络内部网络10.1.1.2-10.1.1.254/24 61.159
23、.62.129 10.1.1.1PAT配置配置9-1Page 33/44v第一步第一步 ：设置外部端口：设置外部端口IP地址地址v第二步：第二步： 设置内部端口设置内部端口IP地址地址v第三步第三步 ：定义内部网络中允许访问外部的访问控：定义内部网络中允许访问外部的访问控制列表制列表 Router(config)#interface serial 0/0Router(config-if)#ip address 61.159.62.129 255.255.255.192Router(config)#interface FastEthernet 0/0Router(config-if)#ip ad
24、dress 10.1.1.1 255.255.255.0Router(config)#access-list 1 permit 10.1.1.0 0.0.0.255PAT配置配置9-2Page 34/44v第三步：定义合法第三步：定义合法IP地址池地址池 v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NAT Router(config)#ip nat inside source list 1 pool onlyone overloadRouter(config)#ip nat pool onlyone 61.159.62
25、.130 61.159.62.130 netmask 255.255.255.248Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePAT配置配置9-3Page 35/44PAT配置配置9-4InternetSA10.1.1.2DA10.1.1.2 NAT转换转换DA61.159.62.130SA61.159.62.130 155.34.2.3外部主机外部主机210.
26、3.4.5外部主机外部主机10.1.1.161.159.62.129 NAT转换表转换表10.1.1.210.1.1.310.1.1.254Page 36/44v地址转换过程中，也直接使用接口的地址转换过程中，也直接使用接口的IP地址作为转地址作为转换后的源地址换后的源地址Internet局域网局域网 192.168.1.2-254/24PC2PC1S0:207.35.14.82 PC1 和和 PC2 可以直接使可以直接使用用 S0接口的接口的IP 地址作为地址作为地址转换后的公用地址转换后的公用IP地址地址PAT配置配置9-5Page 37/44InternetNAT外部端口外部端口NAT内
27、部端口内部端口内部网络内部网络10.1.1.2-10.1.1.254/24 61.159.62.129 10.1.1 .1 PAT配置配置9-6Page 38/44v第一步：第一步： 设置外部端口设置外部端口v第二步第二步 ：设置内部端口：设置内部端口v第三步第三步 ：定义内部网络中允许访问外部的访问控：定义内部网络中允许访问外部的访问控制列表制列表Router(config)# interface serial 0/0Router(config-if)# ip address61.159.62.129 255.255.255.252Router(config)# interface Fast
28、Ethernet 0/0Router(config-if)# ip address 10.1.1.1 255.255.255.0Router(config)# access-list 1 permit 10.1.1.0 0.0.0.255PAT配置配置9-7Page 39/44v第四步：定义合法第四步：定义合法IP地址池地址池 直接使用路由器的接口地址，不用定义地址池直接使用路由器的接口地址，不用定义地址池v第五步：指定网络地址转换映射第五步：指定网络地址转换映射v第六步：第六步： 在内部和外部端口上启用在内部和外部端口上启用NAT Router(config)#ip nat inside s
29、ource list 1 interface serial0/0 overloadRouter(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface fastethernet 0/0Router(config-if)#ip nat insidePAT配置配置9-8Page 40/44PAT配置配置9-9InternetSA10.1.1.2DA10.1.1.2 NAT转换转换DA61.159.62.129SA61.159.62.129155.34.2.3外部主机外部主机210.3.
30、4.5外部主机外部主机10.1.1.161.159.62.129 NAT转换表转换表10.1.1.210.1.1.310.1.1.254Page 41/44v第一步：第一步： 设置外部端口设置外部端口v第二步：设置内部端口第二步：设置内部端口v第三步：为虚拟主机定义一个标准的第三步：为虚拟主机定义一个标准的IP访问控访问控制列表制列表Router(config)#interface serial0/0Router(config-if)#ip address 172.20.7.1 255.255.255.224Router(config)#interface fastethernet0/0Rou
31、ter(config-if)#ip address 10.1.1.254 255.255.255.0Router(config)#access-list 2 permit 10.1.1.127代表内部节点的全局地址代表内部节点的全局地址负载均衡配置负载均衡配置3-1Page 42/44负载均衡配置负载均衡配置3-2v第四步：给真实主机定义一个第四步：给真实主机定义一个NAT地址集地址集v第五步：设置访问控制列表和第五步：设置访问控制列表和NAT地址集之间地址集之间的映射的映射v第六步：在内部和外部端口上启用第六步：在内部和外部端口上启用NATRouter(config)#ip nat insi
32、de destination list 2 pool real-hostRouter(config)#ip nat pool real-host 10.1.1.1 10.1.1.3 prefix-length 24 type rotaryNAT转换命令中要加上转换命令中要加上type rotary选项，使地址池中地址能循环选用，从而达到均衡选项，使地址池中地址能循环选用，从而达到均衡TCP负载的目的。负载的目的。Router(config)#interface serial 0/0Router(config-if)#ip nat outsideRouter(config)#interface
33、fastethernet 0/0Router(config-if)#ip nat insidePage 43/44负载均衡配置负载均衡配置3-3InternetSA10.1.1.1SA10.1.1.127DA10.1.1.127DA10.1.1.1 NAT转换表转换表10.1.1.310.1.1.210.1.1.110.1.1.127虚拟主机虚拟主机172.20.7.3外部主机外部主机172.21.7.3外部主机外部主机Page 44/44NAT检查与排错检查与排错3-1v常见问题常见问题 动态地址池中是否有正确的范围的地址动态地址池中是否有正确的范围的地址 动态地址池中是否有重复的地址动态地
34、址池中是否有重复的地址 静态映射的地址与动态地址池中的地址之间是否有重静态映射的地址与动态地址池中的地址之间是否有重复复 访问列表是否指明了要转换的正确地址，是否漏掉一访问列表是否指明了要转换的正确地址，是否漏掉一些地址，是否包括了一些不该包括的地址些地址，是否包括了一些不该包括的地址 是否指明了正确的内部和外部接口是否指明了正确的内部和外部接口 不对称路由问题不对称路由问题Page 45/44NAT检查与排错检查与排错3-2v测试联通性验证测试联通性验证NAT配置配置v命令命令 show ip nat translations show ip nat statisticsRouter# sh
35、ow ip nat translations Pro inside global inside local outside local outside global Tcp 61.159.62.130 192.168.100.2 - - Tcp 61.159.62.131 192.168.100.3 - -Page 46/44NAT检查与排错检查与排错3-3s10.1.1.1表示源地址是表示源地址是10.1.1.1d172.16.2.2表示目的地址是表示目的地址是172.16.2.210.1.1.1-192.168.2.1表示将地址表示将地址10.1.1.1转换为转换为 192.168.2.1
36、Routerdebug ip natNat:s=10.1.1.1-192.168.2.1,d=172.16.2.2 0Nat:s=172.16.2.2, d=192.168.2.1-10.1.1.1 0Nat:s=10.1.1.1-192.168.2.1, d=172.16.2.2 1vNAT的的debug调试调试Page 47/44清除清除NAT表的条目表的条目Page 48/44验证和监控验证和监控PATv测试网络联通性测试网络联通性v命令命令 show ip nat translations show ip nat statisticsRoutershow ip nat translat
37、ions Pro inside global inside local outside local outside global Tcp 207.35.14.82:6003 192.168.1.1:6003 207.35.14.83:1765 207.35.14.83:1765 Tcp 207.35.14.82:1067 192.168.1.2:1067 207.35.14.83:1766 207.35.14.83:1766Page 49/44本章总结本章总结网络地址转换网络地址转换NAT/PATNAT的优势缺点的优势缺点NAT的概念的概念NAT的术语的术语NAT概念和术语概念和术语NAT的配
38、置的配置NAT的应用的应用NAT的检查与排的检查与排错错网络地址转换（网络地址转换（NATNAT，Network Address Network Address TranslationTranslation）广泛应用）广泛应用于各种类型因特网接入方于各种类型因特网接入方式和各种类型的网络中式和各种类型的网络中NATNAT可以解决可以解决IPIP地址不足地址不足的问题，而且还能够有效的问题，而且还能够有效地避免来自网络外部的攻地避免来自网络外部的攻击，隐藏并保护网络内部击，隐藏并保护网络内部的计算机的计算机 静态静态NAT的配置的配置动态动态NAT的配置的配置PAT的配置的配置TCP负载均衡配置
39、负载均衡配置用用NAT解决地址交叉的问题解决地址交叉的问题NATNAT的实现方式有的实现方式有3 3种：静种：静态转换、动态转换、端口态转换、动态转换、端口多路复用多路复用 NATNAT的应用和配置：使用的应用和配置：使用NATNAT静态转换内部地址；静态转换内部地址；使用使用NATNAT动态转换内部地动态转换内部地址；使用址；使用PATPAT转换内部地转换内部地址；使用址；使用NATNAT实现实现TCPTCP负载负载均衡；使用均衡；使用NATNAT处理地址处理地址交叉交叉 Page 50/44实验实验v实验背景实验背景 BENET公司对因特网的访问需求逐步提升，新申公司对因特网的访问需求逐步
40、提升，新申请了一段合法请了一段合法IP地址用于连接互联网。作为网络管地址用于连接互联网。作为网络管理员，需要对路由器上的理员，需要对路由器上的NAT配置进行重新规划设配置进行重新规划设置置 使用实验拓扑图进行使用实验拓扑图进行BENET网络环境的模拟，网络环境的模拟，10.1.1.0和和172.16.1.0子网分别作为内部子网，通子网分别作为内部子网，通过地址翻译访问对方的网络过地址翻译访问对方的网络Page 51/44实验拓扑实验拓扑 10.1.1.2/2410.1.1.3/24路由器路由器A172.16.1.2/24172.16.1.3/24路由器路由器B10.1.1.1/24192.168.1.1/24192.168.1.2/24172.16.1.1/24Page 52/44实验任务实验任务 v任务任务1 静态静态NAT的配置的配置v任务任务2 动态动态NAT的配置的配置v任务任务3 PAT的配置的配置 v完成标准完成标准 网络正确联通网络正确联通 内部网络经过内部网络经过NAT后，每个小组的内部后，每个小组的内部PC能能与外部地址通讯与外部地址通讯 使用使用show ip nat translations 可以查看到相可以查看到相应的地址转换应的地址转换