網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT,Network Address Translation)屬接入廣域網(wǎng)(WAN)技術(shù),是一種將私有(保留)地址轉(zhuǎn)化為合法IP地址的轉(zhuǎn)換技術(shù),它被廣泛應(yīng)用于各種類(lèi)型Internet接入方式和各種類(lèi)型的網(wǎng)絡(luò)中。原因很簡(jiǎn)單，NAT不僅完美地解決了lP地址不足的問(wèn)題，而且還能夠有效地避免來(lái)自網(wǎng)絡(luò)外部的攻擊，隱藏并保護(hù)網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)。
雖然NAT可以借助于某些代理服務(wù)器來(lái)實(shí)現(xiàn)，但考慮到運(yùn)算成本和網(wǎng)絡(luò)性能，很多時(shí)候都是在路由器上來(lái)實(shí)現(xiàn)的。
隨著接入Internet的計(jì)算機(jī)數(shù)量的不斷猛增，IP地址資源也就愈加顯得捉襟見(jiàn)肘。事實(shí)上，除了中國(guó)教育和科研計(jì)算機(jī)網(wǎng)(CERNET)外，一般用戶(hù)幾乎申請(qǐng)不到整段的C類(lèi)IP地址。在其他ISP那里，即使是擁有幾百臺(tái)計(jì)算機(jī)的大型局域網(wǎng)用戶(hù)，當(dāng)他們申請(qǐng)IP地址時(shí)，所分配的地址也不過(guò)只有幾個(gè)或十幾個(gè)IP地址。顯然，這樣少的IP地址根本無(wú)法滿(mǎn)足網(wǎng)絡(luò)用戶(hù)的需求，于是也就產(chǎn)生了NAT技術(shù)。
l.NAT簡(jiǎn)介
借助于NAT，私有(保留)地址的"內(nèi)部"網(wǎng)絡(luò)通過(guò)路由器發(fā)送數(shù)據(jù)包時(shí)，私有地址被轉(zhuǎn)換成合法的IP地址，一個(gè)局域網(wǎng)只需使用少量IP地址(甚至是1個(gè))即可實(shí)現(xiàn)私有地址網(wǎng)絡(luò)內(nèi)所有計(jì)算機(jī)與Internet的通信需求。
NAT將自動(dòng)修改IP報(bào)文的源IP地址和目的IP地址，Ip地址校驗(yàn)則在NAT處理過(guò)程中自動(dòng)完成。有些應(yīng)用程序?qū)⒃碔P地址嵌入到IP報(bào)文的數(shù)據(jù)部分中，所以還需要同時(shí)對(duì)報(bào)文進(jìn)行修改，以匹配IP頭中已經(jīng)修改過(guò)的源IP地址。否則，在報(bào)文數(shù)據(jù)都分別嵌入IP地址的應(yīng)用程序就不能正常工作。
2.NAT實(shí)現(xiàn)方式
NAT的實(shí)現(xiàn)方式有三種，即靜態(tài)轉(zhuǎn)換Static Nat、動(dòng)態(tài)轉(zhuǎn)換Dynamic Nat和 端口多路復(fù)用OverLoad。
靜態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公有IP地址，IP地址對(duì)是一對(duì)一的，是一成不變的，某個(gè)私有IP地址只轉(zhuǎn)換為某個(gè)公有IP地址。借助于靜態(tài)轉(zhuǎn)換，可以實(shí)現(xiàn)外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)中某些特定設(shè)備(如服務(wù)器)的訪(fǎng)問(wèn)。
動(dòng)態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公用IP地址時(shí)，IP地址對(duì)是不確定的，而是隨機(jī)的，所有被授權(quán)訪(fǎng)問(wèn)上Internet的私有IP地址可隨機(jī)轉(zhuǎn)換為任何指定的合法IP地址。也就是說(shuō)，只要指定哪些內(nèi)部地址可以進(jìn)行轉(zhuǎn)換，以及用哪些合法地址作為外部地址時(shí)，就可以進(jìn)行動(dòng)態(tài)轉(zhuǎn)換。動(dòng)態(tài)轉(zhuǎn)換可以使用多個(gè)合法外部地址集。當(dāng)ISP提供的合法IP地址略少于網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)數(shù)量時(shí)�？梢圆捎脛�(dòng)態(tài)轉(zhuǎn)換的方式。
端口多路復(fù)用(Port address Translation,PAT)是指改變外出數(shù)據(jù)包的源端口并進(jìn)行端口轉(zhuǎn)換，即端口地址轉(zhuǎn)換(PAT，Port Address Translation).采用端口多路復(fù)用方式。內(nèi)部網(wǎng)絡(luò)的所有主機(jī)均可共享一個(gè)合法外部IP地址實(shí)現(xiàn)對(duì)Internet的訪(fǎng)問(wèn)，從而可以最大限度地節(jié)約IP地址資源。同時(shí)，又可隱藏網(wǎng)絡(luò)內(nèi)部的所有主機(jī)，有效避免來(lái)自internet的攻擊。因此，目前網(wǎng)絡(luò)中應(yīng)用最多的就是端口多路復(fù)用方式。
3.網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)的實(shí)現(xiàn)
在配置網(wǎng)絡(luò)地址轉(zhuǎn)換的過(guò)程之前，首先必須搞清楚內(nèi)部接口和外部接口，以及在哪個(gè)外部接口上啟用NAT。通常情況下，連接到用戶(hù)內(nèi)部網(wǎng)絡(luò)的接口是NAT內(nèi)部接口，而連接到外部網(wǎng)絡(luò)(如Internet)的接口是NAT外部接口。
1).靜態(tài)地址轉(zhuǎn)換的實(shí)現(xiàn)
假設(shè)內(nèi)部局域網(wǎng)使用的lP地址段為192.168.0.1~192.168.0.254，路由器局域網(wǎng)端(即默認(rèn)網(wǎng)關(guān))的IP地址為192.168.0.1，子網(wǎng)掩碼為255.255.255.0。網(wǎng)絡(luò)分配的合法IP地址范圍為61.159.62.128~61.159.62.135，路由器在廣域網(wǎng)中的IP地址為61.159.62.129，子網(wǎng)掩碼為255.255.255.248可用于轉(zhuǎn)換的IP地址范圍為61.159.62.130~61.159.62.134。要求將內(nèi)部網(wǎng)址192.168.0.2~192.168.0.6分別轉(zhuǎn)換為合法IP地址61.159.62.130~61.159.62.134。
第一步，設(shè)置外部端口。
interface serial 0
ip address 61.159.62.129 255.255.255.248
ip nat outside
第二步，設(shè)置內(nèi)部端口。
interface ethernet 0
ip address 192.168.0.1 255.255.255.0
ip nat inside
第三步，在內(nèi)部本地與內(nèi)部合法地址之間建立靜態(tài)地址轉(zhuǎn)換。
ip nat inside source static 內(nèi)部本地地址內(nèi)部合法地址。
示例：
ip nat inside source static 192.168.0.2 61.159.62.130 //將內(nèi)部網(wǎng)絡(luò)地址192.168.0.2轉(zhuǎn)換為合法IP地址61.159.62.130
ip nat inside source static 192.168.0.3 61.159.62.131 //將內(nèi)部網(wǎng)絡(luò)地址192.168.0.3轉(zhuǎn)換為合法IP地址61.159.62.131
ip nat inside source static 192.168.0.4 61.159.62.132 //將內(nèi)部網(wǎng)絡(luò)地址192.168.0.4轉(zhuǎn)換為合法IP地址61.159.62.132
ip nat inside source static 192.168.0.5 61.159.62.133 //將內(nèi)部網(wǎng)絡(luò)地址192.168.0.5轉(zhuǎn)換為合法IP地址61.159.62.133
ip nat inside source static 192.168.0.6 61.159.62.134 //將內(nèi)部網(wǎng)絡(luò)地址192.168.0.6轉(zhuǎn)換為合法IP地址61.159.62.134
至此，靜態(tài)地址轉(zhuǎn)換配置完畢。
2).動(dòng)態(tài)地址轉(zhuǎn)換的實(shí)現(xiàn)
假設(shè)內(nèi)部網(wǎng)絡(luò)使用的IP地址段為172.16.100.1~172.16.100.254,路由器局域網(wǎng)端口（即默認(rèn)網(wǎng)關(guān)）的IP地址為172.16.100.1,子網(wǎng)掩碼為255.255.255.0。網(wǎng)絡(luò)分配的合法IP地址范圍為61.159.62.128~61.159.62.191，路由器在廣域網(wǎng)中的IP地址為61.159.62.129,子網(wǎng)掩碼為255.255.255.192,可用于轉(zhuǎn)換的IP地址范圍為61.159.62.130~61.159.62.190。要求將內(nèi)部網(wǎng)址172.16.100.1~172.16.100.254動(dòng)態(tài)轉(zhuǎn)換為合法IP地址61.159.62.130~61.159.62.190。
第一步，設(shè)置外部端口。
設(shè)置外部端口命令的語(yǔ)法如下：
ip nat outside
示例：
interface serial 0 //進(jìn)入串行端口serial 0
ip address 61.159.62.129 255.255.255.248//將其IP地址指定為61.159.62.129,子網(wǎng)掩碼為255.255.255.248
ip nat outside //將串行口serial 0設(shè)置為外網(wǎng)端口
注意，可以定義多個(gè)外部端口。
第二步，設(shè)置內(nèi)部端口。
設(shè)置內(nèi)部接口命令的語(yǔ)法如下：
ip nat inside
示例：
interface ethernet 0 //進(jìn)入以太網(wǎng)端口Ethernet 0
ip address 172.16.100.1 255.255.255.0 // 將其IP地址指定為172.16.100.1,子網(wǎng)掩碼為255.255.255.0
ip nat inside //將Ethernet 0 設(shè)置為內(nèi)網(wǎng)端口。
注意，可以定義多個(gè)內(nèi)部端口。
第三步，定義合法IP地址池。
定義合法IP地址池命令的語(yǔ)法如下：
ip nat pool 地址池名稱(chēng) 起始IP地址 終止IP地址 子網(wǎng)掩碼
其中，地址池名字可以任意設(shè)定。
示例：
ip nat pool net 61.159.62.130 61.159.62.190 netmask 255.255.255.192 //指明地址緩沖池的名稱(chēng)為net,IP地址范圍為61.159.62.130~61.159.62.190,子網(wǎng)掩碼為255.255.255.192。需要注意的是，即使掩碼為255.255.255.0，也會(huì)由起始IP地址和終止IP地址對(duì)IP地址池進(jìn)行限制。
或ip nat pool test 61.159.62.130 61.159.62.190 prefix-length 26
注意，如果有多個(gè)合法IP地址范圍，可以分別添加。例如，如果還有一段合法IP地址范圍為"211.82.216.1~211.82.216.254"，那么，可以再通過(guò)下述命令將其添加至緩沖池中。
ip nat pool cernet 211.82.216.1 211.82.216.254 netmask 255.255.255.0
或
ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24
第四步，定義內(nèi)部網(wǎng)絡(luò)中允許訪(fǎng)問(wèn)Internet的訪(fǎng)問(wèn)列表。
定義內(nèi)部訪(fǎng)問(wèn)列表命令的語(yǔ)法如下：
access-list 標(biāo)號(hào) permit 源地址 通配符（其中，標(biāo)號(hào)為1~99之間的整數(shù)）
access-list 1 permit 172.16.100.0 0.0.0.255 //允許訪(fǎng)問(wèn)Internet的網(wǎng)段為172.16.100.0~172.16.100.255，反掩碼為0.0.0.255。需要注意的是，在這里采用的是反掩碼，而非子網(wǎng)掩碼。反掩碼與反掩碼的關(guān)系為：反掩碼+子網(wǎng)掩碼=255.255.255.255。例如，子網(wǎng)掩碼為255.255.0.0，則反掩碼為0.0.255.255；子網(wǎng)掩碼為255.0.0.0,則反掩碼為0.255.255.255;子網(wǎng)掩碼為255.252.0.0,則反掩碼為0.3.255.255;子網(wǎng)掩碼為255.255.255.192，剛反掩碼為 0.0.0.63。
另外，如果想將多個(gè)IP地址段轉(zhuǎn)換為合法IP地址，可以添加多個(gè)訪(fǎng)問(wèn)列表。例如，當(dāng)欲將172.16.98.0~172.16.98.255和172.16.99.0~172.16.99.255轉(zhuǎn)換為合法IP地址時(shí)，應(yīng)當(dāng)添加下述命令：
access-list2 permit 172.16.98.0~0.0.0.255
access-list2 permit 172.16.99.0~0.0.0.255
第五步，實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換。
在全局設(shè)置模式下，將由access-list指定的內(nèi)部本地地址與指定的內(nèi)部合法地址池進(jìn)行地址轉(zhuǎn)換。命令語(yǔ)法如下：
ip nat inside source list 訪(fǎng)問(wèn)列表標(biāo)號(hào) pool 內(nèi)部合法地址池名字
示例：
ip nat inside source list 1 pool chinanet
如果有多個(gè)內(nèi)部訪(fǎng)問(wèn)列表，可以一一添加，以實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換，如
ip nat insde source list 2 pool chinanet
ip nat insde source list 2 pool chinanet
如果有多個(gè)地址池，也可以一一添加，以增加合法地址池范圍，如
ip nat insde source list 2 pool cernet
ip nat insde source list 2 pool cernet
ip nat insde source list 2 pool cernet
至此，動(dòng)態(tài)地址轉(zhuǎn)換設(shè)置完畢。
3).端口復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換(PAT)
內(nèi)部網(wǎng)絡(luò)使用的IP地址段為10.100.100.1~10.100.100.254,路由器局域網(wǎng)端口（即默認(rèn)網(wǎng)關(guān)）的IP地址為10.100.100.1，子網(wǎng)掩碼為255.255.255.0。網(wǎng)絡(luò)分配的合法IP地址范圍為202.99.160.0~202.99.160.3,路由器廣域網(wǎng)中的IP地址為202.99.160.1,子網(wǎng)掩碼為255.255.255.252，可用于轉(zhuǎn)換的IP地址為202.99.160.2。要求將內(nèi)部網(wǎng)址10.100.100.1~10.100.100.254 轉(zhuǎn)換為合法IP地址202.99.160.2。
第一步，設(shè)置外部端口。
interface serial 0
ip address 202.99.160.1 255.255.255.252
in nat outside
第二步，設(shè)置內(nèi)部端口。
interface ethernet 0
ip address 10.100.100.1 255.255.255.0
ip nat inside
第三步，定義合法IP地址池。
in nat pool onlyone 202.99.160.2 202.99.160.2 netmask 255.255.255.252
// 指明地址緩沖池的名稱(chēng)為onlyone,IP地址范圍為202.99.160.2,子網(wǎng)掩碼為255.255.255.252。由于本例只有一個(gè)IP地址可用，所以，起始IP地址與終止IP地址均為202.99.160.2。如果有多個(gè)IP地址，則應(yīng)當(dāng)分別鍵入起止的IP直址。
第四步，定義內(nèi)部訪(fǎng)問(wèn)列。
access-list 1 permit 10.100.100.0 0.0.0.255
允許訪(fǎng)問(wèn)Internetr的網(wǎng)段為10.100.100.0~10.100.100.255，子網(wǎng)掩碼為255.255.255.0。需要注意的是，在這里子網(wǎng)掩碼的順序跟平常所寫(xiě)的順序相反，即0.255.255.255。
第五步，設(shè)置復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。
在全局設(shè)置模式下，設(shè)置在內(nèi)部的本地地址與內(nèi)部合法IP地址間建立復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換。命令語(yǔ)法如下：
ip nat inside source list訪(fǎng)問(wèn)列表號(hào)pool內(nèi)部合法地址池名字overload
示例：
ip nat inside source list1 pool onlyone overload //以端口復(fù)用方式，將訪(fǎng)問(wèn)列表1中的私有IP地址轉(zhuǎn)換為onlyone IP地址池中定義的合法IP地址。
注意:overload是復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換的關(guān)鍵詞
至此，端口復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換完成。
[編輯本段]NAT的不同類(lèi)型
NAT設(shè)置可分為靜態(tài)地址轉(zhuǎn)換、動(dòng)態(tài)地址轉(zhuǎn)換、復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換三種。
靜態(tài)地址轉(zhuǎn)換將內(nèi)部本地地址與內(nèi)部合法地址進(jìn)行一對(duì)一的轉(zhuǎn)換，且需要指定和哪個(gè)合法地址進(jìn)行轉(zhuǎn)換。靜態(tài)地址轉(zhuǎn)換經(jīng)常在一個(gè)固定的外部的IP地址訪(fǎng)問(wèn)一內(nèi)部主機(jī)情況下使用。
動(dòng)態(tài)地址轉(zhuǎn)換也是將內(nèi)部本地地址與內(nèi)部合法地址一對(duì)一的轉(zhuǎn)換，但是動(dòng)態(tài)地址轉(zhuǎn)換是從內(nèi)部合法地址池中動(dòng)態(tài)地選擇一個(gè)未使用的地址來(lái)對(duì)內(nèi)部本地地址進(jìn)行轉(zhuǎn)換的。而一旦連接斷開(kāi)，取出的全局IP地址將重新放入池中，以供其他的鏈接使用。動(dòng)態(tài)轉(zhuǎn)換效率是非常高的，因?yàn)橐粋�(gè)注冊(cè)過(guò)的IP地址可以讓多個(gè)不同的端站點(diǎn)使用多次。
復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換首先是一種動(dòng)態(tài)地址轉(zhuǎn)換，但是它可以允許多個(gè)內(nèi)部本地地址公用一個(gè)內(nèi)部合法地址。對(duì)只申請(qǐng)到少量IP地址但卻經(jīng)常同時(shí)有多個(gè)用戶(hù)上外部網(wǎng)絡(luò)的情況，這種轉(zhuǎn)換極為有用。
PAT（port address translation）將多個(gè)內(nèi)部地址映射為一個(gè)公網(wǎng)地址，但以不同的協(xié)議端口號(hào)與不同的內(nèi)部地址相對(duì)應(yīng)。
[編輯本段]網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)-實(shí)例
示例一：全部采用端口復(fù)用地址轉(zhuǎn)換
當(dāng)ISP分配的IP地址數(shù)量很少，網(wǎng)絡(luò)又沒(méi)有其他特殊需求，即無(wú)需為Internet提供網(wǎng)絡(luò)服務(wù)時(shí)，可采用端口利用地址轉(zhuǎn)換方式，使網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)采用同一IP地址訪(fǎng)問(wèn)Internet，在節(jié)約IP地址資源的同時(shí)，又可有效保護(hù)網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)。
網(wǎng)絡(luò)環(huán)境為：
局域網(wǎng)采用10Mb/s光纖，以城域網(wǎng)方式接入Internet，如圖4-2-2所示。路由器選用擁有2個(gè)10/100 Mb/s自適應(yīng)端口的Cisco 2611。內(nèi)部網(wǎng)絡(luò)使用的IP地址段為192.168.100.1~192.101.254，局域網(wǎng)端口Ethernet 0的IP地址為192.168.100.1,子網(wǎng)掩碼為255.255.0.0。網(wǎng)絡(luò)分配的合法IP地址范圍為202.99.160.128~202.99.160.131,連接ISP的端口Ethernet 1的IP地址為202.99.160.129,子網(wǎng)掩碼為255.255.255.252�？捎糜谵D(zhuǎn)換的IP地址為202.99.160.130。要求網(wǎng)絡(luò)內(nèi)部的所有計(jì)算機(jī)均可訪(fǎng)問(wèn)Internet。
案例分析：
既然只有一個(gè)可用的合法IP地址，同時(shí)處于局域網(wǎng)的服務(wù)器又只為局域網(wǎng)提供服務(wù)，而不允許Internet中的主機(jī)對(duì)其訪(fǎng)問(wèn)，因此完全可以采用端口復(fù)用地址轉(zhuǎn)換方式實(shí)現(xiàn)NAT，使得網(wǎng)絡(luò)內(nèi)的所有計(jì)算機(jī)均可獨(dú)立訪(fǎng)問(wèn)Internet。
配置清單：
interface fastethernet0/0
ip address 192.168.100.1 255.255.0.0 //定義本地端口IP地址
duplex auto
speed auto
ip nat inside // 定義為本地端口
!
interface fastethernet0/1
ip address 202.99.160.129 255.255.255.252
duplex auto
speed auto
ip nat outside
!
ip nat pool onlyone 202.99.160.130 202.99.160.130 netmadk 255.255.255.252 //定義合法IP地址池，名稱(chēng)為onlyone
access-list 1 permit 192.168.100.0 0.0.0.255 //定義本地訪(fǎng)問(wèn)列表
access-list 1 permit 192.168.100.0 0.0.0.255
ip nat inside source list1 pool onlyone overload //采用端口復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換
示例二：動(dòng)態(tài)地址+端口復(fù)用地址轉(zhuǎn)換
許多FTP網(wǎng)站考慮到服務(wù)器性能和Internet連接帶寬的占用問(wèn)題，都限制同一IP地址的多個(gè)進(jìn)程訪(fǎng)問(wèn)。如果采用端口復(fù)地址轉(zhuǎn)換方式，則網(wǎng)絡(luò)內(nèi)的所以計(jì)算機(jī)都采用同一IP地址訪(fǎng)問(wèn)Internet,那么，將因此而被禁止對(duì)該網(wǎng)站的訪(fǎng)問(wèn)。所以，當(dāng)提供的合法IP地址數(shù)量稍多時(shí)，可同時(shí)采用端口復(fù)用和動(dòng)態(tài)地址轉(zhuǎn)換方式，從而既可保證所有用戶(hù)都能夠獲得訪(fǎng)問(wèn)Internet的權(quán)力，同時(shí)，又不致、某些計(jì)算機(jī)因使用同一IP地址而被限制權(quán)限。需要注意的是，由于所有計(jì)算機(jī)都采用動(dòng)態(tài)地址轉(zhuǎn)換方式，因此Internet中的所有計(jì)算機(jī)將無(wú)法實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)部服務(wù)器的訪(fǎng)問(wèn)。
網(wǎng)絡(luò)環(huán)境：
局域網(wǎng)以2Mb/s DNA專(zhuān)線(xiàn)接入Internet，路由器選用安裝了廣域網(wǎng)模塊的Cisco 2611,如圖4-2-2所示。內(nèi)部網(wǎng)絡(luò)使用的IP地址段為172.16.100.1~172.16.102.254,局域網(wǎng)端口Ethernet 0的IP地址為172.16.100.1,子網(wǎng)掩碼為255.255.0.0。網(wǎng)絡(luò)分配的合法IP地址范圍為202.99.160.128~202.99.160.129,子網(wǎng)掩碼為255.255.255.192,可用于轉(zhuǎn)換的IP地址范圍為202.99.160.130~202.99.160.190。要求網(wǎng)絡(luò)部分的部分計(jì)算機(jī)可以不受任何限制地訪(fǎng)問(wèn)Internet，服務(wù)器無(wú)需提供Internet訪(fǎng)問(wèn)服務(wù)。
案例分析：
既然要求網(wǎng)絡(luò)中的部分計(jì)算機(jī)可以不受任何限制地訪(fǎng)問(wèn)Internet,同時(shí)，服務(wù)器無(wú)需提供Internet訪(fǎng)問(wèn)服務(wù)，那么，只需采用動(dòng)態(tài)地址轉(zhuǎn)換+端口復(fù)用地址轉(zhuǎn)換方式即可實(shí)現(xiàn)。部分有特殊需求的計(jì)算機(jī)采用動(dòng)態(tài)地址轉(zhuǎn)換的NAT方式，其他計(jì)算機(jī)則采用端口復(fù)用地址轉(zhuǎn)換的NAT方式。因此，部分有特殊需求的計(jì)算機(jī)可采用內(nèi)部網(wǎng)址172.16.100.1~172.16.100.254，并動(dòng)態(tài)轉(zhuǎn)換為合法地址202.99.160.130~202.99.160.189，其他計(jì)算機(jī)采用內(nèi)部網(wǎng)址172.16.101.1~172.16.102.254,全部轉(zhuǎn)換為202.99.160.190。
配置清單：
interface fastethernet0/1
ip address 10.100.100.1 255.255.255.0 //定義局域網(wǎng)端口IP地址
duplex auto
speed auto
ip nat inside //定義為局域端口
!
interface serial 0/0
ip address 202.99.160.129 255.255.255.192 //定義廣域網(wǎng)端口IP地址
!
duplex auto
speed auto
ip nat outside //定義為廣域端口
!
ip nat pool public 202.99.160.130 202.130.160.190 netmask 255.255.255.192 //定義合法IP地址池，名稱(chēng)為public
ip nat pool super 202.99.160.130 202.130.160.189 netmask 255.255.255.192 //定義合法IP地址池，名稱(chēng)為super
ip nat inside source list1 pool super //定義列表達(dá)1采用動(dòng)態(tài)地址轉(zhuǎn)換
ip nat inside source list2 pool public overload? //定義列表2采用端口復(fù)用地址轉(zhuǎn)換
access-list1 permit 172.16.100.0 0.0.0.255 //定義本地訪(fǎng)問(wèn)列表1
access-list2 permit 172.16.102.0 0.0.0.255 //定義本地訪(fǎng)問(wèn)列表2
access-list2 permit 172.16.102.0 0.0.0.255
示例三：靜態(tài)地址轉(zhuǎn)換+端口復(fù)用地址轉(zhuǎn)換
其實(shí)在很多時(shí)候，網(wǎng)絡(luò)中的服務(wù)器既為網(wǎng)絡(luò)內(nèi)部的客戶(hù)提供網(wǎng)絡(luò)服務(wù)，又同時(shí)為Internet中的用戶(hù)提供訪(fǎng)問(wèn)服務(wù)。因此，如果采用端口復(fù)用地址轉(zhuǎn)換或動(dòng)態(tài)地址轉(zhuǎn)換，將由于無(wú)法確定服務(wù)器的IP地址，而導(dǎo)致Internet用戶(hù)無(wú)法實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)部服務(wù)器的訪(fǎng)問(wèn)。此時(shí)，就應(yīng)當(dāng)采用靜態(tài)地址轉(zhuǎn)換+端口復(fù)用地址轉(zhuǎn)換的NAT方式。也就是說(shuō)，對(duì)服務(wù)器采用靜態(tài)地址轉(zhuǎn)換，以確保服務(wù)器擁有固定的合法IP地址。而對(duì)普通的客戶(hù)計(jì)算機(jī)則采用端口復(fù)用地址轉(zhuǎn)換，使所有用戶(hù)都享有訪(fǎng)問(wèn)Internet的權(quán)力。
網(wǎng)絡(luò)環(huán)境為：
局域網(wǎng)采用10Mb/s光纖，以城域網(wǎng)方式接入Internet，如圖4-2-2所示。路由器選用擁有2個(gè)10/100 Mb/s自適應(yīng)端口的Cisco 2611。內(nèi)部網(wǎng)絡(luò)使用的IP地址段為10.18.100.1~10.18.104.254,局域網(wǎng)端口Ethernet 0的IP地址為10.18.100.1,子網(wǎng)掩碼為255.255.0.0。網(wǎng)絡(luò)分配的合法IP地址范圍為211.82.220.80~211.82.220.87，連接ISP的端口Ethernet 1的IP地址為211.82.220.81,子網(wǎng)掩碼為255.255.255.248。要求網(wǎng)絡(luò)內(nèi)部的所有計(jì)算機(jī)均可訪(fǎng)問(wèn)Internet，并且在Internet中提供Web、E-mail、FTP和Media等4種服務(wù)。
案例分析：
既然網(wǎng)絡(luò)內(nèi)的服務(wù)器要求能夠被Internet訪(fǎng)問(wèn)到，那么，這部分主機(jī)必須擁有合法的IP地址，也就是說(shuō)，服務(wù)器必須采用靜態(tài)地址轉(zhuǎn)換。其他計(jì)算機(jī)由于沒(méi)有任何限制，所以，可采用端口復(fù)用地址轉(zhuǎn)換的NAT方式。因此，服務(wù)器可采用內(nèi)網(wǎng)址10.18.100.1~10.18.100.254，并分別映射為一個(gè)合法的IP地址。其他計(jì)算機(jī)則采用內(nèi)部網(wǎng)址10.18.101.1~172.16.104.254,并全部轉(zhuǎn)換為一個(gè)合法的IP地址。
配置清單：
interface fastethernet0/0
ip address 10.18.100.1 255.255.0.0 //定義局域網(wǎng)口IP地址
duplex auto
speed auto
ip nat inside //定義局域網(wǎng)口
!
interface fastethernet0/1
ip address 211.82.220.81 255.255.255.248 //定義廣域網(wǎng)口IP地址
duplex auto
speed auto
ip nat outside //定義廣域網(wǎng)口
!
ip nat pool every 211.82.220.86 211.82.220.86 netmask 255.255.255.248 //定義合法IP地址池
access-list 1 permit 10.18.101.0 0.0.0.255 //定義本地訪(fǎng)問(wèn)列表1
access-list 1 premit 10.18.102.0 0.0.0.255
access-list 1 premit 10.18.103.0 0.0.0.255
access-list 1 premit 10.18.104.0 0.0.0.255
ip nat inside source list1 pool every overload //定義列表達(dá)1采用端口復(fù)用地址轉(zhuǎn)換
ip nat inside source static 10.18.100.10 211.82.220.82 //定義靜態(tài)地址轉(zhuǎn)換
ip nat inside source static 10.18.100.11 211.82.220.83
ip nat inside source static 10.18.100.12 211.82.220.84
ip nat inside source static 10.18.100.13 211.82.220.85
示例四：TCP/UDP端口NAT映射
如果ISP提供的合法IP地址的數(shù)量較多，我們自然可以采用靜態(tài)地址轉(zhuǎn)換+端口復(fù)用動(dòng)態(tài)地址轉(zhuǎn)換的方式得以完美實(shí)現(xiàn)。但如果ISP只提供4個(gè)IP地址，其中2個(gè)作為網(wǎng)絡(luò)號(hào)和廣播地址而不可使用，1個(gè)IP地址要用于路由器定義為默認(rèn)網(wǎng)關(guān)， 那么將只剩下1個(gè)IP地址可用。當(dāng)然我們也可以利用這個(gè)僅存的一個(gè)IP地址采用端口復(fù)用地址轉(zhuǎn)換技術(shù)，從而實(shí)現(xiàn)整個(gè)局域網(wǎng)的Internet接入。但是由于服務(wù)器也采用動(dòng)態(tài)端口，因此，Internet中的計(jì)算機(jī)將無(wú)法訪(fǎng)問(wèn)到網(wǎng)絡(luò)內(nèi)部的服務(wù)器。有沒(méi)有好的解決問(wèn)題的方案呢？這就是TCP/UDP端口NAT映射。
我們知道，不同應(yīng)用程序使用的TCP/UDP的端口是不同的，比如，Web服務(wù)使用50，F(xiàn)TP服務(wù)使用21，SMTP服務(wù)使用25，POP3服務(wù)使用110，等等。因此，可以將不同的TCP端口綁定至不同的內(nèi)部IP地址，從而只使用一個(gè)合法的IP地址，即可在允許內(nèi)部所有服務(wù)器被Internet訪(fǎng)問(wèn)的同時(shí)，實(shí)現(xiàn)內(nèi)部所有主機(jī)對(duì)Internet訪(fǎng)問(wèn)。
網(wǎng)絡(luò)環(huán)境：
局域網(wǎng)采用10Mb/s光纖，以城域網(wǎng)方式接入Internet，如圖4-2-5所示。路由器選用擁有2個(gè)10/100 Mb/s自適應(yīng)端口的Cisco 2611。內(nèi)部網(wǎng)絡(luò)使用的IP地址段為192.168.1.1~192.168.1.254，局域網(wǎng)端口Ethernet 0的IP地址為192.168.1.1,子網(wǎng)掩碼為255.255.255.0。網(wǎng)絡(luò)分配的合法IP地址范圍為，211.82.220.128~211.82.220.131,連接ISP的端口Ethernet 1的IP地址為211.82.220.129,子網(wǎng)掩碼為255.225.255.252，可用于轉(zhuǎn)換的IP地址為211.82.220.130。要求網(wǎng)絡(luò)內(nèi)部的所有計(jì)算機(jī)均可訪(fǎng)問(wèn)Internet。
案例分析：
既然只有一個(gè)可用的合法IP地址，當(dāng)然只能采用端口復(fù)用方式實(shí)現(xiàn)NAT，不過(guò)，由于同時(shí)又要求網(wǎng)絡(luò)內(nèi)部的服務(wù)器可以被Internet訪(fǎng)問(wèn)到，因此，必須使用PAT創(chuàng)建TCP/UDP端口的NAT映射。需要注意的是，也可以直接使用廣域端口創(chuàng)建TCP/UDP端口的NAT映射，也就是說(shuō)，即使只有一個(gè)IP地址，也可以完美實(shí)現(xiàn)端口復(fù)用。由于合法IP地址位于路由器端口上，所以，不再需要定義NAT池，只簡(jiǎn)單地使用inside source list語(yǔ)句即可。
需要注意的是，由于每種應(yīng)用服務(wù)都有自己默認(rèn)的端口，所以，這種NAT方式下，網(wǎng)絡(luò)內(nèi)部每種應(yīng)用服務(wù)中只能各自有一臺(tái)服務(wù)器成為Internet中的主機(jī)，例如，只能有一臺(tái)Web服務(wù)器，一臺(tái)E-mail服務(wù)，一臺(tái)FTP服務(wù)器。盡管可以采用改變默認(rèn)端口的方式創(chuàng)建多臺(tái)應(yīng)用服務(wù)器，但這種服務(wù)器在訪(fǎng)問(wèn)時(shí)比較困難，要求用戶(hù)必須先了解某種服務(wù)采用的新TCP端口。
配置清單：
interface fastethernet0/0
ip address 192.168.1.1 255.255.255.0//指定局域網(wǎng)口的IP地址
duplex auto
speed auto
ip nat inside //指定局域網(wǎng)接口
!
interface fastethernet0/1
ip address 211.82.220.129 255.255.255.248 //指定廣域網(wǎng)口的IP地址
access-list 1 permit 192.168.1.0 0.0.0.255
!
ip nat inside source list1 interface fastethernet0/1 overload //啟用端口復(fù)用地址轉(zhuǎn)換，并直接采用fastethernet0/1的IP地址。
ip nat inside source static tcp 192.168.1.11 80 202.99.160.129.80
ip nat inside source static tcp 192.168.1.12 21 202.99.160.129.21
ip nat inside source static tcp 192.168.1.13 25 202.99.160.129.25
ip nat inside source static tcp 192.168.1.13 110 202.99.160.129 110
示例五：利用地址轉(zhuǎn)換實(shí)現(xiàn)負(fù)載均衡
隨著訪(fǎng)問(wèn)量的上升，當(dāng)一臺(tái)服務(wù)器難以勝任時(shí)，就必須采用負(fù)載均衡技術(shù)，將大量的訪(fǎng)問(wèn)合理地分配至多臺(tái)服務(wù)器上。當(dāng)然，實(shí)現(xiàn)負(fù)載均衡的手段有許多種，比如可以采用服務(wù)器群集負(fù)載均衡、交換機(jī)負(fù)載均衡、DNS解析負(fù)載均衡等等。
其實(shí)除此以外，也可以通過(guò)地址轉(zhuǎn)換方式實(shí)現(xiàn)服務(wù)器的負(fù)載均衡。事實(shí)上，這些負(fù)載均衡的實(shí)現(xiàn)大多是采用輪詢(xún)方式實(shí)現(xiàn)的，使每臺(tái)服務(wù)器都擁有平等的被訪(fǎng)問(wèn)機(jī)會(huì)。
網(wǎng)絡(luò)環(huán)境：
局域網(wǎng)以2Mb/s DDN專(zhuān)線(xiàn)拉入Internet,路由器選用安裝了廣域網(wǎng)模塊的Cisco 2611,如圖4-2-6所示。內(nèi)部網(wǎng)絡(luò)使用的IP地址段為10.1.1.1~10.1.3.254，局域網(wǎng)端口Ethernet 0的IP地址為10.1.1.1,子網(wǎng)掩碼為255.255.252.0。網(wǎng)絡(luò)分配的合法IP地址范圍為202.110.198.80~202.110.198.87,連接ISP的端口Ethernet 1的IP地址為202.110.198.81,子網(wǎng)掩碼為255.255.255.248。要求網(wǎng)絡(luò)內(nèi)部的所有計(jì)算機(jī)均可訪(fǎng)問(wèn)Internet，并且在3臺(tái)Web服務(wù)器和2臺(tái)FTP服務(wù)器實(shí)現(xiàn)負(fù)載均衡。
案例分析：
既然要求網(wǎng)絡(luò)內(nèi)所有計(jì)算機(jī)都可以接入Internet,而合法IP地址又只有5個(gè)可用，當(dāng)然可采用端口復(fù)用地址轉(zhuǎn)換方式。本來(lái)對(duì)服務(wù)器通過(guò)采用靜態(tài)地址轉(zhuǎn)換，賦予其合法IP地址即可。但是，由于服務(wù)器的訪(fǎng)問(wèn)量太大（或者是服務(wù)器的性能太差），不得不使用多臺(tái)服務(wù)器作負(fù)載均衡，因此，必須將一個(gè)合法IP地址轉(zhuǎn)換成多相內(nèi)部IP地址，以輪詢(xún)方式減輕每臺(tái)服務(wù)器的訪(fǎng)問(wèn)壓力。
配置文件：
interface fastethernet0/1
ip adderss 10.1.1.1 255.255.252.0 //定義局域網(wǎng)端口IP地址
duplex auto
speed auto
ip nat inside //定義為局域端口
!
interface serial 0/0
ip address 202.110.198.81 255.255.255.248 //定義廣域網(wǎng)端口IP地址
duplex auto
speed auto
ip nat outside //定義為廣域端口
!
access-list 1 permit 202.110.198.82 //定義輪詢(xún)地址列表1
access-list 2 permit 202.110.198.83 //定義輪詢(xún)地址列表2
access-list 3 permit 10.1.1.0 0.0.3.255 //定義本地訪(fǎng)問(wèn)列表3
!
ip nat pool websev 10.1.1.2 10.1.1.4 255.255.255.248 type rotary //定義Web服務(wù)器的IP地址池，Rotary關(guān)鍵字表示準(zhǔn)備使用輪詢(xún)策略從NAT池中取出相應(yīng)的IP地址用于轉(zhuǎn)換進(jìn)來(lái)的IP報(bào)文，訪(fǎng)問(wèn)202.110.198.82的請(qǐng)求將依次發(fā)送給web服務(wù)器：10.1.1.2、10.1.1.3和10.1.1.4
ip nat pool ftpsev 10.1.1.8 10.1.1.9 255.255.255.248 type rotary //定義ftp服務(wù)器的IP地址池。
ip nat pool normal 202.110.198.84 202.110.198.84 netmask 255.255.255.248 //定義合法IP地址池，名稱(chēng)為normal
ip nat inside destination list 1 pool websev //inside destination list 語(yǔ)句定義與列表1相匹配的IP地址的報(bào)文將使用輪詢(xún)策略
ip nat inside destination list 2 pool ftpsev
[編輯本段]受到NAT影響的應(yīng)用程序
一些高層協(xié)議（比如FTP，Quake，SIP）是在IP包的有效數(shù)據(jù)內(nèi)發(fā)送網(wǎng)絡(luò)層（第三層）信息的。比如，主動(dòng)模式的FTP使用單獨(dú)的端口分別來(lái)控制命令傳輸和數(shù)據(jù)傳輸。當(dāng)請(qǐng)求一個(gè)文件傳輸時(shí)，主機(jī)在發(fā)送請(qǐng)求的同時(shí)也通知對(duì)方自己想要在哪個(gè)端口接受數(shù)據(jù)。但是，如果主機(jī)是在一個(gè)簡(jiǎn)單的NAT防火墻后發(fā)送的請(qǐng)求，那么由于端口的映射將會(huì)使對(duì)方接收到的信息無(wú)效。
一個(gè)應(yīng)用層網(wǎng)關(guān)（Application Layer Gateway或ALG）可以修正這個(gè)問(wèn)題。運(yùn)行在NAT防火墻設(shè)備上的ALG軟件模塊可以更新任何由地址轉(zhuǎn)換而導(dǎo)致無(wú)效的信息。顯然，ALG需要明白它所要修正的上層協(xié)議，所以每個(gè)有這種問(wèn)題的協(xié)議都需要有一個(gè)單獨(dú)的ALG。
但是，除FTP外的大多數(shù)傳統(tǒng)的客戶(hù)機(jī)－服務(wù)器協(xié)議不需要發(fā)送網(wǎng)絡(luò)層（第三層）信息，也就不需要ALG。
這個(gè)問(wèn)題的另一個(gè)可能的解決方法是使用象STUN這樣的技術(shù)，但是這只針對(duì)建立在UDP上的高層協(xié)議，并且需要它內(nèi)建這種技術(shù)。這種技術(shù)對(duì)對(duì)稱(chēng)NAT也是無(wú)效的。還有一種可能的方案是UPnP，但它需要和NAT設(shè)備配合起來(lái)使用。
[編輯本段]NAT的不同類(lèi)型和NAT影響的應(yīng)用程序
NAT的不同類(lèi)型
Full cone NAT，亦即著名的一對(duì)一（one-to-one） NAT
一旦一個(gè)內(nèi)部地址（iAddr:port1）映射到外部地址（eAddr:port2）,所有發(fā)自iAddr:port1的包都經(jīng)由eAddr:port2向外發(fā)送。任意外部主機(jī)都能通過(guò)給eAddr:port2發(fā)包到達(dá)iAddr:port1
Address-Restricted cone NAT
一旦一個(gè)內(nèi)部地址（iAddr:port1）映射到外部地址（eAddr:port2）,所有發(fā)自iAddr:port1的包都經(jīng)由eAddr:port2向外發(fā)送。任意外部主機(jī)（hostAddr:any）都能通過(guò)給eAddr:port2發(fā)包到達(dá)iAddr:port1的前提是：iAddr:port1之前發(fā)送過(guò)包到hostAddr:any. "any"也就是說(shuō)端口不受限制
Port-Restricted cone NAT
類(lèi)似受限制錐形NAT（Restricted cone NAT），但是還有端口限制。
一旦一個(gè)內(nèi)部地址（iAddr:port1）映射到外部地址（eAddr:port2）,所有發(fā)自iAddr:port1的包都經(jīng)由eAddr:port2向外發(fā)送。一個(gè)外部主機(jī)（hostAddr:port3）能夠發(fā)包到達(dá)iAddr:port1的前提是：iAddr:port1之前發(fā)送過(guò)包到hostAddr:port3.
Symmetric NAT（對(duì)稱(chēng)NAT）
每一個(gè)來(lái)自相同內(nèi)部IP與port的請(qǐng)求到一個(gè)特定目的地的IP地址和端口，映射到一個(gè)獨(dú)特的外部來(lái)源的IP地址和端口。
同一個(gè)內(nèi)部主機(jī)發(fā)出一個(gè)信息包到不同的目的端，不同的映射使用
外部主機(jī)收到了一封包從一個(gè)內(nèi)部主機(jī)可以送一封包回來(lái)
受到NAT影響的應(yīng)用程序
一些高層協(xié)議（比如FTP，Quake，SIP,VPN）是在IP包的有效數(shù)據(jù)內(nèi)發(fā)送網(wǎng)絡(luò)層（第三層）信息的。比如，主動(dòng)模式的FTP使用單獨(dú)的端口分別來(lái)控制命令傳輸和數(shù)據(jù)傳輸。當(dāng)請(qǐng)求一個(gè)文件傳輸時(shí)，主機(jī)在發(fā)送請(qǐng)求的同時(shí)也通知對(duì)方自己想要在哪個(gè)端口接受數(shù)據(jù)。但是，如果主機(jī)是在一個(gè)簡(jiǎn)單的NAT防火墻后發(fā)送的請(qǐng)求，那么由于端口的映射將會(huì)使對(duì)方接收到的信息無(wú)效。
一個(gè)應(yīng)用層網(wǎng)關(guān)（Application Layer Gateway或ALG）可以修正這個(gè)問(wèn)題。運(yùn)行在NAT防火墻設(shè)備上的ALG軟件模塊可以更新任何由地址轉(zhuǎn)換而導(dǎo)致無(wú)效的信息。顯然，ALG需要明白它所要修正的上層協(xié)議，所以每個(gè)有這種問(wèn)題的協(xié)議都需要有一個(gè)單獨(dú)的ALG。
但是，除FTP外的大多數(shù)傳統(tǒng)的客戶(hù)機(jī)－服務(wù)器協(xié)議不需要發(fā)送網(wǎng)絡(luò)層（第三層）信息，也就不需要ALG。
這個(gè)問(wèn)題的另一個(gè)可能的解決方法是使用象STUN這樣的技術(shù)，但是這只針對(duì)建立在UDP上的高層協(xié)議，并且需要它內(nèi)建這種技術(shù)。這種技術(shù)對(duì)對(duì)稱(chēng)NAT也是無(wú)效的。還有一種可能的方案是UPnP，但它需要和NAT設(shè)備配合起來(lái)使用[4]
存儲(chǔ)設(shè)備
2023年勒索軟件攻擊新趨勢(shì)
在線(xiàn)咨詢(xún)