51CTO视频课程推荐：
3871人学习
1490人学习
3299人学习
2290人学习
查看:7397|回复：6
高级工程师
NAT（Network Address Translation，网络地址转换）是将IP数据报头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公网IP地址代表较多的私网IP地址的方式，将有助于减缓可用IP地址空间的枯竭。
私网IP地址是指内部网络或主机的IP地址，公网IP地址是指在因特网上全球唯一的IP地址。
RFC 1918为私有网络预留出了三个IP地址块，如下：
A类：10.0.0.0～10.255.255.255
B类：172.16.0.0～172.31.255.255
C类：192.168.0.0～192.168.255.255
（上述三个范围内的地址不会在因特网上被分配，因此可以不必向ISP或注册中心申请而在公司或企业内部自由使用。）
NAT最初的设计目的是用于实现私有网络访问公共网络的功能，后扩展到实现任意两个网络间进行访问时的地址转换应用，本文中将这两个网络分别称为内部网络（内网）和外部网络（外网），通常私网为内部网络，公网为外部网络。
(18.69 KB)
内网用户主机PC（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备。
NAT设备查看报头内容，发现该报文是发往外网的，将其源IP地址字段的私网地址192.168.1.3转换成一个可在Internet上选路的公网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备的网络地址转换表中记录这一映射。
外网服务器给内网用户发送的应答报文（其初始目的IP地址为20.1.1.1）到达NAT设备后，NAT设备再次查看报头内容，然后查找当前网络地址转换表的记录，用内网私有地址192.168.1.3替换初始的目的IP地址。
上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道有192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。
地址转换的优点在于，在为内部网络主机提供了“隐私”保护的前提下，实现了内部网络的主机通过该功能访问外部网络的资源。但它也有一些缺点：
由于需要对数据报文进行IP地址的转换，涉及IP地址的数据报报文的报头不能被加密。在应用协议中，如果报文中有地址或端口需要转换，则报文不能被加密。例如，不能使用加密的FTP连接，否则FTP协议的port命令不能被正确转换。
网络调试变得更加困难。比如，某一台内部网络的主机试图攻击其它网络，则很难指出究竟哪一台主机是恶意的，因为主机的IP地址被屏蔽了。
地址转换控制
在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问，即当NAT设备查看IP数据报文的报头内容时，如果发现源IP地址属于禁止访问外部网络的内部主机，它将不进行地址转换。另外，也希望只有指定的公网地址才可用于地址转换。
设备可以利用ACL（Access Control Limit，访问控制列表）和地址池来对地址转换进行控制。
访问控制列表可以有效地控制地址转换的使用范围，只有满足访问控制列表规则的数据报文才可以进行地址转换。
地址池是用于地址转换的一些连续的公网IP地址的集合，它可以有效地控制公网地址的使用。用户可根据自己拥有的合法IP地址数目、内部网络主机数目以及实际应用情况，定义合适的地址池。在地址转换的过程中，NAT设备将会从地址池中挑选一个IP地址作为数据报文转换后的源IP地址。
基本地址转换
从的地址转换过程可见，当内部网络访问外部网络时，地址转换将会选择一个合适的外部地址，来替代内部网络数据报文的源地址。中是选择NAT设备出接口的IP地址（公网IP地址）。这样所有内部网络的主机访问外部网络时，只能拥有一个外部网络的IP地址，因此，这种情况同时只允许最多有一台内部网络主机访问外部网络。
当内部网络的多台主机并发的要求访问外部网络时，NAT也可实现对并发性请求的响应，允许NAT设备拥有多个公有IP地址。当第一个内网主机访问外网时，NAT选择一个公有地址IP1，在地址转换表中添加记录并发送数据报；当另一内网主机访问外网时，NAT选择另一个公有地址IP2，以此类推，从而满足了多台内网主机访问外网的请求。
NAT设备拥有的公有IP地址数目要远少于内部网络的主机数目，因为所有内网主机并不会同时访问外网。公有IP地址数目的确定，应根据网络高峰期可能访问外网的内网主机数目的统计值来确定
NAPT（Network Address Port Translation，网络地址端口转换）是基本地址转换的一种变形，它允许多个内部地址映射到同一个公有地址上，也可称之为“多对一地址转换”。
NAPT同时映射IP地址和端口号：来自不同内部地址的数据报的源地址可以映射到同一外部地址，但它们的端口号被转换为该地址的不同端口号，因而仍然能够共享同一地址，也就是“私有地址＋端口号”与“公网IP地址＋端口号”之间的转换
(26.81 KB)
三个带有内部地址的数据报文到达NAT设备，其中报文1和报文2来自同一个内部地址但有不同的源端口号，报文1和报文3来自不同的内部地址但具有相同的源端口号。通过NAPT映射，四个数据报的源IP地址都被转换到同一个外部地址，但每个数据报都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备网关仍能够根据回应报文的目的地址和端口号来区别该报文应转发到的内部主机。
采用NAPT可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。
<font color="#. 内部服务器NAT隐藏了内部网络的结构，具有“屏蔽”内部主机的作用，但是在实际应用中，可能需要给外部网络提供一个访问内网主机的机会，如给外部网络提供一台Web服务器，或是一台FTP服务器。
NAT设备提供的内部服务器功能，就是通过静态配置“公网IP地址＋端口号”与“私网IP地址＋端口号”间的映射关系，实现公网IP地址到私网IP地址的“反向”转换。例如，可以将20.1.1.1:8080配置为内网某Web服务器的外部网络地址和端口号供外部网络访问。外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备根据报文的目的地址查找地址转换表项，将访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成公网IP地址和端口号。
4. DNS mapping一般情况下，DNS服务器和访问私网服务器的用户都在公网，通过在NAT设备的公网接口上配置内部服务器，可以将公网地址、端口等信息映射到私网内的服务器上，使得公网用户可以通过内部服务器的域名或公网地址来访问内部服务器。但是，如果DNS服务器在公网，私网用户希望通过域名来访问私网的Web服务器，则会由于DNS服务器向私网用户发送的响应报文中包含的是私网服务器的公网地址，而导致收到响应报文的私网用户无法利用域名访问私网服务器。通过在设备上配置DNS mapping可以解决该问题。
(16.39 KB)
DNS mapping功能是指，通过配置“域名+公网IP地址+公网端口号+协议类型”的映射表，建立内部服务器域名与内部服务器公网信息的对应关系。在配置了NAT的接口上，设备检查接收到的DNS响应报文，根据报文中的域名查找用户配置的DNS mapping映射表，并根据表项内的“公网地址+公网端口+协议类型”信息查找内部服务器地址映射表中该信息对应的私网地址，替换DNS查询结果中的公网地址。这样，私网用户收到的DNS响应报文中就包含了要访问的内部服务器的私网地址，也就能够使用内部服务器域名访问同一私网内的内部服务器。
<font color="#. Easy IPEasy IP功能是指进行地址转换时，直接使用接口的外网IP地址作为转换后的源地址，能够最大程度的节省IP地址资源。它也可以利用访问控制列表控制哪些内部地址可以进行地址转换。
6. NAT支持的特殊协议NAT不仅实现了一般的地址转换功能，同时提供了完善的地址转换ALG （Application Layer Gateway，应用级网关）机制，使其可以支持一些特殊的应用协议，而不需要对NAT平台进行任何的修改，具有良好的可扩充性。这些特殊协议的报文载荷里携带了地址或端口信息，该信息也可能需要进行地址转换。
可支持的特殊协议包括：FTP（File Transfer Protocol，文件传输协议）、ICMP（Internet Control Message Protocol，因特网控制消息协议）、DNS（Domain Name System，域名系统）、ILS（Internet Locator Service，Internet定位服务）、H.323、SIP（Session Initiation Protocol，会话发起协议）、NetMeeting 3.01、NBT（NetBIOS over TCP/IP，基于TCP/IP的网络基本输入输出系统）等。
本帖最后由 wangpeng1980520 于
00:09 编辑
不错，学习了。nat也是很需要理解的东西
不要给自己退路,只有在绝路上行走,我们才能走到终点!
没有借口的人生,才是胜利的人生!
呵呵　．．不错学习一下
要是再有个实列那就更好了
高级工程师
引用:原帖由 ttxsjj 于
14:31 发表
要是再有个实列那就更好了 呵呵 明天有时间写一个
少思虑以养心气，寡色欲以养肾气，
常运动以养骨气，戒嗔怒以养肝气，
薄滋味以养胃气，省言语以养神气，
多读书以养胆气，顺时令以养元气
那个请问下,可分配的公网ip地址从哪里来呢?
学习了！！[已解决 - ]
悬赏价格: 无忧币 1
nat端口映射问题求助！
为什么我做的nat端口映射不成功呢？
请高人帮忙看看，那个地方出错了！谢谢拉！
User Access Verification
hzqx-web&ena
hzqx-web#config
Configuring from terminal, memory, or network [terminal]? t
Enter configuration commands, one per line.&&End with CNTL/Z.
hzqx-web(config)#end
hzqx-web#show run
Building configuration...
Current configuration : 1108 bytes
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
hostname hzqx-web
boot-start-marker
boot-end-marker
enable secret 5 $1$OTkl$0lyhORszVYDLD5e47a4u20
enable password $1$OTkl$0lyhORszVYDLD5e47a4u20
no network-clock-participate slot 1
no network-clock-participate wic 0
no aaa new-model
ip subnet-zero
ip audit po max-events 100
no ftp-server write-enable
interface FastEthernet0/0
ip address 61.134.39.90 255.255.255.0
ip nat outside
duplex auto
speed auto
interface FastEthernet0/1
ip address 172.23.86.2 255.255.255.0
ip nat inside
duplex auto
speed auto
ip nat pool hzqx 61.134.39.90 61.134.39.90 netmask 255.255.255.252
ip nat inside source list 1 pool hzqx overload
ip nat inside source static tcp 172.23.86.50 .39.90 1501 extendable
ip nat inside source static tcp&&172.23.86.88 80&&61.134.39.90 80&&extendable
ip classless
ip route 0.0.0.0 0.0.0.0 61.134.39.89
no ip http server
no ip http secure-server
access-list 1 permit any
line con 0
line aux 0
line vty 0 4
password $1$OTkl$0lyhORszVYDLD5e47a4u20
最佳答案 ( 回答者:
你把静态地址转换和动态转换弄混淆了。这有些资料你可以参考一下：
随着internet的网络迅速发展，IP地址短缺已成为一个十分突出的问题。为了解决这个问题，出现了多种解决方案。下面几绍一种在目前网络环境中比较有效的方法即地址转换(NAT)功能。
一、 NAT简介
NAT(Network Address Translation)的功能，就是指在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。
二、 NAT 的应用环境：
情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet 隔离开，则外部用户根本不知道通过NAT设置的内部IP地址。
情况2：一个企业申请的合法Internet IP地址很少，而内部网络用户很多。可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet 进行通信。
三、 设置NAT所需路由器的硬件配置和软件配置：
设置NAT功能的路由器至少要有一个内部端口（Inside），一个外部端口（Outside）。内部端口连接的网络用户使用的是内部IP地址。
内部端口可以为任意一个路由器端口。外部端口连接的是外部的网络，如Internet 。外部端口可以为路由器上的任意端口。
设置NAT功能的路由器的IOS应支持NAT功能(本文事例所用路由器为Ｃisco2501，其IOS为11.2版本以上支持NAT功能)。
四、 关于NAT的几个概念：
内部本地地址（Inside local address）：分配给内部网络中的计算机的内部IP地址。
内部合法地址（Inside global address）：对外进入IP通信时，代表一个或多个内部本地地址的合法IP地址。需要申请才可取得的IP地址。
五、 NAT的设置方法：
NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换。
1、&&静态地址转换适用的环境
静态地址转换将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等可以为外部用户提供的服务，这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。
静态地址转换基本配置步骤：
（1）、在内部本地地址与内部合法地址之间建立静态地址转换。在全局设置状态下输入：
　　　　Ip nat inside source static 内部本地地址 内部合法地址
　　（2）、指定连接网络的内部端口 在端口设置状态下输入：
　　　　　ip nat inside
　　（3）、指定连接外部网络的外部端口 在端口设置状态下输入：
　　　　　ip nat outside
　　注：可以根据实际需要定义多个内部端口及多个外部端口。
本实例实现静态NAT地址转换功能。将2501的以太口作为内部端口，同步端口０作为外部端口。其中10.1.1.2，10.1.1.3，10.1.1.4的内部本地地址采用静态地址转换。其内部合法地址分别对应为192.1.1.2，192.1.1.3，192.1.1.4。
路由器2501的配置：
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat inside source static 10.1.1.2 192.1.1.2
ip nat inside source static 10.1.1.3 192.1.1.3
ip nat inside source static 10.1.1.4 192.1.1.4
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
line con 0
line aux 0
line vty 0 4
password cisco
配置完成后可以用以下语句进行查看：
show ip nat statistcs
show ip nat translations
　　2、动态地址转换适用的环境：
动态地址转换也是将本地地址与内部合法地址一对一的转换，但是动态地址转换是从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换。
动态地址转换基本配置步骤：
　　（1）、在全局设置模式下，定义内部合法地址池
　　　ip nat pool 地址池名称 起始IP地址 终止IP地址 子网掩码
　　　其中地址池名称可以任意设定。
　　（2）、在全局设置模式下，定义一个标准的access-list规则以允许哪些内部地址可以进行动态地址转换。
　　　Access-list 标号 permit 源地址 通配符
　　　其中标号为1-99之间的整数。
　　（3）、在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。
　　　ip nat inside source list 访问列表标号 pool内部合法地址池名字
　　（4）、指定与内部网络相连的内部端口在端口设置状态下：
　　　ip nat inside
　　（5）、指定与外部网络相连的外部端口
　　　Ip nat outside
　　 本实例中硬件配置同上，运用了动态NAT地址转换功能。将2501的以太口作为内部端口，同步端口０作为外部端口。其中10.1.1.0网段采用动态地址转换。对应内部合法地址为192.1.1.2~192.1.1.10
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0
ip nat inside source list 1 pool aaa
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
　　3、复用动态地址转换适用的环境：
　　复用动态地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。只申请到少量IP地址但却经常同时有多于合法地址个数的用户上外部网络的情况，这种转换极为有用。
　　注意：当多个用户同时使用一个IP地址，外部网络通过路由器内部利用上层的如TCP或UDP端口号等唯一标识某台计算机。　　
　　复用动态地址转换配置步骤：
　　在全局设置模式下，定义内部合地址池
　　ip nat pool 地址池名字 起始IP地址 终止IP地址 子网掩码
　　其中地址池名字可以任意设定。
　　在全局设置模式下，定义一个标准的access-list规则以允许哪些内部本地地址可以进行动态地址转换。
　　access-list 标号 permit 源地址 通配符
　　其中标号为1－99之间的整数。
　　在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。
　ip nat inside source list 访问列表标号 pool 内部合法地址池名字 overload
　　在端口设置状态下，指定与内部网络相连的内部端口
　　ip nat inside
　　在端口设置状态下，指定与外部网络相连的外部端口
　　ip nat outside
实例：应用了复用动态NAT地址转换功能。将2501的以太口作为内部端口，同步端口０作为外部端口。10.1.1.0网段采用复用动态地址转换。假设企业只申请了一个合法的IP地址192.1.1.1。
2501的配置
Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0
ip nat inside source list 1 pool bbb overload
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
cisco NAT 的配置例子
version 12.0
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
hostname nat-r1
enable secret 5 $1$FEQr$INhRecYBeCb.UqTQ3b9mY0
ip subnet-zero
interface Ethernet0
ip address 172.18.150.150 255.255.0.0
no ip directed-broadcast
ip nat inside& && && && &/* 定义此为网络的内部端口 */
interface Serial0
ip address 192.1.1.161 255.255.255.252
no ip directed-broadcast
ip nat outside& & /*&&定义此为网络的外部端口 */
no ip mroute-cache
no fair-queue
interface Serial1
no ip address
no ip directed-broadcast
!& && &&&/* 定义从ISP那里申请到的IP在企业内部的分配策阅 */
ip nat pool tech 192.1.1.100 192.1.1.120 netmask 255.255.255.0
ip nat pool deve 192.1.1.121 192.1.1.150 netmask 255.255.255.0
ip nat pool manager 192.1.1.180 192.1.1.200 netmask 255.255.255.0
ip nat pool soft-1 192.1.1.170 192.1.1.179 netmask 255.255.255.0
ip nat pool soft-2 192.1.1.151 192.1.1.159 netmask 255.255.255.0
ip nat pool temp-user 192.1.1.160 192.1.1.160 netmask 255.255.255.0
& && &&&/* 将访问列表与地址池对应，以下为动态地址转换*/
ip nat inside source list 1 pool tech
ip nat inside source list 2 pool deve
ip nat inside source list 3 pool manager
ip nat inside source list 4 pool soft-1
ip nat inside source list 5 pool soft-2
& && && && & /*& &将访问列表与地址池对应，以下为复用动态地址转换*/
ip nat inside source list 6 pool temp-user overload
& && && && & /*& &将访问列表与地址池对应，以下为静态地址转换*/& && &
ip nat inside source static 172.18.100.168 192.1.1.168
ip nat inside source static 172.18.100.169 192.1.1.169
ip classless&&
ip route 0.0.0.0 0.0.0.0 Serial0& && & /* 设置一个缺省路由 */
!& && && && &/* 内部网访问地址表，他指出内部网络能访问外部网的地址段，分别定义是为了对应不同的地址池&&*/
access-list 1 permit 172.18.107.0 0.0.0.255
access-list 2 permit 172.18.101.0 0.0.0.255
access-list 3 permit 172.18.108.0 0.0.0.255
access-list 4 permit 172.18.103.0 0.0.0.255
access-list 4 permit 172.18.102.0 0.0.0.255
access-list 4 permit 172.18.104.0 0.0.0.255
access-list 5 permit 172.18.105.0 0.0.0.255
access-list 5 permit 172.18.106.0 0.0.0.255
access-list 6 permit 172.18.111.0 0.0.0.255
line con 0
transport input none
line aux 0
line vty 0 4
采纳率-&&/&&-
结帖率2帖&&/&&100%
帖子20&精华&无忧币20 &在线时间8 小时&注册时间&最后登录&&#xe602; 下载
&#xe60c; 收藏
该文档贡献者很忙，什么也没留下。
&#xe602; 下载此文档
正在努力加载中...
配置2003网络地址转换(NAT)代理上网
下载积分：700
内容提示：配置2003网络地址转换(NAT)代理上网配置20
文档格式：PDF|
浏览次数：24|
上传日期： 19:00:47|
文档星级：&#xe60b;&#xe612;&#xe612;&#xe612;&#xe612;
该用户还上传了这些文档
下载文档:配置2003网络地址转换(NAT)代理上网.PDF
官方公共微信}