NAT_和策略路由解读

• 策略路由
对象:需要转发的数据报文 路由器转发数据报文时， 根据配置的规则对报文进行过滤。匹配成功则
按照一定的转发策略进行报文转发，也可以修改报文的IP优先字段
• 路由策略
对象:路由 通过路由策略控制路由的接收、发布、引入的方法，实现对路由的优化
策略路由概述
• 基于源IP、源目标IP对、协议、端口号、长度等参 数对数据进行分类，对分类的数据执行转发策略。 • 从特定的出口转发数据或者设置数据的优先级。
配置动态NAT（二）
配置动态NAPT（一）
• 第一步：至少指定一个内部接口和一个外部接口，并执行命令 ip nat { inside | outside }。 • 第二步：使用命令access-list access-list-number { permit | deny } 定义IP访问控制列表，以明确哪些报文将被进行NAT转换。
策略路由的处理流程——流 模式
ROUTEMAP 匹配 查转发表 SET
第一个流
是否加入 转发接口报文
ip route-cache policy 开启快速交换策略路由
NAT术语（二）
参数 描述
内部本地IP地址
内部全局IP地址
分配给内部网络中的主机的IP地址，通常这种地址来自RFC 1918指定的私有地址空 间。
内部全局IP地址，对外代表一个或多个内部本地IP地址，通常这种地址来自全局惟一 的地址空间，通常是ISP提供的。 外部网络中的主机的IP地址，通常来自全局可路由的地址空间。
配置静态NAT
• 第一步：至少指定一个内部接口和一个外部接口， 方法是进入接口配置模式下，执行命令ip nat { inside | outside }。 • 第二步：使用全局命令ip nat inside source static local-ip { interface interface | global-ip } 配置静态转 换条目。
策略路由的流程
入口数据包 Y Match Y 有匹配条目吗？ N Permit？ N
策略路由？ N
策 Y 略 Set 路 由
正常路由（基于目标）
使用Route-map来配置策略路由的流程
策略路由的处理模式
• 逐包模式
每个包都进行查表后才进行转发
• 流模式
第一个包查路由转发表，如果存在路由，将该路由项以 source、dest、tos、入接口等索引放置到cache中，以后同 样的流就可以直接查cache
• 第三步：使用命令ip nat pool pool-name start-ip end-ip { netmask netmask | prefix-length prefix-length } 定义一个地址池，用于转 换地址。注意， start-ip 和end-ip是同一个地址。
• 第四步：使用命令ip nat inside source list access-list-number { interface interface | pool pool-name } overload将符合访问控制 列表条件的内部本地地址转换到地址池中的内部全局地址。
• 第三步：使用命令ip nat pool pool-name start-ip end-ip { netmask netmask | prefix-length prefix-length } 定义一个地址池，用于转换地址。
• 第四步：使用命令ip nat inside source list access-list-number { interface interface | pool pool-name }将符合访问控制列表条件的内部本地地址 转换到地址池中的内部全局地址。
• NAPT是NAT的一种实现形式，NAPT利用不同 的端口号将多个内部IP地址转换为一个外部 IP地址，NAPT也称为PAT或端口级复用NAT， 分为静态和动态NAPT。
NAPT
地址空间重叠
TCP负载均衡
• NAT TCP负载均衡只适用于TCP连接，对于非 TCP连接请求，NAT进程将不会对其进行转 换。
• 静态NAPT：只用于服务器； • 动态NAT,动态NAPT:用于客服端，
策略路由
策略路由概述
• 常规路由
基于目标IP和路由表进行报文的转发
• 策略路由(Policy-Based Routing)
根据用户制定的策略进行报文转发，是一种比常规的基于目的的路由更 灵活的路由机制。
策略路由与路由策略
• 第七步：使用命令ip nat outside source list access-listnumber pool pool-name将符合访问控制列表条件的外部 全局地址动态映射外部本地地址池。
配置地址重叠中的NAT转换（三）
配置TCP负载均衡（一）
• • • • 第一步：在路由器上配置IP路由选择和IP地址。 第二步：至少指定一个内部接口和一个外部接口，方法是进入接口配置模 式下，并执行命令ip nat { inside | outside }。 第三步：定义访问控制列表，指定发送到哪个地址（虚拟主机地址）的请 求被进行负载分担。 第四步：使用命令ip nat pool name start-ip end-ip { netmask netmask | prefix-length prefix-length } type rotary为真实的内部主机或服务器定义地 址池。当使用NAT进行TCP负载均衡时，必须配置type rotary关键字，以保 证地址池中的地址被轮流使用。
NAT优缺点
• NAT优点：
– 节省公共地址 – 可减少编址方案重叠的情况发生 – 将私有网络转化成公网时，无需要重新进行编址
• NAT缺点：
– NAT会增加延迟 – 无法进行端到端的IP跟踪 – NAT使某些在有效负载中使用IP地址的应用无法运行
NAT术语（一）
• 内部/外部：IP主机相对于NAT设备的物理位 置。 • 本地/全局：用户相对于NAT设备的位置或视 角。
•
第五步：使用命令ip nat inside destination list access-list-number pool name
定义访问控制列表与真实主机地址池之间的映射；
配置TCP负载均衡（二）
验证和诊断NAT转换
• 验证和诊断NAT转换的内容包括：
– 使用show命令查看NAT运行的状态 – 使用debug命令对NAT的转换操作进行调试 – 使用clear命令清楚特定的或所有的NAT转换条目
网络出口技术
NAT
为什么使用NAT？
没有足够的全局IP地址供网络中的主机用来连接到Internet 使用单个IP地址支持基本的TCP负载分配 更换Internet服务提供商后，需要对网络进行重新编址 合并两个使用重叠地址空间的内部网络
什么是NAT？
NAT(Network Address Translation，NAT）网络地址转换，是一种在IP数 据包通过路由器或防火墙时重写源IP地址或目的IP地址，源端口或目的端 口的一种技术，也是一种网络安全技术。
配置动态NAPT（二）
配置地址重叠中的NAT转换（一）
• 第一步：在路由器上配置IP路由选择和IP地址。 • 第二步：至少指定一个内部接口和一个外部接口，并执行命令 ip nat { inside | outside }。 • 第三步：定义两个IP访问控制列表，它们分别指定了要对哪些 内部地址和外部地址进行转换。由于内部网络和外部网络的地 址空间相同，因此也可以使用同一个访问列表， • 第四步：使用命令ip nat pool pool-name start-ip end-ip { netmask netmask | prefix-length prefix-length } 定义一个内部全局地址池， 用于内部到外部的转换。
NAT类型
• • • • 静态NAT：按照一一对应的方式将每个内部IP地址转换为一个外部IP地址， 这种方式经常用于企业网的内部设备需要能够被外部网络访问到时。 动态NAT：将一个内部IP地址转换为一组外部IP地址（地址池）中的一个IP 地址。 超载（Overloading）NAT：动态NAT的一种实现形式，利用不同端口号将 多个内部IP地址转换为一个外部IP地址，也称为PAT、NAPT或端口复用NAT。 重叠（Overlapping）NAT：当在内部网络中使用的IP地址是其它网络中已
配置静态NAPT
• 第一步：至少指定一个内部接口和一个外部接口， 并执行命令ip nat { inside | outside }。 • 第二步：使用全局命令ip nat inside source static { tcp | udp } local-ip local-port { interface interface | global-ip } global-port指定静态PAT条目。
• 常用命令
– – – – – show ip nat translations [ access-list-number | icmp | tcp | udp ] [ verbose ] show ip nat statistics debug ip nat [ address | event | rule-match ] clear ip nat translation * clear ip nat statistics
配置动态NAT（一）
• 第一步：至少指定一个内部接口和一个外部接口，方法是进入接口配 置模式下，并执行命令ip nat { inside | outside }。 • 第二步：使用命令access-list access-list-number { permit | deny }定义IP 访问控制列表，以明确哪些报文将被进行NAT转换。
外部全局IP地址