思科NAT配置实例
思科路由实现内网访问Internet静态NAT
思科路由实现内⽹访问Internet静态NAT 内⽹访问Internet静态NAT1、实验⽬标在路由器上配置NAT2 、试验要求需要在CPE路由器上配置NAT。
内⽹PC0 10.1.1.1访问Internet源地址⽤172.16.1.2.10公⽹地址替换。
其他内⽹的计算机不能访问Internet。
3 、试验拓扑4 、实验过程：4.1 在路由器PCE上Router>enRouter#confi tRouter(config)#ip nat inside source static 10.1.1.1 172.16.12.10指定对应关系Router(config)#interface fastEthernet 0/1Router(config-if)#ip nat inside 指定NAT的内⽹接⼝Router(config-if)#exitRouter(config)#interface s0/0Router(config-if)#ip nat outside 指定NAT的外⽹接⼝Router#5 、验证5.1 在PC0上访问Server2的Web站点可以发现PC0能够访问Webserver2。
5.2 在PC1上Ping Server25.3 在Server2上查看会话表明内⽹的计算机访问Server2的Web站点时，源地址使⽤公⽹地址172.16.12.10替换了。
5.4 在路由器CPE上Router#show ip nat translationsRouter#debug ip nat 可以看到NAT转换IP NAT debugging is onRouter#NAT: s=10.1.1.1->172.16.12.10, d=172.16.23.2[0] NAT*: s=172.16.23.2, d=172.16.12.10->10.1.1.1[0] NAT: s=10.1.1.1->172.16.12.10, d=172.16.23.2[0] NAT: s=10.1.1.1->172.16.12.10, d=172.16.23.2[0] NAT*: s=172.16.23.2, d=172.16.12.10->10.1.1.1[0] NAT*: s=172.16.23.2, d=172.16.12.10->10.1.1.1[0] NAT: s=10.1.1.1->172.16.12.10, d=172.16.23.2[0] NAT: s=10.1.1.1->172.16.12.10, d=172.16.23.2[0] NAT*: s=172.16.23.2, d=172.16.12.10->10.1.1.1[0] NAT*: s=172.16.23.2, d=172.16.12.10->10.1.1.1[0]。
nat的配置案例
nat的配置案例一、网络环境说明。
咱这个办公室有个内部网络，好多电脑啊、打印机啥的都连着呢。
内部网络的IP 地址范围是192.168.1.0/24，这就好比是一个小区，里面住着好多“网络居民”（设备）。
然后呢，我们只有一个公网IP地址，比如说203.0.113.5，这个公网IP就像是这个小区对外的一个大招牌，所有内部设备要和外面的互联网世界打交道，都得靠这个招牌来帮忙。
二、路由器上的NAT配置（假设是基于Cisco路由器的命令行，其他设备原理类似哦）1. 我们要进入路由器的配置模式。
就像你要进入一个魔法房间，去施展网络魔法一样。
在路由器的命令行界面输入：enable.configure terminal.这就好比是先敲敲门（enable），然后走进房间（configure terminal）准备开始配置。
2. 接下来，我们要定义一下内部网络的接口，也就是那些连着内部设备的接口。
比如说这个接口是FastEthernet 0/0（这是接口名字，不同路由器可能会有不同的接口命名方式），我们就输入：interface FastEthernet 0/0.ip address 192.168.1.1 255.255.255.0.no shutdown.这里的“ip address”就是给这个接口设置内部网络的IP地址和子网掩码，“no shutdown”呢，就像是打开这个接口的开关，让它开始工作，不然这个接口就像睡着了一样，没法传递数据。
3. 然后，我们要定义外部网络的接口，这个接口连接着公网。
假设是FastEthernet 0/1，输入：interface FastEthernet 0/1.ip address 203.0.113.5 255.255.255.248.no shutdown.同样的，给这个接口设置公网的IP地址和子网掩码，再把开关打开。
4. 现在，重点来了，配置NAT。
我们要让内部网络的设备能够通过这个公网IP出去访问互联网。
思科NAT配置实例
CISCONAT配置一、NAT简介NAT(Network Address Translation)的功能，就是指在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。
在网络内部，各计算机间通过内部的IP地址进行通讯。
而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。
二、NAT 的应用环境：情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet 隔离开，则外部用户根本不知道通过NAT设置的内部IP地址。
情况2：一个企业申请的合法Internet IP地址很少，而内部网络用户很多。
可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet 进行通信。
三、设置NAT所需路由器的硬件配置和软件配置：设置NAT功能的路由器至少要有一个内部端口（Inside），一个外部端口（Outside）。
内部端口连接的网络用户使用的是内部IP地址。
内部端口可以为任意一个路由器端口。
外部端口连接的是外部的网络，如Internet 。
外部端口可以为路由器上的任意端口。
设置NAT功能的路由器的IOS应支持NAT功能(本文事例所用路由器为Ｃisco2501，其IOS为11.2版本以上支持NAT功能)。
四、关于NAT的几个概念：内部本地地址（Inside local address）：分配给内部网络中的计算机的内部IP地址。
内部合法地址（Inside global address）：对外进入IP通信时，代表一个或多个内部本地地址的合法IP地址。
需要申请才可取得的IP地址。
五、NAT的设置方法：NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换。
1、静态地址转换适用的环境静态地址转换将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。
思科配置——NAT和ACL
思科配置(NAT和ACL)实操1、看懂下面代码；2、把红色的重点代码写一遍R1(config)#interface f0/0R1(config-if)#no shutdownR1(config-if)#R1(config-if)#ip add 192.168.40.1 255.255.255.0R1(config-if)#exitR1(config)#interface f0/1R1(config-if)#no shutdownR1(config-if)#ip add 200.168.10.1 255.255.255.0R1(config-if)#R1(config-if)#exitR1(config)#router rip 动态路由配置R1(config-router)#network 192.168.40.0R1(config-router)#network 200.168.10.0R1(config-router)#exitR1(config)#line vty 0 4R1(config-line)#password 123R1(config-line)#loginR1(config-line)#exitR1(config)#enable password 123R1(config)#ip access-list extended NOtelnet 禁止外网远程登录R1(config-ext-nacl)#denyR1(config-ext-nacl)#deny tcp any any eq 23R1(config-ext-nacl)#permit ip any anyR1(config-ext-nacl)#exitR1(config)#interface f0/1R1(config-if)#ip access-group NOtelnet inR1(config)#ip nat inside source static 192.168.10.10 88.88.88.88 静态NATR1(config)#ip nat inside source static 192.168.10.20 99.99.99.99R1(config)#R1(config)#access-list 10 permit 192.168.30.0 0.0.0.255 动态NATR1(config)#ip nat pool XXB 110.110.110.110 110.110.110.210 netmask 255.255.255.0 R1(config)#ip nat inside source list 10 pool XXBR1(config)#R1(config)#access-list 20 permit 192.168.20.0 0.0.0.255 PATR1(config)#ip nat pool RSB 58.58.58.58 58.58.58.58 netmask 255.255.255.0R1(config)#ip nat inside source list 20 pool RSB overloadR1(config)#R1(config)#interface f0/0R1(config-if)#ip nat insideR1(config-if)#exitR1(config)#interface f0/1R1(config-if)#ip nat outside三层交换机（SW-3）代码如下：Switch>Switch>enSwitch#conf tSwitch(config)#hostname SW-3SW-3(config)#SW-3(config)#interface range f0/1-4SW-3(config-if-range)#no switchportSW-3(config-if-range)#SW-3(config-if-range)#exitSW-3(config)#SW-3(config)#interface f0/1SW-3(config-if)#ip address 192.168.10.1 255.255.255.0 SW-3(config-if)#exitSW-3(config)#interface f0/2SW-3(config-if)#ip address 192.168.20.1 255.255.255.0 SW-3(config-if)#exitSW-3(config)#interface f0/3SW-3(config-if)#ip address 192.168.30.1 255.255.255.0 SW-3(config-if)#exitSW-3(config)#interface f0/4SW-3(config-if)#ip address 192.168.40.2 255.255.255.0 SW-3(config-if)#exitSW-3(config)#ip routingSW-3(config)#router ripSW-3(config-router)#network 192.168.10.0SW-3(config-router)#network 192.168.20.0SW-3(config-router)#network 192.168.30.0SW-3(config-router)#network 192.168.40.0SW-3(config-router)#exitSW-3(config)#SW-3(config)#ip access-list extended JFACL 信息部员工可以访问机房，人事部员不能访问机房SW-3(config-ext-nacl)#permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255SW-3(config-ext-nacl)#deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255SW-3(config-ext-nacl)#permit ip any anySW-3(config-ext-nacl)#exit、信息部员工不能访问外网，但可以访问机房；4、人事部员可以访问外网，但不能访问机房；SW-3(config)#interface f0/1SW-3(config-if)#ip access-group JFACL outSW-3(config-if)#exitSW-3(config)#SW-3(config)#ip access-list extended WWACL 人事部和信息部经理可以访问外网，信息部不能访问外网SW-3(config-ext-nacl)#permit ip 192.168.20.0 0.0.0.255 200.168.10.0 0.0.0.255SW-3(config-ext-nacl)#permit ip host 192.168.30.20 200.168.10.0 0.0.0.255SW-3(config-ext-nacl)#deny ip 192.168.30.0 0.0.0.255 200.168.10.0 0.0.0.255 SW-3(config-ext-nacl)#permit ip any anySW-3(config-ext-nacl)#exitSW-3(config)#SW-3(config)#interface f0/4SW-3(config-if)#ip access-group WWACL out。
CISCO ASA 84 NAT配置示例
1、静态NATStep 1 Create a network object for the internal web server:hostname(config)# object network myWebServStep 2 Define the web server address:hostname(config-network-object)#Step 3 Configure static NAT for the object:hostname(config-network-object)# nat (inside,outside2、动态NATStep 1 Create a network object for the dynamic NAT pool to which you want to translate the inside addresses:hostname(config)# object network myNatPoolhostname(config-network-object)#Step 2 Create a network object for the inside network:hostname(config)# object network myInsNethostname(config-network-object)#Step 3 Enable dynamic NAT for the inside network:hostname(config-network-object)# nat (inside,outside) dynamic myNatPoolStep 4 Create a network object for the outside web server:hostname(config)# object network myWebServStep 5 Define the web server address:hostname(config-network-object)#Step 6 Configure static NAT for the web server:hostname(config-network-object)# nat (outside,inside3、端口NATStep 1 Create a network object for the FTP server address:hostname(config)# object network FTP_SERVERStep 2 Define the FTP server address, and configure static NAT with identity port translation for the FTP server:hostname(config-network-object)#hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcp ftpftpStep 3 Create a network object for the HTTP server address:hostname(config)# object network HTTP_SERVERStep 4 Define the HTTP server address, and configure static NAT with identity port translation for the HTTPserver:hostname(config-network-object)#hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcphttp httpStep 5 Create a network object for the SMTP server address:hostname(config)# object network SMTP_SERVERStep 6 Define the SMTP server address, and configure static NAT with identity port translation for the SMTPserver:hostname(config-network-object)#hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcpsmtp smtp。
cisco路由器nat配置
cisco路由器nat配置本文档涉及附件：1、NAT配置范例（附件1）2、Cisco路由器配置指南（附件2）本文所涉及的法律名词及注释：1、NAT：网络地质转换，是一种将私有IP地质转换为公有IP 地质的技术。
它允许私有网络中的多个设备共享一个公有IP地质，并通过在数据包中修改IP地质和端口号来实现通信。
2、Cisco路由器：Cisco公司生产的网络设备，用于在计算机网络中转发数据包。
3、IP地质：Internet Protocol Address的缩写，是互联网上每一个设备的唯一标识。
4、公有IP地质：用于公共互联网上的网络设备的IP地质，由互联网服务提供商分配。
5、私有IP地质：用于局域网内部设备的IP地质，根据RFC 1918标准规定为以下三个范围.10：0：0：0 - 10.255.255.255，172.16：0：0 - 172.31.255.255，192.168：0：0 -192.168.255.255：6、端口号：在计算机网络中，用于标识不同应用程序或服务的数字。
端口号范围从0到65535：7、ACL：访问控制列表（Access Control List）是一种网络安全机制，用于限制或允许网络流量通过网络设备。
它基于规则集对数据包进行过滤和重定向。
8、PAT：端口地质转换（Port Address Translation）是一种NAT技术，用于将多个私有IP地质映射到一个公有IP地质。
它通过修改数据包中的IP地质和端口号来实现。
9、NAT池：一组可用于NAT转换的公有IP地质。
10、NAT超时：NAT超时是指在NAT转换表中保留NAT会话的时间。
一旦超时时间到达，相应的NAT转换将被删除。
11、Source NAT：源地质转换（Source Network Address Translation）操作将源IP地质和端口号更改为公有IP地质和端口号。
12、Destination NAT：目的地质转换（Destination Network Address Translation）操作将目的IP地质和端口号更改为私有IP 地质和端口号。
思科交换机NAT配置介绍及实例
思科交换机NAT配置介绍及实例思科交换机（Cisco Switch）是企业级网络设备中最常用的一种。
与传统的路由器不同，交换机主要用于在局域网（LAN）内部提供数据包的转发和过滤功能。
然而，在一些情况下，我们可能需要使用交换机进行网络地址转换（NAT）来实现特定的网络部署需求。
本文将介绍思科交换机的NAT配置方法，并提供实例说明。
1.NAT概述网络地址转换（NAT）是一种在不同网络之间转换IP地址的技术。
它主要用于解决IPv4地址空间的短缺问题，并允许多个主机通过一个公网IP地址来访问互联网。
NAT实现了将内部网络地址与外部IP地址之间进行映射，使得内部主机可以通过共享公网IP地址来与外部网络进行通信。
2.NAT配置方法在思科交换机上配置NAT通常涉及以下步骤：步骤1：创建访问控制列表（ACL）访问控制列表（Access Control List）用于定义需要进行NAT转换的数据包。
我们可以根据源地址、目标地址、端口等条件来配置ACL，以确定哪些数据包需要进行NAT转换。
例如，下面是一条配置ACL的命令示例：access-list 10 permit 192.168.1.0 0.0.0.255该命令表示允许192.168.1.0/24网段的内部主机进行NAT转换。
步骤2：创建NAT池NAT池用于定义可以被映射到的公网IP地址范围。
我们可以通过配置交换机的外部接口和NAT池来设置NAT转换的目标IP地址。
例如，下面是一条配置NAT池的命令示例：ip nat pool NAT_POOL 203.0.113.1 203.0.113.10 netmask255.255.255.0该命令表示创建一个名为NAT_POOL的NAT池，其中可用的IP地址范围为203.0.113.1至203.0.113.10。
步骤3：创建NAT规则NAT规则用于将内部网络的私有IP地址映射到NAT池的公网IP地址。
我们可以通过配置NAT类型（静态/动态）、内部地址、外部地址等参数来创建NAT规则。
CISCO NAT 经典配置合集(共5篇)
CISCO NAT 经典配置合集(共5篇)示例1在本例中，公司使用一台两接口路由器，一个是Ethernet，另一个是串行接口。
Ethernet0连接到内部网络，而串行接口则通过PPP链路连接到ISP路由器。
在内部网络中，公司使用10.0.0.0/24地址范围内的地址。
公司已从其供应商那里获得了一个单一的全局可路由的IP 地址171.100.1.1，并且该地址用于路由器的串行接口上。
公司使用PAT将其所有的内部本地地址转换成单一的内部全局地址171.100.1.1。
公司希望提供可以从Internet访问的FTP和Web服务器，并且对Web服务器的请求应被送到Web服务器所在的地址10.1.1.100，而FTP 请求则被送到FTP服务器所在的地址10.1.1.101。
1 解决方案inte***ce ethernet0ip address 10.1.1.1 255.255.255.0ip nat inside!inte***ce serial0ip address 171.100.1.1 255.255.255.252ip nat outside!ip access-list permit 10.0.0.0 0.255.255.255!ip nat inside source list 1 inte***ce serial0 overloadip nat inside source list 1 static tcp 10.1.1.100 80 171.100.1.1 80ip nat inside source list 1 static tcp 10.1.1.101 21 171.100.1.1 212 分析先定义NAT所用的接口，并通过将合适的命令放在每个接口下面来定义接口是NA T内部或外部接口。
通常，在定义NA T接口之后，就要定义NA T池来指定所用的内部全局地址。
但是，在本例中只使用了一个单一的内部全局地址，并且将该单一内部全局地址用于路由器的serial 0接口上。
思科路由器配置命令详解及实例
思科路由器配置命令详解及实例思科路由器配置命令详解及实例一、路由器基本配置1.1 登录路由器为了配置和管理思科路由器，您需要登录到路由器的控制台或通过远程登录方式。
使用以下命令登录路由器，并进行必要的身份验证：```Router> enableRouterconfigure terminalEnter configuration commands, one per line： End with TL/Z：Router(config)hostname [路由器名称]Router(config)enable secret [密码]Router(config)line console 0Router(config-line)password [密码]Router(config-line)logging synchronousRouter(config-line)exitRouter(config)line vty 0 4Router(config-line)password [密码]Router(config-line)logging synchronous```1.2 配置接口接下来，您需要配置路由器的接口，以便与其他网络设备进行通信。
使用以下命令配置接口：```Router(config)interface [接口类型] [接口编号]Router(config-if)ip address [IP地址] [子网掩码]Router(config-if)no shutdownRouter(config-if)exit```二、路由配置2.1 静态路由静态路由是手动配置的路由项，将特定的网络目的地与下一跳路由器关联起来。
以下是配置静态路由的示例命令：```Router(config)ip route [目的网络] [子网掩码] [下一跳地址]```2.2 动态路由动态路由是通过路由协议动态学习并自动更新的路由项。
Cisco–NAT和PAT的配置
Cisco–NAT和PAT的配置下面是实验拓扑图：相关说明：NAT用于提供几乎无限的地址空间并掩藏内部网络寻址方案，地址管理更加容易，它允许严格控制进入和离开网络的流量；但是静态或动态NAT都存在一个问题，它只能提供一对一的地址转换。
使用端口地址转换PA T可以实现地址复用的功能，使用PAT后，所有通过地址转换设备的机器都拥有了分配给它们相同IP地址，因此源端口号用来区分不同的连接。
实验过程：I：配置各路由器的IP地址，确保直连接口能Ping通。
II：KC-R1模拟企业网关路由器。
KC-R1(config)#ip route 0.0.0.0 0.0.0.0 173.16.1.128 #指向外网的静态路由IV：配置NAT。
方法一：静态NA TKC-R1(config)#int f0/0KC-R1(config-if)#ip nat inside #将f0/0设置为内网口*Mar 1 00:05:49.875: %LINEPROTO-5-UPDOWN: Line protocol on Interface NVI0, changed state to upKC-R1(config-if)#exitKC-R1(config)#int s1/0KC-R1(config-if)#ip nat outside #将s1/0设置为外网口KC-R1(config-if)#exitKC-R1(config)#ip nat inside source static 10.1.1.1 173.16.1.56 #静态NATKC-R1(config)#exitPing测试:PC-1#ping 202.101.1.149 #测试证明能通Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 202.101.1.149, timeout is 2 seconds:!!!!!Success rate is 100 percent (5/5), round-trip min/avg/max = 120/122/132 ms此时PC-1能通，PC-2不能通。
CiscoASA防火墙nat配置示例
ASA的NAT配置命令解释版本前默认为nat-control,并且不可以更改版本后默认为no nat-control。
可以类似路由器一样，直接走路由；如果启用nat-control，那就与版本前同。
2.配置动态nat把内部网段：转换成为一个外部的地址池配置命令ASA(config)# nat (inside) 1 (定义源网段)ASA(config)# global (outside) 1 （定义地址池）注意：id必须匹配，并且大于1，这里先使用1检测命令：ASA(config)# show run natASA(config)# show run globalASA(config)# show xlateASA(config)# show connect3.配置PAT把内部网段：转换成为一个外部的一个地址：配置命令ASA(config)# nat (inside) 2 (定义源网段)ASA(config)# global (outside) 2 （定义地址）ASA(config)# global (outside) 2 interface（或者直接转换为外网接口地址）注意：id必须匹配，并且大于2，这里先使用24.配置static NAT把内部网段：转换成为一个外部的一个地址：配置命令ASA(config)# static (inside,outside) 命令格式是内外对应的，红色的接口和红色的地址对应。
实际工作中的应用：static主要是为内部服务器提供服务，如：web、ftp、telnet、mail等等。
access-list WEB permint tcp any host eq 80access-list WEB in interface outside 应用ACLASA(config)# static (inside,outside) tcp 80 80ASA(config)# static (inside,outside) tcp interface 80 805.防止DOS攻击防止外部对的攻击ASA(config)# static (inside,outside) tcp 100 1000 udp 1000tcp 100 1000:表示正常tcp连接最大数量为100，半开连接最大的数量为1000。
Cisco路由器NAT功能配置
二、应用环境
情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet隔离开，则外部用户根本不知道通ቤተ መጻሕፍቲ ባይዱNAT设置的内部IP地址。
情况2：一个企业申请的合法的Internet IP地址很少，而内部网络用户很多。可以通过NAT功能实现多个用户同时共用一个合法IP与外部Internet进行通信。
五、设置方法
NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换。以下设置以Cisco路由器为例。
1.静态地址转换
静态地址转换将内部本地地址与内部合法地址进行一对一地转换，且需要指定和哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等可以为外部用户提供服务，则这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。
Access-list标号permit源地址通配符
其中标号为1～99之间的整数。
(3)在全局设置模式下，将由Access-List指定的内部本地地址与指定的内部合法地址池进行地址转换：
ip nat inside source list访问列表标号pool内部合法地址池名字
三、软硬件配置
设置NAT功能的路由器至少要有一个内部端口(Inside)，一个外部端口(Outside)。
内部端口连接的网络用户使用的是内部IP地址；外部端口连接的是外部的网络，如Internet，内外部端口都可以为路由器上的任意端口。
设置NAT功能的路由器的IOS应支持NAT功能。
Access-List标号permit源地址通配符
其中标号为1～99之间的整数。
(3)在全局设置模式下，设置在内部本地地址与内部合法地址池间建立复用动态地址转换：
CISCO的配置例子
NAT———网络地址翻译随着Internet的飞速发展，网上丰富的资源产生着巨大的吸引力。
接入Internet问Internet成为当今信息业最为迫切的需求。
但这受到IP地址的许多限制。
首先，许多局域网在未联入Internet之前，就已经运行许多年了，局域网上有了许多现成的资源和应用程序，但它的IP地址分配不符合Internet的国际标准，因而需要重新分配局域网的IP地址，这无疑是劳神费时的工作；其二，随着Internet的膨胀式发展，其可用的IP地址越来越少，要想在ISP处申请一个新的IP地址已不是很容易的事了。
这不仅仅是费用的问题，而是IP地址的现行标准IPv4决定的。
当然，随着IPv6的出台，这个问题应当能够得到解决。
但从IPv4到IPv6的升级不是一两天就能完成的。
NA T（网络地址翻译）能解决不少令人头疼的问题。
它解决问题的办法是：在内部网络中使用内部地址，通过NA T把内部地址翻译成合法的IP地址，在Internet上使用。
其具体的做法是把IP包内的地址域用合法的IP地址来替换。
NA T功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中。
NA T设备维护一个状态表，用来把非法的IP地址映射到合法的IP地址上去。
每个包在NA T设备中都被翻译成正确的IP地址发往下一级，这意味着给处理器带来了一定的负担。
但这对于一般的网络来说是微不足道的，除非是有许多主机的大型网络需要注意的是，NAT并不是一种有安全保证的方案，它不能提供类似防火墙、包过滤、隧道等技术的安全性，仅仅在包的最外层改变IP地址。
这使得黑客可以很容易地窃取网络信息，危及网络安全。
标题: NAT———网络地址翻译（2）NA T有三种类型：静态NA T（staticNAT）、NA T池（pooledNAT）和端口NA T（PAT）。
其中静态NAT设置起来最为简单，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。
CiscoNAT详细实验
NAT实验一．实验拓扑结构图二．IP地址规划PC0——192.168.10.10 默认网关——192.168.10.254PC1——202.20.20.10 默认网关——202.20.20.254Router0：Fa0/0——192.168.10.254 S1/0——202.10.10.10 Router1：Fa0/0——202.20.20.254 S1/0——202.10.10.20地址池：202.30.30.1——202.30.30.30 name changsha 三．配置过程1.Router0的配置：Router>enRouter#conf tEnter configuration commands, one per line. End with CNTL/Z. Router(config)#int fa0/0Router(config-if)#ip address 192.168.10.254 255.255.255.0 Router(config-if)#no shutdownRouter(config-if)#int s1/0Router(config-if)#ip address 202.10.10.10 255.255.255.0Router(config-if)#clock rate 9600Router(config-if)#no shut2．Router1的配置Router(config)#int fa0/0Router(config-if)#ip add 202.20.20.254 255.255.255.0Router(config-if)#no shutRouter(config-if)#int s1/0Router(config-if)#ip add 202.10.10.20 255.255.255.0Router(config-if)#no shut3．Router0配置NA T转换Router(config)#access-list 1 permit 192.168.10.0 0.0.0.255Router(config)#ip nat pool network 202.30.30.1 202.30.30.30 netmask 255.255.255.0 Router(config)#ip nat inside source list 1 pool networkRouter(config)#int fa0/0Router(config-if)#ip nat insideRouter(config-if)#int s1/0Router(config-if)#ip nat outside4．Router0配置静态路由Router(config)#ip route 202.20.20.0 255.255.255.0 202.10.10.205．Router1配置静态路由Router(config)#ip route 202.30.30.0 255.255.255.0 202.10.10.106．实验测试（1）在PC0上输入ping指令PC>ping 202.20.20.10Pinging 202.20.20.10 with 32 bytes of data:Reply from 202.20.20.10: bytes=32 time=156ms TTL=126Reply from 202.20.20.10: bytes=32 time=156ms TTL=126Reply from 202.20.20.10: bytes=32 time=156ms TTL=126Reply from 202.20.20.10: bytes=32 time=156ms TTL=126 （2）在Router0中输入测试指令Router#debug ip natIP NAT debugging is onRouter#NA T: s=192.168.10.10->202.30.30.1, d=202.20.20.10 [13] NA T*: s=202.20.20.10, d=202.30.30.1->192.168.10.10 [4] NA T: s=192.168.10.10->202.30.30.1, d=202.20.20.10 [14] NA T*: s=202.20.20.10, d=202.30.30.1->192.168.10.10 [5] NA T: s=192.168.10.10->202.30.30.1, d=202.20.20.10 [15] NA T*: s=202.20.20.10, d=202.30.30.1->192.168.10.10 [6] NA T: s=192.168.10.10->202.30.30.1, d=202.20.20.10 [16] NA T*: s=202.20.20.10, d=202.30.30.1->192.168.10.10 [7]。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
CISCONAT配置一、NAT简介NAT(Network Address Translation)的功能，就是指在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。
在网络内部，各计算机间通过内部的IP地址进行通讯。
而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。
二、NAT 的应用环境：情况1：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet 隔离开，则外部用户根本不知道通过NAT设置的内部IP地址。
情况2：一个企业申请的合法Internet IP地址很少，而内部网络用户很多。
可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet 进行通信。
三、设置NAT所需路由器的硬件配置和软件配置：设置NAT功能的路由器至少要有一个内部端口（Inside），一个外部端口（Outside）。
内部端口连接的网络用户使用的是内部IP地址。
内部端口可以为任意一个路由器端口。
外部端口连接的是外部的网络，如Internet 。
外部端口可以为路由器上的任意端口。
设置NAT功能的路由器的IOS应支持NAT功能(本文事例所用路由器为Ｃisco2501，其IOS为11.2版本以上支持NAT功能)。
四、关于NAT的几个概念：内部本地地址（Inside local address）：分配给内部网络中的计算机的内部IP地址。
内部合法地址（Inside global address）：对外进入IP通信时，代表一个或多个内部本地地址的合法IP地址。
需要申请才可取得的IP地址。
五、NAT的设置方法：NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换。
1、静态地址转换适用的环境静态地址转换将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。
如果内部网络有E-mail服务器或FTP服务器等可以为外部用户提供的服务，这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。
静态地址转换基本配置步骤：（1）、在内部本地地址与内部合法地址之间建立静态地址转换。
在全局设置状态下输入：Ip nat inside source static 内部本地地址内部合法地址（2）、指定连接网络的内部端口在端口设置状态下输入：ip nat inside（3）、指定连接外部网络的外部端口在端口设置状态下输入：ip nat outside注：可以根据实际需要定义多个内部端口及多个外部端口。
实例1：本实例实现静态NAT地址转换功能。
将2501的以太口作为内部端口，同步端口０作为外部端口。
其中10.1.1.2，10.1.1.3，10.1.1.4的内部本地地址采用静态地址转换。
其内部合法地址分别对应为192.1.1.2，192.1.1.3，192.1.1.4。
路由器2501的配置：Current configuration：version 11.3no service password-encryptionhostname 2501ip nat inside source static 10.1.1.2 192.1.1.2ip nat inside source static 10.1.1.3 192.1.1.3ip nat inside source static 10.1.1.4 192.1.1.4interface Ethernet0ip address 10.1.1.1 255.255.255.0ip nat insideinterface Serial0ip address 192.1.1.1 255.255.255.0ip nat outsideno ip mroute-cachebandwidth 2000no fair-queueclockrate 2000000interface Serial1no ip addressshutdownno ip classlessip route 0.0.0.0 0.0.0.0 Serial0line con 0line aux 0line vty 0 4password ciscoend配置完成后可以用以下语句进行查看：show ip nat statistcsshow ip nat translations2、动态地址转换适用的环境：动态地址转换也是将本地地址与内部合法地址一对一的转换，但是动态地址转换是从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换。
动态地址转换基本配置步骤：（1）、在全局设置模式下，定义内部合法地址池ip nat pool 地址池名称起始IP地址终止IP地址子网掩码其中地址池名称可以任意设定。
（2）、在全局设置模式下，定义一个标准的access-list规则以允许哪些内部地址可以进行动态地址转换。
Access-list 标号 permit 源地址通配符其中标号为1-99之间的整数。
（3）、在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换。
ip nat inside source list 访问列表标号 pool内部合法地址池名字（4）、指定与内部网络相连的内部端口在端口设置状态下：ip nat inside（5）、指定与外部网络相连的外部端口Ip nat outside实例2：本实例中硬件配置同上，运用了动态NAT地址转换功能。
将2501的以太口作为内部端口，同步端口０作为外部端口。
其中10.1.1.0网段采用动态地址转换。
对应内部合法地址为192.1.1.2~192.1.1.10 Current configuration：version 11.3no service password-encryptionhostname 2501ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0 ip nat inside source list 1 pool aaainterface Ethernet0ip address 10.1.1.1 255.255.255.0ip nat insideinterface Serial0ip address 192.1.1.1 255.255.255.0ip nat outsideno ip mroute-cachebandwidth 2000no fair-queueclockrate 2000000interface Serial1no ip addressshutdownno ip classlessip route 0.0.0.0 0.0.0.0 Serial0access-list 1 permit 10.1.1.0 0.0.0.255line con 0line aux 0line vty 0 4password ciscoend3、复用动态地址转换适用的环境：复用动态地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。
只申请到少量IP地址但却经常同时有多于合法地址个数的用户上外部网络的情况，这种转换极为有用。
注意：当多个用户同时使用一个IP地址，外部网络通过路由器内部利用上层的如TCP或UDP端口号等唯一标识某台计算机。
复用动态地址转换配置步骤：在全局设置模式下，定义内部合地址池ip nat pool 地址池名字起始IP地址终止IP地址子网掩码其中地址池名字可以任意设定。
在全局设置模式下，定义一个标准的access-list规则以允许哪些内部本地地址可以进行动态地址转换。
access-list 标号 permit 源地址通配符其中标号为1－99之间的整数。
在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。
ip nat inside source list 访问列表标号 pool 内部合法地址池名字 overload在端口设置状态下，指定与内部网络相连的内部端口ip nat inside在端口设置状态下，指定与外部网络相连的外部端口ip nat outside实例：应用了复用动态NAT地址转换功能。
将2501的以太口作为内部端口，同步端口０作为外部端口。
10.1.1.0网段采用复用动态地址转换。
假设企业只申请了一个合法的IP地址192.1.1.1。
2501的配置Current configuration：version 11.3no service password-encryptionhostname 2501ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0 ip nat inside source list 1 pool bbb overloadinterface Ethernet0ip address 10.1.1.1 255.255.255.0ip nat insideinterface Serial0ip address 192.1.1.1 255.255.255.0ip nat outsideno ip mroute-cachebandwidth 2000no fair-queueclockrate 2000000interface Serial1no ip addressshutdownno ip classlessip route 0.0.0.0 0.0.0.0 Serial0 access-list 1 permit 10.1.1.0 0.0.0.255 line con 0line aux 0line vty 0 4password ciscoend。