CISCO_NAT_经典配置

CISCO NAT 经典配置合集(共5篇)

示例1

在本例中，公司使用一台两接口路由器，一个是Ethernet，另一个是串行接口。Ethernet0连接到内部网络，而串行接口则通过PPP链路连接到ISP路由器。在内部网络中，公司使用10.0.0.0/24地址范围内的地址。公司已从其供应商那里获得了一个单一的全局可路由的IP 地址171.100.1.1，并且该地址用于路由器的串行接口上。公司使用PAT将其所有的内部本地地址转换成单一的内部全局地址171.100.1.1。公司希望提供可以从Internet访问的FTP 和Web服务器，并且对Web服务器的请求应被送到Web服务器所在的地址10.1.1.100，而FTP请求则被送到FTP服务器所在的地址10.1.1.101。

1 解决方案

interface ethernet0

ip address 10.1.1.1 255.255.255.0

ip nat inside

!

interface serial0

ip address 171.100.1.1 255.255.255.252

ip nat outside

!

ip access-list permit 10.0.0.0 0.255.255.255

!

ip nat inside source list 1 interface serial0 overload

ip nat inside source list 1 static tcp 10.1.1.100 80 171.100.1.1 80

ip nat inside source list 1 static tcp 10.1.1.101 21 171.100.1.1 21

2 分析

先定义NAT所用的接口，并通过将合适的命令放在每个接口下面来定义接口是NAT内部或外部接口。通常，在定义NAT接口之后，就要定义NAT池来指定所用的内部全局地址。但是，在本例中只使用了一个单一的内部全局地址，并且将该单一内部全局地址用于路由器的serial 0接口上。由于只有一个单一内部全局地址并且用于路由器自己的接口上，所以我们不需要定义NAT池。我们只简单地使用示例中所示的inside source list语句即可。所定义源列表使用路由器接口的IP地址，并且超载该单一IP地址。该命令允许来自10.0.0.0/24网络的内部主机访问Internet。路由器执行PAT来创建TCP / UDP端口的NAT 映射。完成该步以后，接下来需要为内部Web和FTP服务器创建静态映射。

由于只有一个单一的内部全局IP地址，因此要根据IP地址以及TCP或UDP端口来定义静态映射。在本例中，将目的地址为171.100.1.1和目的TCP端口为80的报文地址转换成TCP 端口80上的10.1.1.100内部主机地址。我们还将目的地址为171.100.1.1和目的TCP端口

为21的报文地址转换成TCP端口21上的10.1.1.101内部主机地址。这样我们就在不同的内部服务器上提供了Web和FTP服务，虽然我们只有一个单一的内部全局地址。注意，由于该命令语法允许指定内部服务器的IP地址和端口，所以可以在内部提供多个Web和FTP服务器。例如，可以创建如下的静态映射：

ip nat inside source static tcp 10.1.1.102 21 21.171.100.1 27

该转换*作将所有目的地址为171.100.1.1且目的端口为27的向内报文的地址转换为FTP 端口上的地址10.1.1.102。当然，我们必须保证，外部用户能够知道我们的FTP服务器使用非标准的端口，而大多数的FTP客户机都提供这一能力。显然公司可以使用各种不同的端口转换方法来提供服务，即使公司只有一个全局可路由的IP地址。这些方法使Cisco NAT 的功能更加强大。

CISCO NAT 经典配置合集(二)

示例2

在本例中，某公司使用一台具有两个Ethernet的路由器。Ethernet0连接到内部网络，而Ethernet1则连接到一个LAN网段。公司与其ISP的路由器共享该网段。在内部网络中，公司使用10.0.0.0/24地址空间中的地址。公司为自己提供一个IP地址或171.100.1.0/24。公司路由器的接口使用IP地址171.100.1.1，而ISP路由器接口则使用IP地址171.100.1.2，而将那些从171.100.1.0/24开始的其余地址留给NAT转换。公司希望在路由器上使用必要的命令，以使其内部用户能够使用ISP所提供的地址空间中的有效，全局可路由的地址，以访问Internet。

1 解决方案

interface ethernet0

ip address 10.1.1.1 255.255.255.0

ip nat inside

!

interface Ethernet1

ip address 171.100.1.1 255.255.255.0

ip nat outside

!

ip access-list 1 permit 10.0.0.0 0.255.255.255

!

ip nat pool internet 171.100.1.3 171.100.1.254 netmask 255.255.255.0

!

ip nat inside source list 1 pool internet

2 分析

在该方案中定义了用于NAT的接口。通过将相应的命令放在每个接口下面，指定该接口是一个NAT外部接口或内部接口。这是配置NAT的第一步。如果读者不将接口指定为一个NAT 内部或NAT外部接口，或者指定的不正确，则NAT就不能正确工作。如果不定义NAT接口，NAT根本不工作，并且debug ip nat detail命令也不会输出任何结果。如果读者已定义了所有其他的NAT命令，但NAT还是不工作，则确认每个接口下面的所放的NAT命令是否合理。在每个接口下面定义了合适的NAT命令之后，就可以定义存放内部全局地址的NAT池。我们定义的起始IP地址是171.100.1.3，而结束地址为171.100.1.254。我们不使用.1和.2地址是因为这两个地址分别用于用户路由器和ISP路由器。由于这两个地址也与用户路由器上的Ethernet1接口所在的子网是同一子网地址，用户路由器将使用自己的MAC地址回答来自ISP路由器的ARP请求。这允许ISP路由器从NAT池中解析出IP地址，并使用从NAP池中取出的目的IP地址将报文发送给用户路由器。

注意，MAT地址池并非必须来自与用户路由器接口上所配置的子网相同。

CISCO NAT 经典配置合集(三)

示例3

在本例中，公司使用一台具有两个接口的路由器，分别是以太网和串行接口。Ethernet0连接到内部网络，而串行接口则通过点到点协议（PPP）链路连接到ISP路由器。在内部网络中，公司使用的地址来自地址空间10.0.0.0/24，该地址空间在Internet上是不可路由的。公司自己使用IP地址范围171.100.1.0/24。到ISP的PPP链路使用来自198.50.1.0/30子网的地址。公司希望在路由器上配置合适的命令，以便内部用户可以通过使用有效的、全局可路由的地址访问Internet。这些地址应该是来自ISP所提供的地址空间171.100.1.0/24。我们打算与上游的ISP路由器交换OSPF（开放式最短路径优先）更新信息。从而可以从该路由器接收缺省路由，并将其通知ISP路由器，该路由正在公司路由器上使用。

1 解决方案1

interface ethernet0

ip address 10.1.1.1 255.255.255.0

ip nat inside