NAT全局配置怎么设置

如何配置NAT?~

一、 NAT简介

NAT的功能就是指将使用私有地址的网络与公用网络INTERNET相连，使用私有地址的内部网络通过NAT路由器发送数据时，私有地址将被转化为合法注册的IP地址从而可以与INTERNET上的其他主机进行通讯。

NAT路由器被置于内部网和INTERNET的边界上并且在把数据包发送到外部网络前将数据包的源地址转换为合法的IP地址。当多个内部主机共享一个合法IP地址时，地址转换是通过端口多路复用即改变外出数据包的源端口并进行端口映射完成。

二、 NAT工作过程

假设某公司申请DDN专线时，电信提供的合法地址为61.138.0.93/30，61.128.0.94/30，公司内部网络地址为192.168.0.0/24，路由器局域口地址192.168.0.254/24，广域口地址61.138.0.93/30，

当192.168.0.1/24这台计算机向INTERNET上的服务器202.98.0.66发出请求，则相应的操作过程如下：

⑴内部主机192.168.0.1/24的用户发出到INTERNET上主机202.98.0.66的连接请求;

⑵边界路由器从内部主机接到第一个数据包时会检查其NAT映射表，如果还没有为该地址建立地址转换映射，路由器便决定为该地址进行地址转换，路由器为该内部地址192.168.0.1到合法IP地址61.138.0.93的映射，同时附加端口信息，以区别与内部其他主机的映射。

⑶边界路由器用合法IP地址61.138.0.93及某端口号来替换内部IP地址192.168.0.1和对应的端口号，并转发该数据包。

⑷INTERNET服务器202.98.0.66接到该数据包，并以该包的地址(61.138.0.93)来对内部主机192.168.0.1作出应答。

⑸当边界路由器接受到目的地址为61.138.0.93的数据包时路由器将使用该IP地址、端口号从NAT的映射表中查找出对应的内部地址和端口号，然后将数据包的目的地址转化为内部地址192.168.0.1，并将数据包发送到该主机。对于每一个请求路由器都重复2-5的步骤。

三、路由器NAT功能配置

以上面的假设为例，分别说明在CISCO、3COM路由器下配置NAT功能

一CISCO路由器

以CISCO2501为例，要求其IOS为11.2版本以上

cisco2501#conf t

cisco2501(config)# int e0

cisco2501(config-if)# ip address 192.168.0.254 255.255.255.0

cisco2501(config-if)# ip nat inside

(指定e0口为与内部网相连的内部端口)

cisco2501(config-if)#int s0

cisco2501(config-if)#encapsulation ppp

(指定封装方式为PPP)

cisco2501(config-if)#ip address 61.138.0.93 255.255.255.252

cisco2501(config-if)# ip nat outside

(指定s0为与外部网络相连的外部端口)

cisco2501(config-if)#exit

cisco2501(config)# bandwidth 128

(指定网络带宽128k)

cisco2501(config)# ip route 0.0.0.0 0.0.0.0 Serial0

(指定缺省路由)

cisco2501(config)# ip nat pool a 61.138.0.93 61.138.0.93 netmask 255.255.255.252

(指定内部合法地址池，起始地址，结束地址为合法IP 61.138.0.93)

cisco2501(config)# access-list 1 permit 192.168.0.0 0.0.0.255

(定义一个标准的access-list规则，以允许哪些内部地址可以进行地址转换)

cisco2501(config)# ip nat inside source list 1 pool a overload

(设置内部地址与合法IP地址间建立地址转换)

cisco2501(config)#end

cisco2501#wr

二3COM路由器

以3COM OCBN8832为例，要求其SOFTWARE VERSION为11.0版本以上

以root注册，进行如下配置:

⑴配置局域网端口

[1] EnterpriseOS #setdefault !1 -ip netaddress=192.168.0.254 255.255.255.0

[2] EnterpriseOS #setdefault !! -path control =enable (激活路由器局域口PATH)

[3] EnterpriseOS #setdefault !1 -port control=enable (激活路由器局域口PORT)

⑵配置广域网串行端口

[4] EnterpriseOS #setdefault !3 -path linetype=leased (指明该端口使用的通信线路类型)

[5] EnterpriseOS #setdefault !4 -port owner=ppp (指明该端口的使用者)

[6] EnterpriseOS #setdefault !4 -ip netaddress=61.138.0.93 255.255.255.252

[7] EnterpriseOS #setdefault !4 -nat addressmap 192.168.0.0/24 61.138.0.93 outbound

(指定将192.168.0.0/24内部主机使用的IP地址转换成61.138.0.93)

[8] EnterpriseOS #setdault !4 -nat control=enable (启用NAT服务)

[9] EnterpriseOS #setdault !3 -path control=enable

[10]EnterpriseOS #setdault !4 -port control=enalbe

⑶配置缺省路由

[11]EnterpriseOS #setdault -ip control=router (激活路由器的路由功能)

[12]EnterpriseOS #add -ip route 0.0.0.0 0.0.0.0 !4

登陆艾特路由器web管理界面之后，找到‘高级设置’---nat和DMZ配置(端口映射要是你找不到一般都是在nat里面）


2
添加端口映射，点击NAT静态映射列表下方的“添加新条目”功能


3
端口映射配置设置
接下来就是本经验的重点了如下图说明

静态映射名：也就是用来备注用的比如你这个映射是用来干嘛的
外部起始端口：源端口（既外网端口）
IP地址：服务器内网IP地址
常用端口，一般会列出常用端口列表
内网端口：内部需要映射的端口号（一般情况是内外一致）



4
如果您需要映射的端口是不常见的端口，可以选择“自定义”端口


5
如果端口协议不清楚的话，可以选择TCP/UDP端口


END
特别提醒


如果需要设置80端口的话，默认艾特是开启web远程管理的。


打开艾特路由器打开---系统管理---设备管理选项（如果不启用，内网可以用IP访问80端口）


其他注意事项

在设置端口映射的时候，如果有很多个网卡不知道选哪一个是上网网卡怎么办。打开“运行状态” 显示已连接的网络就是外网上网网卡


4
如果设置了端口映射不生效，查看状态那一列是不是显示“禁用”

，我们先了解一下它所涉及的几个概念。

1．内部局部地址 在内部网上分配到一个主机的IP地址。这个地址可能不是一个有网络信息中心（NIC）或服务提供商所分配的合法IP地址。

2．内部全局地址 一个合法的IP地址（由NIC或服务供应商分配），对应到外部世界的一个或多个本地IP地址。

3．外部局部地址 出现在网络内的一个外部主机的IP地址，不一定是合法地址，它可以在内部网上从可路由的地址空间进行分配。

4．外部全局地址 由主机拥有者在外部网上分配给主机的IP地址，该地址可以从全局路由地址或网络空间进行分配。图1展示了NAT相关术语的图解。

对于NAT技术，提供4种翻译地址的方式，如下所示。

（二）4种翻译方式

1．静态翻译 是在内部局部地址和内部全局地址之间建立一对一的映射。

2．动态翻译 是在一个内部局部地址和外部地址池之间建立一种映射。

3．端口地址翻译 超载内部全局地址通过允许路由器为多个局部地址分配一个全局地址，也就是将多个局部地址映射为一个全局地址的某一端口，因此也被称为端口地址翻译（PAT）。

4．重叠地址翻译 翻译重叠地址是当一个内部网中使用的内部局部地址与另外一个内部网中的地址相同，通过翻译，使两个网络连接后的通信保持正常。

在实际使用中，通常需要以上几种翻译方式配合使用。

二、让典型应用“说话”

现在，我们以常见Cisco路由器为例，阐述典型应用中NAT技术的实现。

1．配置共享IP地址

应用需求：当您需要允许内部用户访问Internet，但又没有足够的合法IP地址时，可以使用配置共享IP地址连接Internet的NAT转换方式。

图2是配置内部网络10.10.10.0/24通过重载一个地址172.16.10.1./24访问外部网络的全过程。如果有多个外部地址，可以利用动态翻译进行转换，这里就不多做说明了。清单1展示了具体配置方法。

NAT路由器配置清单1

interface ethernet 0

ip address 10.10.10.254 255.255.255.0

ip nat inside

!-- 定义内部转换接口

interface serial 0

ip address 172.16.10.64 255.255.255.0

ip nat outside

!-- 定义外部转换接口

ip nat pool ovrld 172.16.10.1 172.16.10.1 prefix 24

!-- 定义名为ovrld的NAT地址池和地址池重的地址172.16.10.1

ip nat inside source list 1 pool ovrld overload

!--指出被 access-list 1 允许的源地址会转换成NAT地址池ovrld中的地址并且转换会被内部多个机器重载成一个相同的IP地址。

access-list 1 permit 10.10.10.0 0.0.0.31

!-- Access-list 1 允许地址10.10.10.0到10.10.10.255进行转换

NAT路由器配置清单2

interface ethernet 0

ip address 10.10.10.254 255.255.255.0

ip nat inside

!-- 定义内部转换接口

interface serial 0

ip address 172.16.20.254 255.255.255.0

ip nat outside

!-- 定义外部转换接口

ip nat inside source static 10.10.10.1 172.16.20.1

!-- 指定将地址10.10.10.1静态转换为172.16.20.1

适用范围：这种情况适合于通信都是由内部用户向Internet发起的应用。

例如小型企业多个用户通过共享xDSL连接Internet。另外，也可以用软件进行NAT转换，Windows 2000的操作系统就有这样的功能。至于内部用户数量较多的情况，建议使用代理服务器。

2．配置在Internet上发布的服务器

应用需求：当您需要将内部设备发布到Internet上时，可以使用配置在Internet上发布的服务器的NAT转换方式。

图3是将内部网络的邮件服务器（IP地址为10.10.10.1/24）发布到外部网络的全过程，使用静态翻译可以实现这种转换。清单2展示了具体配置方法。

适用范围：这种情况适合于访问是从外部网络向内部设备发起的应用。

3．配置端口映射

应用需求：假设您在Internet上发布一台在内部网络的Web服务器，服务器配置成监听8080端口，您需要把外部网络对Web服务器80端口的访问请求重定向。

图4为配置端口映射示意图，清单3展示了具体配置方法。

4．配置TCP传输

应用需求：TCP传输装载共享是与地址匮乏无关的问题，它将数个设备的地址映射成一个虚拟设备的地址，从而实现设备间的负载均衡。

图5是将地址从10.10.10.2到10.10.10.15的真实设备映射成虚拟10.10.10.1地址的全过程。清单4展示了具体配置方法。

5．真实应用案例

应用需求：笔者所在的单位内部的局域网已建成，并稳定运行着各种应用系统。随着业务的发展，需要实施一个数据中心在外单位的新应用。出于安全方面的考虑，不能够对现有网络结构进行大的调整和改动；另外，由于资金方面的原因，需要尽可能地节省设备等方面的投入。

应用现状：我单位内部网结构如下：具有3个VLAN。VLAN 1（即10.1.1.X），使用单位内部应用系统，与数据中心没有数据交换；VLAN 2（即10.2.2.X），使用数据中心提供的应用系统，约有100台机器；VLAN 3（即10.3.3.X），只用2台机器使用数据中心提供的应用，分别是10.3.3.1和10.3.3.2。

数据中心提供一台Cisco 3640，Serial口与数据中心通过HDSL连接，分配的地址分别是192.168.252.1和255.255.255.252，FastEthernet口与单位内部局域网连接，分配的地址分别是192.168.1.0和255.255.255.0。

实施方案：由于不打算更改内部网的结构，所以将内部网地址作为内部局部地址，数据中心分配的地址作为内部全局地址，实施NAT应用。另外NAT需要两个端口，一个做为inside，另一个做为outside，因此考虑使用FastEthernet口做inside，Serial口做outside。图6 为本单位NAT技术的应用图。

利用以上设置，我们成功实现了内部地址的翻译转换，并实现了在不改变现有网络结构的情况下与数据中心连网的目标。

三、有比较有选择

1．与代理服务器的比较

用户经常把NAT和代理服务器相混淆。NAT设备对源机器和目标机器都是透明的，地址翻译只在网络边界进行。代理服务器不是透明的，源机器知道它需要通过代理服务器发出请求，而且需要在源机器上做出相关的配置，目标机器则以为代理服务器就是发出请求的源机器，并将数据直接发送到代理服务器，由代理服务器将数据转发到源机器上。

NAT路由器配置清单3

interface ethernet 0

ip address 10.10.10.254 255.255.255.0

ip nat inside

!-- 定义内部转换接口

interface serial 0

ip address 172.16.30.254 255.255.255.0

ip nat outside

!-- 定义外部转换接口

ip nat inside source static tcp 10.10.10.8 8080 172.16.30.8 80

!-- 指定将地址10.10.10.8:8080静态转换为172.16.30.8:80

NAT路由器配置清单4

interface ethernet 0

ip address 10.10.10.17 255.255.255.0ip nat inside

!-- 定义内部转换接口

interface serial 0

ip address 10.10.10.254 255.255.255.0ip nat outside

!-- 定义外部转换接口

ip nat pool real-hosts 10.10.10.2 10.10.10.15 prefix-length 28 type rotaryip nat inside destination list 1 pool real-hosts

!--定义地址池real-hosts地址范围是从10.10.10.2到10.10.10.15

!--指定将地址将地址池real-hosts转换为10.10.10.1

access-list 1 permit 10.10.10.1

代理服务器工作在OSI模型的第4层传输层，NAT则是工作在第3层网络层，由于高层的协议比较复杂，通常来说，代理服务器比NAT要慢一些。

但是NAT比较占用路由器的CPU资源，加上NAT隐藏了IP地址，跟踪起来比较困难，不利于管理员对内部用户对外部访问的跟踪管理和审计工作。所有NAT技术只适用于内部用户数量较少的应用，如果访问外部网络的用户数量大，而且管理员对内部用户有访问策略设置和访问情况跟踪的应用，还是使用代理服务器较好一些。

NAT路由器配置清单5

interface fastethernet 1/0

ip nat inside

!-- 定义内部转换接口

interface serial 0/0

ip address 192.168.252.1 255.255.255.252

ip address 192.168.1.254 255.255.255.0 secondary

ip nat outside

!-- 为节省端口，将数据中心提供的地址全部绑在Serial口

ip nat pool ToCenter 192.168.1.1 192.168.1.253 prefix-length 24

ip nat inside source list 1 pool ToCenter

!-- 建立动态源地址翻译，指定在前一步定义的访问列表

access-list 1 permit 10.3.3.1

access-list 1 permit 10.3.3.2

access-list 1 permit 10.2.2.0 0.0.0.255

!-- 定义一个标准的访问列表，对允许访问数据中心的地址进行翻译

2．与防火墙比较

防火墙是一个或一组安全系统，它在网络之间执行访问控制策略。防火墙对流经它的网络通信数据进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，禁止特定端口的流出通信，封锁特洛伊木马等。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。

一般的防火墙都具有NAT功能，或者能和NAT配合使用。应用到防火墙技术中的NAT技术可以把个别IP地址隐藏起来不被外界发现，使外界无法直接访问内部网络设备。作为网络安全的一个重要手段，是选用单纯的NAT技术还是带NAT技术的防火墙，要从几个方面考虑：

一是您的企业和运营机构如何运用访问控制策略，是为了明确地拒绝除对于连接到网络至关重的服务之外的所有服务，还是为了访问提供一种计量和审计的方法；

二是您对企业网需要何种程度的监视、冗余度以及控制水平；

三则是财务上的考虑，一个高端完整的防火墙系统是十分昂贵的。是否采用防火墙需要在易用性、安全性和预算之间做出平衡的决策。

四、安全中的不安全

我们可以从以下几个方面窥视NAT技术的安全性问题。

1．NAT只对地址进行转换而不进行其他操作，因此，当您建立了与外部网络的连接时，NAT不会阻止任何从外部返回的恶意破坏信息。

2．虽然NAT隐藏了端到端的IP地址，但它并不隐藏主机信息。例如您通过NAT设备访问Windows Streaming Media服务器，您会发现服务器记录的不仅是您的主机名，还有您的内部IP地址和操作系统。

3．Internet上的恶意攻击通常针对机器的“熟知端口”，如HTTP的80端口、FTP的21端口和POP的110端口等。虽然NAT可以屏蔽不向外部网络开放的端口，但针对面向熟知端口的攻击，它是无能为力的。

4．许多NAT设备都不记录从外部网络到内部网络的连接，这会使您受到来自外部网络的攻击，但由于没有记录可以追查，您根本无法发觉自己受到过什么攻击。

NAT隐藏了内部IP地址，使其具有一定的安全性，但从上面的分析我们可以知道，不能将NAT作为网络单一的安全防范措施。

79详解防火墙的NAT配置

---

曹县19147729825： 如何配置NAT?？
束彼联邦： 一、 NAT简介 NAT的功能就是指将使用私有地址的网络与公用网络INTERNET相连,使用私有地址的内部网络通过NAT路由器发送数据时,私有地址将被转化为合法注册的IP地址从而可以与INTERNET上的其他主机进行通讯. NAT路由器被置于...

曹县19147729825： NAT技术该怎么配置 - ？
束彼联邦： (一)相关概念 为了更好地认识NAT技术,我们先了解一下它所涉及的几个概念. 1.内部局部地址 在内部网上分配到一个主机的IP地址.这个地址可能不是一个有网络信息中心(NIC)或服务提供商所分配的合法IP地址. 2.内部全局地址 一个合...

曹县19147729825： 路由NAT协议谁知道怎么 配 - ？
束彼联邦： NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换.以下设置以Cisco路由器为例. 1.静态地址转换 静态地址转换将内部本地地址与内部合法地址进行一对一地转换,且需要指定和哪个合法地址进行转换.如果内部网络有E-...

曹县19147729825： 艾泰路由器NAT全局配置要开么 有什么用 怎么配置 - ？
束彼联邦： 登陆艾特路由器web管理界面之后,找到'高级设置'---nat和DMZ配置(端口映射要是你找不到一般都是在nat里面)2 添加端口映射,点击NAT静态映射列表下方的“添加新条目”功能3 端口映射配置设置 接下来就是本经验的重点了如下图说...

曹县19147729825： 怎么更改路由器网络nat类型? - ？
束彼联邦： 更改NAT类型的方法,其实就是进行NAT穿透(NAT Traversal):如果你的路由器有启用“Full Cone”、“STUN”、“TURN”、“ICE”、“uPnP”等功能,果断都启用了;如果你的路由器没有以上功能,那可以找下有没有“DMZ”功能,...

曹县19147729825： NAT有几种配置方法,怎么配置?常用的方法是哪个? - ？
束彼联邦： 有3中配置方法 (1)静态NAT(2)动态地址池NAT(3) 端口复用NAT 我在做项目中常用的是端口复用NAT

曹县19147729825： NAT配置的基本步骤？
束彼联邦： 你是配置cisco吗,什么型号的,配置nat很简单,nat ip inside ......nat ip outside.......只要配置一个外部和一个内部就可以,不知道你的是静态还是动态.

曹县19147729825： 请问我的猫里面有个NAT设置,这个是有什么作用?怎么设置啊?？
束彼联邦： 目前NAT一共有三种用法, 第一:是一个公有地址对应一个私有地址 . 第二: 几个私有地址对应几个公有地址. (数量不需要相等,公有地址多的话,就不会做NAT转换了,还不如一个人直接给一个公有地址.这点别搞胡涂了.所以这个一般...

曹县19147729825： 如何设置D - ？
束彼联邦： 首先把网卡IP设置为10.1.1.x .在浏览器里敲入10.1.1.1 .出现登陆框,输入用户名及密码(默认用户名:admin密码:admin).进入配置页面后,在左面的导航栏依次点击:服务-->NAT,进入“网络地址转换(NAT)配置”界面,点击下拉列表框...

曹县19147729825： 配置静态NAT的方法是什么? ？
束彼联邦： 你好,很高兴为您解答. 要配置静态NAT,在全局配置模式中执行以下命令:命令作用R(config)#ipnatinsidesourcestaticlocal-addressglobal-address定义内部源地址静态...