网络地址转换NAT

null第9章 网络地址转换NAT第9章 网络地址转换NAT张书源9.1 NAT概述9.1 NAT概述NAT是将一个IP地址转换为另一个IP地址的功能。通常，一个局域网由于申请不到足够多的IP地址，或者只是为了编址方便，在局域网内部采用私有IP地址为设备编址，当设备访问外网时，再通过NAT将私有地址翻译为合法地址。局域网专用IP地址局域网专用IP地址局域网专用IP地址是Internet特别划分出来的，它们不会注册给任何组织。实际上，用户可以使用任意IP作为私有地址，但有可能导致某些外网的站点无法访问。null使用私有地址的注意事项： 私有地址不需要经过注册就可以使用，这导致这些地址是不唯一的。所以私有地址只能限制在局域网内部使用，不能把它们路由到外网中去。nullR1E0S0192.168.*.*192.168.1.1/24200.1.1.1/24InternetR1是局域网和外网的边界路由器。局域网中使用私有IP地址进行编址。如果在R1上启用RIP，则：R1(config)# router rip R1(config-router)# network 200.1.1.0 R1(config-router)# network 192.168.1.0×这里不应该在私有地址上启用路由，它会导致私有地址被外网路由器学习到，扩大了它的有效范围。NAT基本原理NAT基本原理当一个使用私有地址的数据包到达NAT设备时，NAT设备负责把私有IP地址翻译成外部合法IP地址，然后再转发数据包，反之亦然。端口多路复用技术：NAT支持把多个私有IP地址映射为一个合法IP地址的技术，这时各个主机通过端口进行区分，这就是端口多路复用技术。 利用端口多路复用技术可节省合法IP地址的使用量，但会加大NAT设备的负担，影响其转发速度。NAT类型NAT类型1、静态NAT： 将内部地址和外部地址进行一对一的转换。这种要求申请到的合法IP地址足够多，可以与内部IP地址一一对应。 静态NAT一般用于那些需要固定的合法IP地址的主机，比如Web服务器、FTP服务器、E-mail服务器等。192.168.1.1192.168.1.2200.10.1.5200.10.1.6null2、NAT池（动态NAT）： 将多个合法IP地址统一的组织起来，构成一个IP地址池，当有主机需要访问外网时，就分配一个合法IP地址与内部地址进行转换，当主机用完后，就归还该地址。 对于NAT池，如果同时联网用户太多，可能出现地址耗尽的问。192.168.1.1192.168.1.2NAT池null3、PAT（端口NAT）： 使用端口多路复用技术，将多个内部地址映射为一个合法地址，用不同的端口号区分各个内部地址。这种方法只需要一个合法IP地址。 路由器支持的PAT会话数是有限制的，所以使用PAT的局域网，其网络的规模不应该太大。192.168.1.1192.168.1.2S0:200.1.1.1/24null4、复用NAT池（复用动态NAT）： 将多个合法IP地址构成一个NAT池，使用复用技术映射其中的地址，每个地址有可以对应多台主机，各主机用端口进行区分。 复用NAT池是NAT池和PAT技术的结合，可用于大规模的局域网。说明：在端口复用技术中，用端口区分的不是一台主机，而是一个网络连接（会话），当一台主机同时建立了多个会话时，它的每个会话会占用一个端口映射。假如一台路由器支持4000个会话，那么它支持的主机数量会远少于4000台。null5、TCP负载均衡： 如果一个服务器的访问量非常大，我们通常会建立多台映像服务器对访问进行分流。从外部来看，这些服务器的IP地址相同，NAT设备会把多个对服务器的访问映射到不同的服务器上，实现负载均衡。192.168.1.1192.168.1.2S0:200.1.1.1/24TCP负载均衡与其它NAT的主要区别在于，它是把来自外网的同一合法IP地址翻译成不同的内网IP地址。常用NAT设备常用NAT设备实现NAT可以使用不同的设备，它们的基本功能相同，但功能强弱有别，应根据需要进行选用。常用的设备有： 1、路由器：功能强，支持多种NAT设置； 2、防火墙：除NAT转换外，还提供多种保护功能； 3、代理服务器：提供局域网接入功能； 4、双网卡计算机：功能较弱，多用于小型网络。9.2 NAT的配置9.2 NAT的配置静态NAT NAT池 PAT 复用NAT池 TCP负载均衡静态NAT静态NAT把私有地址和合法地址作一对一地转换。192.168.1.1192.168.1.2200.10.1.5200.10.1.6E0S0配置命令： Router(config)# ip nat inside source static 内部地址 外部地址另外，还需要把E0口指定为NAT内部接口，S0口指定为NAT外部接口。null例： Router(config)# ip nat inside source static 192.168.1.1 200.10.1.5 Router(config)# ip nat inside source static 192.168.1.2 200.10.1.6 Router(config)# interface e0 Router(config-if)# ip nat inside Router(config-if)# interface s0 Router(config-if)# ip nat outsidenull配置完成后，从外网来看，PC1的IP地址是200.10.1.5，PC2的IP地址是200.10.1.6，各计算机都可用此IP地址访问PC1和PC2。 用show ip nat translation命令可查看活跃的转换。（静态NAT始终是活跃的） 用show ip nat statistics命令可查看转换的统计信息。 静态NAT是一直存在的，管理员可以用“no”命令删除静态NAT条目。NAT池（动态NAT）NAT池（动态NAT）192.168.1.1192.168.1.2NAT池主要工作：建立一个IP地址池。设定被转换的IP地址范围。建立转换关系。设定转换的入口和出口。null1、建立IP地址池 Router(config)# ip nat pool 地址池名字 起始IP 结束IP netmask 子网掩码例：建立一个地址范围为200.1.1.1~200.1.1.10/24的IP地址池。 Router(config)# ip nat pool P1 200.1.1.1 200.1.1.10 netmask 255.255.255.0 P1是地址池的名字。说明：地址池中的地址应该是经过注册的合法IP地址。null2、设定被转换的地址范围： 被转换的地址范围使用标准访问控制列表进行定义。 比如：被转换的地址是形如192.168.*.*/24的地址，则可定义： Router(config)# access-list 1 permit 192.168.0.0 0.0.255.255 说明：这里定义的ACL不是用于数据过滤的，它只是用于指定参与NAT转换的私有地址范围的。所以，我们不必把它用在一个接口上。null3、建立被转换的地址和地址池间的关系： Router(config)# ip nat inside source list ACL表号 pool 地址池名字例：把1号ACL定义的地址与名为P1的地址池建立NAT转换关系。 Router(config)# ip nat inside source list 1 pool P1说明：经此定义后，每当路由器收到一个数据包，就检测它的源地址，如果和1号ACL相匹配，就使用P1中的地址进行NAT转换。null4、指定NAT转换的入口和出口： Router(config)# interface 内部接口 Router(config-if)# ip nat inside Router(config)# interface 外部接口 Router(config-if)# ip nat outside说明：每种NAT都需要指定内部接口和外部接口。null例：NAT池200.1.1.1~200.1.1.254/2410.0.0.0/8内部网络地址为10.0.0.0/8，注册的IP地址是200.1.1.1~200.1.1.254，用这些地址为内网的各个访问提供NAT翻译。R1f0/0s0/0nullR1(config)# ip nat pool ippool 200.1.1.1 200.1.1.254 netmask 255.255.255.0 R1(config)# access-list 30 permit 10.0.0.0 0.255.255.255 R1(config)# ip nat inside source list 30 pool ippool R1(config)# interface f0/0 R1(config-if)# ip nat inside R1(config-if)# interface s0/0 R1(config-if)# ip nat outside复用NAT池复用NAT池当NAT池中的地址耗尽时，会导致后来的主机无法上网。所以当内网的主机数超过NAT池中的地址数时，通常应配置成复用NAT池，这样每个IP地址可对应多个会话，各个会话用端口号进行区分。 理论上讲，一个IP地址可以映射约65000个会话，但实际的路由器往往只支持几千个会话（Cisco支持约4000个）。 在复用NAT池中，Cisco首先复用地址池中的第一个地址，达到能力极限后，再复用第二个地址，依此类推。null复用NAT池的配置方法与NAT池的配置方法基本相同，只是： Router(config)# ip nat inside source list ACL表号 pool 地址池名字 overload 在上面的命令中加上 overload 关键字表示使用端口复用技术。PATPATPAT是复用NAT池的特例，它是通过端口复用技术用于一个合法IP地址映射内网的所有私有IP地址，这个地址往往就是路由器出口的IP地址。10.0.0.0/8R1f0/0s0/0: 195.4.10.2上例中，把内网的私有IP地址都映射为R1的S0/0口的IP地址就是PAT。nullPAT的配置方法可以使用复用NAT池的配置方法，只要建立一个起始地址和结束地址相同的NAT池就行了。 也可以不建立NAT池，用以下命令进行配置： R1(config)# access-list 30 permit 10.0.0.0 0.255.255.255 R1(config)# ip nat inside source list 30 interface s0/0 overload R1(config)# interface f0/0 R1(config-if)# ip nat inside R1(config-if)# interface s0/0 R1(config-if)# ip nat outsidenullPAT可最大限度的节省IP地址用量，但由于它只能同时支持几千个会话，所以使用PAT易造成拥塞。 为了避免PAT和复用NAT池的拥塞，一方面可以多申请一些IP地址，建立一个大些的NAT池，另一方面也应该限制用户使用那些占用会话数很多的应用（如BT）。TCP负载均衡TCP负载均衡TCP负载均衡是为了把一个外部的合法地址交替映射到多个内部地址上，这样可以使多台服务器使用同一个外部地址进行访问。192.168.1.1192.168.1.2S0:200.1.1.1/24E0null1、建立内部地址池，其中的地址必须是各服务器的真实地址(加上rotary关键字)。 R1(config)# ip nat pool p1 192.168.1.1 192.168.1.2 netmask 255.255.255.0 rotary 2、建立访问控制列表，定义转换的合法IP地址 R1(config)# access-list 1 permit host 200.1.1.1 3、用地址池和访问控制列表建立映射 R1(config)# ip nat inside destination list 1 pool p1null4、指定NAT入口(E0口)和出口(S0口) R1(config)# interface e0 R1(config-if)# ip nat inside R1(config-if)# interface s0 R1(config-if)# ip nat outside配置了TCP负载均衡后，路由器会把对地址200.1.1.1的访问交替映射到192.168.1.1~192.168.1.2的各个地址上，使它们访问不同的服务器主机。 对使用TCP负载均衡的各服务器必须建立为镜像服务器，它们可通过同步保持的一致性。NAT配置举例NAT配置举例192.168.1.0/24E0: .1200.1.1.0/24S0: .2S0: .1R1R2DCEPC1: .51PC2: .52E0:50.1.1.1/8PC3:50.1.1.2/8R1是局域网的边界路由器，R2是ISP的路由器。 局域网使用私有地址192.168.1.0/24进行编址。 ISP为局域网分配了一个合法地址块60.10.10.0/29。null分析： 地址块：60.10.10.0/29 1111 1111 1111 1111 1111 1111 1111 1000 掩码为 255.255.255.248。 地址范围为：60.10.10.0~60.10.10.7，共8个地址。 其中可用的地址是60.10.10.1~60.10.10.6，共6个地址。nullR1的配置：采用复用NAT池技术使用6个合法IP地址。R1(config)# ip nat pool pool1 60.10.10.1 60.10.10.6 netmask 255.255.255.248 R1(config)# access-list 1 permit 192.168.1.0 0.0.0.255 R1(config)# ip nat inside source list 1 pool pool1 overload R1(config)# interface e0 R1(config-if)# ip address 192.168.1.1 255.255.255.0 R1(config-if)# ip nat inside R1(config-if)# no shutdown nullR1(config)# interface s0 R1(config-if)# ip address 200.1.1.2 255.255.255.0 R1(config-if)# ip nat outside R1(config-if)# no shutdown R1(config-if)# exit在R1上配置默认路由，把所有非本网络的请求都发往外网。R1(config)# ip route 0.0.0.0 0.0.0.0 200.1.1.1nullR2的配置：R2(config)# interface s0 R2(config-if)# ip address 200.1.1.1 255.255.255.0 R2(config-if)# clock rate 64000 R2(config-if)# no shutdown R2(config-if)# interface e0 R2(config-if)# ip address 50.1.1.1 255.0.0.0 R2(config-if)# no shutdown配置到达网络 60.10.10.0/29 的静态路由：R2(config)# ip route 60.10.10.0 255.255.255.248 200.1.1.2关于NAT边界的路由配置问题关于NAT边界的路由配置问题局域网和ISP的网络一般应看作为两个自治系统，所以两者之间不能通过RIP等协议学习路由。 在NAT路由器和与它相连的路由器间一般通过静态路由或默认路由实现两边网络的连通。 NAT路由器一般配置通往外网的默认路由。 ISP的路由器通过配置静态路由为局域网分配IP地址段。CIDR技术CIDR技术各网络运营商(ISP)为了节省IP地址的用量，提高IP地址的利用率，通常使用CIDR(无类型IP编址)技术把自己申请的IP地址块划分成多个小块，分配给各个局域网使用。 例如： 某ISP申请获得了200.1.1.0/24网络的使用权，该网络有256个IP地址。利用CIDR技术可把这个网络划分为多个小块使用。 比如使用掩码/27，可以把网络划分为大小为32的块，这样200.1.1.0/24可分割成8个子网使用，每个子网有30个可用IP地址。null网络200.1.1.0/24使用/27划分CIDR地址块： 200 1 1 **** **** 1111 1111 1111 1111 1111 1111 1110 0000 最后一个数可分割成000* ****到111* ****八个子网，各子网地址依次为： 200.1.1.0/27、200.1.1.32/27、200.1.1.64/27 200.1.1.96/27、200.1.1.128/27、200.1.1.160/27 200.1.1.192/27、200.1.1.224/27null地址块200.1.1.96/27的地址范围是： 200.1.1. 0110 0000 ~ 200.1.1. 0111 1111 即：200.1.1.96~200.1.1.127 其中可用的IP地址是200.1.1.97~200.1.1.126，共30个。null思考题： ISP给你分配了一个CIDR地址块60.145.77.64/28，这个地址块有多少个可用的IP地址？地址范围是什么？子网掩码是多少？nullR1R2R3S0S1S0S0192.168.1.0/24172.16.0.0/16E0E0R1是ISP的路由器，R2、R3是两个局域网的边界路由器。 ISP掌握着网络200.1.1.0/24的使用权，请给出一个IP规划，为路由器间连接的网络和两个局域网分配IP地址。DCEnull分析： R1和R2之间的连接需要两个IP地址，可使用掩码/30。 R1和R3之间的连接需要两个IP地址，可使用掩码/30。 假如为每个局域网分配30个IP地址，可使用掩码/27。 其余的IP地址留下备用。null第1块：200.1.1.0/30 地址范围：200.1.1.0~200.1.1.3第2块：200.1.1.4/30 地址范围：200.1.1.4~200.1.1.7第3块：200.1.1.32/27 地址范围：200.1.1.32~200.1.1.63第4块：200.1.1.64/27 地址范围：200.1.1.64~200.1.1.95nullR1R2R3S0S1S0S0192.168.1.0/24172.16.0.0/16E0E0200.1.1.1/30200.1.1.2/30200.1.1.5/30200.1.1.6/30200.1.1.32/27200.1.1.64/27DCEnullR1的配置：R1(config)# interface s0 R1(config-if)# ip address 200.1.1.1 255.255.255.252 R1(config-if)# clock rate 64000 R1(config-if)# no shutdown R1(config-if)# interface s1 R1(config-if)# ip address 200.1.1.5 255.255.255.252 R1(config-if)# clock rate 64000 R1(config-if)# no shutdown R1(config-if)# exit R1(config)# ip route 200.1.1.32 255.255.255.224 200.1.1.2 R1(config)# ip route 200.1.1.64 255.255.255.224 200.1.1.6nullR2的配置：R2(config)# interface s0 R2(config-if)# ip address 200.1.1.2 255.255.255.252 R2(config-if)# ip nat outside R2(config-if)# no shutdown R2(config-if)# interface e0 R2(config-if)# ip address 192.168.1.1 255.255.255.0 R2(config-if)# ip nat inside R2(config-if)# no shutdown R2(config-if)# exitnullR2(config)# ip nat pool p1 200.1.1.33 200.1.1.62 netmask 255.255.255.224 R2(config)# access-list 1 permit 192.168.1.0 0.0.0.255 R2(config)# ip nat inside source list 1 pool p1 overload R2(config)# ip route 0.0.0.0 0.0.0.0 200.1.1.1nullR3的配置：R3(config)# interface s0 R3(config-if)# ip address 200.1.1.6 255.255.255.252 R3(config-if)# ip nat outside R3(config-if)# no shutdown R3(config-if)# interface e0 R3(config-if)# ip address 172.16.0.1 255.255.0.0 R3(config-if)# ip nat inside R3(config-if)# no shutdown R3(config-if)# exitnullR3(config)# ip nat pool p1 200.1.1.65 200.1.1.94 netmask 255.255.255.224 R3(config)# access-list 1 permit 172.16.0.0 0.0.255.255 R3(config)# ip nat inside source list 1 pool p1 overload R3(config)# ip route 0.0.0.0 0.0.0.0 200.1.1.5说明：一个局域网往往不会把所有合法IP地址配置在NAT池中，他会留下一些合法地址给服务器等设备，使这些设备可以被外网访问。小结小结R1E0S0192.168.*.*192.168.1.1/24200.1.1.1/24Internet定义NAT入口和出口（任何一种NAT）： R1(config)# interface 入口 R1(config-if)# ip nat inside R1(config-if)# interface 出口 R1(config-if)# ip nat outsidenull静态NAT： R1(config)# ip nat inside source static 内部地址 外部地址NAT池： R1(config)# ip nat pool 池名 起始地址 结束地址 netmask 子网掩码 R1(config)# access-list 表号 permit 内部地址条件 R1(config)# ip nat inside source list 表号 pool 池名 [overload] 带有overload关键字时，为复用NAT池。nullPAT： R1(config)# access-list 表号 permit 内部地址条件 R1(config)# ip nat inside source list 表号 interface 出口 overloadTCP负载均衡： R1(config)# ip nat pool 池名 起始地址 结束地址 netmask 子网掩码 rotary R1(config)# access-list 表号 permit host 外部地址 R1(config)# ip nat inside destination list 表号 pool 池名nullNAT网关的路由配置： 通常情况下，NAT路由器不能配置路由协议，只能配置静态路由。R1E0S0192.168.*.*192.168.1.1/24200.1.1.1/24NAT网关外部路由器R2NAT网关：一般配置成默认路由。 R1(config)# ip route 0.0.0.0 0.0.0.0 下一跳地址null外部路由器：需要为局域网分配地址块。 R2(config)# ip route 地址块 地址块掩码 下一跳地址ISDN简介ISDN简介nullISDN：综合业务数字网。 ISDN是一种利用电话网络传输数字信号的技术。它可以实现各种通信业务，包括电话、传真、图文等。 ISDN还是一种接入技术，个人用户和局域网用户都可以通过ISDN接入Internet。ISDNBri0nullISDN把信道划分为B通道和D通道，一个B通道速率为64Kbps，一个D通道速率为16Kbps。B通道用于传输数据，D通道用于传输控制信号。 ISDN为普通用户提供BRI接口，BRI接口包括两个B通道和一个D通道，速率可达144Kbps。 局域网用户可使用PRI连接，我国的PRI为30B+D，速率为2.048Mbps。nullISDN的主要缺陷： 1、传输速率低：BRI为144Kbps，PRI为2.048Mbps。 2、设备复杂，成本高。为了实现ISDN，电话公司需要对其设备进行大规模改造，用户端的设备也不便宜。从目前来看，ISDN已经不再受到青睐，人们更多使用xDSL和FTTx技术实现网络接入，以获得更高的速率和更好的服务。