目  录

1 NAT配置

1.1 NAT简介

1.1.1 NAT概述

1.1.2 地址转换控制

1.1.3 NAT实现

1.2 NAT配置任务简介

1.3 配置地址转换

1.3.1 地址转换介绍

1.3.2 配置静态地址转换

1.3.3 配置动态地址转换

1.4 配置内部服务器

1.4.1 内部服务器介绍

1.4.2 配置内部服务器

1.5 配置地址转换有效时间

1.6 配置NAT ALG功能

1.7 配置NAT日志

1.7.1 NAT日志介绍

1.7.2 开启NAT日志功能

1.7.3 配置NAT日志的输出

1.8 NAT显示和维护

1.9 NAT典型配置举例

1.9.1 静态一对一地址转换典型配置举例

1.9.2 动态地址转换典型配置举例

1.9.3 内部服务器典型配置举例

1.9.4 NAT日志输出至日志服务器配置举例

1.10 NAT常见配置错误举例

1.10.1 故障之一：地址转换不正常。

1.10.2 故障之二：内部服务器工作不正常。

1 NAT配置

1.1  NAT简介

1.1.1  NAT概述

NAT（Network Address Translation，网络地址转换）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公网IP地址代表较多的私网IP地址的方式，将有助于减缓可用IP地址空间的枯竭。

图1-1描述了一个基本的NAT应用。

图1-1 地址转换的基本过程

(1)        内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备。

(2)        NAT设备查看报头内容，发现该报文是发往外网的，将其源IP地址字段的私网地址192.168.1.3转换成一个可在Internet上选路的公网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备的网络地址转换表中记录这一映射。

(3)        外网服务器给内网用户发送的应答报文（其初始目的IP地址为20.1.1.1）到达NAT设备后，NAT设备再次查看报头内容，然后查找当前网络地址转换表的记录，用内网私有地址192.168.1.3替换初始的目的IP地址。

上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道有192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。

地址转换的优点在于，在为内部网络主机提供了“隐私”保护的前提下，实现了内部网络的主机通过该功能访问外部网络的资源。但它也有一些缺点：

l              由于需要对数据报文进行IP地址的转换，涉及IP地址的数据报文的报头不能被加密。在应用协议中，如果报文中有地址或端口需要转换，则报文不能被加密。例如，不能使用加密的FTP连接，否则FTP协议的port命令不能被正确转换。

l              网络调试变得更加困难。比如，某一台内部网络的主机试图攻击其它网络，则很难指出究竟哪一台主机是恶意的，因为主机的IP地址被屏蔽了。

1.1.2  地址转换控制

在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问，即当NAT设备查看IP数据报文的报头内容时，如果发现源IP地址属于禁止访问外部网络的内部主机，它将不进行地址转换。另外，也希望只有指定的公网地址才可用于地址转换。

设备可以利用ACL（Access Control Limit，访问控制列表）和地址池来对地址转换进行控制。

l              访问控制列表可以有效地控制地址转换的使用范围，只有满足访问控制列表规则的数据报文才可以进行地址转换。

l              地址池是用于地址转换的一些连续的公网IP地址的集合，它可以有效地控制公网地址的使用。用户可根据自己拥有的合法IP地址数目、内部网络主机数目以及实际应用情况，定义合适的地址池。在地址转换的过程中，NAT设备将会从地址池中挑选一个IP地址做为数据报文转换后的源IP地址。

1.1.3  NAT实现

1. 基本地址转换

从图1-1的地址转换过程可见，当内部网络访问外部网络时，地址转换将会选择一个合适的外部地址，来替代内部网络数据报文的源地址。在图1-1中是选择NAT设备出接口的IP地址（公网IP地址）。这样所有内部网络的主机访问外部网络时，只能拥有一个外部网络的IP地址，因此，这种情况同时只允许最多有一台内部网络主机访问外部网络。

当内部网络的多台主机并发的要求访问外部网络时，NAT也可实现对并发性请求的响应，允许NAT设备拥有多个公有IP地址。当第一个内网主机访问外网时，NAT选择一个公有地址IP1，在地址转换表中添加记录并发送数据报；当另一内网主机访问外网时，NAT选择另一个公有地址IP2，以此类推，从而满足了多台内网主机访问外网的请求。

2. NAPT

NAPT（Network Address Port Translation，网络地址端口转换）是基本地址转换的一种变形，它允许多个内部地址映射到同一个公有地址上，也可称之为“多对一地址转换”。

NAPT同时映射IP地址和端口号：来自不同内部地址的数据报文的源地址可以映射到同一外部地址，但它们的端口号被转换为该地址的不同端口号，因而仍然能够共享同一地址，也就是“私网IP地址＋端口号”与“公网IP地址＋端口号”之间的转换。

图1-2描述了NAPT的基本原理。

图1-2 NAPT基本原理示意图

如图1-2所示，三个带有内部地址的数据报文到达NAT设备，其中报文1和报文2来自同一个内部地址但有不同的源端口号，报文1和报文3来自不同的内部地址但具有相同的源端口号。通过NAPT映射，三个数据报的源IP地址都被转换到同一个外部地址，但每个数据报都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

采用NAPT可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。

目前，NAPT支持两种不同的地址转换模式：

l              Endpoint-Independent Mapping（不关心对端地址和端口转换模式）

该模式下，NAT设备通过建立三元组（源地址、源端口号、协议类型）表项来进行地址分配和报文过滤。即，只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过NAPT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，并且NAT设备允许外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好得支持位于不同NAT设备之后的主机间进行互访。

l              Address and Port-Dependent Mapping（关心对端地址和端口转换模式）

该模式下，NAT设备通过建立五元组（源地址、源端口号、协议类型、目的地址、目的端口号）表项为依据进行地址分配和报文过滤。即，对于来自相同源地址和源端口号的报文，若其目的地址和目的端口号不同，通过NAPT映射后，相同的源地址和源端口号将被转换为不同的外部地址和端口号，并且NAT设备只允许这些目的地址对应的外部网络的主机才可以通过该转换后的地址和端口来访问这些内部网络的主机。这种模式安全性好，但是不便于位于不同NAT设备之后的主机间进行互访。

3. 内部服务器

NAT隐藏了内部网络的结构，具有“屏蔽”内部主机的作用，但是在实际应用中，可能需要给外部网络提供一个访问内网主机的机会，如给外部网络提供一台Web服务器，或是一台FTP服务器。

NAT设备提供的内部服务器功能，就是通过静态配置“公网IP地址＋端口号”与“私网IP地址＋端口号”间的映射关系，实现公网IP地址到私网IP地址的“反向”转换。例如，可以将20.1.1.1:8080配置为内网某Web服务器的外部网络地址和端口号供外部网络访问。

如图1-3所示，外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备根据报文的目的地址查找地址转换表项，将访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成公网IP地址和端口号。

图1-3 内部服务器基本原理示意图

4. Easy IP

Easy IP功能是指进行地址转换时，直接使用接口的外网IP地址作为转换后的源地址，能够最大程度的节省IP地址资源。它也可以利用访问控制列表控制哪些内部地址可以进行地址转换。

5. NAT支持的特殊协议

NAT不仅实现了一般的地址转换功能，同时提供了完善的地址转换ALG （Application Layer Gateway，应用级网关）机制，使其可以支持一些特殊的应用协议，而不需要对NAT平台进行任何的修改，具有良好的可扩充性。这些特殊协议的报文载荷里携带了地址或端口信息，该信息也可能需要进行地址转换。

可支持的特殊协议包括：FTP（File Transfer Protocol，文件传输协议）、DNS（Domain Name System，域名系统）、ILS（Internet Locator Service，互联网定位服务）、NBT（NetBIOS over TCP/IP，基于TCP/IP的网络基本输入输出系统）等。

6. 支持NAT多实例

NAT多实例允许分属于不同MPLS VPN的用户通过同一个出口访问外部网络，同时允许分属于不同MPLS VPN的用户使用相同的私网地址。当MPLS VPN用户访问外部网络时，地址转换将内部网络主机的IP地址和端口替换为设备的外部网络地址和端口，同时还记录了用户的MPLS VPN信息（如协议类型和路由标识符RD等）。回应报文到达时，地址转换将外部网络地址和端口还原为内部网络主机的IP地址和端口，同时可得知是哪一个MPLS VPN用户的访问。

同时，地址转换支持内部服务器的多实例，给外部提供访问MPLS VPN内主机的机会。例如，MPLS VPN1内提供Web服务的主机地址是10.110.1.1，可以使用202.110.10.20作为Web服务器的外部地址，Internet的用户使用202.110.10.20的地址就可以访问到MPLS VPN1提供的Web服务。

1.2  NAT配置任务简介

表1-1 NAT配置任务简介

1.3  配置地址转换

1.3.1  地址转换介绍

通过NAT设备上静态建立或动态生成的地址映射关系，实现内部网络与外部网络IP地址的转换。通常，我们按照地址映射关系的产生方式将地址转换分为动态地址转换和静态地址转换两类：

l              静态地址转换

外部网络和内部网络之间的地址映射关系在配置中确定。适用于内部网络与外部网络之间的少量固定访问需求。

l              动态地址转换

外部网络和内部网络之间的地址映射关系由报文动态决定。通过配置访问控制列表和地址池（或接口地址）的关联，由“具有某些特征的IP报文”挑选使用“地址池中地址（或接口地址）”，从而建立动态地址映射关系。适用于内部网络有大量用户需要访问外部网络的需求。这种情况下，关联中指定的地址池资源由内网报文按需从中选择使用，访问外网的会话结束之后该资源便释放给其它用户。

1.3.2  配置静态地址转换

配置静态地址转换时，需要首先在系统视图下配置静态地址转换映射，然后在接口下使该转换生效。

静态地址转换映射支持两种方式：一对一静态转换映射、网段对网段静态转换映射。

1. 配置一对一静态地址转换

实现一个内部私有网络地址到一个外部公有网络地址的转换。

表1-2 配置一对一静态地址转换

2. 配置网段对网段静态地址转换

实现一个内部私有网络到一个外部公有网络的地址转换。

表1-3 配置网段对网段静态地址转换

1.3.3  配置动态地址转换

通过在接口上配置访问控制列表和地址池（或接口地址）的关联即可实现动态地址转换。

l              若直接使用接口的IP地址作为转换后的地址，则配置Easy IP功能来实现动态地址转换。

l              若选择使用地址池中的地址作为转换后的地址，则根据地址转换过程中是否使用端口信息可将动态地址转换分为NO-PAT和NAPT两种方式：NO-PAT为不使用TCP/UDP端口信息实现的多对多地址转换；NAPT为使用TCP/UDP端口信息实现的多对一地址转换。

1. 配置准备

l              配置控制地址转换范围的访问控制列表。

l              确定是否直接使用接口的IP地址作为转换后的报文源地址。

l              配置根据实际网络情况，合理规划可用于地址转换的公网IP地址池。

l              确定地址转换过程中是否使用端口信息。

2. 配置地址池

用于地址转换的IP地址池有两种配置方式，一种是直接定义一个包含一段连续地址的地址池，另外一种是配置可包含多段连续地址的地址组。一个地址组中可以添加多个地址组成员，每个地址组成员都可以指定一段连续的地址池，因此通过配置地址组，可以指定多段非连续的IP地址。

动态地址转换的过程中，NAT设备将会从配置的地址池中挑选一个IP地址做为转换后的报文源地址。

表1-4 定义地址池

表1-5 配置地址组

3. 配置Easy IP

通过配置Easy IP功能，实现直接使用接口的IP地址作为转换后的报文源地址。

表1-6 配置Easy IP

4. 配置NO-PAT

通过配置访问控制列表和地址池的关联，将与访问控制列表匹配的报文的源地址映射为地址池中的地址，且不使用端口信息。

表1-7 配置NO-PAT

5. 配置NAPT

通过配置访问控制列表和地址池的关联，将与访问控制列表匹配的报文的源地址映射为地址池中的地址，且使用端口信息。

表1-8 配置NAPT

1.4  配置内部服务器

1.4.1  内部服务器介绍

通过配置内部服务器，可以将相应的外部地址和端口映射到内部服务器的私有地址和端口上，从而使外部网络用户能够访问内部服务器。内部服务器与外部网络的映射表是通过在接口上配置nat server命令生成的。

配置内部服务器时需要配置的信息包括：外部网络的信息（外部网络地址global-address、外部网络端口global-port）、内部网络的信息（内部网络地址local-address、内部网络端口local-port）以及服务协议类型。

当内部服务器位于MPLS L3VPN时，还应指定所属的vpn-instance-name。如果不设置该值，表示内部服务器不属于任何一个VPN。

1.4.2  配置内部服务器

配置内部服务器是将内网服务器的地址和端口（local-address、local-port）映射为外网地址和端口（global-address、global-port），允许外部网络中的主机访问位于内网的服务器。

表1-9 配置内部服务器

1.5  配置地址转换有效时间

该配置用于设置各协议地址转换表项的有效时间。

表1-10 配置地址转换有效时间

1.6  配置NAT ALG功能

该配置用于设置地址转换的应用级网关功能，可支持多种协议。

表1-11 配置NAT ALG功能

1.7  配置NAT日志

1.7.1  NAT日志介绍

NAT日志是NAT设备在进行NAT转换时生成的一种系统信息。该信息包括报文的源IP地址、源端口、目的IP地址、目的端口、转换后的源IP地址、转换后的源端口以及用户执行的操作等。它只用于记录内网用户访问外部网络的情况，不记录外部用户对内网服务器的访问。

内网用户通过NAT设备访问外部网络时，多个用户共用一个外网地址，从而无法定位访问网络的用户。利用日志功能可以实时跟踪、记录内网用户访问外部网络的情况，增强网络的安全性。

1.7.2  开启NAT日志功能

表1-12 开启NAT日志功能

1.7.3  配置NAT日志的输出

NAT日志信息有两种输出方式：

l              输出至信息中心

NAT日志将被转化成系统日志输出到本设备的信息中心，再通过设置信息中心的输出方向，最终决定NAT日志的输出方向。一次最多可以输出10条NAT日志到信息中心。

l              输出至日志服务器

系统将NAT日志封装成UDP报文发送给网络中的日志服务器，如图1-4所示。输出的NAT日志报文可以有多种版本，不同的版本使用的UDP报文格式不同，目前使用的NAT日志报文格式为版本1。UDP报文中可以包含多条NAT日志记录的原始信息，它由一个报文头和若干条NAT日志记录组成。

图1-4 NAT日志信息输出至日志服务器示意图

1. 配置NAT日志输出至信息中心

表1-13 配置NAT日志输出至信息中心

2. 配置NAT日志输出至日志服务器

以UDP报文方式将NAT日志发送给NAT日志服务器时，可以配置三项参数：

l              NAT日志服务器的IP地址和UDP端口号。如果不配置输出到信息中心方向，也不指定日志服务器的地址，NAT日志就会无法正常输出。

l              NAT日志报文的源IP地址。在日志服务器端，通过识别NAT日志的源IP地址，可以迅速定位日志信息的来源，建议使用Loopback接口地址作为日志报文的源IP地址。

l              NAT日志报文版本号。输出的日志报文可以有多种版本，不同的版本使用的报文格式不同，目前设备支持版本1。

表1-14 配置NAT日志服务器

1.8  NAT显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示NAT配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除地址转换的统计信息。

表1-15 NAT显示和维护

1.9  NAT典型配置举例

1.9.1  静态一对一地址转换典型配置举例

1. 组网需求

内部网络用户10.110.10.8/24使用公网地址202.38.1.100访问Internet。

2. 组网图

图1-5 静态地址转换典型配置组网图

3. 配置步骤

# 配置一对一静态地址转换映射。

<Switch> system-view

[Switch] nat static 10.110.10.8 202.38.1.100

# 使配置的静态地址转换在接口Vlan-interface1上生效。

[Switch] interface Vlan-interface 1

[Switch-Vlan-interface1] nat outbound static

[Switch-Vlan-interface1] quit

1.9.2  动态地址转换典型配置举例

1. 组网需求

一个公司拥有202.38.1.1/24至202.38.1.3/24三个公网IP地址，内部网址为10.110.0.0/16。通过配置NAT使得仅内部网络中10.110.10.0/24网段的用户可以访问Internet。

2. 组网图

图1-6 动态地址转换典型配置组网图

3. 配置步骤

# 配置IP地址池1，包括两个公网地址202.38.1.2和202.38.1.3。

<Switch> system-view

[Switch] nat address-group 1 202.38.1.2 202.38.1.3

# 配置访问控制列表2001，仅允许内部网络中10.110.10.0/24网段的用户可以访问Internet。

[Switch] acl number 2001

[Switch-acl-basic-2001] rule permit source 10.110.10.0 0.0.0.255

[Switch-acl-basic-2001] rule deny

[Switch-acl-basic-2001] quit

# 在出接口Vlan-interface1上配置ACL 2001与IP地址池1相关联。

l              NO-PAT方式

[Switch] interface Vlan-interface 1

[Switch-Vlan-interface1] nat outbound 2001 address-group 1 no-pat

[Switch-Vlan-interface1] quit

l              NAPT方式

[Switch] interface Vlan-interface 1

[Switch-Vlan-interface1] nat outbound 2001 address-group 1

[Switch-Vlan-interface1] quit

1.9.3  内部服务器典型配置举例

1. 组网需求

某公司内部对外提供Web、FTP和SMTP服务，而且提供两台Web服务器。公司内部网址为10.110.0.0/16。其中，内部FTP服务器地址为10.110.10.3/16，内部Web服务器1的IP地址为10.110.10.1/16，内部Web服务器2的IP地址为10.110.10.2/16，内部SMTP服务器IP地址为10.110.10.4/16。公司拥有202.38.1.1/24至202.38.1.3/24三个IP地址。需要实现如下功能：

l              外部的主机可以访问内部的服务器。

l              选用202.38.1.1作为公司对外提供服务的IP地址，Web服务器2对外采用8080端口。

2. 组网图

图1-7 内部服务器典型配置组网

3. 配置步骤

# 进入接口Vlan-interface1。

<Switch> system-view

[Switch] interface Vlan-interface 1

# 设置内部FTP服务器。

[Switch-Vlan-interface1] nat server protocol tcp global 202.38.1.1 21 inside 10.110.10.3 ftp

# 设置内部Web服务器1。

[Switch-Vlan-interface1] nat server protocol tcp global 202.38.1.1 80 inside 10.110.10.1 www

# 设置内部Web服务器2。

[Switch-Vlan-interface1] nat server protocol tcp global 202.38.1.1 8080 inside 10.110.10.2 www

# 设置内部SMTP服务器。

[Switch-Vlan-interface1] nat server protocol tcp global 202.38.1.1 smtp inside 10.110.10.4 smtp

[Switch-Vlan-interface1] quit

1.9.4  NAT日志输出至日志服务器配置举例

1. 组网需求

l              私网上的PC通过Switch A访问公网上的设备Switch B；

l              Switch A上配置NAT功能，它对私网用户和公网设备之间往来的报文做地址转换，并将NAT日志以UDP报文方式送往NAT日志服务器；

l              NAT日志服务器运行XLog软件，查看收到的NAT日志信息。

2. 组网图

图1-8 NAT日志输出到日志服务器组网图

3. 配置步骤

# 设置Switch A的NAT日志输出到NAT日志服务器。

<SwitchA> system-view

[SwitchA] userlog nat export slot 2 host 3.3.3.7 9021

# 设置Switch A的NAT日志报文的源地址为9.9.9.9。

[SwitchA] userlog nat export source-ip 9.9.9.9

# 在Switch A上开启NAT日志功能。

[SwitchA] nat log enable

在NAT日志/系统日志服务器上需要允许Xlog软件来查看收到的NAT日志信息。

1.10  NAT常见配置错误举例

1.10.1  故障之一：地址转换不正常。

故障排除：通过打开NAT的调试信息开关，根据设备上的调试信息，初步定位错误，然后使用其它命令作进一步的判断。调试时，注意观察地址转换后的源地址，要保证这个地址是希望转换的地址，否则可能会是地址池配置错误。同时要保证目的网络到地址池中地址段的路由可达。注意防火墙以及地址转换本身的访问控制列表对地址转换造成的影响，同时注意路由的配置。

1.10.2  故障之二：内部服务器工作不正常。

故障排除：如果外部主机不能正常访问内部服务器，请检查是否是内部服务器主机的配置有错或路由器上对内部服务器的配置有错，如对内部服务器的IP地址指定错误等等。