- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-NAT配置
本章节下载： 01-NAT配置 (352.26 KB)
NAT（Network Address Translation，网络地址转换）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要应用在连接两个网络的边缘设备上，用于实现允许内部网络用户访问外部公共网络以及允许外部公共网络访问部分内部网络资源的目的。
NAT基本概念如下：
· NAT设备：配置了NAT功能的连接内部网络和外部网络的边缘设备。
· NAT接口：NAT设备上应用了NAT相关配置的接口。
· NAT规则：用于进行地址转换的NAT配置称为NAT规则。NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
· NAT地址：用于进行地址转换的公网IP地址，与外部网络路由可达，可静态指定或动态分配。
· NAT表项：NAT设备上用于记录网络地址转换映射关系的表项。关于NAT表项的详细介绍请参见“1.6 NAT表项”。
· Easy IP功能：NAT转换时直接使用设备上接口的IP地址作为NAT地址。设备上接口的地址可静态指定或通过DHCP或PPPoE等协议动态获取。
当内部网络访问外部网络的报文经过NAT设备时，NAT设备会用一个合法的公网地址替换原报文中的源IP地址，并对这种转换进行记录；之后，当报文从外网侧返回时，NAT设备查找原有的记录，将报文的目的地址再替换回原来的私网地址，并转发给内网侧主机。这个过程对于私网侧或公网侧设备透明。
图1-1 NAT基本工作过程示意图
如图1-1所示，一台NAT设备连接内网和外网，连接外网的接口为NAT接口，当有报文经过NAT设备时，NAT的基本工作过程如下：
(2) 当内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备时，NAT设备查看报文的IP头内容，发现该报文是发往外网的，则将其源IP地址字段的内网地址192.168.1.3转换成一个可路由的外网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备上建立表项记录这一映射。
(3) 外网服务器给内网用户发送的应答报文到达NAT设备后，NAT设备使用报文信息匹配建立的表项，然后查找匹配到的表项记录，用内网私有地址192.168.1.3替换初始的目的IP地址20.1.1.1。
上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道存在192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。
报文经过NAT设备时，在NAT接口上仅进行一次源IP地址转换或一次目的IP地址转换。对于内网访问外网的报文，在出接口上进行源IP地址转换；对于外网访问内网的报文，在入接口上进行目的地址IP地址转换。
报文入接口和出接口均为NAT接口。报文经过NAT设备时，先后进行两次NAT转换。对于内网访问外网的报文和外网访问内网的报文，均在入接口进行目的IP地址转换，在出接口进行源IP地址转换。这种方式常用于支持地址重叠的VPN间互访。
报文经过NAT设备时，在NAT接口上同时进行一次源IP地址转换和一次目的IP地址转换。对于内网访问外网的报文，在出接口上同时进行源IP地址和目的IP地址的转换；对于外网访问内网的报文，同时在入接口上进行目的地址IP地址和源IP地址的转换。这种方式常用于支持内网用户主动访问与之地址重叠的外网资源。
在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问；或者希望某些外部网络的主机可以访问内部网络，而某些主机不允许访问。即NAT设备只对符合要求的报文进行地址转换。
NAT设备可以利用ACL（Access Control List，访问控制列表）来对地址转换的使用范围进行控制，通过定义ACL规则，并将其与NAT配置相关联，实现只对匹配指定的ACL permit规则的报文才进行地址转换的目的。而且，NAT仅使用规则中定义的源IP地址、源端口号、目的IP地址、目的端口号、传输层协议类型和VPN实例这几个元素进行报文匹配，忽略其它元素。
静态地址转换是指外部网络和内部网络之间的地址映射关系由配置确定，该方式适用于内部网络与外部网络之间存在固定访问需求的组网环境。静态地址转换支持双向互访：内网用户可以主动访问外网，外网用户也可以主动访问内网。
动态地址转换是指内部网络和外部网络之间的地址映射关系在建立连接的时候动态产生。该方式通常适用于内部网络有大量用户需要访问外部网络的组网环境。动态地址转换存在两种转换模式：
NO-PAT（Not Port Address Translation）模式下，一个外网地址同一时间只能分配给一个内网地址进行地址转换，不能同时被多个内网地址共用。当使用某外网地址的内网用户停止访问外网时，NAT会将其占用的外网地址释放并分配给其他内网用户使用。
该模式下，NAT设备只对报文的IP地址进行NAT转换，同时会建立一个NO-PAT表项用于记录IP地址映射关系，并可支持所有IP协议的报文。
PAT（Port Address Translation）模式下，一个NAT地址可以同时分配给多个内网地址共用。该模式下，NAT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP和UDP报文。
图1-2 PAT基本原理示意图
如图1-2所示，三个带有内网地址的报文到达NAT设备，其中报文1和报文2来自同一个内网地址但有不同的源端口号，报文1和报文3来自不同的内网地址但具有相同的源端口号。通过PAT映射，三个报文的源IP地址都被转换为同一个外网地址，但每个报文都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。
采用PAT方式可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。
NAT设备处理一个连接的首报文时便确定了相应的地址转换关系，并同时创建会话表项，该会话表项中添加了NAT扩展信息（例如接口信息、转换方式）。会话表项中记录了首报文的地址转换信息。这类经过NAT处理的会话表项，也称为NAT会话表项。
当该连接的后续报文经过NAT设备时，将与NAT会话表项进行匹配，NAT设备从匹配到的会话表项中得到首报文的转换方式，并根据首报文的转换方式对后续报文进行处理。后续报文方向与首报文相同时，源和目的的转换方式与首报文相同；方向相反时，转换方式与首报文相反。即，如果首报文转换了源地址，则后续报文需要转换目的地址；如果首报文转换了目的地址，则后续报文需要转换源地址。
在NO-PAT方式进行源地址的动态转换过程中，NAT设备首先创建一个NAT会话表项，然后建立一个NO-PAT表项用于记录该转换关系（内网地址<-->NAT地址）。
NO-PAT表项有以下两个作用：
· 保证后续来自相同源地址的新建连接与首次连接使用相同的转换关系。
· 允许满足指定条件的主机向NAT地址发起的新建连接根据NO-PAT表项进行反向地址转换。
该表项在与其相关联的所有NAT会话表项老化后老化。
支持多VPN实例的NAT允许VPN实例内的用户访问外部网络，同时允许分属于不同VPN实例的用户互访。例如，当某VPN实例内的用户经过NAT设备访问外部网络时，NAT将内部网络主机的IP地址和端口替换为NAT地址和端口，同时还记录了用户的VPN实例信息（如VPN实例名称）。外部网络的回应报文到达NAT设备时，NAT将外部网络地址和端口还原为内部网络主机的IP地址和端口，同时可得知该回应报文应该转发给哪一个VPN实例内的用户。另外，NAT还可利用外部网络地址所携带的VPN实例信息，支持多个VPN实例之间的互访。
NAT通用配置限制和指导如下：
· 如果NAT规则中使用了ACL进行报文过滤，则NAT只对匹配指定的ACL permit规则的报文才进行地址转换，匹配时仅关注ACL规则中定义的源IP地址、源端口号、目的IP地址、目的端口号、传输层协议类型和VPN实例，不关注ACL规则中定义的其它元素。
· 在双上行链路组网环境中，一个出接口配置了地址转换，另一个出接口没有配置地址转换，这种情况下，建议用户不要将两个出接口添加到同一个安全域，否则可能导致流量中断。关于“安全域”的相关介绍，请参见“基础配置指导”中的“安全域”。
· 若同时存在普通NAT静态地址转换和普通NAT动态地址转换的配置，则在地址转换过程中，它们的优先级从高到低依次为：
a. 普通NAT静态地址转换。
b. 普通NAT动态地址转换。
本产品暂不支持在堆叠和M-LAG场景下配置NAT功能。
(1) 配置接口上的地址转换方式
¡ 配置静态地址转换
¡ 配置动态地址转换
入方向的静态地址转换建议与接口上的出方向动态地址转换（nat outbound）或出方向静态地址转换（nat static outbound）配合使用，以实现双向NAT。
对于硬件转发的设备，需要在用户流量的入方向上应用QoS策略。否则设备无法进行地址转换。
· 配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。
· 对于入方向静态地址转换，需要手动添加路由：目的地址为静态地址转换配置中指定的local-ip或local-network；下一跳为静态地址转换配置中指定的外网地址，或者报文出接口的实际下一跳地址。
出方向一对一静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换，具体过程如下：
· 对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的源IP地址转换为global-ip。
· 对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的目的IP地址转换为local-ip。
对于同一local-ip转换为不同global-ip的出方向一对一静态地址转换规则，匹配规则如下：
· 如果配置了匹配优先级，匹配优先级的数值越小优先级越高，即优先匹配优先级数值最小的出方向一对一静态地址转换规则。
· 如果未配置匹配优先级或配置的匹配优先级值相同时，设备将按照ACL名称或ACL编号进行匹配，且ACL名称的优先级高于ACL编号的优先级，具体规则如下：
¡ 对于ACL名称，设备将根据名称比较结果的先后顺序进行匹配。
¡ 对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。
(1) 进入系统视图。
system-view
(2) 配置出方向一对一静态地址转换映射。
nat static outbound local-ip [ vpn-instance local-vpn-instance-name ] global-ip [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ]
(3) （可选）调整出方向一对一静态NAT规则的匹配优先级。
nat static outbound rule move nat-rule-name 1 { after | before } nat-rule-name2
缺省情况下，出方向一对一静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
(4) 进入接口视图。
interface interface-type interface-number
(5) 开启接口上的NAT静态地址转换功能。
nat static enable
缺省情况下，NAT静态地址转换功能处于关闭状态。
出方向网段对网段静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络到一个外部公有网络的地址转换，具体过程如下：
· 对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网网络地址进行匹配，并将匹配的源IP地址转换为指定外网网络地址之一。
· 对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网网络地址进行匹配，并将匹配的目的IP地址转换为指定的内网网络地址之一。
对于同一内网地址范围转换为不同global-network的出方向网段对网段静态地址转换规则，匹配规则如下：
· 如果配置了匹配优先级，匹配优先级的数值越小优先级越高，即优先匹配优先级数值最小的出方向网段对网段静态地址转换规则。
· 如果未配置匹配优先级或配置的匹配优先级值相同时，设备将按照ACL名称或ACL编号进行匹配，且ACL名称的优先级高于ACL编号的优先级，具体规则如下：
¡ 对于ACL名称，设备将根据名称比较结果的先后顺序进行匹配。
¡ 对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。
(1) 进入系统视图。
system-view
(2) 配置出方向网段对网段静态地址转换映射。
nat static outbound net-to-net local-start-address local-end-address global global-network { mask-length | mask } [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ]
(3) （可选）调整出方向网段对网段NAT规则的匹配优先级。
nat static outbound net-to-net rule move nat-rule-name1 { after | before } nat-rule-name2
缺省情况下，出方向网段对网段NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
(4) 进入接口视图。
interface interface-type interface-number
(5) 开启接口上的NAT静态地址转换功能。
nat static enable
缺省情况下，NAT静态地址转换功能处于关闭状态。
入方向一对一静态地址转换用于实现一个内部私有网络地址与一个外部公有网络地址之间的转换，具体过程如下：
· 对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的目的IP地址转换为global-ip。
· 对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的源IP地址转换为local-ip。
对于同一global-ip转换为不同local-ip的入方向一对一静态地址转换规则，匹配规则如下：
· 如果配置了匹配优先级，匹配优先级的数值越小优先级越高，即优先匹配优先级数值最小的入方向一对一静态地址转换规则。
· 如果未配置匹配优先级或配置的匹配优先级值相同时，设备将按照ACL名称或ACL编号进行匹配，且ACL名称的优先级高于ACL编号的优先级，具体规则如下：
¡ 对于ACL名称，设备将根据名称比较结果的先后顺序进行匹配。
¡ 对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。
(1) 进入系统视图。
system-view
(2) 配置入方向一对一静态地址转换映射。
nat static inbound global-ip local-ip [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ]
(3) （可选）调整入方向一对一静态NAT规则的匹配优先级。
nat static inbound rule move nat-rule-name1 { after | before } nat-rule-name2
缺省情况下，入方向一对一静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
(4) 进入接口视图。
interface interface-type interface-number
(5) 开启接口上的NAT静态地址转换功能。
nat static enable
缺省情况下，NAT静态地址转换功能处于关闭状态。
入方向网段对网段静态地址转换用于实现一个内部私有网络与一个外部公有网络之间的地址转换，具体过程如下：
· 对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网网络地址进行匹配，并将匹配的目的IP地址转换为指定的外网网络地址之一。
· 对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网网络地址进行匹配，并将匹配的源IP地址转换为指定的内网网络地址之一。
对于同一外网地址范围转换为不同local-network的入方向网段对网段静态地址转换规则，匹配规则如下：
· 如果配置了匹配优先级，匹配优先级的数值越小优先级越高，即优先匹配优先级数值最小的入方向网段对网段静态地址转换规则。
· 如果未配置匹配优先级或配置的匹配优先级值相同时，设备将按照ACL名称或ACL编号进行匹配，且ACL名称的优先级高于ACL编号的优先级，具体规则如下：
¡ 对于ACL名称，设备将根据名称比较结果的先后顺序进行匹配。
¡ 对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。
(1) 进入系统视图。
system-view
(2) 配置入方向网段对网段静态地址转换映射。
nat static inbound net-to-net global-start-address global-end-address local local-network { mask-length | mask } [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ]
(3) （可选）调整入方向网段对网段NAT规则的匹配优先级。
nat static inbound net-to-net rule move nat-rule-name1 { after | before } nat-rule-name2
缺省情况下，入方向网段对网段NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
(4) 进入接口视图。
interface interface-type interface-number
(5) 开启接口上的NAT静态地址转换功能。
nat static enable
缺省情况下，NAT静态地址转换功能处于关闭状态。
同时配置了多条动态地址转换规则时，匹配优先级顺序从高到低如下：
· 指定了匹配优先级值的动态地址转换规则。规则的匹配优先级由匹配优先级的值决定，匹配优先级值越小，匹配优先级越高。对于指定了相同匹配优先级值或者没有指定匹配优先级值的动态地址转换规则，其匹配优先级取决于ACL。
· 指定了ACL参数的动态地址转换规则。规则的匹配优先级由ACL名称或ACL编号决定，ACL名称的优先级高于ACL编号的优先级，具体规则如下：
¡ 对于ACL名称，设备将根据名称比较结果的先后顺序进行匹配。
¡ 对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。
· 未指定ACL参数的动态地址转换规则。
对于硬件转发的设备，需要在用户流量的入方向上应用QoS策略。否则设备无法进行地址转换。
· 配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。
· 确定是否直接使用接口的IP地址作为转换后的报文源地址。
· 配置根据实际网络情况，合理规划可用于地址转换的公网IP地址组。
· 确定地址转换过程中是否使用端口信息。
出方向动态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换。
(1) 进入系统视图。
system-view
(2) 创建NAT地址组，并进入NAT地址组视图。
nat address-group group-id
(3) 添加地址成员。
address start-address end-address
缺省情况下，不存在地址成员。
可通过多次执行本命令添加多个地址成员，但是地址成员的地址不能重叠。
(4) 退回系统视图。
quit
(5) 进入接口视图。
interface interface-type interface-number
(6) 配置出方向动态地址转换。请至少选择其中一项进行配置。
¡ NO-PAT方式。
nat outbound [ ipv4-acl-number | name ipv4-acl-name ] address-group group-id no-pat [ reversible ] [ rule rule-name ] [ priority priority ]
¡ PAT方式。
nat outbound [ ipv4-acl-number | name ipv4-acl-name ] [ address-group group-id ] [ port-preserved ] [ rule rule-name ] [ priority priority ]
一个接口下可配置多个出方向的动态地址转换。
|
参数 |
功能 |
|
address-group |
不指定该参数时，则直接使用该接口的IP地址作为转换后的地址，即实现Easy IP功能 |
|
no-pat reversible |
在指定该参数，并且已经存在NO-PAT表项的情况下，对于经过该接口收到的外网访问内网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的内网地址 |
(7) （可选）调整出方向动态NAT规则的匹配优先级。
nat outbound rule move nat-rule-name1 { after | before } nat-rule-name2
缺省情况下，出方向动态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
入方向动态地址转换功能通常与接口上的出方向动态地址转换（nat outbound）或出方向静态地址转换（nat static outbound）配合，用于实现双向NAT应用，不建议单独使用。
由于自动添加路由表项速度较慢，通常建议手工添加路由。
(1) 进入系统视图。
system-view
(2) 创建NAT地址组，并进入NAT地址组视图。
nat address-group group-id
(3) 添加地址成员。
address start-address end-address
缺省情况下，不存在地址成员。
可通过多次执行本命令添加多个地址成员，但是地址成员的地址不能重叠。
(4) 退回系统视图。
quit
(5) 进入接口视图。
interface interface-type interface-number
(6) 配置入方向动态地址转换。
nat inbound { ipv4-acl-number | name ipv4-acl-name } address-group group-id [ no-pat [ reversible ] [ add-route ] ] [ rule rule-name ] [ priority priority ]
一个接口下可配置多个入方向的动态地址转换。
|
参数 |
功能 |
|
no-pat reversible |
指定该参数，并且已经存在NO-PAT表项的情况下，对于经过该接口发送的内网访问外网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的外网地址 |
|
add-route |
· 指定该参数，则有报文命中该配置时，设备会自动添加路由表项：目的地址为本次地址转换使用的地址组中的地址，出接口为本配置所在接口，下一跳地址为报文的源地址 · 没有指定该参数，则用户需要在设备上手工添加路由 |
(7) （可选）调整入方向动态NAT规则的匹配优先级。
nat inbound rule move nat-rule-name1 { after | before } nat-rule-name2
缺省情况下，入方向动态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。
可在任意视图下执行以下命令：
· 显示所有的NAT配置信息。
display nat all
· 显示NAT地址组的配置信息。
display nat address-group [ group-id ]
· 显示NAT入接口动态地址转换关系的配置信息。
display nat inbound
· 显示NAT出接口动态地址转换关系的配置信息。
display nat outbound
可在任意视图下执行以下命令：
· 显示NAT NO-PAT表项信息。
display nat no-pat [ slot slot-number ]
· 显示NAT会话。
display nat session [ { source-ip source-ip | destination-ip destination-ip } * [ vpn-instance vpn -instance-name ] ] [ slot slot-number ] [ verbose ]
可在任意视图下执行以下命令：
· 显示NAT统计信息。
display nat statistics [ summary ] [ slot slot-number ]
请在用户视图下执行以下命令，删除NAT会话。
reset nat session [ protocol { tcp | udp } ] [ slot slot-number ]
内部网络用户10.110.10.8/24使用外网地址202.38.1.100访问Internet。
图2-1 内网用户通过NAT地址访问外网（静态地址转换）配置组网图
# 按照组网图配置各接口的IP地址，具体配置过程略。
# 配置内网IP地址10.110.10.8到外网地址202.38.1.100之间的一对一静态地址转换映射。
<Switch> system-view
[Switch] nat static outbound 10.110.10.8 202.38.1.100
# 在接口Vlan-interface200上开启静态地址转换功能。
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] nat static enable
[Switch-Vlan-interface200] quit
# 配置ACL 2000，仅允许对内部网络中10.110.10.0/24网段的用户报文进行地址转换。
[Switch] acl basic 2000
[Switch-acl-ipv4-basic-2000] rule permit source 10.110.10.0 0.0.0.255
[Switch-acl-ipv4-basic-2000] quit
# 配置流分类nat，匹配ACL 2000。
[Switch] traffic classifier nat
[Switch-classifier-nat] if-match acl 2000
[Switch-classifier-nat] quit
# 配置流行为nat，将匹配ACL 2000的流量重定向CPU。
[Switch] traffic behavior nat
[Switch-behavior-nat] redirect cpu
[Switch-behavior-nat] quit
# 配置QoS策略p1，将流分类与流行为进行绑定。
[Switch] qos policy p1
[Switch-qospolicy-p1] classifier nat behavior nat
[Switch-qospolicy-p1] quit
# 将QoS策略p1应用在接口GigabitEthernet1/0/1的入方向。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] qos apply policy p1 inbound
[Switch-GigabitEthernet1/0/1] quit
# 以上配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证以上配置成功。
[Switch] display nat static
Static NAT mappings:
Totally 1 outbound static NAT mappings.
IP-to-IP:
Local IP : 10.110.10.8
Global IP : 202.38.1.100
Config status: Active
Interfaces enabled with static NAT:
Totally 1 interfaces enabled with static NAT.
Interface: Vlan-interface200
Config status: Active
# 通过以下显示命令，可以看到Host访问某外网服务器时生成NAT会话信息。
[Switch] display nat session verbose
Initiator:
Source IP/port: 10.110.10.8/42496
Destination IP/port: 202.38.1.111/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: UDP(17)
Inbound interface: Vlan-interface100
Responder:
Source IP/port: 202.38.1.111/42496
Destination IP/port: 202.38.1.100/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: UDP(17)
Inbound interface: Vlan-interface200
State: UDP_REPLY
Application: GENERAL_UDP
Start time: 2023-06-29 10:06:55 TTL: 27s
Initiator->Responder: 5 packets 420 bytes
Responder->Initiator: 5 packets 420 bytes
Total sessions found: 1
· 某公司内网使用的IP地址为192.168.0.0/16。
· 该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。
· 需要实现，内部网络中192.168.1.0/24网段的用户可以访问Internet，其它网段的用户不能访问Internet。使用的外网地址为202.38.1.2和202.38.1.3。
图2-2 内网用户通过NAT访问外网（地址不重叠）配置组网图
# 按照组网图配
置各接口的IP地址，具体配置过程略。
# 配置地址组0，包含两个外网地址202.38.1.2和202.38.1.3。
<Switch> system-view
[Switch] nat address-group 0
[Switch-address-group-0] address 202.38.1.2 202.38.1.3
[Switch-address-group-0] quit
# 配置ACL 2000，仅允许对内部网络中192.168.1.0/24网段的用户报文进行地址转换。
[Switch] acl basic 2000
[Switch-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Switch-acl-ipv4-basic-2000] quit
# 在接口Vlan-interface200上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] nat outbound 2000 address-group 0
[Switch-Vlan-interface200] quit
# 配置流分类nat，匹配ACL 2000。
[Switch] traffic classifier nat
[Switch-classifier-nat] if-match acl 2000
[Switch-classifier-nat] quit
# 配置流行为nat，将匹配ACL 2000的流量重定向CPU。
[Switch] traffic behavior nat
[Switch-behavior-nat] redirect cpu
[Switch-behavior-nat] quit
# 配置QoS策略p1，将流分类与流行为进行绑定。
[Switch] qos policy p1
[Switch-qospolicy-p1] classifier nat behavior nat
[Switch-qospolicy-p1] quit
# 将QoS策略p1应用在接口GigabitEthernet1/0/1的入方向。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] qos apply policy p1 inbound
[Switch-GigabitEthernet1/0/1] quit
# 以上配置完成后，Host A能够访问WWW server，Host B和Host C无法访问WWW server。通过查看如下显示信息，可以验证以上配置成功。
[Switch] display nat all
NAT address group information:
Totally 1 NAT address groups.
Address group 0:
Port range: 1-65535
Address information:
Start address End address
202.38.1.2 202.38.1.3
NAT outbound information:
Totallu 1 NAT outbound rules.
Interface: Vlan-interface200
ACL: 2000 Address group: 0 Port-preserved: N
NO-PAT: N Reversible: N
Config status: Active
NAT logging:
Log enable : Disabled
Flow-begin : Disabled
Flow-end : Disabled
Flow-active : Disabled
Port-block-assign : Disabled
Port-block-withdraw : Disabled
Alarm : Disabled
NAT mapping behavior:
Mapping mode : Address and Port-Dependent
ACL : ---
Config status: Active
Static NAT load balancing: Disabled
# 通过以下显示命令，可以看到Host A访问WWW server时生成NAT会话信息。
[Switch] display nat session verbose
Initiator:
Source IP/port: 192.168.1.10/52992
Destination IP/port: 200.1.1.10/2048
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: UDP(17)
Inbound interface: Vlan-interface100
Responder:
Source IP/port: 200.1.1.10/4
Destination IP/port: 202.38.1.3/0
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: UDP(17)
Inbound interface: Vlan-interface200
State: UDP_REPLY
Application: GENERAL_UDP
Start time: 2023-06-29 10:39:49 TTL: 12s
Initiator->Responder: 1 packets 84 bytes
Responder->Initiator: 1 packets 84 bytes
Total sessions found: 1
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
