Cisco NAT 筆記

http://blog.roodo.com/kennykao1976/archives/4751865.html

基本上在Cisco Router上的NAT有三種，但透過這三種NAT，又可以變化出LoadBalance等數種技巧 基本的三種NAT方式：

1. Static NAT：靜態NAT轉址，直接指定每個內部Private IP其對外Public IP，固定為1對1的方式。但這種方法，依然需要大量的外部真實IP供給內部IP連線使用，沒有達到節省IP的目的，已少人使用。
2. Dynamic NAT：動態NAT轉址，訂定一到數個NAT Pool，指定可用來做為NAT轉址所用的Public IP之集合，供給內部Private IP動態轉址使用。每一次Private IP的連線，Router會輪流分派一個Public IP對外連線使用。
3. PAT(Port Address Translation):埠號地址轉換，是NAT的另一種加強型的技術，它可以允許許多個內部Private IP轉換到單一的Public IP。

Private IP的可用位址：RFC1918設定了三塊區域的私人IP位址，一般都是以這三個區塊當作NAT轉址的內部IP。這些IP並不會在Internet的路由間繞送。
Addr Range IP & mask
10.0.0.0 - 10.255.255.255 10.0.0.0/255.0.0.0 1個Class A
172.16.0.0 - 172.31.255.255 172.16.0.0/255.240.0.0 12個Class B
192.168.0.0 - 192.168.255.255 192.168.0.0/255.255.255.0 16個Class C

設定範例：
1.Static NAT，一個簡單的範例，將內部192.168.1.100 /24 的IP轉址成外部200.1.1.1 /24
Router1#conf t
Router1(config)#int S 0/0/0
Router1(config-if)#ip address 200.1.1.1 255.255.255.0
Router1(config-if)#ip nat outside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#int fa 0/1
Router1(config-if)#ip address 192.168.1.254 255.255.255.0
Router1(config-if)#ip nat inside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#ip nat inside source static 192.168.1.100 200.1.1.1

2.Dynamic NAT，定義一個連線集合(200.1.1.1~200.1.1.10)/24給內部192.168.1.1/24連線使用
Router1#conf t
Router1(config)#int S 0/0/0
Router1(config-if)#ip address 200.1.1.1 255.255.255.0
Router1(config-if)#ip nat outside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#int fa 0/1
Router1(config-if)#ip address 192.168.1.254 255.255.255.0
Router1(config-if)#ip nat inside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#ip nat pool nat1 200.1.1.1 200.1.1.10 netmask 255.255.255.0
Router1(config)#access-list 1 permit 10.1.1.0 0.0.0.255
Router1(config)#ip nat inside source list 1 pool nat1
Router1(config)#exit

3.PAT(Overload)，只定義一個IP提供NAT連線(200.1.1.1)/24給內部192.168.1.1/24連線使用
Router1#conf t
Router1(config)#int S 0/0/0
Router1(config-if)#ip address 200.1.1.1 255.255.255.0
Router1(config-if)#ip nat outside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#int fa 0/1
Router1(config-if)#ip address 192.168.1.254 255.255.255.0
Router1(config-if)#ip nat inside
Router1(config-if)#no shutdown
Router1(config-if)#exit
Router1(config)#ip nat pool nat1 200.1.1.1 200.1.1.1 netmask 255.255.255.0
Router1(config)#access-list 1 permit 10.1.1.0 0.0.0.255
Router1(config)#ip nat inside source list 1 pool nat1 overload
Router1(config)#exit

http://www.wretch.cc/blog/ivan691230/12415530

Cisco NAT configuration

路由器NAT功能配置
隨著internet的網路迅速發展，IP位址短缺已成為一個十分突出的問題。為了解決這個問題，出現了多種解決方案。下面幾紹一種在目前網路環境中比較有效的方法即位址轉換(NAT)功能。

　　NAT(Network Address Translation)的功能，就是指在一個網路內部，根據需要可以隨意自定義的IP位址，而不需要經過申請。在網路內部，各電腦間通過內部的IP位址進行通訊。而當內部的電腦要與外部internet網路進行通訊時，具有NAT功能的設備（比如：路由器）負責將其內部的IP位址轉換為合法的IP位址（即經過申請的IP位址）進行通信。

NAT 的應用環境：

情況1：
　　一個企業不想讓外部網路用戶知道自己的網路內部結構，可以通過NAT將內部網路與外部Internet 隔離開，則外部用戶根本不知道通過NAT設定的內部IP位址。

情況2：
　　一個企業申請的合法Internet IP位址很少，而內部網路用戶很多。可以通過NAT功能實現多個用戶同時公用一個合法IP與外部Internet 進行通信。

設定NAT所需路由器的硬體配置和軟體配置：

　　設定NAT功能的路由器至少要有一個內部埠（Inside），一個外部埠（Outside）。內部埠連接的網路用戶使用的是內部IP位址。

　　內部埠可以為任意一個路由器埠。外部埠連接的是外部的網路，如Internet 。外部埠可以為路由器上的任意埠。

　　設定NAT功能的路由器的IOS應支援NAT功能(本文事例所用路由器為Ｃisco2501，其IOS為11.2版本以上支援NAT功能)。

關於NAT的幾個概念：

　　內部本地位址（Inside local address）：分配給內部網路中的電腦的內部IP位址。

　　內部合法位址（Inside global address）：對外進入IP通信時，代表一個或多個內部本地位址的合法IP位址。需要申請才可取得的IP位址。

NAT的設定方法：

　　NAT設定可以分為靜態位址轉換、動態位址轉換、複用動態位址轉換。

　　1、靜態位址轉換適用的環境

靜態位址轉換將內部本地位址與內部合法位址進行一對一的轉換，且需要指定和哪個合法位址進行轉換。如果內部網路有E-mail伺服器或FTP伺服器等可以為外部用戶提供的服務，這些伺服器的IP位址必須採用靜態位址轉換，以便外部用戶可以使用這些服務。

　　靜態位址轉換基本配置步驟：

　 （1）、在內部本地位址與內部合法位址之間建立靜態位址轉換。在全局設定狀態下輸入：

　　　　Ip nat inside source static 內部本地位址 內部合法位址

　　（2）、指定連接網路的內部埠 在埠設定狀態下輸入：

　　　　　ip nat inside

　　（3）、指定連接外部網路的外部埠 在埠設定狀態下輸入：

　　　　　ip nat outside

　　注：可以根據實際需要定義多個內部埠及多個外部埠。

實例1：

本實例實現靜態NAT位址轉換功能。將2501的乙太口作為內部埠，同步埠０作為外部埠。其中10.1.1.2，10.1.1.3，10.1.1.4的內部本地位址採用靜態位址轉換。其內部合法位址分別對應為192.1.1.2，192.1.1.3，192.1.1.4。

路由器2501的配置：

Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat inside source static 10.1.1.2 192.1.1.2
ip nat inside source static 10.1.1.3 192.1.1.3
ip nat inside source static 10.1.1.4 192.1.1.4
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
line con 0 ;
line aux 0
line vty 0 4
password cisco
end

配置完成後可以用以下語句進行查看：

show ip nat statistcs
show ip nat translations


2、動態位址轉換適用的環境：

動態位址轉換也是將本地位址與內部合法位址一對一的轉換，但是動態位址轉換是從內部合法位址池中動態地選擇一個末使用的位址對內部本地位址進行轉換。

　　動態位址轉換基本配置步驟：

　　（1）、在全局設定模式下，定義內部合法位址池

　　　ip nat pool 地址池名稱 起始IP地址 終止IP地址 子網路遮罩

　　　其中位址池名稱可以任意設定。

　　（2）、在全局設定模式下，定義一個標準的access-list規則以允許哪些內部位址可以進行動態位址轉換。

　　　Access-list 標號 permit 源地址 通配符

　　　其中標號為1-99之間的整數。

　　（3）、在全局設定模式下，將由access-list指定的內部本地位址與指定的內部合法位址池進行位址轉換。

　　　ip nat inside source list 訪問列表標號 pool內部合法位址池名字

　　（4）、指定與內部網路相連的內部埠在埠設定狀態下：

　　　ip nat inside

　　（5）、指定與外部網路相連的外部埠

　　　Ip nat outside

實例2：

　　本實例中硬體配置同上，運用了動態NAT位址轉換功能。將2501的乙太口作為內部埠，同步埠０作為外部埠。其中10.1.1.0網段採用動態位址轉換。對應內部合法位址為192.1.1.2~192.1.1.10

Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool aaa 192.1.1.2 192.1.1.10 netmask 255.255.255.0
ip nat inside source list 1 pool aaa
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end

3、複用動態位址轉換適用的環境：

　　複用動態位址轉換首先是一種動態位址轉換，但是它可以允許多個內部本地位址共用一個內部合法位址。只申請到少量IP位址但卻經常同時有多於合法位址個數的用戶上外部網路的情況，這種轉換極為有用。

　　注意：當多個用戶同時使用一個IP位址，外部網路通過路由器內部利用上層的如TCP或UDP埠號等唯一標識某台電腦。　　

　　複用動態位址轉換配置步驟：

　　在全局設定模式下，定義內部合位址池

　　ip nat pool 地址池名字 起始IP地址 終止IP地址 子網路遮罩

　　其中位址池名字可以任意設定。

　　在全局設定模式下，定義一個標準的access-list規則以允許哪些內部本地位址可以進行動態位址轉換。

　　access-list 標號 permit 源地址 通配符

　　其中標號為1－99之間的整數。

P>
　　在全局設定模式下，設定在內部的本地位址與內部合法IP位址間建立複用動態位址轉換。

　ip nat inside source list 訪問列表標號 pool 內部合法位址池名字 overload

　　在埠設定狀態下，指定與內部網路相連的內部埠

　　ip nat inside

　　在埠設定狀態下，指定與外部網路相連的外部埠

　　ip nat outside

實例：應用了複用動態NAT位址轉換功能。將2501的乙太口作為內部埠，同步埠０作為外部埠。10.1.1.0網段採用複用動態位址轉換。假設企業只申請了一個合法的IP位址192.1.1.1。

2501的配置

Current configuration：
version 11.3
no service password-encryption
hostname 2501
ip nat pool bbb 192.1.1.1 192.1.1.1 netmask 255.255.255.0
ip nat inside source list 1 pool bbb overload
interface Ethernet0
ip address 10.1.1.1 255.255.255.0
ip nat inside
interface Serial0
ip address 192.1.1.1 255.255.255.0
ip nat outside
no ip mroute-cache
bandwidth 2000
no fair-queue
clockrate 2000000
interface Serial1
no ip address
shutdown
no ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
access-list 1 permit 10.1.1.0 0.0.0.255
line con 0
line aux 0
line vty 0 4
password cisco
end



http://blog.yam.com/linadonis/article/21205470