在CISCO路由器上配置NAT功能

　　隨著internet的網絡迅速發展，IP地址短缺已成為一個十分突出的問題。為了解決這個問題，出現了多種解決方案。下面幾紹一種在目前網絡環境中比較有效的方法即地址轉換(NAT)功能。

一、NAT簡介

NAT(Network Address Translation)的功能，就是指在一個網絡內部，根據需要可以隨意自定義的IP地址，而不需要經過申請。在網絡內部，各計算機間通過內部的IP地址進行通訊。而當內部的計算機要與外部internet網絡進行通訊時，具有NAT功能的設備（比如：路由器）負責將其內部的IP地址轉換為合法的IP地址（即經過申請的IP地址）進行通信。

二、NAT的應用環境

情況1：一個企業不想讓外部網絡用戶知道自己的網絡內部結構，可以通過NAT將內部網絡與外部Internet隔離開，則外部用戶根本不知道通過NAT設置的內部IP地址。

情況2：一個企業申請的合法Internet IP地址很少，而內部網絡用戶很多。可以通過NAT功能實現多個用戶同時公用一個合法IP與外部Internet 進行通信。

三、設置NAT所需路由器的硬件配置和軟件配置：

設置NAT功能的路由器至少要有一個內部端口（Inside），一個外部端口（Outside）。內部端口連接的網絡用戶使用的是內部IP地址。

內部端口可以為任意一個路由器端口。外部端口連接的是外部的網絡，如Internet　　。外部端口可以為路由器上的任意端口。

設置NAT功能的路由器的IOS應支持NAT功能(本文示例所用路由器為Ｃisco2501，其IOS為11.2版本以上支持NAT功能)。

四、關於NAT的幾個概念：

內部本地地址（Inside local address）：分配給內部網絡中的計算機的內部IP地址。

內部合法地址（Inside global address）：對外進入IP通信時，代表一個或多個內部本地地址的合法IP地址。需要申請才可取得的IP地址。

五、NAT的設置方法：

NAT設置可以分為靜態地址轉換、動態地址轉換、復用動態地址轉換。

1、靜態地址轉換適用的環境

靜態地址轉換將內部本地地址與內部合法地址進行一對一的轉換，且需要指定和哪個合法地址進行轉換。如果內部網絡有E-mail服務器或FTP服務器等可以為外部用戶提供的服務，這些服務器的IP地址必須采用靜態地址轉換，以便外部用戶可以使用這些服務。

靜態地址轉換基本配置步驟：

（1）、在內部本地地址與內部合法地址之間建立靜態地址轉換。在全局設置狀態下輸入：

Ip　　nat　　inside　　source　　static　　內部本地地址　　內部合法地址

（2）、指定連接網絡的內部端口　　在端口設置狀態下輸入：

ip　　nat　　inside

（3）、指定連接外部網絡的外部端口　　在端口設置狀態下輸入：

ip　　nat　　outside

注：可以根據實際需要定義多個內部端口及多個外部端口。

實例1：

本實例實現靜態NAT地址轉換功能。將2501的以太口作為內部端口，同步端口０作為外部端口。其中 10.1.1.2，10.1.1.3，10.1.1.4的內部本地地址采用靜態地址轉換。其內部合法地址分別對應為 192.1.1.2，192.1.1.3，192.1.1.4。

路由器2501的配置：

Current　　configuration：

version　　11.3

no　　service　　password-encryption

hostname　　2501

ip　　nat　　inside　　source　　static　　10.1.1.2　　192.1.1.2

ip　　nat　　inside　　source　　static　　10.1.1.3　　192.1.1.3

ip　　nat　　inside　　source　　static　　10.1.1.4　　192.1.1.4

interface　　Ethernet0

ip　　address　　10.1.1.1　　255.255.255.0

ip　　nat　　inside

interface　　Serial0

ip　　address　　192.1.1.1　　255.255.255.0

ip　　nat　　outside

no　　ip　　mroute-cache

bandwidth　　2000

no　　fair-queue

clockrate　　2000000

interface　　Serial1

no　　ip　　address

shutdown

no　　ip　　classless

ip　　route　　0.0.0.0　　0.0.0.0　　Serial0

line　　con　　0

line　　aux　　0

line　　vty　　0　　4

password　　cisco

end

配置完成後可以用以下語句進行查看：

show　　ip　　nat　　statistcs

show　　ip　　nat　　translations

2、動態地址轉換適用的環境：

動態地址轉換也是將本地地址與內部合法地址一對一的轉換，但是動態地址轉換是從內部合法地址池中動態地選擇一個末使用的地址對內部本地地址進行轉換。

動態地址轉換基本配置步驟：

（1）、在全局設置模式下，定義內部合法地址池

ip　　nat　　pool　　地址池名稱　　起始IP地址　　終止IP地址　　子網掩碼

其中地址池名稱可以任意設定。

（2）、在全局設置模式下，定義一個標准的access-list規則以允許哪些內部地址可以進行動態地址轉換。

Access-list　　標號　　permit　　源地址　　通配符

其中標號為1-99之間的整數。
（3）、在全局設置模式下，將由access-list指定的內部本地地址與指定的內部合法地址池進行地址轉換。

ip　　nat　　inside　　source　　list　　訪問列表標號　　pool內部合法地址池名字

（4）、指定與內部網絡相連的內部端口在端口設置狀態下：

ip　　nat　　inside

（5）、指定與外部網絡相連的外部端口

Ip　　nat　　outside

實例2：

本實例中硬件配置同上，運用了動態NAT地址轉換功能。將2501的以太口作為內部端口，同步端口０作為外部端口。其中10.1.1.0網段采用動態地址轉換。對應內部合法地址為192.1.1.2~192.1.1.10

Current　　configuration：

version　　11.3

no　　service　　password-encryption

hostname　　2501

ip　　nat　　pool　　aaa　　192.1.1.2　　192.1.1.10　　netmask　　255.255.255.0

ip　　nat　　inside　　source　　list　　1　　pool　　aaa

interface　　Ethernet0

ip　　address　　10.1.1.1　　255.255.255.0

ip　　nat　　inside

interface　　Serial0

ip　　address　　192.1.1.1　　255.255.255.0

ip　　nat　　outside

no　　ip　　mroute-cache

bandwidth　　2000

no　　fair-queue

clockrate　　2000000

interface　　Serial1

no　　ip　　address

shutdown

no　　ip　　classless

ip　　route　　0.0.0.0　　0.0.0.0　　Serial0

access-list　　1　　permit　　10.1.1.0　　0.0.0.255

line　　con　　0

line　　aux　　0

line　　vty　　0　　4

password　　cisco

end

3、復用動態地址轉換適用的環境：

復用動態地址轉換首先是一種動態地址轉換，但是它可以允許多個內部本地地址共用一個內部合法地址。只申請到少量IP地址但卻經常同時有多於合法地址個數的用戶上外部網絡的情況，這種轉換極為有用。

注意：當多個用戶同時使用一個IP地址，外部網絡通過路由器內部利用上層的如TCP或UDP端口號等唯一標識某台計算機。

復用動態地址轉換配置步驟：

在全局設置模式下，定義內部合地址池

ip　　nat　　pool　　地址池名字　　起始IP地址　　終止IP地址　　子網掩碼

其中地址池名字可以任意設定。

在全局設置模式下，定義一個標准的access-list規則以允許哪些內部本地地址可以進行動態地址轉換。

access-list　　標號　　permit　　源地址　　通配符

其中標號為1－99之間的整數。

在全局設置模式下，設置在內部的本地地址與內部合法IP地址間建立復用動態地址轉換。

ip　　nat　　inside　　source　　list　　訪問列表標號　　pool　　內部合法地址池名字　　overload

在端口設置狀態下，指定與內部網絡相連的內部端口

ip　　nat　　inside

在端口設置狀態下，指定與外部網絡相連的外部端口

ip　　nat　　outside

實例：應用了復用動態NAT地址轉換功能。將2501的以太口作為內部端口，同步端口０作為外部端口。10.1.1.0網段采用復用動態地址轉換。假設企業只申請了一個合法的IP地址192.1.1.1。

2501的配置

Current　　configuration：

version　　11.3

no　　service　　password-encryption

h