华为，NAT配置详解

xywuyiba8

　　实验拓扑
　　
　　PC1属于VLAN10，PC2属于VLAN20
　　PC1 IP：192.168.10.254/24                 R1 G0/0/0 IP：12.0.0.1/24
　　PC2 IP：192.168.20.254/24                 R2 G0/0/0 IP: 12.0.0.2/24
　　SW1 VLAN1 IP：192.168.1.10/24
　　SW2 VLAN1 IP：192.168.1.20/24
　　
　　实验内容
　　R1模拟内网出口路由，R2模拟运营商设备
　　1、在R1上做静态NAT使内网成员可以访问外网
　　2、在R1上做动态NAT使内网成员可以访问外网
　　3、在R1上做PAT使内网成员可以访问外网
　　4、在R1上做静态端口映射，使R2可以对SW1和SW2进行远程管理
　　1、静态NAT配置
　　现有2个公网地址
　　202.106.1.1/32
　　202.106.1.2/32
　　静态NAT为一对一并不能节省IP地址
　　R1静态NAT配置：
　　<R1>system-view
　　[R1]int g0/0/0
　　[R1-GigabitEthernet0/0/0]nat static global 202.106.1.1 inside 192.168.10.254  //将这个公网地址映射到内部IP为：192.168.10.254的主机也就是C1
　　[R1-GigabitEthernet0/0/0]nat static global 202.106.1.2 inside 192.168.20.254 //同上映射到C2
　　R2配置回程路由：
　　[R2]ip route-static 202.106.1.1 32 12.0.0.1
　　[R2]ip route-static 202.106.1.2 32 12.0.0.1
　　现在应该C1与C2都可以与外网通信了

　　在R2上抓包验证看源地址是否是202.106.1.1和202.106.1.2

　　2、动态NAT
　　现有以下公网地址202.106.1.0/24
　　动态NAT是在出口路由器上做了一个地址池，内网PC访问外网时会从地址池内获取一个公网IP。
　　
　　R1动态NAT配置：
　　[R1]nat address-group 1 202.106.1.1 202.106.1.254 //创建一个NAT地址池
　　[R1]acl 2000  //定义一个访问控制列表
　　[R1-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
　　[R1-acl-basic-2000]rule permit source 192.168.20.0 0.0.0.255
　　[R1-acl-basic-2000]quit
　　[R1]interface g0/0/0
　　[R1-GigabitEthernet0/0/0]nat outbound 2000 address-group 1 no-pat  //将ACL与地址池关联，no-pat表示不可反复使用
　　R2配置回程路由:
　　[R2]ip route-static 202.106.1.0 24 12.0.0.1
　　抓包测试

会发现这里模拟器是有bug的，ping命令发送5个包，这里每个包都获取了一个地址

　　3、PAT配置
　　现有一个公网地址202.106.1.1/32
　　PAT是将一个公网地址反复使用，所有主机都通过它来上网
　　R1 PAT配置：
　　[R1]nat address-group 1 202.106.1.1 202.106.1.1  //创建一个地址池
　　[R1]acl 2000          //定义一个访问控制列表
　　[R1-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
　　[R1-acl-basic-2000]rule permit source 192.168.20.0 0.0.0.255
　　[R1-GigabitEthernet0/0/0]nat outbound 2000 address-group 1  //将ACL与地址池关联
　　R2上回程路由：
　　[R2]ip route-static 202.106.1.1 32 12.0.0.1
　　抓包测试

　　现在一个公网IP都没有只有一个外网口G0/0/0IP：12.0.0.1
　　[R1]acl 2000          //定义一个访问控制列表
　　[R1-acl-basic-2000]rule permit source 192.168.10.0 0.0.0.255
　　[R1-acl-basic-2000]rule permit source 192.168.20.0 0.0.0.255
　　[R1]interface g0/0/0
　　[R1-GigabitEthernet0/0/0]ip address 12.0.0.1 24
　　[R1-GigabitEthernet0/0/0]nat outbound 2000 //反复使用当前接口地址
　　抓包验证

　　5、静态端口映射
　　在PAT的基础上输入如下命令
　　R1：
　　[R1-GigabitEthernet0/0/0]nat static protocol tcp global current-interface telnet
　　inside 192.168.1.10 telnet
　　//将当前接口的23端口映射到192.168.1.10的23端口，这里输入端口号或者协议都可以
　　[R1-GigabitEthernet0/0/0]nat static protocol tcp global current-interface 1212 inside 192.168.1.20 telnet
　　//将当前接口的1212端口映射到192.168.1.20的23端口
　　
　　
　　测试
　　
　　-------------------------------------------------------------------------------------------