NAT技术及配置指南【DOC精选】.doc

NAT技术及配置指南 ZDNet 网络频道频道 更新时间：2008-06-09 作者： 来源：路由器技术资讯网 本文关键词：NAT 网络地址转换 什么是nat 最早出现的NAT（Network Address Translation，网络地址翻译）技术，是用来解决互联网IP地址耗尽问题的，随着网络技术的发展，安全需求的提升，NAT逐渐演变为隔离内外网络、保障网络安全的基本手段，而且采用这种技术，无须额外投资，单纯利用现有网络设备，即可轻松达到安全目的。本文将从典型应用入手，详细介绍实现安全保护的办法，并分析什么应用适合选用NAT技术。 一、免费的NAT技术 NAT可以将局域网中的内部地址节点翻译成合法的IP地址在Internet上使用（即把IP包内的地址域用合法的IP地址来替换），或者把一个IP地址转换成某个局域网节点的地址，从而可以帮助网络超越地址的限制，合理地安排网络中公有Internet地址和私有IP地址的使用。通常，NAT功能会被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中，所以，只要购买了这些网络产品，您就可以免费享用NAT技术带来的网络安全了。NAT设备可以维护一个状态表，用来把非法的IP地址映射到合法的IP地址上去。每个数据包在NAT设备中都将被翻译成正确的IP地址，然后再发往下一级设备。 （一）相关概念 为了更好地认识NAT技术，我们先了解一下它所涉及的几个概念。 1．内部局部地址　　在内部网上分配到一个主机的IP地址。这个地址可能不是一个有网络信息中心（NIC）或服务提供商所分配的合法IP地址。 2．内部全局地址　　一个合法的IP地址（由NIC或服务供应商分配），对应到外部世界的一个或多个本地IP地址。 3．外部局部地址　　出现在网络内的一个外部主机的IP地址，不一定是合法地址，它可以在内部网上从可路由的地址空间进行分配。 4．外部全局地址　　由主机拥有者在外部网上分配给主机的IP地址，该地址可以从全局路由地址或网络空间进行分配。对于NAT技术，提供4种翻译地址的方式，如下所示。 （二）4种翻译方式 1．静态翻译　　是在内部局部地址和内部全局地址之间建立一对一的映射。 2．动态翻译　　是在一个内部局部地址和外部地址池之间建立一种映射。 3．端口地址翻译　　超载内部全局地址通过允许路由器为多个局部地址分配一个全局地址，也就是将多个局部地址映射为一个全局地址的某一端口，因此也被称为端口地址翻译（PAT）。 4．重叠地址翻译　　翻译重叠地址是当一个内部网中使用的内部局部地址与另外一个内部网中的地址相同，通过翻译，使两个网络连接后的通信保持正常。 在实际使用中，通常需要以上几种翻译方式配合使用。 二、让典型应用“说话” 现在，我们以常见Cisco路由器为例，阐述典型应用中NAT技术的实现。 1．配置共享IP地址 应用需求：当您需要允许内部用户访问Internet，但又没有足够的合法IP地址时，可以使用配置共享IP地址连接Internet的NAT转换方式。 图2是配置内部网络/24通过重载一个地址./24访问外部网络的全过程。如果有多个外部地址，可以利用动态翻译进行转换，这里就不多做说明了。 NAT路由器配置清单1 interface ethernet 0 ip address 54 ip nat inside !-- 定义内部转换接口 interface serial 0 ip address 4 ip nat outside !-- 定义外部转换接口 ip nat pool ovrld prefix 24 !-- 定义名为ovrld的NAT地址池和地址池重的地址 ip nat inside source list 1 pool ovrld overload !--指出被 access-list 1 允许的源地址会转换成NAT地址池ovrld中的地址并且转换会被内部多个机器重载成一个相同的IP地址。 access-list 1 permit 1 !-- Access-list 1 允许地址到55进行转换 NAT路由器配置清单2 interface ethernet 0 ip address 54 ip nat inside !-- 定义内部转换接口 interface serial 0 ip address 54 ip nat outside !-- 定义外部转换接口 ip nat inside source static !-- 指定将地址静态转换为 适用范围：这种情况适合于通信都是由内部用户向Internet发起的应用。 例如小型企业多个用户通过共享xDSL连接Internet。另外，