内网访问NAT后的服务器问题.docVIP

总是有人询问关于NAT后的设备访问问题，针对cisco设备现解决如下： 如图所示，该企业申请ADSL上网，只获得了一个公有合法IP地址。企业有一个WEB服务器提供访问，可以使用端口地址重定向功能来完成。 　　Router(config)#int e0 (1) 　　Router(config-if)#ip add 54 　　Router(config-if)#ip nat inside 　　Router(config)#int e1 　　Router(config-if)#ip add 52 　　Router(config-if)#ip nat outside 　　Router(config)#ip nat inside source static tcp 80 80 (2) 　　Router(config)#access-list 1 permit 55 (4) 　　Router(config)#ip nat inside source list 1 interface e1 overload (5) 　　Router(config)#ip route (6) 　　命令解释： 　　（1）：配置路由器接口IP地址及标记NAT的内部端口和外部端口 　　（2）：当外部用户访问服务器:80，路由器使用静态NAT的方式转到:80 　　（4）：配置标准访问控制列表，匹配内部/24网络的主机 　　（5）：配置PAT，允许内部/24用户能够进行NAT转换 　　（6）：配置静态路由，使经过NAT转换后的数据包能够发送至ISP 　　经过这些配置后，企业内部网络用户能够正常访问外部资源，外部Internet用户能够浏览该企业的网站（假设网站地址为）。这时候，我们会发现企业内部网络用户无法使用来访问内部网站。 　　现解决该问题办法如下： 　　Router(config)#ip dns server (1) 　　Router(config)#ip domain-lookup (2) 　　Router(config)#ip name-server 8 (3) 　　Router(config)#ip host (4) 　　内部网络主机的DNS配置成54 　　命令解释： 　　（1）：启用路由器DNS服务功能 　　（2）：启用DNS的外部查询功能，一般来说，该功能路由器缺省启用 　　（3）：指定所查找的上级DNS服务器地址（根据本地情况确定） 　　（4）：手工配置DNS本地条目 　　搞定。　　注意：如果路由器负担较重，请另外建立一个内部DNS服务器。 　　另外，如果企业规模不是很大，还可以让路由器担当DHCP服务器功能。新增配置如下： 　　Router(config)#server dhcp　　Router(config)#ip dhcp excluded-address 54 　　Router(config)#ip dhcp excluded-address 　　Router(config)#ip dhcp pool ABC 　　Router(dhcp-config)#network /24 　　Router(dhcp-config)#dns-server 54 　　Router(dhcp-config)#default-router 54 看到论坛内很多弟兄做了DNAT,外网正常访问,内网却无法访问.现将原因总结如下: 设网络结构如下： 外网某机器为W1，路由器为R1，内网服务器为S1，内网某机器为C1，设服务为80 地址分布如下： R1：外（eth0）： 内(eth1)：54 S1： C1： 原因如下： 外网为什么能成功： 当W1以某IP端口80访问R1的外网地址时，数据包到达的接口eth0，ROS根据DNAT规则做了到S1 的转发，S1 收到来自某IP的包后S1会发出正确的相应，此响应的目的IP为W1的IP，根据默认网关（R1的eth1）54规则把回应包发到R1，因为R1先前DNAT的关系（有DNAT的记录），R1回做一个反方向的NAT转发，从而数据包能够正确的到达