网络工程设计与项目实训 07 NAT与VPN.pptVIP

* 从路由器出去的包，即经过静态NAPT后，包的详细参数如图7.1.7所示，请注意红色标注的目的IP与端口号： * 1.3 动态NAT的配置及案例 这里指的是内部源地址的动态NAT的配置。它有以下特征： 内部本地地址和内部全局地址是一对一映射。 动态NAT是临时的，如果过了一段时间没有使用，映射关系就会删除。 动态映射需要把合法地址组建成一个地址池，当内网的客户机访问外网时，从地址池中取出一个地址为它建立NAT映射，这个映射关系会一直保持到会话结束。 第*页 * 1）定义动态NAT的地址池 命令格式 Router(config)#ip nat pool pool-name start-address end-address netmask subnet-mask 说明 这个命令用于定义一个IP地址池，pool-name是地址池的名字，start-address是起始地址，end-address是结束地址，subnet-mask是子网掩码。地址池中的地址是供转换的内部全局地址，通常是注册的合法地址。 第*页 * 2）定义动态NAT的访问控制列表 命令格式 Router(config)#access-list access-list-number permit address wildcard-mask 说明 这个命令定义了一个访问控制列表，access-list-number是表号，address是地址，wildcard-mask是通配符掩码。它的作用是限定内部本地地址的格式，只有和这个列表匹配的地址才会进行NAT转换。 第*页 * 3）启动内部源地址动态NAT 命令格式 Router(config)#ip nat inside source list access-list-number pool pool-name 说明 这个命令定义了动态NAT，access-list-number是访问列表的表号，pool-name是地址池的名字。它表示把和列表匹配的内部本地地址，用地址池中的地址建立NAT映射。 第*页 * 4）指定网络的内部接口与外部接口 命令格式 Router(config)#interface interface-id Router(config-if)#ip nat inside 以上命令指定了网络的内部接口。 Router(config-if)#interface interface-id Router(config-if)#ip nat outside 以上命令指定了网络的外部接口。 可以配置多个 Inside 和 Outside 接口。 第*页 * 5）配置举例： 某办公室通过路由器与外网相连，办公室有4台电脑，但平时只有2人会同时上网，办公室内网使用/24网段，办公室分得二个公用IP地址：、，现要求使用动态NAT转换实现办公室内网访问Internet。网络结构与IP分配如下图所示。 第*页 * I．配置地址池、访问控制列表，启动内部源地址的动态NAT转换； Routerenable Router#configure terminal Router(config)#ip nat pool np netmask Router(config)#access-list 1 permit 55 Router(config)#ip nat inside source list 1 pool np 说明：访问列表的定义不要太宽，应尽量准确，否则可能会出现不可预知的结果。 第*页 * II．指明NAT的内部接口与外部接口 Router(config)#interface f0/0 Router(config-if)#ip nat inside Router(config-if)#interface f0/1 Router(config-if)#ip nat outside Router(config-if)#end Router# 第*页 * III．验证 i．PC0—PC3的默认网关都配置为，PC4不配置默认网关。此时从PC4上ping内网中的PC0、PC1、PC2、PC3，都是ping不通的。 ii．从PC0上ping外网的PC4，可以发现能够ping通。请切换到模拟状态下，重新从PC0上ping外网的PC4，查看其IP包通过路由器时的变化情况。 第*页 * 1.4 动态NAPT的配置及案例 动态NAPT可以使一个内部全局地址和多个内部本地地址相对应，从而可以节省合法IP地址的使用量。它有以下特征： 一个内部全局地址可以和多个内部本地地址建立映射，用IP地址+端口号区分各个内部地址。（锐捷路由器中每个全局地址最多可提供64512个NAT地址转换） 动态NAPT是临时的，如果过了一段时间