Nat

一、Nat简介

1.1 Nat使用场景

​ NAT（Network Address Translation），是指网络地址转换，1994年提出的。NAT是用于在本地网络中使用私有地址，在连接互联网时转而使用全局 IP 地址的技术。NAT实际上是为解决IPv4地址短缺而开发的技术。

二、Nat结构

2.1 NAT工作原理

%%{init: { "theme": "dark", "themeVariables": { "background": "#1e1e1e", "primaryColor": "#2b2b2b", "primaryBorderColor": "#404040", "primaryTextColor": "#d4d4d4", "lineColor": "#6b8afd", "noteBkgColor": "#333333", "noteTextColor": "#ffffff", "actorBkg": "#2b2b2b", "actorBorder": "#6b8afd" } }}%% sequenceDiagram participant Client as 内网主机<br/>192.168.1.1 participant NAT as NAT路由器<br/>出口IP:10.1.23.2 participant Server as 公网服务器<br/>3.3.3.3 Note over Client,NAT: 1. 请求阶段 Client->>NAT: 发送请求<br/>源IP:192.168.1.1<br/>目标IP:3.3.3.3 NAT->>NAT: 执行SNAT转换<br/>源IP:192.168.1.1 → 10.1.23.100 NAT->>Server: 转发请求<br/>源IP:10.1.23.100<br/>目标IP:3.3.3.3 Note over Server,NAT: 2. 响应阶段 Server->>NAT: 返回响应<br/>源IP:3.3.3.3<br/>目标IP:10.1.23.100 NAT->>NAT: 执行DNAT转换<br/>目标IP:10.1.23.100 → 192.168.1.1 NAT->>Client: 转发响应<br/>源IP:3.3.3.3<br/>目标IP:192.168.1.1

不同类型的NAT地址执行逻辑大致相同，NAT路由器起到拆解源目地址的功能

三、Nat经典配置

[!CAUTION]

无论怎么配置，永远在出接口配置NAT

3.1 静态NAT（映射内网服务器）

忽略AR1,AR2的路由

主题Global地址不可以跟接口地址相同，否则会报错

[!IMPORTANT]

Error: The address conflicts with interface or ARP IP.

# 一对一静态映射
Interface g0/0/1
nat static global 10.1.23.100 inside 192.168.1.1 netmask 255.255.255.255 

# AR3  
# ISP回包路由
ip route-static 0.0.0.0 0 10.1.23.100

AR1弹射报文

AR2转换报文

AR3回城报文

AR2转换报文

3.2 动态NAT

​ 动态NAT是一种 多对多 的地址转换技术，通过预先配置的 公网IP地址池，将 内网私有IP地址动态映射 到公网IP。转换关系 非固定，且 不涉及端口转换。

​ 如果公网IP地址池的数量小于内网私有IP地址的需求，可以使用PAT(Port Address Translation)技术，即做端口转换。

​ 无论如何，动态NAT会维护一张NAT地址表

# 匹配转换流量
acl number 2000  
rule 5 permit source 200.1.12.0 0.0.0.255 
# 公网地址池
nat address-group 1 200.1.23.100 200.1.23.200
# 应用匹配
interface GigabitEthernet0/0/1
nat outbound 2000 address-group 1 {no-pat}

3.2 eazy-IP

直接使用接口IP作为公网IP，在公网IP地址比较少时用

# 匹配转换流量
acl number 2000 
xxx

# 直接使用接口IP作为公网IP（Easy IP）
interface GigabitEthernet0/0/1  
nat outbound 2000

3.3 反向NAT(端口映射)

内部服务器的发布，比较静态的内网穿透

# 映射内网Web服务器（TCP 80端口）
nat server protocol tcp global 203.0.113.5 80 inside 192.168.1.10 80