搜云库技术团队
NAT
我们知道，一般在公司内部都使用私有地址进行通信。但由于私有地址只能在局域网中传输，如果想要外网上传输就需要公有地址。通常来说采用如下的架构，在出口路由器上配置一个公有 IP 和 ISP 的入口相连。
如果公司内部的设备想要和外网进行通信，就通过 R1 将私有 IP 转换成公有 IP 进行访问。这个转换的技术就称为 NAT – 网络地址转换，让内部的网络共享一个或多个公网地址继续访问。
NAT 解决的问题：
1、 IPV4 地址不够的问题
2、 私有地址不能在公网上传输的问题
NAT 类型
Static NAT：一对一地址转换，一个私有对一个公有
Dynamic NAT：多对多地址转换，一组私有对一组公有
PAT：多对一地址转换，一组私有对一个公有
NAT 通信过程
Local 地址：转换前的私有地址
Global 地址：转换后的公有地址
如果以出口路由器为视角，和内部相连的称为 Inside 区域，和 ISP 相连称为 Outside 区域。则目前看共有四个 IP：
| 类型 | 描述 |
|---|---|
| Inside Local | 内部转换前的私有地址 |
| Outside Local | 想要去往的公有地址 |
| Inside Global | 内部转换后的公有地址 |
| Outside Global | 想要去往的公有地址 |
初始方向：是将Inside Local 转换为 Inside Global 地址。
回来方向：将 Inside Global 装换为 Inside Local.
转换方式：
Inside Local -> Inside Global: 从内部到外部，
ip nat inside source
Inside Global -> Inside Local: 从外部到内部，
ip nat inside destination
Outside global -> Outside local: 一般用到同网段的合并
ip nat outside source
入接口过程：
1、 先检查 ACL
2、 查路由表
3、 NAT 转换
4、 查路由表（将 Outside Global 转换成 Outside Local，会有该步骤）
出接口过程：
1、 先检查 ACL
2、 查 NAT
3、 查 路由表
NAT 的 Trade-off
优点：
1、 保留了公网地址
2、 保持了网络通信的一致性
3、 提供了安全性（因为在公网视角，并不知道公司局域网内部的 NAT 转换前的地址）
缺点：
1、 缺失了端到端的连接
2、 端到端的跟踪丢失
3、 隧道技术变得更难配置
4、 TCP 内部可能中断（校验和可能不通过）
5、 降低设备性能
NAT 配置
配置流程：
1、 确定 inside 和 outside
2、 确定 inside local 地址
3、 确定 outside global 地址
4、 配置
实现效果：
R1 表示内网，有 192.168.1.0 和 2.0 网段，配置默认路由将其数据包发给 R2.
R2 上开启静态路由到 192.168.1.0 和 2.0 网段，模拟内网情况。另外开启 EIGRP 表示和外网通信，注意这里仅仅开始 e0/1 23.1.1.0 所在网络。
R3 表示外网，配置 3.3.3.0 和 23.1.1.0 网络，纳入 EIGRP.
目前看 R1 ping 3.3.3.3 网络并不能通信（因为在 R3 没有去往 192.168.1.0 和 2.0 的路由），但可在 R2 上配置 NAT 进行转换。
Static 配置：
# R1
interface Loopback0
ip address 192.168.1.1 255.255.255.0
!
interface Loopback1
ip address 192.168.2.1 255.255.255.0
!
interface Ethernet0/0
ip address 12.1.1.1 255.255.255.0
# 默认路由
ip route 0.0.0.0 0.0.0.0 12.1.1.2
# R2
# 给公网网段配置一个接口，用于 EIGRP 传递
interface Loopback0
ip address 2.2.2.2 255.255.255.0
!
interface Ethernet0/0
ip address 12.1.1.2 255.255.255.0
ip nat inside
!
interface Ethernet0/1
ip address 23.1.1.1 255.255.255.0
ip nat outside
!
router eigrp 100
network 2.2.2.0 0.0.0.255
network 23.1.1.0 0.0.0.255
!
ip nat inside source static 192.168.1.1 2.2.2.10
ip nat inside source static 192.168.2.1 2.2.2.20
ip route 192.168.1.0 255.255.255.0 12.1.1.1
ip route 192.168.2.0 255.255.255.0 12.1.1.1
！
Router#show ip nat translations
Pro Inside global Inside local Outside local Outside global
--- 2.2.2.10 192.168.1.1 --- ---
--- 2.2.2.20 192.168.2.1 --- ---
# R3
!
interface Loopback0
ip address 3.3.3.3 255.255.255.0
!
interface Ethernet0/0
ip address 23.1.1.2 255.255.255.0
!
router eigrp 100
network 3.3.3.0 0.0.0.255
network 23.1.1.0 0.0.0.255
!
Dynamic 配置：
# R2
!
interface Ethernet0/0
ip address 12.1.1.2 255.255.255.0
ip nat inside
!
interface Ethernet0/1
ip address 23.1.1.1 255.255.255.0
ip nat outside
!
# 声明 local 范围
Router(config)#access-list 10 permit 192.168.1.0 0.0.0.255
Router(config)#access-list 10 permit 192.168.2.0 0.0.0.255
# 声明外网地址范围
Router(config)#ip nat pool dynamic 2.2.2.1 2.2.2.254 netmask 255.255.255.0
# 应用 nat
Router(config)#ip nat inside source list 10 pool dynamic
Router(config)#end
Router#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 2.2.2.1:14 192.168.1.1:14 3.3.3.3:14 3.3.3.3:14
--- 2.2.2.1 192.168.1.1 ---
PAT 配置, 通过端口号区分：
# 声明 local 范围
Router(config)#access-list 10 permit 192.168.1.0 0.0.0.255
Router(config)#access-list 10 permit 192.168.2.0 0.0.0.255
# 应用 nat
Router(config)#ip nat inside source list 10 interface ethernet 0/1 overload
