189 8069 5689
（一）相关概念
公司主营业务：成都做网站、网站建设、移动网站开发等业务。帮助企业客户真正实现互联网宣传，提高企业的竞争能力。创新互联公司是一支青春激扬、勤奋敬业、活力青春激扬、勤奋敬业、活力澎湃、和谐高效的团队。公司秉承以“开放、自由、严谨、自律”为核心的企业文化，感谢他们对我们的高要求，感谢他们从不同领域给我们带来的挑战，让我们激情的团队有机会用头脑与智慧不断的给客户带来惊喜。创新互联公司推出古田免费做网站回馈大家。
为了更好地认识NAT技术，我们先了解一下它所涉及的几个概念。
1．内部局部地址 在内部网上分配到一个主机的IP地址。这个地址可能不是一个有网络信息中心（NIC）或服务提供商所分配的合法IP地址。
2．内部全局地址 一个合法的IP地址（由NIC或服务供应商分配），对应到外部世界的一个或多个本地IP地址。
3．外部局部地址 出现在网络内的一个外部主机的IP地址，不一定是合法地址，它可以在内部网上从可路由的地址空间进行分配。
4．外部全局地址 由主机拥有者在外部网上分配给主机的IP地址，该地址可以从全局路由地址或网络空间进行分配。图1展示了NAT相关术语的图解。
对于NAT技术，提供4种翻译地址的方式，如下所示。
（二）4种翻译方式
1．静态翻译 是在内部局部地址和内部全局地址之间建立一对一的映射。
2．动态翻译 是在一个内部局部地址和外部地址池之间建立一种映射。
3．端口地址翻译 超载内部全局地址通过允许路由器为多个局部地址分配一个全局地址，也就是将多个局部地址映射为一个全局地址的某一端口，因此也被称为端口地址翻译（PAT）。
4．重叠地址翻译 翻译重叠地址是当一个内部网中使用的内部局部地址与另外一个内部网中的地址相同，通过翻译，使两个网络连接后的通信保持正常。
在实际使用中，通常需要以上几种翻译方式配合使用。
二、让典型应用“说话”
现在，我们以常见Cisco路由器为例，阐述典型应用中NAT技术的实现。
1．配置共享IP地址
应用需求：当您需要允许内部用户访问Internet，但又没有足够的合法IP地址时，可以使用配置共享IP地址连接Internet的NAT转换方式。
图2是配置内部网络10.10.10.0/24通过重载一个地址172.16.10.1./24访问外部网络的全过程。如果有多个外部地址，可以利用动态翻译进行转换，这里就不多做说明了。清单1展示了具体配置方法。
NAT路由器配置清单1
interface ethernet 0
ip address 10.10.10.254 255.255.255.0
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 172.16.10.64 255.255.255.0
ip nat outside
!-- 定义外部转换接口
ip nat pool ovrld 172.16.10.1 172.16.10.1 prefix 24
!-- 定义名为ovrld的NAT地址池和地址池重的地址172.16.10.1
ip nat inside source list 1 pool ovrld overload
!--指出被 access-list 1 允许的源地址会转换成NAT地址池ovrld中的地址并且转换会被内部多个机器重载成一个相同的IP地址。
access-list 1 permit 10.10.10.0 0.0.0.31
!-- Access-list 1 允许地址10.10.10.0到10.10.10.255进行转换
NAT路由器配置清单2
interface ethernet 0
ip address 10.10.10.254 255.255.255.0
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 172.16.20.254 255.255.255.0
ip nat outside
!-- 定义外部转换接口
ip nat inside source static 10.10.10.1 172.16.20.1
!-- 指定将地址10.10.10.1静态转换为172.16.20.1
适用范围：这种情况适合于通信都是由内部用户向Internet发起的应用。
例如小型企业多个用户通过共享xDSL连接Internet。另外，也可以用软件进行NAT转换，Windows 2000的操作系统就有这样的功能。至于内部用户数量较多的情况，建议使用代理服务器。
2．配置在Internet上发布的服务器
应用需求：当您需要将内部设备发布到Internet上时，可以使用配置在Internet上发布的服务器的NAT转换方式。
图3是将内部网络的邮件服务器（IP地址为10.10.10.1/24）发布到外部网络的全过程，使用静态翻译可以实现这种转换。清单2展示了具体配置方法。
适用范围：这种情况适合于访问是从外部网络向内部设备发起的应用。
3．配置端口映射
应用需求：假设您在Internet上发布一台在内部网络的Web服务器，服务器配置成监听8080端口，您需要把外部网络对Web服务器80端口的访问请求重定向。
图4为配置端口映射示意图，清单3展示了具体配置方法。
4．配置TCP传输
应用需求：TCP传输装载共享是与地址匮乏无关的问题，它将数个设备的地址映射成一个虚拟设备的地址，从而实现设备间的负载均衡。
图5是将地址从10.10.10.2到10.10.10.15的真实设备映射成虚拟10.10.10.1地址的全过程。清单4展示了具体配置方法。
5．真实应用案例
应用需求：笔者所在的单位内部的局域网已建成，并稳定运行着各种应用系统。随着业务的发展，需要实施一个数据中心在外单位的新应用。出于安全方面的考虑，不能够对现有网络结构进行大的调整和改动；另外，由于资金方面的原因，需要尽可能地节省设备等方面的投入。
应用现状：我单位内部网结构如下：具有3个VLAN。VLAN 1（即10.1.1.X），使用单位内部应用系统，与数据中心没有数据交换；VLAN 2（即10.2.2.X），使用数据中心提供的应用系统，约有100台机器；VLAN 3（即10.3.3.X），只用2台机器使用数据中心提供的应用，分别是10.3.3.1和10.3.3.2。
数据中心提供一台Cisco 3640，Serial口与数据中心通过HDSL连接，分配的地址分别是192.168.252.1和255.255.255.252，FastEthernet口与单位内部局域网连接，分配的地址分别是192.168.1.0和255.255.255.0。
实施方案：由于不打算更改内部网的结构，所以将内部网地址作为内部局部地址，数据中心分配的地址作为内部全局地址，实施NAT应用。另外NAT需要两个端口，一个做为inside，另一个做为outside，因此考虑使用FastEthernet口做inside，Serial口做outside。图6 为本单位NAT技术的应用图。
利用以上设置，我们成功实现了内部地址的翻译转换，并实现了在不改变现有网络结构的情况下与数据中心连网的目标。
三、有比较有选择
1．与代理服务器的比较
用户经常把NAT和代理服务器相混淆。NAT设备对源机器和目标机器都是透明的，地址翻译只在网络边界进行。代理服务器不是透明的，源机器知道它需要通过代理服务器发出请求，而且需要在源机器上做出相关的配置，目标机器则以为代理服务器就是发出请求的源机器，并将数据直接发送到代理服务器，由代理服务器将数据转发到源机器上。
NAT路由器配置清单3
interface ethernet 0
ip address 10.10.10.254 255.255.255.0
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 172.16.30.254 255.255.255.0
ip nat outside
!-- 定义外部转换接口
ip nat inside source static tcp 10.10.10.8 8080 172.16.30.8 80
!-- 指定将地址10.10.10.8:8080静态转换为172.16.30.8:80
NAT路由器配置清单4
interface ethernet 0
ip address 10.10.10.17 255.255.255.0ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 10.10.10.254 255.255.255.0ip nat outside
!-- 定义外部转换接口
ip nat pool real-hosts 10.10.10.2 10.10.10.15 prefix-length 28 type rotaryip nat inside destination list 1 pool real-hosts
!--定义地址池real-hosts地址范围是从10.10.10.2到10.10.10.15
!--指定将地址将地址池real-hosts转换为10.10.10.1
access-list 1 permit 10.10.10.1
代理服务器工作在OSI模型的第4层传输层，NAT则是工作在第3层网络层，由于高层的协议比较复杂，通常来说，代理服务器比NAT要慢一些。
但是NAT比较占用路由器的CPU资源，加上NAT隐藏了IP地址，跟踪起来比较困难，不利于管理员对内部用户对外部访问的跟踪管理和审计工作。所有NAT技术只适用于内部用户数量较少的应用，如果访问外部网络的用户数量大，而且管理员对内部用户有访问策略设置和访问情况跟踪的应用，还是使用代理服务器较好一些。
NAT路由器配置清单5
interface fastethernet 1/0
ip nat inside
!-- 定义内部转换接口
interface serial 0/0
ip address 192.168.252.1 255.255.255.252
ip address 192.168.1.254 255.255.255.0 secondary
ip nat outside
!-- 为节省端口，将数据中心提供的地址全部绑在Serial口
ip nat pool ToCenter 192.168.1.1 192.168.1.253 prefix-length 24
ip nat inside source list 1 pool ToCenter
!-- 建立动态源地址翻译，指定在前一步定义的访问列表
access-list 1 permit 10.3.3.1
access-list 1 permit 10.3.3.2
access-list 1 permit 10.2.2.0 0.0.0.255
!-- 定义一个标准的访问列表，对允许访问数据中心的地址进行翻译
2．与防火墙比较
防火墙是一个或一组安全系统，它在网络之间执行访问控制策略。防火墙对流经它的网络通信数据进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，禁止特定端口的流出通信，封锁特洛伊木马等。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
一般的防火墙都具有NAT功能，或者能和NAT配合使用。应用到防火墙技术中的NAT技术可以把个别IP地址隐藏起来不被外界发现，使外界无法直接访问内部网络设备。作为网络安全的一个重要手段，是选用单纯的NAT技术还是带NAT技术的防火墙，要从几个方面考虑：
一是您的企业和运营机构如何运用访问控制策略，是为了明确地拒绝除对于连接到网络至关重的服务之外的所有服务，还是为了访问提供一种计量和审计的方法；
二是您对企业网需要何种程度的监视、冗余度以及控制水平；
三则是财务上的考虑，一个高端完整的防火墙系统是十分昂贵的。是否采用防火墙需要在易用性、安全性和预算之间做出平衡的决策。
四、安全中的不安全
我们可以从以下几个方面窥视NAT技术的安全性问题。
1．NAT只对地址进行转换而不进行其他操作，因此，当您建立了与外部网络的连接时，NAT不会阻止任何从外部返回的恶意破坏信息。
2．虽然NAT隐藏了端到端的IP地址，但它并不隐藏主机信息。例如您通过NAT设备访问Windows Streaming Media服务器，您会发现服务器记录的不仅是您的主机名，还有您的内部IP地址和操作系统。
3．Internet上的恶意攻击通常针对机器的“熟知端口”，如HTTP的80端口、FTP的21端口和POP的110端口等。虽然NAT可以屏蔽不向外部网络开放的端口，但针对面向熟知端口的攻击，它是无能为力的。
4．许多NAT设备都不记录从外部网络到内部网络的连接，这会使您受到来自外部网络的攻击，但由于没有记录可以追查，您根本无法发觉自己受到过什么攻击。
NAT隐藏了内部IP地址，使其具有一定的安全性，但从上面的分析我们可以知道，不能将NAT作为网络单一的安全防范措施。
本文介绍了如何通过使用Windows Server 2003来配置网络地址转换(NAT)服务器。Windows Server 2003“路由和远程访问”服务包括NAT路由协议。如果将NAT路由协议安装和配置在运行“路 由和远程访问”的服务器上，则使用专用Internet协议(IP)地址的内部网络客户端可以通过NAT服务器的外部接口访问Internet。
如何配置路由和远程访问NAT服务器
当内部网络客户端发送要连接Internet的请求时，NAT协议驱动程序会截取该请求，并将其转发到目标Internet服务器。所有请求看上去都像是来自NAT服务器的外部IP地址。这样就隐藏您的'内部IP地址配置。
配置“路由和远程访问”NAT服务器：
在管理工具菜单中，选中“路由和远程访问”。
在“路由和远程访问”MMC中，展开您的服务器名称（其中服务器名称是您要配置服务器的名称，然后展开左窗格中的IP路由。
选中常规，然后选择新建路由协议。
单击NAT/基本防火墙复选框，将其选中，然后点确定。
右键单击左窗格中的NAT/基本防火墙，然后单击新建接口。
单击表示内部网络接口的接口，然后单击确定。
在“网络地址转换”属性中，单击“专用接口连接到专用网络”，然后单击确定。
右键单击左窗格中的NAT/基本防火墙，然后点新建接口。
单击表示外部网络接口的接口，然后点确定。
在“网络地址转换”属性中，单击“公用接口连接到Internet”。
单击“在此接口上启用NAT”复选框，将其选中，点确定。
NAT服务器可以自动为内部网络客户端分配IP地址。如果您没有已给内部网络上的客户端分配了地址信息的DHCP服务器，则可能会需要使用此功能。
如何配置路由和远程访问NAT服务器以分配IP地址和执行代理DNS查询NAT服务器还可以代表NAT客户端执行域名系统(DNS)查询。“路由和远程访问”NAT服务器对包括在客户端请求中的Internet主机名进行解析，然后将该IP地址转发给该客户端。
要配置“路由和远程访问”NAT服务器来分配IP地址并且代表内部网络客户端执行代理DNS查询，请按以下步骤操作：
右键单击左窗格中的NAT/基本防火墙，然后单击属性。
单击地址分配选项卡，然后单击“使用DHCP自动分配IP地址”复选框，将其选中。
在IP地址框中，键入网络ID。
在掩码框中，键入子网掩码。
选择名称解析选项卡，然后单击“使用域名系统(DNS)的客户端”复选框，将其选中。
如果您使用请求拨号接口连接到Internet，请单击“当名称需要解析时连接到公用网络”复选框，将其选中。
在请求拨号接口框中，选中要拨号的接口。
选择应用，然后单击确定。
备注：完成这些基本配置步骤之后，内部网络客户端就可以访问Internet上的服务器了。
如何配置基于Windows Server 2003的计算机以使用NAT服务器
单击开始，指向控制面板，指向网络连接，然后单击本地连接。
单击属性。
单击Internet协议(TCP/IP)。
单击属性。
在“默认网关”框中，键入NAT服务器的内部IP地址。
备注：如果计算机从“动态主机配置协议”(DHCP)服务器接收它的IP地址，请单击高级，单击IP设置选项卡，单击网关下的添加，键入NAT服务器的内部IP地址，单击添加，单击确定，然后继续进行第6步。
单击确定，单击确定，然后单击关闭。
1、 静态nat，一对一转换
2、 动态nat：多对多转换
3、 napt：多对1端口转换
【RTA】nat address-group 1 200.10.10.1 200.10.10.1
【RTA】acl 2000
【RTA-acl-basic-2000】rule permit source 192.168.1.0 0.0.0.255
【RTA-GigabitEthernet0/0/0】nat outbound 2000 address-group 1
4、easy ip：出接口多对1端口转换
5、 nat服务器（NAT Server用于外网用户需要使用固定公网IP地址访问内部服务器的情形，目测与静态nat区别是可以做端口转换）
在什么情况下使用NAT
与无类域间路由选择( CIDR) 一样，最初开发NAT 也旨在推迟可用IP 地址空间耗尽的时间，这是通过使用少量公有IP地址表示众多私有IP 地址实现的。但随后人们发现，在网络迁移和合并、服务器负载均衡以及创建虚拟服务器方面， NAT 也是很有用的工具。
NAT 确实可减少联网环境所需的公有IP地址数; 在两家使用相同内部编址方案的公司合并时，NAT 也提供了便利的解决方案; 在公司更换因特网服务提供商(ISP )，而网络管理员又不想修改内部编址方案时， NAT 也能提供很好的解决方案。
下面是NAT 可提供帮助的各种情形:
需要连接到因特网，但主机没有全局唯一的IP 地址
更换的ISP 要求对网络进行重新编址
需要合并两个使用相同编址方案的内联网
一、 NAT简介
NAT的功能就是指将使用私有地址的网络与公用网络INTERNET相连，使用私有地址的内部网络通过NAT路由器发送数据时，私有地址将被转化为合法注册的IP地址从而可以与INTERNET上的其他主机进行通讯。
NAT路由器被置于内部网和INTERNET的边界上并且在把数据包发送到外部网络前将数据包的源地址转换为合法的IP地址。当多个内部主机共享一个合法IP地址时，地址转换是通过端口多路复用即改变外出数据包的源端口并进行端口映射完成。
二、 NAT工作过程
假设某公司申请DDN专线时，电信提供的合法地址为61.138.0.93/30，61.128.0.94/30，公司内部网络地址为192.168.0.0/24，路由器局域口地址192.168.0.254/24，广域口地址61.138.0.93/30，
当192.168.0.1/24这台计算机向INTERNET上的服务器202.98.0.66发出请求，则相应的操作过程如下：
⑴内部主机192.168.0.1/24的用户发出到INTERNET上主机202.98.0.66的连接请求;
⑵边界路由器从内部主机接到第一个数据包时会检查其NAT映射表，如果还没有为该地址建立地址转换映射，路由器便决定为该地址进行地址转换，路由器为该内部地址192.168.0.1到合法IP地址61.138.0.93的映射，同时附加端口信息，以区别与内部其他主机的映射。
⑶边界路由器用合法IP地址61.138.0.93及某端口号来替换内部IP地址192.168.0.1和对应的端口号，并转发该数据包。
⑷INTERNET服务器202.98.0.66接到该数据包，并以该包的地址(61.138.0.93)来对内部主机192.168.0.1作出应答。
⑸当边界路由器接受到目的地址为61.138.0.93的数据包时路由器将使用该IP地址、端口号从NAT的映射表中查找出对应的内部地址和端口号，然后将数据包的目的地址转化为内部地址192.168.0.1，并将数据包发送到该主机。对于每一个请求路由器都重复2-5的步骤。
三、路由器NAT功能配置
以上面的假设为例，分别说明在CISCO、3COM路由器下配置NAT功能
一CISCO路由器
以CISCO2501为例，要求其IOS为11.2版本以上
cisco2501#conf t
cisco2501(config)# int e0
cisco2501(config-if)# ip address 192.168.0.254 255.255.255.0
cisco2501(config-if)# ip nat inside
(指定e0口为与内部网相连的内部端口)
cisco2501(config-if)#int s0
cisco2501(config-if)#encapsulation ppp
(指定封装方式为PPP)
cisco2501(config-if)#ip address 61.138.0.93 255.255.255.252
cisco2501(config-if)# ip nat outside
(指定s0为与外部网络相连的外部端口)
cisco2501(config-if)#exit
cisco2501(config)# bandwidth 128
(指定网络带宽128k)
cisco2501(config)# ip route 0.0.0.0 0.0.0.0 Serial0
(指定缺省路由)
cisco2501(config)# ip nat pool a 61.138.0.93 61.138.0.93 netmask 255.255.255.252
(指定内部合法地址池，起始地址，结束地址为合法IP 61.138.0.93)
cisco2501(config)# access-list 1 permit 192.168.0.0 0.0.0.255
(定义一个标准的access-list规则，以允许哪些内部地址可以进行地址转换)
cisco2501(config)# ip nat inside source list 1 pool a overload
(设置内部地址与合法IP地址间建立地址转换)
cisco2501(config)#end
cisco2501#wr
二3COM路由器
以3COM OCBN8832为例，要求其SOFTWARE VERSION为11.0版本以上
以root注册，进行如下配置:
⑴配置局域网端口
[1] EnterpriseOS #setdefault !1 -ip netaddress=192.168.0.254 255.255.255.0
[2] EnterpriseOS #setdefault !! -path control =enable (激活路由器局域口PATH)
[3] EnterpriseOS #setdefault !1 -port control=enable (激活路由器局域口PORT)
⑵配置广域网串行端口
[4] EnterpriseOS #setdefault !3 -path linetype=leased (指明该端口使用的通信线路类型)
[5] EnterpriseOS #setdefault !4 -port owner=ppp (指明该端口的使用者)
[6] EnterpriseOS #setdefault !4 -ip netaddress=61.138.0.93 255.255.255.252
[7] EnterpriseOS #setdefault !4 -nat addressmap 192.168.0.0/24 61.138.0.93 outbound
(指定将192.168.0.0/24内部主机使用的IP地址转换成61.138.0.93)
[8] EnterpriseOS #setdault !4 -nat control=enable (启用NAT服务)
[9] EnterpriseOS #setdault !3 -path control=enable
[10]EnterpriseOS #setdault !4 -port control=enalbe
⑶配置缺省路由
[11]EnterpriseOS #setdault -ip control=router (激活路由器的路由功能)
[12]EnterpriseOS #add -ip route 0.0.0.0 0.0.0.0 !4