您好,登錄后才能下訂單哦!
NAT不僅能解決IP地址不足的問題,而且還能夠有效地避免來自網(wǎng)絡(luò)外部的隱患,隱藏并保護(hù)網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)。
1.寬帶分享:這是 NAT 主機(jī)的最大功能。
2.安全防護(hù):NAT 之內(nèi)的 PC 聯(lián)機(jī)到 Internet 上面時(shí),他所顯示的 IP 是 NAT 主機(jī)的公共 IP,所以 Client 端的 PC 當(dāng)然就具有一定程度的安全了,外界在進(jìn)行 portscan(端口掃描) 的時(shí)候,就偵測不到源Client 端的 PC
Network Address Translation ,網(wǎng)絡(luò)地址轉(zhuǎn)換
(1)靜態(tài)轉(zhuǎn)換 (Statin Translation)
(2)動態(tài)轉(zhuǎn)換 ( Dynamic Translation)
(3)端口多路復(fù)用(Port Address Translation,PAT)
(1)節(jié)省公有合法的IP地址
(2)處理地址重疊
(3)增強(qiáng)靈活性
(4)安全性
(1)延遲增大
(2)配置和維護(hù)更復(fù)雜
(3)不支持某些應(yīng)用,可以通過靜態(tài)NAT映射來避免
NAT地址轉(zhuǎn)換一種偽裝,確保了地址的安全
如圖:
PC1第一件事情發(fā)出請求,先查詢路由表,然后才會根據(jù)NAT表轉(zhuǎn)換成公網(wǎng)地址,去訪問外部網(wǎng)。源IP,目的IP,這時(shí)候外部的源IP就變成了公網(wǎng)地址。
PC2第一件事情給出回應(yīng),先查詢NAT轉(zhuǎn)換表,再查詢路由表發(fā)送數(shù)據(jù)包。
回應(yīng)時(shí)兩個(gè)接口如果先查詢路由表,就沒法去找到,一個(gè)接口是1.0一個(gè)是125.0
內(nèi)部:
源IP:內(nèi)部局部地址
目的IP:外部局部地址
外部:
源IP:內(nèi)部全局地址
目的IP:外部全局地址
(1)簡單轉(zhuǎn)換條目(根據(jù)IP地址)
(2)擴(kuò)展轉(zhuǎn)換條目(根據(jù)IP地址和 端口)
1:自己主機(jī)的地址10.1.1.1
2.根據(jù)NAT轉(zhuǎn)換表,需要自己手動配置,TCP協(xié)議,內(nèi)部用局部IP地址,內(nèi)部用全局IP地址,外部用全局IP地址
3.目的IP地址
4.訪問外部網(wǎng)
5.目的IP地址和源IP地址
PAT是多個(gè)私網(wǎng)地址轉(zhuǎn)換成一個(gè)公網(wǎng)地址,多了端口,端口可以自己設(shè)定
sw1:關(guān)閉路由功能,設(shè)置速率和全雙工
R3:給接口配IP,配置默認(rèn)路由
f0/0:12.0.0.2/24
f0/1:13.0.0.1/24
R2:給接口配IP,配置默認(rèn)路由回去,配置靜態(tài)NAT地址轉(zhuǎn)換,應(yīng)用于接口
f0/0:12.0.0.1/24
f0/1:192.168.100.1/24
PC1:192.168.100.10/24
PC2:192.168.100.20/24
sw1#conf t
sw1(config)#no ip routing //關(guān)閉路由功能
sw1(config)#int f1/0
sw1(config-if)#speed 100 //速率100
sw1(config-if)#dup full //全雙工模式
sw1(config-if)#ex
R3#conf t
R3(config)#int f0/0
R3(config-if)#ip add 12.0.0.2 255.255.255.0 //配置地址
R3(config-if)#no shut //開啟地址接口
R3(config-if)#int f0/1
R3(config-if)#ip add 13.0.0.1 255.255.255.0
R3(config-if)#no shut
R3(config-if)#do show ip route //查看路由表?xiàng)l目
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route
Gateway of last resort is not set
12.0.0.0/24 is subnetted, 1 subnets
C 12.0.0.0 is directly connected, FastEthernet0/0
13.0.0.0/24 is subnetted, 1 subnets
C 13.0.0.0 is directly connected, FastEthernet0/1
R3(config-if)#ex
R3(config)#ip route 0.0.0.0 0.0.0.0 12.0.0.1 //配置默認(rèn)路由
R3(config)#
R2#conf t
R2(config)#int f0/0
R2(config-if)#ip add 192.168.100.1 255.255.255.0 //配置地址
R2(config-if)#no shut
R2(config-if)#int f0/1
R2(config-if)#ip add 12.0.0.1 255.255.255.0 //配置地址
R2(config-if)#no shut
R2(config-if)#ex
R2(config)#ip route 0.0.0.0 0.0.0.0 12.0.0.2
R2(config)#
PC1> ip 192.168.100.10 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.10 255.255.255.0 gateway 192.168.100.1
PC2> ip 192.168.100.20 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.20 255.255.255.0 gateway 192.168.100.1
PC3> ip 13.0.0.13 13.0.0.1
Checking for duplicate address...
PC1 : 13.0.0.13 255.255.255.0 gateway 13.0.0.1
R2#conf t
R2(config)#ip nat inside source static 192.168.100.10 12.0.0.10
//設(shè)置靜態(tài)NAT地址內(nèi)部網(wǎng)轉(zhuǎn)換成外部網(wǎng)
R2(config)#ip nat inside source static 192.168.100.20 12.0.0.20
R2(config)#int f0/0
R2(config-if)#ip nat inside //給F0/0接口設(shè)置內(nèi)部
R2(config-if)#int f0/1
R2(config-if)#ip nat outside //給F0/1接口設(shè)置外部
R2(config-if)#end
R2#debug ip nat //查看NAT地址轉(zhuǎn)換狀態(tài)
IP NAT debugging is on
NAT端口映射協(xié)議(英語:NAT Port Mapping Protocol,縮寫NAT-PMP)是一個(gè)能自動創(chuàng)建網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)設(shè)置和端口映射配置而無需用戶介入的網(wǎng)絡(luò)協(xié)議。該協(xié)議能自動測定NAT網(wǎng)關(guān)的外部IPv4地址,并為應(yīng)用程序提供與對等端交流通信的方法。NAT-PMP于2005年由蘋果公司推出,為更常見的ISO標(biāo)準(zhǔn)互聯(lián)網(wǎng)網(wǎng)關(guān)設(shè)備協(xié)議(被許多NAT路由器實(shí)現(xiàn))的一個(gè)替代品。該協(xié)議由互聯(lián)網(wǎng)工程任務(wù)組(IETF)在RFC 6886中發(fā)布。 NAT-PMP使用用戶數(shù)據(jù)報(bào)協(xié)議(UDP),在5351端口運(yùn)行。該協(xié)議沒有內(nèi)置的身份驗(yàn)證機(jī)制,因?yàn)檗D(zhuǎn)發(fā)一個(gè)端口通常不允許任何活動,也不能用STUN方法實(shí)現(xiàn)。NAT-PMP相比STUN的好處是它不需要STUN服務(wù)器,并且NAT-PMP映射有一個(gè)已知的過期時(shí)間,應(yīng)用可以避免低效地發(fā)送?;顢?shù)據(jù)包。 NAT-PMP是端口控制協(xié)議(PCP)的前身。
[root@localhost ~]# yum install httpd -y //安裝HTTPD服務(wù)
[root@localhost ~]# vim /var/www/html/index.html //代站點(diǎn)底下創(chuàng)建文件和內(nèi)容
<h2>this is web NAT </h2>
[root@localhost ~]# systemctl start httpd //開啟HTTPD服務(wù)
[root@localhost ~]# systemctl stop firewalld.service //關(guān)閉防火墻
[root@localhost ~]# setenforce 0 //開啟增強(qiáng)功能
[root@localhost ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static //設(shè)置靜態(tài)
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=849aa04e-1874-490f-8cb0-b2fde4b9a6f8
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.100.100 //IP地址
NETMASK=255.255.255.0 //子網(wǎng)掩碼
GATEWAY=192.168.100.1 //網(wǎng)關(guān)
[root@localhost ~]# systemctl restart network //重啟網(wǎng)絡(luò)服務(wù)
[root@localhost ~]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.100.100 netmask 255.255.255.0 broadcast 192.168.100.255
inet6 fe80::e3c7:14af:6e4d:7216 prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:c9:dd:05 txqueuelen 1000 (Ethernet)
RX packets 4309 bytes 4579244 (4.3 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1123 bytes 96283 (94.0 KiB)
R1#conf t
R1(config)#int f0/0
R1(config-if)#ip add 192.168.100.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int f0/1
R1(config-if)#ip add 12.0.0.1 255.255.255.0
R1(config-if)#no shut
映射什么意思?就是外部網(wǎng)想要訪問你的私網(wǎng)地址必須要映射,不然不安全。
R1#conf t
R1(config)#ip nat inside source static tcp 192.168.100.100 80 12.0.0.100 8080 extendable
//內(nèi)部端口啟用NAT,tcp協(xié)議,IP地址加端口,映射外部網(wǎng)地址加端口,后面一定要加個(gè)擴(kuò)展extendable
on Interface NVI0, changed state to up
R1(config)#int f0/0
R1(config-if)#ip nat inside //設(shè)置為內(nèi)部
R1(config-if)#int f0/1
R1(config-if)#ip nat outside //設(shè)置為外部
R1(config-if)#end
R1#debug ip nat //測試啟動端口映射
IP NAT debugging is on
動態(tài)NAT是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公用IP地址時(shí),IP地址對是不確定的,是隨機(jī)的,所有被授權(quán)訪問Internet的私有IP地址可隨機(jī)轉(zhuǎn)換為任何指定的合法IP地址。也就是說,只要指定哪些內(nèi)部地址可以進(jìn)行轉(zhuǎn)換,以及用哪些合法地址作為外部地址時(shí),就可以進(jìn)行動態(tài)轉(zhuǎn)換。動態(tài)轉(zhuǎn)換可以使用多個(gè)合法外部地址集。當(dāng)ISP提供的合法IP地址略少于網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)數(shù)量時(shí)。可以采用動態(tài)轉(zhuǎn)換的方式。
sw#conf t
sw(config)#no ip routing
sw(config)#int f1/0
sw(config-if)#speed 100
sw(config-if)#dup full
sw(config-if)#ex
R1#conf t
R1(config)#int f0/0
R1(config-if)#ip add 192.168.100.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int f0/1
R1(config-if)#ip add 12.0.0.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#ex
R1(config)#access-list 1 permit 192.168.100.0 0.0.0.255
//定義內(nèi)部允許的網(wǎng)段,后面要加反碼
R1(config)#ip nat pool test 12.0.0.10 12.0.0.100 netmask 255.255.255.0
//定義外部轉(zhuǎn)換的地址段落,地址范圍,起始地址和結(jié)束地址和子網(wǎng)掩碼
R1(config)#ip nat inside source list 1 pool test //引用內(nèi)部的網(wǎng)段,轉(zhuǎn)換成外部網(wǎng)的地址池
R1(config)#int f0/0
R1(config-if)#ip nat inside //定義內(nèi)部網(wǎng)
R1(config-if)#int f0/1
R1(config-if)#ip nat outside //定義外部網(wǎng)
R1(config-if)#end
R1#debug ip nat //測試啟用NAT
IP NAT debugging is on
PC1> ip 192.168.100.10 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.10 255.255.255.0 gateway 192.168.100.1
PC2> ip 192.168.100.20 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.20 255.255.255.0 gateway 192.168.100.1
PC3> ip 12.0.0.12 12.0.0.1
Checking for duplicate address...
PC1 : 12.0.0.12 255.255.255.0 gateway 12.0.0.1
PC1> ping 12.0.0.12
84 bytes from 12.0.0.12 icmp_seq=1 ttl=63 time=20.944 ms
84 bytes from 12.0.0.12 icmp_seq=2 ttl=63 time=18.950 ms
84 bytes from 12.0.0.12 icmp_seq=3 ttl=63 time=15.957 ms
84 bytes from 12.0.0.12 icmp_seq=4 ttl=63 time=22.452 ms
84 bytes from 12.0.0.12 icmp_seq=5 ttl=63 time=19.952 ms
*Mar 1 00:19:47.327: NAT: expiring 12.0.0.11 (192.168.100.20) icmp 34108 (34108)
R1#
*Mar 1 00:19:47.463: NAT*: s=192.168.100.20->12.0.0.11, d=12.0.0.12 [15552]
*Mar 1 00:19:47.471: NAT*: s=12.0.0.12, d=12.0.0.11->192.168.100.20 [15552]
*Mar 1 00:19:48.351: NAT: expiring 12.0.0.11 (192.168.100.20) icmp 34364 (34364)
R1#
*Mar 1 00:19:48.487: NAT*: s=192.168.100.20->12.0.0.11, d=12.0.0.12 [15553]
*Mar 1 00:19:48.499: NAT*: s=12.0.0.12, d=12.0.0.11->192.168.100.20 [15553]
*Mar 1 00:19:49.375: NAT: expiring 12.0.0.11 (192.168.100.20) icmp 34620 (34620)
R1#
*Mar 1 00:19:49.511: NAT*: s=192.168.100.20->12.0.0.11, d=12.0.0.12 [15554]
*Mar 1 00:19:49.519: NAT*: s=12.0.0.12, d=12.0.0.11->192.168.100.20 [15554]
*Mar 1 00:19:50.399: NAT: expiring 12.0.0.11 (192.168.100.20) icmp 34876 (34876)
R1#
*Mar 1 00:19:50.531: NAT*: s=192.168.100.20->12.0.0.11, d=12.0.0.12 [15555]
*Mar 1 00:19:50.543: NAT*: s=12.0.0.12, d=12.0.0.11->192.168.100.20 [15555]
*Mar 1 00:19:51.423: NAT: expiring 12.0.0.11 (192.168.100.20) icmp 35132 (35132)
R1#
Port Address Translation,端口多路復(fù)用(端口地址轉(zhuǎn)化),通過改變外出數(shù)據(jù)包源IP和源端口,并進(jìn)行端口轉(zhuǎn)換,內(nèi)網(wǎng)所有主機(jī)均可共享一個(gè)公用IP訪問外網(wǎng),節(jié)約IP。
sw#conf t
sw(config)#no ip routing
sw(config)#int f1/0
sw(config-if)#speed 100
sw(config-if)#dup full
R1#conf t
R1(config)#int f0/0
R1(config-if)#ip add 192.168.100.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int f0/1
R1(config-if)#ip add 12.0.0.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#ex
R1(config)#access-list 1 permit 192.168.100.0 0.0.0.255 //定義內(nèi)部允許的網(wǎng)段,加反碼
R1(config)#ip nat inside source list 1 interface fastEthernet 0/1 overload
//直接引用外部接口 ,overlload所有外部網(wǎng)
R1(config)#int f0/0
R1(config-if)#ip nat in //定義內(nèi)部網(wǎng)
R1(config-if)#int f0/1
R1(config-if)#ip nat out //定義外部網(wǎng)
R1(config-if)#end
R1#debug ip nat
IP NAT debugging is on //測試啟動NAT
PC1> ip 192.168.100.10 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.10 255.255.255.0 gateway 192.168.100.1
PC2> ip 192.168.100.20 192.168.100.1
Checking for duplicate address...
PC1 : 192.168.100.20 255.255.255.0 gateway 192.168.100.1
PC3> ip 12.0.0.12 12.0.0.1
Checking for duplicate address...
PC1 : 12.0.0.12 255.255.255.0 gateway 12.0.0.1
PC1> ping 12.0.0.12 -t
12.0.0.12 icmp_seq=1 timeout
84 bytes from 12.0.0.12 icmp_seq=2 ttl=63 time=20.943 ms
84 bytes from 12.0.0.12 icmp_seq=3 ttl=63 time=17.919 ms
84 bytes from 12.0.0.12 icmp_seq=4 ttl=63 time=16.956 ms
R1#
*Mar 1 00:19:04.779: NAT: s=192.168.100.10->12.0.0.1, d=12.0.0.12 [18124]
R1#
*Mar 1 00:19:06.783: NAT*: s=192.168.100.10->12.0.0.1, d=12.0.0.12 [18125]
*Mar 1 00:19:06.791: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.10 [18125]
R1#
*Mar 1 00:19:07.807: NAT*: s=192.168.100.10->12.0.0.1, d=12.0.0.12 [18126]
*Mar 1 00:19:07.811: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.10 [18126]
R1#
*Mar 1 00:19:08.823: NAT*: s=192.168.100.10->12.0.0.1, d=12.0.0.12 [18127]
*Mar 1 00:19:08.831: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.10 [18127]
R1#
*Mar 1 00:19:09.843: NAT*: s=192.168.100.10->12.0.0.1, d=12.0.0.12 [18128]
*Mar 1 00:19:09.847: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.10 [18128]
R1#
PC2> ping 12.0.0.12 -t
84 bytes from 12.0.0.12 icmp_seq=1 ttl=63 time=29.921 ms
84 bytes from 12.0.0.12 icmp_seq=2 ttl=63 time=16.981 ms
84 bytes from 12.0.0.12 icmp_seq=3 ttl=63 time=15.958 ms
84 bytes from 12.0.0.12 icmp_seq=4 ttl=63 time=23.936 ms
R1#
*Mar 1 00:20:28.715: NAT*: s=192.168.100.20->12.0.0.1, d=12.0.0.12 [18208]
*Mar 1 00:20:28.719: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.20 [18208]
R1#
*Mar 1 00:20:29.731: NAT*: s=192.168.100.20->12.0.0.1, d=12.0.0.12 [18209]
*Mar 1 00:20:29.739: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.20 [18209]
R1#
*Mar 1 00:20:30.751: NAT*: s=192.168.100.20->12.0.0.1, d=12.0.0.12 [18210]
*Mar 1 00:20:30.759: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.20 [18210]
R1#
*Mar 1 00:20:31.775: NAT*: s=192.168.100.20->12.0.0.1, d=12.0.0.12 [18211]
*Mar 1 00:20:31.779: NAT*: s=12.0.0.12, d=12.0.0.1->192.168.100.20 [18211]
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場,如果涉及侵權(quán)請聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。