05-NAT命令
本章节下载: 05-NAT命令 (217.79 KB)
目 录
1.1.2 display nat address-group
1.1.23 reset userlog nat export
1.1.24 reset userlog nat logbuffer
1.1.25 userlog nat export host
1.1.26 userlog nat export source-ip
1.1.27 userlog nat export version
【命令】
address start-address end-address
undo address start-address end-address
【视图】
地址组视图
【缺省级别】
2:系统级
【参数】
start-address:地址组成员的开始IP地址。
end-address:地址组成员的结束IP地址。end-address必须大于或等于start-address。如果start-address和end-address相同,表示只有一个地址。
【描述】
address命令用来添加一个地址组成员,各地址组成员之间的IP地址范围不要求是连续的。undo address命令用来删除一个地址组成员。
需要注意的是:
l 若地址组成员中定义的IP地址正在被使用或者该地址组已经与某个访问控制列表关联,则不允许在该地址组中添加或删除地址组成员。
l 一个地址组中最多允许添加100个地址组成员。
l 地址组成员的IP地址段不能与其它地址池或者地址组成员的IP地址段重叠。
相关配置可参考命令display nat address-group和nat address-group。
【举例】
# 创建地址组2,并在该地址组视图下添加两个地址组成员,一个指定从10.1.1.1到10.1.1.15的地址段,一个指定从10.1.1.20到10.1.1.30的地址段。
<Sysname> system-view
[Sysname] nat address-group 2
[Sysname-nat-address-group-2] address 10.1.1.1 10.1.1.15
[Sysname-nat-address-group-2] address 10.1.1.20 10.1.1.30
【命令】
display nat address-group [ group-number ] [ | { begin | exclude | include } regular-expression ]
【视图】
【缺省级别】
1:监控级
【参数】
group-number:表示地址池索引号。
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat address-group命令用来显示NAT地址池的信息。
相关配置可参考命令nat address-group。
【举例】
<Sysname> display nat address-group
NAT address-group information:
There are currently 2 nat address-group(s)
1 : from 202.110.10.10 to 202.110.10.15
2 : from 202.110.10.20 to 202.110.10.25
# 显示索引号为1的NAT地址池信息。
<Sysname> display nat address-group 1
NAT address-group information:
1 : from 202.110.10.10 to 202.110.10.15
表1-1 display nat address-group命令显示信息描述表
字段 |
描述 |
NAT address-group information |
显示NAT地址池信息 |
There are currently 2 nat address-group(s) |
存在两条NAT地址池信息 |
1 : from 202.110.10.10 to 202.110.10.15 |
1号地址池的IP地址范围为202.110.10.10到202.110.10.15 |
【命令】
display nat aging-time [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat aging-time命令用来显示地址转换表项的有效时间。
相关配置可参考命令nat aging-time。
【举例】
# 显示地址转换表项有效时间。
<Sysname> display nat aging-time
NAT aging-time value information:
tcp ---- aging-time value is 300 (seconds)
udp ---- aging-time value is 240 (seconds)
icmp ---- aging-time value is 10 (seconds)
pptp ---- aging-time value is 300 (seconds)
dns ---- aging-time value is 10 (seconds)
tcp-fin ---- aging-time value is 10 (seconds)
tcp-syn ---- aging-time value is 10 (seconds)
ftp-ctrl ---- aging-time value is 300 (seconds)
ftp-data ---- aging-time value is 300 (seconds)
no-pat ---- aging-time value is 240 (seconds)
表1-2 display nat aging-time命令显示信息描述表
字段 |
描述 |
NAT aging-time value information |
显示各个协议的NAT转换有效时间 |
tcp |
TCP协议地址转换有效时间 |
udp |
UDP协议地址转换有效时间 |
icmp |
ICMP协议地址转换有效时间 |
pptp |
PPTP协议地址转换有效时间 |
dns |
DNS协议地址转换有效时间 |
tcp-fin |
TCP 协议fin 或 rst连接地址转换有效时间 |
tcp-syn |
TCP 协议syn连接地址转换有效时间 |
ftp-ctrl |
FTP协议控制链路地址转换有效时间 |
ftp-data |
FTP协议数据链路地址转换有效时间 |
no-pat |
NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间 |
【命令】
display nat all [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat all命令用来显示所有的NAT配置信息。
【举例】
# 显示所有的关于地址转换的配置信息。
<Sysname> display nat all
NAT address-group information:
There are currently 1 nat address-group(s)
1 : from 202.110.10.10 to 202.110.10.15
NAT aging-time value information:
tcp ---- aging-time value is 86400 (seconds)
udp ---- aging-time value is 300 (seconds)
icmp ---- aging-time value is 60 (seconds)
pptp ---- aging-time value is 86400 (seconds)
dns ---- aging-time value is 60 (seconds)
tcp-fin ---- aging-time value is 60 (seconds)
tcp-syn ---- aging-time value is 60 (seconds)
ftp-ctrl ---- aging-time value is 7200 (seconds)
ftp-data ---- aging-time value is 300 (seconds)
表1-3 display nat all命令显示信息描述表
字段 |
描述 |
NAT address-group information |
NAT地址池信息 |
There are currently 1 nat address-group(s) |
存在1条NAT地址池信息,具体显示信息字段的描述请参见命令display nat address-group |
NAT aging-time value information |
地址转换连接的有效时间信息,具体显示信息字段的描述请参见命令display nat aging-time |
【命令】
display nat bound [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat bound命令用来显示地址转换关联的配置信息。
相关配置可参考命令nat outbound。
【举例】
# 显示配置的地址转换的信息。
<Sysname> display nat bound
NAT bound information:
There are currently 1 nat bound rule(s)
Interface:Vlan-interface10
Direction: outbound ACL: 2000 Address-group: 1 NO-PAT: Y
表1-4 display nat bound命令显示信息描述表
字段 |
描述 |
NAT bound information: |
显示内部地址和外部地址的转换信息 |
There are currently 1 nat bound rule(s) |
存在1条地址转换关联信息 |
Interface |
地址转换关联的接口 |
Direction |
地址转换方向,outbound表示出方向 |
ACL |
地址池关联的ACL规则 |
Address-group |
地址池索引,Easy IP方式下该项无内容 |
NO-PAT |
是否支持NO-PAT方式 |
【命令】
display nat log [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat log命令用来显示NAT日志的配置信息。
相关配置可参考命令nat log enable、nat log flow-active和nat log flow-begin。
【举例】
# 显示配置的日志信息。
<Sysname> display nat log
NAT log information:
log enable : enable acl 2000
flow-begin : enable
flow-active : 10(minutes)
表1-5 display nat log命令显示信息描述表
字段 |
描述 |
NAT log information : |
显示地址转换的日志信息 |
log enable : enable acl 2000 |
日志使能信息,对匹配ACL 2000的数据流做日志记录 |
flow-begin : enable |
新建流的使能情况 |
flow-active : 10(minutes) |
活跃流的间隔时间为10分钟 |
【命令】
display nat server [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat server命令用来显示内部服务器的信息。
相关配置可参考命令nat server。
【举例】
# 显示内部服务器的信息。
<Sysname> display nat server
NAT server in private network information:
There are currently 2 internal server(s)
Interface: Vlan-interface1, Protocol: 6(tcp)
Global: 202.38.1.1 : 21(ftp)
Local : 10.110.10.3 : 21(ftp)
Interface: Vlan-interface1, Protocol: 6(tcp)
Global: 202.38.1.1 : 80(www)
Local : 10.110.10.1 : 80(www)
表1-6 display nat server命令显示信息描述表
字段 |
描述 |
NAT Server in private network information |
显示内部服务器信息 |
There are currently 2 internal server(s) |
存在2条内部服务器信息 |
Interface |
内部服务器所在接口 |
Protocol |
内部服务器的协议类型 |
Global |
显示服务器外网地址/端口号(知名端口类型) |
Local |
显示服务器内网地址/端口号(知名端口类型) |
【命令】
分布式设备:
display nat session [ vpn-instance vpn-instance-name ] slot slot-number [ source { global global-address | inside inside-address } ] [ destination dst-address ] [ | { begin | exclude | include } regular-expression ]
分布式IRF设备:
display nat session [ vpn-instance vpn-instance-name ] chassis chassis-number slot slot-number [ source { global global-address | inside inside-address } ] [ destination dst-address ] [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
vpn-instance vpn-instance-name:显示指定VPN中的NAT转换表项,vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示显示非VPN中的NAT转换表项。
slot slot-number:显示指定单板上的NAT转换表项,slot-number表示单板所在的槽位号。(分布式设备)
chassis chassis-number slot slot-number:显示指定成员设备上指定单板的NAT转换表项,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
source global global-address:显示指定外部源地址的NAT转换表项。
source inside inside-address:显示指定内部源地址的NAT转换表项。
destination dst-address:显示指定目的IP地址的NAT转换表项。
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat session命令用来显示当前的NAT转换表项信息。
【举例】
# 显示当前的NAT转换表项信息。
<Sysname> display nat session slot 0
There are currently 1 NAT session:
Protocol GlobalAddr Port InsideAddr Port DestAddr Port
TCP 162.105.26.51 12288 200.0.0.28 512 162.105.26.246 512
status:11 TTL:00:00:10 Left:00:00:02 VPN:---
表1-7 display nat session命令显示信息描述表
字段 |
描述 |
Protocol |
协议类型 |
GlobalAddr Port |
转换后的外部源地址和源端口 |
InsideAddr Port |
转换前的内部源地址和源端口 |
DestAddr Port |
目的地址和端口 |
VPN |
转换表项所属MPLS L3VPN的VPN实例名称 |
status |
表项的状态特征 |
TTL |
表项的生命周期,单位为小时:分钟:秒钟 |
Left |
表项的剩余的存活时间,单位为小时:分钟:秒钟 |
【命令】
display nat static [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display nat static命令用来显示系统配置的静态转换配置和接口静态使能配置。
相关配置可参考命令nat static和nat outbound static。
【举例】
# 显示静态配置和接口静态使能配置的信息。
<Sysname> display nat static
NAT static information:
There are currently 2 NAT static configuration(s)
net-to-net:
Local-IP-Start : 192.168.1.1 Local-IP-End : 192.168.1.255
Global-IP : 2.2.2.0
Netmask : 255.255.255.0
Local-VPN : ---
single static:
Local-IP : 10.110.10.8
Global-IP : 202.38.1.100
Local-VPN : ---
NAT static enabled information:
Interface Direction
Vlan-interface1 out-static
表1-8 display nat static命令显示信息描述表
字段 |
描述 |
NAT static information |
静态地址转换的配置信息 |
net-to-net |
表示网段到网段静态地址转换映射 |
Local-IP-Start |
内网IP地址范围的起始地址 |
Local-IP-End |
内网IP地址范围的结束地址 |
single static |
表示一对一静态地址转换映射 |
Local-IP |
内网IP地址 |
Global-IP |
外网IP地址 |
Netmask |
网段映射的网络掩码 |
Local-VPN |
内网IP地址所属的MPLS L3VPN的VPN实例名称 |
NAT static enabled information |
静态地址转换在接口的使能信息 |
Interface |
静态地址转换配置的接口 |
Direction |
静态地址转换配置的方向 |
【命令】
分布式设备:
display userlog export slot slot-number [ | { begin | exclude | include } regular-expression ]
分布式IRF设备:
display userlog export chassis chassis-number slot slot-number [ | { begin | exclude | include } regular-expression ]
【视图】
任意视图
【缺省级别】
1:监控级
【参数】
slot-number:显示指定单板上的NAT日志信息,slot-number表示单板所在的槽位号。(分布式设备)
chassis chassis-number slot slot-number:显示指定成员设备上指定单板的NAT日志信息,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。
begin:从包含指定正则表达式的行开始显示。
exclude:只显示不包含指定正则表达式的行。
include:只显示包含指定正则表达式的行。
regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。
【描述】
display userlog export命令用来查看输出到日志服务器的日志的配置和统计信息。
需要注意的是,该命令可用于查看输出到日志服务器的所有类型的日志信息,本文中该命令仅用于查看NAT日志的信息。
相关配置可参考命令reset userlog nat export。
【举例】
# 查看设备0号槽位的NAT日志的配置和统计信息。
<Sysname> display userlog export slot 0
nat:
Export Version 1 logs to log server : enabled
Source address of exported logs : 5.5.5.6
Address of log server : 1.1.1.2 (port: 2000)
Total Logs/UDP packets exported : 137/85
Logs in buffer : 0
表1-9 display userlog export显示信息描述表
字段 |
描述 |
nat |
表示显示的是NAT日志信息 |
No userlog export is enabled |
不能输出日志,出现该提示信息原因有: l 日志功能未启用, l 启用了日志功能,但配置为输出到信息中心; l 启用了日志功能,但没有配置日志服务器的IP地址及UDP端口号 |
Export Version 1 logs to log server |
将版本号为1的日志报文发送给日志服务器 |
Source address of exported logs |
日志报文的源IP地址(如果没有配置源IP地址则不显示该字段) |
Address of log server |
日志服务器的地址,包括IP地址和端口 |
Total Logs/UDP packets exported |
发送的日志总数和包含日志的UDP报文总数(此处的UDP报文是指承载了日志的UDP报文,一个UDP报文可以承载多条日志) |
Logs in buffer |
缓存中的NAT日志总数 |
【命令】
nat address-group group-number [ start-address end-address ]
undo nat address-group group-number [ start-address end-address ]
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
group-number:地址池索引号。
end-address:地址池的结束IP地址。end-address必须大于或等于start-address,如果start-address和end-address相同,则表示只有一个地址。
【描述】
nat address-group命令用来配置NAT转换使用的地址池。若本命令中指定了开始IP地址和结束IP地址,则表示要定义一个地址池;若不指定开始IP地址和结束IP地址,则表示要创建并进入一个地址组视图。undo nat address-group命令用来删除配置的地址池或者地址组。
一个地址池是一些连续的IP地址的集合,而一个地址组是多个地址组成员的集合,各个地址组成员(通过address命令配置)所定义的IP地址范围之间是可以是不连续的,因此一个地址组中允许存在多个不连续的IP地址段。当对需要到达外部网络的数据报文进行地址转换时,其源地址将被转换为地址池或地址组成员中的某个地址。
需要注意的是:
l 已经和某个访问控制列表关联的地址池或地址组,在进行地址转换时是不允许删除的。
l 不同地址池中定义的IP地址段之间不允许重叠。
l 地址组成员的IP地址段不能与其它地址池或者地址组成员的IP地址段重叠。
l 如果设备仅提供Easy IP功能,则不需要配置NAT地址池或地址组,直接使用接口地址作为转换后的IP地址。
相关配置可参考命令display nat address-group和address。
【举例】
# 配置一个从202.110.10.10到202.110.10.15的地址池,地址池索引号为1。
<Sysname> system-view
[Sysname] nat address-group 1 202.110.10.10 202.110.10.15
# 创建地址组2,并在该地址组视图下添加一个从10.1.1.1到10.1.1.15的地址组成员。
<Sysname> system-view
[Sysname] nat address-group 2
[Sysname-nat-address-group-2] address 10.1.1.1 10.1.1.15
【命令】
nat aging-time { dns | ftp-ctrl | ftp-data | icmp | no-pat | pptp | tcp | tcp-fin | tcp-syn | udp } seconds
undo nat aging-time { dns | ftp-ctrl | ftp-data | icmp | no-pat | pptp | tcp | tcp-fin | tcp-syn | udp } [ seconds ]
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
dns:设置DNS协议地址转换表项的有效时间。
ftp-ctrl:设置FTP协议控制链路地址转换表项的有效时间。
ftp-data:设置FTP协议数据链路地址转换表项的有效时间。
icmp:设置ICMP协议地址转换表项的有效时间。
no-pat:设置NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间。
pptp:设置PPTP协议地址转换表项的有效时间。
tcp:设置TCP协议地址转换表项的有效时间。
tcp-fin:设置TCP协议fin或rst连接地址转换表项的有效时间。
tcp-syn:设置TCP协议syn连接地址转换表项的有效时间。
udp:设置UDP协议地址转换表项的有效时间。
seconds:地址转换表项的有效时间,取值范围为10~86400,单位为秒。
【描述】
nat aging-time命令用来设置地址转换表项的有效时间。undo nat aging-time用来将指定协议类型的地址转换表项的有效时间恢复为缺省情况。
缺省情况下,各协议的地址转换表项的有效时间如下:
l DNS协议地址转换表项的有效时间为10秒;
l FTP协议控制链路(ftp-ctrl)地址转换表项的有效时间为300秒;
l FTP协议数据链路(ftp-data)地址转换表项的有效时间为300秒;
l ICMP地址转换表项的有效时间为10秒;
l NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间为240秒;
l PPTP协议地址转换表项的有效时间为300秒;
l TCP地址转换表项的有效时间为300秒;
l TCP协议fin、rst连接地址转换表项的有效时间为10秒;
l TCP协议syn连接地址转换表项的有效时间为10秒;
l UDP地址转换表项的有效时间为240秒。
由于地址转换表项不能永久存在,该命令支持用户为TCP、UDP、ICMP等协议分别设置地址转换表项的有效时间,若在设定的有效时间内未使用该表项,该表项将失效。举例来说,某个IP地址为10.110.10.10的用户利用端口2000进行了一次对外TCP连接,地址转换为它分配了相应的地址和端口,但是若在一定时间内这个TCP连接一直未被使用,系统将删除此连接。
在使用NO-PAT方式的地址转换的情况下,若私网用户较多,且用户上下线频繁,则可通过适当减小NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间,来加速地址池中被使用的公网IP地址的释放速度,使公网IP地址尽快得空闲出来供其他用户使用。
相关配置可参考命令display nat aging-time。
【举例】
# 设定TCP协议的地址转换表项的有效时间为240秒。
<Sysname> system-view
[Sysname] nat aging-time tcp 240
【命令】
nat alg { all | dns | ftp | ils | nbt | pptp | tftp }
undo nat alg { all | dns | ftp | ils | nbt | pptp | tftp }
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
all:所有支持的特殊协议。
dns:支持DNS协议。
ftp:支持FTP协议。
ils:支持ILS协议。
nbt:支持NBT协议。
pptp:支持PPTP协议。
tftp:支持TFTP协议。
【描述】
nat alg命令用来使能指定协议类型的地址转换应用网关功能。undo nat alg命令用来禁用地址转换应用网关功能。
缺省情况下,地址转换应用网关功能处于使能状态。
【举例】
# 使能支持FTP应用的地址转换应用网关功能。
<Sysname> system-view
[Sysname] nat alg ftp
【命令】
nat log enable [ acl acl-number ]
undo nat log enable [ acl acl-number ]
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
acl acl-number:对匹配ACL的数据流使能NAT日志功能。acl-number的取值范围为2000~3999。不输入该参数时,对所有数据流使能NAT日志功能。
【描述】
nat log enable命令用来使能NAT日志功能。undo nat log enable命令用来取消NAT日志功能。
缺省情况下,NAT日志功能处于关闭状态。
【举例】
# 使能NAT日志功能。
<Sysname> system-view
[Sysname] nat log enable acl 2001
【命令】
nat log flow-active minutes
undo nat log flow-active [ minutes ]
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
minutes:指定生成NAT活跃流日志的时间间隔。minutes的取值范围为10~120,单位为分钟。设备每经过指定的时间间隔,就对活跃流记录一次NAT日志。
【描述】
nat log flow-active命令用来使能NAT活跃流的日志功能,并设置生成活跃流日志的时间间隔。undo nat log flow-active命令用来关闭活跃流的NAT日志功能。
缺省情况下,NAT活跃流的日志功能处于关闭状态。
如果仅仅在创建、删除NAT连接时进行日志记录,由于有些连接可能长时间处于活动状态,设备一直不能对它进行记录日志。通过配置本命令,设备可以对这种长时间没有断开的连接进行定时记录。
【举例】
# 使能NAT活跃流的日志功能,并设置生成活跃流日志的时间间隔为10分钟。
<Sysname> system-view
[Sysname] nat log flow-active 10
【命令】
nat log flow-begin
undo nat log flow-begin
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
无
【描述】
nat log flow-begin命令用来设置在创建NAT连接时生成NAT日志。undo nat log flow-begin命令用来恢复缺省情况。
缺省情况下,创建NAT连接时不生成NAT日志。
【举例】
# 设置在创建NAT连接时生成NAT日志。
<Sysname> system-view
[Sysname] nat log flow-begin
【命令】
nat outbound acl-number [ address-group group-number [ no-pat ] ]
undo nat outbound acl-number [ address-group group-number [ no-pat ] ]
【视图】
接口视图
【缺省级别】
2:系统级
【参数】
acl-number:访问控制列表号,取值范围为2000~3999。
address-group group-number:指定地址转换使用的地址池。group-number为一个已经定义的地址池的编号。如果未指定本参数,则表示直接使用该接口的IP地址作为转换后的地址,即实现Easy IP功能。
no-pat:表示不使用TCP/UDP端口信息实现多对多地址转换。如果未指定本参数,则表示使用TCP/UDP端口信息实现多对一地址转换。
【描述】
nat outbound命令用来配置出接口地址关联。undo nat outbound命令用来取消关联。
如果不指定地址池,则直接使用该接口的IP地址作为转换后的地址,即实现Easy IP功能。
需要注意的是:
l 可以在同一个接口上配置不同的地址转换关联。使用对应的undo命令可以将相应的地址转换关联删除。该接口一般情况下和外部网络连接,是内部网络的出口。
l 执行undo nat outbound命令后,nat outbound命令生成的NAT地址映射表项不会被自动删除,这些表项需等待5~10分钟后自动老化。在此期间,使用该NAT地址映射表项的用户不能访问外部网络,但不使用该映射表项的用户不受影响。用户也可以使用reset nat session命令立即清除所有的NAT地址映射表项,但该命令会导致NAT业务中断,所有用户必须重新发起连接。用户可根据自身网络需求,选择适当的处理方式。
l 当ACL规则变为无效时,新连接的NAT会话表项将无法建立,但是已经建立的连接仍然可以继续通信。
l 在一个接口下,一个ACL只能与一个地址池绑定;但一个地址池可以与多个ACL绑定。
l NAPT方式下不支持外网主动向内网发起连接。
【举例】
# 允许10.110.10.0/24网段的主机进行地址转换,选用202.110.10.10到202.110.10.12之间的地址作为转换后的地址。假设Vlan-interface1接口连接外部网络。
<Sysname> system-view
[Sysname] acl number 2001
[Sysname-acl-basic-2001] rule permit source 10.110.10.0 0.0.0.255
[Sysname-acl-basic-2001] rule deny
[Sysname-acl-basic-2001] quit
# 配置地址池。
[Sysname] nat address-group 1 202.110.10.10 202.110.10.12
# 允许地址转换,使用地址池1中的地址进行地址转换,在转换的时候使用TCP/UDP的端口信息。
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat outbound 2001 address-group 1
# 如果不使用TCP/UDP的端口信息进行地址转换,可以使用如下配置。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat outbound 2001 address-group 1 no-pat
# 如果直接使用Vlan-interface1接口的IP地址,可以使用如下的配置。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat outbound 2001
【命令】
nat outbound static
undo nat outbound static
【视图】
接口视图
【缺省级别】
2:系统级
【参数】
无
【描述】
nat outbound static命令用来使配置的NAT静态转换在接口上生效。undo nat outbound static命令用来取消接口上已经配置的NAT静态转换。
相关配置可参考命令display nat static。
【举例】
# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的一对一转换,并且在Vlan-interface1接口上使能该地址转换。
<Sysname> system-view
[Sysname] nat static 192.168.1.1 2.2.2.2
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat outbound static
【命令】
nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } global-port1 global-port2 inside local-address1 local-address2 local-port [ vpn-instance local-name ]
undo nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } global-port1 global-port2 inside local-address1 local-address2 local-port [ vpn-instance local-name ]
nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } [ global-port ] inside local-address [ local-port ] [ vpn-instance local-name ]
undo nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } [ global-port ] inside local-address [ local-port ] [ vpn-instance local-name ]
【视图】
接口视图
【缺省级别】
2:系统级
【参数】
protocol pro-type:指定支持的协议类型。pro-type表示了具体的协议类型,可以支持TCP、UDP和ICMP协议。当指定为ICMP时,配置的内部服务器不带端口参数。
global-address:提供给外部访问的合法IP地址。
interface:表示使用指定接口的地址作为内部服务器的外网地址,即实现Easy IP方式的内部服务器。
interface-type interface-number:指定接口类型和接口编号,目前只支持Loopback接口,且Loopback接口必须存在,否则为非法配置。
current-interface:使用当前接口地址作为内部服务器的外网地址。
global-port1、global-port2:通过两个端口指定一个端口范围,和内部主机的IP地址范围构成一种对应关系。global-port2必须大于global-port1。
local-address1、local-address2:定义一组连续的地址范围,和前面定义的端口范围构成一一对应的关系。local-address2必须大于local-address1。该地址范围的数量必须和global-port1、global-port2定义的端口数量相同。
local-port:内部服务器提供的服务端口号,取值范围为0~65535(FTP数据端口号20除外)。
l 常用的端口号可以用关键字代替。如:Web服务端口为80,可以用www代替。FTP服务端口号为21,可以用ftp代替。
l 取值为0,表示任何类型的服务都提供,可以用any关键字代替,相当于global-address和local-address之间有一个静态的连接。
global-port:提供给外部访问的服务端口号,取值范围为0~65535,缺省值及关键字的使用和local-port的规定一致。
local-address:服务器在内部局域网的IP地址。
vpn-instance local-name:内部服务器所属的VPN。local-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示内部服务器不属于任何一个VPN。
【描述】
nat server命令用来定义一个内部服务器的映射表,用户可以通过global-address定义的地址和global-port定义的端口来访问地址和端口分别为local-address和local-port的内部服务器。undo nat server命令用来取消映射表。
需要注意的是:
l global-port和local-port只要有一个定义为any,则另一个要么不定义,要么定义为any,否则是非法配置。
l 通过该命令可以配置一些内部网络提供给外部使用的服务器,例如Web服务器、FTP服务器、Telnet服务器、POP3服务器、DNS服务器等。内部服务器可以位于普通的内网内,也可以位于MPLS VPN实例内。
l 每条命令可以配置的内部服务器数目为global-port2与global-port1的差值,即配置多少个端口就对应多少个内部服务器。一个接口下最多可以配置4096个内部服务器。系统中最多可以配置1024个内部服务器地址转换命令。
l 配置该命令的接口一般情况下和ISP连接,是内部网络的出口。
l 目前设备支持引用接口地址作为内部服务器的外网地址(Easy IP方式)。如果配置关键字current-interface表示外网地址使用的是当前接口的当前主地址;如果指定具体的接口,只能指定Loopback接口,外网地址使用的是配置的Loopback接口的当前主地址,且该Loopback接口必须是已存在的。
l 由于Easy IP方式的内部服务器使用了当前接口的IP地址作为它的外网地址,因此强烈建议在当前接口上配置了Easy IP方式的内部服务器之后,其它内部服务器不要配置该接口的IP地址作为它的外网地址,反之亦然。
相关配置可参考命令display nat server。
当pro-type不是udp(协议号为17)或tcp(协议号为6)时,用户只能设置内部IP地址与外部IP地址的一一对应的关系,无法设置端口号的映射。
【举例】
# 指定局域网内部的Web服务器的IP地址是10.110.10.10,MPLS VPN vrf10内部的FTP服务器的IP地址是10.110.10.11,希望外部通过http://202.110.10.10:8080可以访问Web服务器,通过ftp://202.110.10.10可以访问FTP服务器。假设Vlan-interface1和外部网络连接。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 www
[Sysname-Vlan-interface1] quit
[Sysname] ip vpn-instance vrf10
[Sysname-vpn-instance] route-distinguisher 100:001
[Sysname-vpn-instance] vpn-target 100:1 export-extcommunity
[Sysname-vpn-instance] vpn-target 100:1 import-extcommunity
[Sysname-vpn-instance] quit
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 21 inside 10.110.10.11 vpn-instance vrf10
# 指定一个VPN vrf10内部的主机10.110.10.12,希望外部网络的主机可以利用ping 202.110.10.11命令ping通它。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat server protocol icmp global 202.110.10.11 inside 10.110.10.12 vpn-instance vrf10
# 指定一个外部地址202.110.10.10,从端口1001~1100分别映射MPLS VPN vrf10内主机10.110.10.1~10.110.10.100的telnet服务。202.110.10.10:1001访问10.110.10.1,202.110.10:1002访问10.110.10.2,依此类推。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 1001 1100 inside 10.110.10.1 10.110.10.100 telnet vpn-instance vrf10
# 用以下命令可以删除Web服务器。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] undo nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 www
# 用以下命令可以删除VPN vrf10内部的FTP服务器。
<Sysname> system-view
[Sysname] interface Vlan-interface 1
[Sysname-Vlan-interface1] undo nat server protocol tcp global 202.110.10.11 21 inside 10.110.10.11 ftp vpn-instance vrf10
【命令】
nat static local-ip [ vpn-instance local-name ] global-ip
undo nat static local-ip [ vpn-instance local-name ] global-ip
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
local-ip:内网IP地址。
vpn-instance local-name:内网IP地址所属的VPN名。local-name表示VPN名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示内网IP地址不属于任何一个VPN。
global-ip:外网IP地址。
【描述】
nat static命令用于配置一对一静态地址转换映射。undo nat static命令用来取消一对一静态地址转换映射。
【举例】
# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的静态地址转换。
<Sysname> system-view
[Sysname] nat static 192.168.1.1 2.2.2.2
【命令】
nat static net-to-net local-start-address local-end-address global global-network { mask-length | mask }
undo nat static net-to-net local-start-address local-end-address global global-network { mask-length | mask }
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
local-start-address local-end-address:内网IP地址范围,所包含的地址数目不能超过255。
local-network:外网网段地址。
global-network:外网网络地址。
mask-length:网络掩码长度。
mask:网络掩码。
【描述】
nat static net-to-net命令用于配置网段到网段的静态地址转换映射。undo nat static net-to-net命令用来取消网段到网段的静态地址转换映射。
【举例】
# 配置内网网段192.168.1.0/24到外网网段2.2.2.0/24的双向静态地址转换。
<Sysname> system-view
[Sysname] nat static net-to-net 192.168.1.1 192.168.1.255 global 2.2.2.0 24
【命令】
reset nat session slot slot-number
分布式IRF设备:
reset nat session chassis chassis-number slot slot-number
【视图】
用户视图
【缺省级别】
2:系统级
【参数】
slot-number:清除指定单板上的地址转换映射表,slot-number表示单板所在的槽位号。(分布式设备)。
chassis chassis-number slot slot-number:清除指定成员设备上指定单板的地址转换映射表,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
【描述】
reset nat session命令用来清除地址转换映射表,释放动态分配的用于存放地址映射表的内存空间。
【举例】
# 在分布式设备上,清除2号单板的地址转换映射表。
<Sysname> reset nat session slot 2
# 在分布式IRF设备上,清除1号成员设备的2号单板的地址转换映射表。
<Sysname> reset nat session chassis 1 slot 2
【命令】
分布式设备:
reset userlog nat export slot slot-number
分布式IRF设备:
reset userlog nat export chassis chassis-number slot slot-number
【视图】
用户视图
【缺省级别】
2:系统级
【参数】
slot-number:清除指定单板上的NAT日志统计信息,slot-number表示单板所在的槽位号。(分布式设备)
chassis chassis-number slot slot-number:清除指定成员设备上指定单板的NAT日志统计信息,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
【描述】
reset userlog nat export命令用来清除NAT日志的统计信息。
当设备启动NAT日志功能后,系统会定时对NAT日志进行统计。
相关配置可参考命令display userlog export。
【举例】
# 在分布式设备上,清除2号单板的NAT日志的统计信息。
<Sysname> reset userlog nat export slot 2
# 在分布式IRF设备上,清除1号成员设备的2号单板的NAT日志的统计信息。
<Sysname> reset userlog nat export chassis 1 slot 2
【命令】
分布式设备:
reset userlog nat logbuffer slot slot-number
分布式IRF设备:
reset userlog nat logbuffer chassis chassis-number slot slot-number
【视图】
用户视图
【缺省级别】
2:系统级
【参数】
slot-number:清除指定单板上的NAT日志缓存中的记录,slot-number表示单板所在的槽位号。(分布式设备)
chassis chassis-number slot slot-number:清除指定成员设备上指定单板的NAT日志缓存中的记录,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
【描述】
reset userlog nat logbuffer命令用来清除NAT日志缓存中的记录。
清除NAT日志缓存中的记录会造成NAT日志信息的丢失,正常情况下,建议不要进行清除操作。
【举例】
# 在分布式设备上,清除2号单板上缓存区中的NAT日志。
<Sysname> reset userlog nat logbuffer slot 2
# 在分布式IRF设备上,清除1号成员设备2号单板上缓存区中的NAT日志。
<Sysname> reset userlog nat logbuffer chassis 1 slot 2
【命令】
分布式设备:
userlog nat export slot slot-number host { ipv4-address | ipv6 ipv6-address } udp-port
undo userlog nat export slot slot-number host { ipv4-address | ipv6 ipv6-address }
分布式IRF设备:
userlog nat export chassis chassis-number slot slot-number host { ipv4-address | ipv6 ipv6-address } udp-port
undo userlog nat export chassis chassis-number slot slot-number host { ipv4-address | ipv6 ipv6-address }
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
slot slot-number:指定生成NAT日志的单板,slot-number表示单板所在的槽位号。(分布式设备)
chassis chassis-number slot slot-number:指定生成NAT日志的成员设备上的指定单板,chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(分布式IRF设备)
ipv4-address:NAT日志服务器的IPv4地址,取值范围是合法的单播IP地址,且不能是环回地址。
ipv6 ipv6-address:NAT日志服务器的IPv6地址,取值范围是合法的单播IPv6地址。
udp-port:NAT日志服务器的UDP端口号,取值范围为0~65535。
【描述】
userlog nat export host命令用来配置接收NAT日志报文的NAT日志服务器的IP地址和UDP端口号。undo userlog nat export host命令用来恢复缺省情况。
缺省情况下,没有配置NAT日志服务器的IP地址和UDP端口号。
在分布式设备上,每个接口板可以单独配置NAT日志服务器,起到分担NAT日志服务器负载的作用,每个接口板为输出的报文进行独立编号(报文头的序列号)。
在分布式IRF设备上,每个成员设备的不同接口板可以单独配置NAT日志服务器,起到分担NAT日志服务器负载的作用,每个接口板为输出的报文进行独立编号(报文头的序列号)。
需要注意的是:
l 如果以UDP报文输出NAT日志,则必须配置NAT日志服务器,否则NAT日志不能正常输出。
l 如果指定的NAT日志服务器所在的VPN并不存在,则NAT日志报文将会发送失败。
l 为了避免与通用的UDP端口号冲突,建议使用1024以上的UDP端口号。
相关配置可参考命令userlog nat export source-ip。
【举例】
# 在分布式设备上,将2号接口板上的NAT日志信息发送给NAT日志服务器(NAT日志服务器的地址为169.254.1.1、端口号为2000)。
<Sysname> system-view
[Sysname] userlog nat export slot 2 host 169.254.1.1 2000
# 在分布式IRF设备上,将1号成员设备的2号接口板上的NAT日志信息发送给NAT日志服务器(NAT日志服务器的地址为169.254.1.1、端口号为2000)。
<Sysname> system-view
[Sysname] userlog nat export chassis 1 slot 2 host 169.254.1.1 2000
【命令】
userlog nat export source-ip ip-address
undo userlog nat export source-ip
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
ip-address:UDP报文的源IP地址。
【描述】
userlog nat export source-ip命令用来配置承载NAT日志的UDP报文的源IP地址。undo userlog nat export source-ip命令用来恢复缺省情况。
缺省情况下,承载NAT日志的UDP报文的源IP地址为发送该报文的接口的IP地址。
相关配置可参考命令userlog nat export host。
【举例】
# 将169.254.1.2配置为承载NAT日志的UDP报文的源IP地址。
<Sysname> system-view
[Sysname] userlog nat export source-ip 169.254.1.2
【命令】
userlog nat export version version-number
undo userlog nat export version
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
version-number:NAT日志报文的版本号,取值范围为1(目前系统仅支持版本1)。
【描述】
userlog nat export version命令用来配置NAT日志报文的版本号。undo userlog nat export version命令用来恢复缺省情况。
缺省情况下,NAT日志报文的版本号为1。
【举例】
# 将NAT日志报文版本号设为版本1。
<Sysname> system-view
[Sysname] userlog nat export version 1
【命令】
userlog nat syslog
undo userlog nat syslog
【视图】
系统视图
【缺省级别】
2:系统级
【参数】
无
【描述】
userlog nat syslog命令用来配置NAT日志输出到信息中心。undo userlog nat syslog命令用来恢复缺省情况。
缺省情况下,NAT日志输出到NAT日志服务器。
需要注意的是,如果将NAT日志输出方式设置为输出到信息中心,系统产生的NAT日志可能会占用较大的内存空间,因此建议该方式用于日志量比较小的情况。
【举例】
# 设置NAT日志输出到信息中心。
<Sysname> system-view
[Sysname] userlog nat syslog
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!