目  录

1 NAT配置命令

1.1 NAT配置命令

1.1.1 address

1.1.2 display nat address-group

1.1.3 display nat aging-time

1.1.4 display nat all

1.1.5 display nat bound

1.1.6 display nat log

1.1.7 display nat server

1.1.8 display nat session

1.1.9 display nat static

1.1.10 display userlog export

1.1.11 nat address-group

1.1.12 nat aging-time

1.1.13 nat alg

1.1.14 nat log enable

1.1.15 nat log flow-active

1.1.16 nat log flow-begin

1.1.17 nat outbound

1.1.18 nat outbound static

1.1.19 nat server

1.1.20 nat static

1.1.21 nat static net-to-net

1.1.22 reset nat session

1.1.23 reset userlog nat export

1.1.24 reset userlog nat logbuffer

1.1.25 userlog nat export host

1.1.26 userlog nat export source-ip

1.1.27 userlog nat export version

1.1.28 userlog nat syslog

 

1 NAT配置命令

1.1  NAT配置命令

1.1.1  address

【命令】

address start-address end-address

undo address start-address end-address

【视图】

地址组视图

【缺省级别】

2：系统级

【参数】

start-address：地址组成员的开始IP地址。

end-address：地址组成员的结束IP地址。end-address必须大于或等于start-address。如果start-address和end-address相同，表示只有一个地址。

【描述】

address命令用来添加一个地址组成员，各地址组成员之间的IP地址范围不要求是连续的。undo address命令用来删除一个地址组成员。

需要注意的是：

l              若地址组成员中定义的IP地址正在被使用或者该地址组已经与某个访问控制列表关联，则不允许在该地址组中添加或删除地址组成员。

l              一个地址组中最多允许添加100个地址组成员。

l              地址组成员的IP地址段不能与其它地址池或者地址组成员的IP地址段重叠。

相关配置可参考命令display nat address-group和nat address-group。

【举例】

# 创建地址组2，并在该地址组视图下添加两个地址组成员，一个指定从10.1.1.1到10.1.1.15的地址段，一个指定从10.1.1.20到10.1.1.30的地址段。

<Sysname> system-view

[Sysname] nat address-group 2

[Sysname-nat-address-group-2] address 10.1.1.1 10.1.1.15

[Sysname-nat-address-group-2] address 10.1.1.20 10.1.1.30

1.1.2  display nat address-group

【命令】

display nat address-group [ group-number ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

group-number：表示地址池索引号。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat address-group命令用来显示NAT地址池的信息。

相关配置可参考命令nat address-group。

【举例】

# 显示NAT地址池的信息。

<Sysname> display nat address-group

NAT address-group information:

  There are currently 2 nat address-group(s)

  1     : from 202.110.10.10     to 202.110.10.15

  2     : from 202.110.10.20     to 202.110.10.25

# 显示索引号为1的NAT地址池信息。

<Sysname> display nat address-group 1

NAT address-group information:

  1     : from 202.110.10.10     to 202.110.10.15

表1-1 display nat address-group命令显示信息描述表

字段	描述
NAT address-group information	显示NAT地址池信息
There are currently 2 nat address-group(s)	存在两条NAT地址池信息
1 : from   202.110.10.10   to   202.110.10.15	1号地址池的IP地址范围为202.110.10.10到202.110.10.15

 

1.1.3  display nat aging-time

【命令】

display nat aging-time [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat aging-time命令用来显示地址转换表项的有效时间。

相关配置可参考命令nat aging-time。

【举例】

# 显示地址转换表项有效时间。

<Sysname> display nat aging-time

 

NAT aging-time value information:

       tcp ---- aging-time value is    300 (seconds)

       udp ---- aging-time value is    240 (seconds)

      icmp ---- aging-time value is     10 (seconds)

      pptp ---- aging-time value is    300 (seconds)

       dns ---- aging-time value is     10 (seconds)

   tcp-fin ---- aging-time value is     10 (seconds)

   tcp-syn ---- aging-time value is     10 (seconds)

  ftp-ctrl ---- aging-time value is    300 (seconds)

  ftp-data ---- aging-time value is    300 (seconds)

    no-pat ---- aging-time value is    240 (seconds)

表1-2 display nat aging-time命令显示信息描述表

字段	描述
NAT aging-time value information	显示各个协议的NAT转换有效时间
tcp	TCP协议地址转换有效时间
udp	UDP协议地址转换有效时间
icmp	ICMP协议地址转换有效时间
pptp	PPTP协议地址转换有效时间
dns	DNS协议地址转换有效时间
tcp-fin	TCP 协议fin 或 rst连接地址转换有效时间
tcp-syn	TCP 协议syn连接地址转换有效时间
ftp-ctrl	FTP协议控制链路地址转换有效时间
ftp-data	FTP协议数据链路地址转换有效时间
no-pat	NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间

 

1.1.4  display nat all

【命令】

display nat all [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat all命令用来显示所有的NAT配置信息。

【举例】

# 显示所有的关于地址转换的配置信息。

<Sysname> display nat all

NAT address-group information:

  There are currently 1 nat address-group(s)

  1     : from 202.110.10.10     to 202.110.10.15

 

NAT aging-time value information:

       tcp ---- aging-time value is  86400 (seconds)

       udp ---- aging-time value is    300 (seconds)

      icmp ---- aging-time value is     60 (seconds)

      pptp ---- aging-time value is  86400 (seconds)

       dns ---- aging-time value is     60 (seconds)

   tcp-fin ---- aging-time value is     60 (seconds)

   tcp-syn ---- aging-time value is     60 (seconds)

  ftp-ctrl ---- aging-time value is   7200 (seconds)

  ftp-data ---- aging-time value is    300 (seconds)

表1-3 display nat all命令显示信息描述表

字段	描述
NAT address-group information	NAT地址池信息
There are currently 1 nat address-group(s)	存在1条NAT地址池信息，具体显示信息字段的描述请参见命令display nat address-group
NAT aging-time value information	地址转换连接的有效时间信息，具体显示信息字段的描述请参见命令display nat aging-time

 

1.1.5  display nat bound

【命令】

display nat bound [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat bound命令用来显示地址转换关联的配置信息。

相关配置可参考命令nat outbound。

【举例】

# 显示配置的地址转换的信息。

<Sysname> display nat bound

NAT bound information:

  There are currently 1 nat bound rule(s)

  Interface:Vlan-interface10

    Direction: outbound  ACL: 2000  Address-group: 1  NO-PAT: Y

表1-4 display nat bound命令显示信息描述表

字段	描述
NAT bound information:	显示内部地址和外部地址的转换信息
There are currently 1 nat bound rule(s)	存在1条地址转换关联信息
Interface	地址转换关联的接口
Direction	地址转换方向，outbound表示出方向
ACL	地址池关联的ACL规则
Address-group	地址池索引，Easy IP方式下该项无内容
NO-PAT	是否支持NO-PAT方式

 

1.1.6  display nat log

【命令】

display nat log [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat log命令用来显示NAT日志的配置信息。

相关配置可参考命令nat log enable、nat log flow-active和nat log flow-begin。

【举例】

# 显示配置的日志信息。

<Sysname> display nat log

NAT log information:

  log enable  :  enable acl 2000

  flow-begin  :  enable

  flow-active :  10(minutes)

表1-5 display nat log命令显示信息描述表

字段	描述
NAT log information :	显示地址转换的日志信息
log enable  :  enable  acl  2000	日志使能信息，对匹配ACL 2000的数据流做日志记录
flow-begin  :  enable	新建流的使能情况
flow-active :  10(minutes)	活跃流的间隔时间为10分钟

 

1.1.7  display nat server

【命令】

display nat server [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat server命令用来显示内部服务器的信息。

相关配置可参考命令nat server。

【举例】

# 显示内部服务器的信息。

<Sysname> display nat server

NAT server in private network information:

  There are currently 2 internal server(s)

  Interface: Vlan-interface1, Protocol: 6(tcp)

    Global:      202.38.1.1 : 21(ftp)

    Local :     10.110.10.3 : 21(ftp)

 

  Interface: Vlan-interface1, Protocol: 6(tcp)

    Global:      202.38.1.1 : 80(www)

    Local :     10.110.10.1 : 80(www)      

表1-6 display nat server命令显示信息描述表

字段	描述
NAT Server in private network information	显示内部服务器信息
There are currently 2 internal server(s)	存在2条内部服务器信息
Interface	内部服务器所在接口
Protocol	内部服务器的协议类型
Global	显示服务器外网地址/端口号（知名端口类型）
Local	显示服务器内网地址/端口号（知名端口类型）

 

1.1.8  display nat session

【命令】

分布式设备：

display nat session [ vpn-instance vpn-instance-name ] slot slot-number [ source { global global-address | inside inside-address } ] [ destination dst-address ] [ | { begin | exclude | include } regular-expression ]

分布式IRF设备：

display nat session [ vpn-instance vpn-instance-name ] chassis chassis-number slot slot-number [ source { global global-address | inside inside-address } ] [ destination dst-address ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

vpn-instance vpn-instance-name：显示指定VPN中的NAT转换表项，vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示显示非VPN中的NAT转换表项。

slot slot-number：显示指定单板上的NAT转换表项，slot-number表示单板所在的槽位号。（分布式设备）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的NAT转换表项，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

source global global-address：显示指定外部源地址的NAT转换表项。

source inside inside-address：显示指定内部源地址的NAT转换表项。

destination dst-address：显示指定目的IP地址的NAT转换表项。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat session命令用来显示当前的NAT转换表项信息。

【举例】

# 显示当前的NAT转换表项信息。

<Sysname> display nat session slot 0

There are currently 1 NAT session:

 

Protocol      GlobalAddr  Port      InsideAddr  Port        DestAddr  Port

     TCP   162.105.26.51 12288      200.0.0.28   512  162.105.26.246   512

     status:11      TTL:00:00:10   Left:00:00:02   VPN:---

表1-7 display nat session命令显示信息描述表

字段	描述
Protocol	协议类型
GlobalAddr  Port	转换后的外部源地址和源端口
InsideAddr  Port	转换前的内部源地址和源端口
DestAddr  Port	目的地址和端口
VPN	转换表项所属MPLS L3VPN的VPN实例名称
status	表项的状态特征
TTL	表项的生命周期，单位为小时：分钟：秒钟
Left	表项的剩余的存活时间，单位为小时：分钟：秒钟

 

1.1.9  display nat static

【命令】

display nat static [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display nat static命令用来显示系统配置的静态转换配置和接口静态使能配置。

相关配置可参考命令nat static和nat outbound static。

【举例】

# 显示静态配置和接口静态使能配置的信息。

<Sysname> display nat static

NAT static information:

  There are currently 2 NAT static configuration(s)

  net-to-net:

    Local-IP-Start  : 192.168.1.1      Local-IP-End    : 192.168.1.255

    Global-IP       : 2.2.2.0

    Netmask         : 255.255.255.0

    Local-VPN       : ---

 

  single static:

    Local-IP        : 10.110.10.8

    Global-IP       : 202.38.1.100

    Local-VPN       : ---

 

NAT static enabled information:

  Interface                                      Direction

  Vlan-interface1                                out-static 

表1-8 display nat static命令显示信息描述表

字段	描述
NAT static information	静态地址转换的配置信息
net-to-net	表示网段到网段静态地址转换映射
Local-IP-Start	内网IP地址范围的起始地址
Local-IP-End	内网IP地址范围的结束地址
single static	表示一对一静态地址转换映射
Local-IP	内网IP地址
Global-IP	外网IP地址
Netmask	网段映射的网络掩码
Local-VPN	内网IP地址所属的MPLS L3VPN的VPN实例名称
NAT static enabled information	静态地址转换在接口的使能信息
Interface	静态地址转换配置的接口
Direction	静态地址转换配置的方向

 

1.1.10  display userlog export

【命令】

分布式设备：

display userlog export slot slot-number [ | { begin | exclude | include } regular-expression ]

分布式IRF设备：

display userlog export chassis chassis-number slot slot-number [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

slot-number：显示指定单板上的NAT日志信息，slot-number表示单板所在的槽位号。（分布式设备）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的NAT日志信息，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display userlog export命令用来查看输出到日志服务器的日志的配置和统计信息。

需要注意的是，该命令可用于查看输出到日志服务器的所有类型的日志信息，本文中该命令仅用于查看NAT日志的信息。

相关配置可参考命令reset userlog nat export。

【举例】

# 查看设备0号槽位的NAT日志的配置和统计信息。

<Sysname> display userlog export slot 0

nat:

   Export Version 1 logs to log server : enabled

   Source address of exported logs   : 5.5.5.6

   Address of log server             : 1.1.1.2 (port: 2000)

   Total Logs/UDP packets exported   : 137/85

   Logs in buffer                    : 0

表1-9 display userlog export显示信息描述表

字段	描述
nat	表示显示的是NAT日志信息
No userlog export is enabled	不能输出日志，出现该提示信息原因有： l      日志功能未启用， l      启用了日志功能，但配置为输出到信息中心； l      启用了日志功能，但没有配置日志服务器的IP地址及UDP端口号
Export Version 1 logs to log server	将版本号为1的日志报文发送给日志服务器
Source address of exported logs	日志报文的源IP地址（如果没有配置源IP地址则不显示该字段）
Address of log server	日志服务器的地址，包括IP地址和端口
Total Logs/UDP packets exported	发送的日志总数和包含日志的UDP报文总数（此处的UDP报文是指承载了日志的UDP报文，一个UDP报文可以承载多条日志）
Logs in buffer	缓存中的NAT日志总数

 

1.1.11  nat address-group

【命令】

nat address-group group-number [ start-address end-address ]

undo nat address-group group-number [ start-address end-address ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

group-number：地址池索引号。

start-address：地址池的开始IP地址。

end-address：地址池的结束IP地址。end-address必须大于或等于start-address，如果start-address和end-address相同，则表示只有一个地址。

【描述】

nat address-group命令用来配置NAT转换使用的地址池。若本命令中指定了开始IP地址和结束IP地址，则表示要定义一个地址池；若不指定开始IP地址和结束IP地址，则表示要创建并进入一个地址组视图。undo nat address-group命令用来删除配置的地址池或者地址组。

一个地址池是一些连续的IP地址的集合，而一个地址组是多个地址组成员的集合，各个地址组成员（通过address命令配置）所定义的IP地址范围之间是可以是不连续的，因此一个地址组中允许存在多个不连续的IP地址段。当对需要到达外部网络的数据报文进行地址转换时，其源地址将被转换为地址池或地址组成员中的某个地址。

需要注意的是：

l              已经和某个访问控制列表关联的地址池或地址组，在进行地址转换时是不允许删除的。

l              不同地址池中定义的IP地址段之间不允许重叠。

l              地址组成员的IP地址段不能与其它地址池或者地址组成员的IP地址段重叠。

l              如果设备仅提供Easy IP功能，则不需要配置NAT地址池或地址组，直接使用接口地址作为转换后的IP地址。

相关配置可参考命令display nat address-group和address。

【举例】

# 配置一个从202.110.10.10到202.110.10.15的地址池，地址池索引号为1。

<Sysname> system-view

[Sysname] nat address-group 1 202.110.10.10 202.110.10.15

# 创建地址组2，并在该地址组视图下添加一个从10.1.1.1到10.1.1.15的地址组成员。

<Sysname> system-view

[Sysname] nat address-group 2

[Sysname-nat-address-group-2] address 10.1.1.1 10.1.1.15

1.1.12  nat aging-time

【命令】

nat aging-time { dns | ftp-ctrl | ftp-data | icmp | no-pat | pptp | tcp | tcp-fin | tcp-syn | udp } seconds

undo nat aging-time { dns | ftp-ctrl | ftp-data | icmp | no-pat | pptp | tcp | tcp-fin | tcp-syn | udp } [ seconds ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

dns：设置DNS协议地址转换表项的有效时间。

ftp-ctrl：设置FTP协议控制链路地址转换表项的有效时间。

ftp-data：设置FTP协议数据链路地址转换表项的有效时间。

icmp：设置ICMP协议地址转换表项的有效时间。

no-pat：设置NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间。

pptp：设置PPTP协议地址转换表项的有效时间。

tcp：设置TCP协议地址转换表项的有效时间。

tcp-fin：设置TCP协议fin或rst连接地址转换表项的有效时间。

tcp-syn：设置TCP协议syn连接地址转换表项的有效时间。

udp：设置UDP协议地址转换表项的有效时间。

seconds：地址转换表项的有效时间，取值范围为10～86400，单位为秒。

【描述】

nat aging-time命令用来设置地址转换表项的有效时间。undo nat aging-time用来将指定协议类型的地址转换表项的有效时间恢复为缺省情况。

缺省情况下，各协议的地址转换表项的有效时间如下：

l              DNS协议地址转换表项的有效时间为10秒；

l              FTP协议控制链路（ftp-ctrl）地址转换表项的有效时间为300秒；

l              FTP协议数据链路（ftp-data）地址转换表项的有效时间为300秒；

l              ICMP地址转换表项的有效时间为10秒；

l              NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间为240秒；

l              PPTP协议地址转换表项的有效时间为300秒；

l              TCP地址转换表项的有效时间为300秒；

l              TCP协议fin、rst连接地址转换表项的有效时间为10秒；

l              TCP协议syn连接地址转换表项的有效时间为10秒；

l              UDP地址转换表项的有效时间为240秒。

由于地址转换表项不能永久存在，该命令支持用户为TCP、UDP、ICMP等协议分别设置地址转换表项的有效时间，若在设定的有效时间内未使用该表项，该表项将失效。举例来说，某个IP地址为10.110.10.10的用户利用端口2000进行了一次对外TCP连接，地址转换为它分配了相应的地址和端口，但是若在一定时间内这个TCP连接一直未被使用，系统将删除此连接。

在使用NO-PAT方式的地址转换的情况下，若私网用户较多，且用户上下线频繁，则可通过适当减小NO-PAT转换方式下的私网地址和公网地址转换表项的有效时间，来加速地址池中被使用的公网IP地址的释放速度，使公网IP地址尽快得空闲出来供其他用户使用。

相关配置可参考命令display nat aging-time。

【举例】

# 设定TCP协议的地址转换表项的有效时间为240秒。

<Sysname> system-view

[Sysname] nat aging-time tcp 240

1.1.13  nat alg

【命令】

nat alg { all | dns | ftp | ils | nbt | pptp | tftp }

undo nat alg { all | dns | ftp  | ils | nbt | pptp | tftp }

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

all：所有支持的特殊协议。

dns：支持DNS协议。

ftp：支持FTP协议。

ils：支持ILS协议。

nbt：支持NBT协议。

pptp：支持PPTP协议。

tftp：支持TFTP协议。

【描述】

nat alg命令用来使能指定协议类型的地址转换应用网关功能。undo nat alg命令用来禁用地址转换应用网关功能。

缺省情况下，地址转换应用网关功能处于使能状态。

【举例】

# 使能支持FTP应用的地址转换应用网关功能。

<Sysname> system-view

[Sysname] nat alg ftp

1.1.14  nat log enable

【命令】

nat log enable [ acl acl-number ]

undo nat log enable [ acl acl-number ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

acl acl-number：对匹配ACL的数据流使能NAT日志功能。acl-number的取值范围为2000～3999。不输入该参数时，对所有数据流使能NAT日志功能。

【描述】

nat log enable命令用来使能NAT日志功能。undo nat log enable命令用来取消NAT日志功能。

缺省情况下，NAT日志功能处于关闭状态。

【举例】

# 使能NAT日志功能。

<Sysname> system-view

[Sysname] nat log enable acl 2001

1.1.15  nat log flow-active

【命令】

nat log flow-active minutes

undo nat log flow-active [ minutes ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

minutes：指定生成NAT活跃流日志的时间间隔。minutes的取值范围为10～120，单位为分钟。设备每经过指定的时间间隔，就对活跃流记录一次NAT日志。

【描述】

nat log flow-active命令用来使能NAT活跃流的日志功能，并设置生成活跃流日志的时间间隔。undo nat log flow-active命令用来关闭活跃流的NAT日志功能。

缺省情况下，NAT活跃流的日志功能处于关闭状态。

如果仅仅在创建、删除NAT连接时进行日志记录，由于有些连接可能长时间处于活动状态，设备一直不能对它进行记录日志。通过配置本命令，设备可以对这种长时间没有断开的连接进行定时记录。

【举例】

# 使能NAT活跃流的日志功能，并设置生成活跃流日志的时间间隔为10分钟。

<Sysname> system-view

[Sysname] nat log flow-active 10

1.1.16  nat log flow-begin

【命令】

nat log flow-begin

undo nat log flow-begin

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

nat log flow-begin命令用来设置在创建NAT连接时生成NAT日志。undo nat log flow-begin命令用来恢复缺省情况。

缺省情况下，创建NAT连接时不生成NAT日志。

【举例】

# 设置在创建NAT连接时生成NAT日志。

<Sysname> system-view

[Sysname] nat log flow-begin

1.1.17  nat outbound

【命令】

nat outbound acl-number  [ address-group group-number [ no-pat ] ]

undo nat outbound acl-number [ address-group group-number [ no-pat ] ]

【视图】

接口视图

【缺省级别】

2：系统级

【参数】

acl-number：访问控制列表号，取值范围为2000～3999。

address-group group-number：指定地址转换使用的地址池。group-number为一个已经定义的地址池的编号。如果未指定本参数，则表示直接使用该接口的IP地址作为转换后的地址，即实现Easy IP功能。

no-pat：表示不使用TCP/UDP端口信息实现多对多地址转换。如果未指定本参数，则表示使用TCP/UDP端口信息实现多对一地址转换。

【描述】

nat outbound命令用来配置出接口地址关联。undo nat outbound命令用来取消关联。

如果不指定地址池，则直接使用该接口的IP地址作为转换后的地址，即实现Easy IP功能。

需要注意的是：

l              可以在同一个接口上配置不同的地址转换关联。使用对应的undo命令可以将相应的地址转换关联删除。该接口一般情况下和外部网络连接，是内部网络的出口。

l              执行undo nat outbound命令后，nat outbound命令生成的NAT地址映射表项不会被自动删除，这些表项需等待5～10分钟后自动老化。在此期间，使用该NAT地址映射表项的用户不能访问外部网络，但不使用该映射表项的用户不受影响。用户也可以使用reset nat session命令立即清除所有的NAT地址映射表项，但该命令会导致NAT业务中断，所有用户必须重新发起连接。用户可根据自身网络需求，选择适当的处理方式。

l              当ACL规则变为无效时，新连接的NAT会话表项将无法建立，但是已经建立的连接仍然可以继续通信。

l              在一个接口下，一个ACL只能与一个地址池绑定；但一个地址池可以与多个ACL绑定。

l              NAPT方式下不支持外网主动向内网发起连接。

【举例】

# 允许10.110.10.0/24网段的主机进行地址转换，选用202.110.10.10到202.110.10.12之间的地址作为转换后的地址。假设Vlan-interface1接口连接外部网络。

<Sysname> system-view

[Sysname] acl number 2001

[Sysname-acl-basic-2001] rule permit source 10.110.10.0 0.0.0.255

[Sysname-acl-basic-2001] rule deny

[Sysname-acl-basic-2001] quit

# 配置地址池。

[Sysname] nat address-group 1 202.110.10.10 202.110.10.12

# 允许地址转换，使用地址池1中的地址进行地址转换，在转换的时候使用TCP/UDP的端口信息。

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat outbound 2001 address-group 1

# 如果不使用TCP/UDP的端口信息进行地址转换，可以使用如下配置。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat outbound 2001 address-group 1 no-pat

# 如果直接使用Vlan-interface1接口的IP地址，可以使用如下的配置。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat outbound 2001

1.1.18  nat outbound static

【命令】

nat outbound static

undo nat outbound static

【视图】

接口视图

【缺省级别】

2：系统级

【参数】

无

【描述】

nat outbound static命令用来使配置的NAT静态转换在接口上生效。undo nat outbound static命令用来取消接口上已经配置的NAT静态转换。

相关配置可参考命令display nat static。

【举例】

# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的一对一转换，并且在Vlan-interface1接口上使能该地址转换。

<Sysname> system-view

[Sysname] nat static 192.168.1.1 2.2.2.2

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat outbound static

1.1.19  nat server

【命令】

nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } global-port1 global-port2 inside local-address1 local-address2 local-port [ vpn-instance local-name ]

undo nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } global-port1 global-port2 inside local-address1 local-address2 local-port [ vpn-instance local-name ]

 

nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } [ global-port ] inside local-address [ local-port ] [ vpn-instance local-name ]

undo nat server protocol pro-type global { global-address | interface interface-type interface-number | current-interface } [ global-port ] inside local-address [ local-port ] [ vpn-instance local-name ]

【视图】

接口视图

【缺省级别】

2：系统级

【参数】

protocol pro-type：指定支持的协议类型。pro-type表示了具体的协议类型，可以支持TCP、UDP和ICMP协议。当指定为ICMP时，配置的内部服务器不带端口参数。

global-address：提供给外部访问的合法IP地址。

interface：表示使用指定接口的地址作为内部服务器的外网地址，即实现Easy IP方式的内部服务器。

interface-type interface-number：指定接口类型和接口编号，目前只支持Loopback接口，且Loopback接口必须存在，否则为非法配置。

current-interface：使用当前接口地址作为内部服务器的外网地址。

global-port1、global-port2：通过两个端口指定一个端口范围，和内部主机的IP地址范围构成一种对应关系。global-port2必须大于global-port1。

local-address1、local-address2：定义一组连续的地址范围，和前面定义的端口范围构成一一对应的关系。local-address2必须大于local-address1。该地址范围的数量必须和global-port1、global-port2定义的端口数量相同。

local-port：内部服务器提供的服务端口号，取值范围为0～65535（FTP数据端口号20除外）。

l              常用的端口号可以用关键字代替。如：Web服务端口为80，可以用www代替。FTP服务端口号为21，可以用ftp代替。

l              取值为0，表示任何类型的服务都提供，可以用any关键字代替，相当于global-address和local-address之间有一个静态的连接。

global-port：提供给外部访问的服务端口号，取值范围为0～65535，缺省值及关键字的使用和local-port的规定一致。

local-address：服务器在内部局域网的IP地址。

vpn-instance local-name：内部服务器所属的VPN。local-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示内部服务器不属于任何一个VPN。

【描述】

nat server命令用来定义一个内部服务器的映射表，用户可以通过global-address定义的地址和global-port定义的端口来访问地址和端口分别为local-address和local-port的内部服务器。undo nat server命令用来取消映射表。

需要注意的是：

l              global-port和local-port只要有一个定义为any，则另一个要么不定义，要么定义为any，否则是非法配置。

l              通过该命令可以配置一些内部网络提供给外部使用的服务器，例如Web服务器、FTP服务器、Telnet服务器、POP3服务器、DNS服务器等。内部服务器可以位于普通的内网内，也可以位于MPLS VPN实例内。

l              每条命令可以配置的内部服务器数目为global-port2与global-port1的差值，即配置多少个端口就对应多少个内部服务器。一个接口下最多可以配置4096个内部服务器。系统中最多可以配置1024个内部服务器地址转换命令。

l              配置该命令的接口一般情况下和ISP连接，是内部网络的出口。

l              目前设备支持引用接口地址作为内部服务器的外网地址（Easy IP方式）。如果配置关键字current-interface表示外网地址使用的是当前接口的当前主地址；如果指定具体的接口，只能指定Loopback接口，外网地址使用的是配置的Loopback接口的当前主地址，且该Loopback接口必须是已存在的。

l              由于Easy IP方式的内部服务器使用了当前接口的IP地址作为它的外网地址，因此强烈建议在当前接口上配置了Easy IP方式的内部服务器之后，其它内部服务器不要配置该接口的IP地址作为它的外网地址，反之亦然。

相关配置可参考命令display nat server。

 

【举例】

# 指定局域网内部的Web服务器的IP地址是10.110.10.10，MPLS VPN vrf10内部的FTP服务器的IP地址是10.110.10.11，希望外部通过http://202.110.10.10:8080可以访问Web服务器，通过ftp://202.110.10.10可以访问FTP服务器。假设Vlan-interface1和外部网络连接。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 www

[Sysname-Vlan-interface1] quit

[Sysname] ip vpn-instance vrf10

[Sysname-vpn-instance] route-distinguisher 100:001

[Sysname-vpn-instance] vpn-target 100:1 export-extcommunity

[Sysname-vpn-instance] vpn-target 100:1 import-extcommunity

[Sysname-vpn-instance] quit

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 21 inside 10.110.10.11 vpn-instance vrf10

# 指定一个VPN vrf10内部的主机10.110.10.12，希望外部网络的主机可以利用ping 202.110.10.11命令ping通它。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat server protocol icmp global 202.110.10.11 inside 10.110.10.12 vpn-instance vrf10

# 指定一个外部地址202.110.10.10，从端口1001～1100分别映射MPLS VPN vrf10内主机10.110.10.1～10.110.10.100的telnet服务。202.110.10.10:1001访问10.110.10.1，202.110.10:1002访问10.110.10.2，依此类推。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] nat server protocol tcp global 202.110.10.10 1001 1100 inside 10.110.10.1 10.110.10.100 telnet vpn-instance vrf10

# 用以下命令可以删除Web服务器。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] undo nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 www

# 用以下命令可以删除VPN vrf10内部的FTP服务器。

<Sysname> system-view

[Sysname] interface Vlan-interface 1

[Sysname-Vlan-interface1] undo nat server protocol tcp global 202.110.10.11 21 inside 10.110.10.11 ftp vpn-instance vrf10

1.1.20  nat static

【命令】

nat static local-ip [ vpn-instance local-name ] global-ip

undo nat static local-ip [ vpn-instance local-name ] global-ip

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

local-ip：内网IP地址。

vpn-instance local-name：内网IP地址所属的VPN名。local-name表示VPN名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示内网IP地址不属于任何一个VPN。

global-ip：外网IP地址。

【描述】

nat static命令用于配置一对一静态地址转换映射。undo nat static命令用来取消一对一静态地址转换映射。

【举例】

# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的静态地址转换。

<Sysname> system-view

[Sysname] nat static 192.168.1.1 2.2.2.2

1.1.21  nat static net-to-net

【命令】

nat static net-to-net local-start-address local-end-address global global-network { mask-length | mask }

undo nat static net-to-net local-start-address local-end-address global global-network { mask-length | mask }

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

local-start-address local-end-address：内网IP地址范围，所包含的地址数目不能超过255。

local-network：外网网段地址。

global-network：外网网络地址。

mask-length：网络掩码长度。

mask：网络掩码。

【描述】

nat static net-to-net命令用于配置网段到网段的静态地址转换映射。undo nat static net-to-net命令用来取消网段到网段的静态地址转换映射。

【举例】

# 配置内网网段192.168.1.0/24到外网网段2.2.2.0/24的双向静态地址转换。

<Sysname> system-view

[Sysname] nat static net-to-net 192.168.1.1 192.168.1.255 global 2.2.2.0 24

1.1.22  reset nat session

【命令】

分布式设备：

reset nat session slot slot-number

分布式IRF设备：

reset nat session chassis chassis-number slot slot-number

【视图】

用户视图

【缺省级别】

2：系统级

【参数】

slot-number：清除指定单板上的地址转换映射表，slot-number表示单板所在的槽位号。（分布式设备）。

chassis chassis-number slot slot-number：清除指定成员设备上指定单板的地址转换映射表，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

【描述】

reset nat session命令用来清除地址转换映射表，释放动态分配的用于存放地址映射表的内存空间。

【举例】

# 在分布式设备上，清除2号单板的地址转换映射表。

<Sysname> reset nat session slot 2

# 在分布式IRF设备上，清除1号成员设备的2号单板的地址转换映射表。

<Sysname> reset nat session chassis 1 slot 2

1.1.23  reset userlog nat export

【命令】

分布式设备：

reset userlog nat export slot slot-number

分布式IRF设备：

reset userlog nat export chassis chassis-number slot slot-number

【视图】

用户视图

【缺省级别】

2：系统级

【参数】

slot-number：清除指定单板上的NAT日志统计信息，slot-number表示单板所在的槽位号。（分布式设备）

chassis chassis-number slot slot-number：清除指定成员设备上指定单板的NAT日志统计信息，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

【描述】

reset userlog nat export命令用来清除NAT日志的统计信息。

当设备启动NAT日志功能后，系统会定时对NAT日志进行统计。

相关配置可参考命令display userlog export。

【举例】

# 在分布式设备上，清除2号单板的NAT日志的统计信息。

<Sysname> reset userlog nat export slot 2

# 在分布式IRF设备上，清除1号成员设备的2号单板的NAT日志的统计信息。

<Sysname> reset userlog nat export chassis 1 slot 2

1.1.24  reset userlog nat logbuffer

【命令】

分布式设备：

reset userlog nat logbuffer slot slot-number

分布式IRF设备：

reset userlog nat logbuffer chassis chassis-number slot slot-number

【视图】

用户视图

【缺省级别】

2：系统级

【参数】

slot-number：清除指定单板上的NAT日志缓存中的记录，slot-number表示单板所在的槽位号。（分布式设备）

chassis chassis-number slot slot-number：清除指定成员设备上指定单板的NAT日志缓存中的记录，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

【描述】

reset userlog nat logbuffer命令用来清除NAT日志缓存中的记录。

 

【举例】

# 在分布式设备上，清除2号单板上缓存区中的NAT日志。

<Sysname> reset userlog nat logbuffer slot 2

# 在分布式IRF设备上，清除1号成员设备2号单板上缓存区中的NAT日志。

<Sysname> reset userlog nat logbuffer chassis 1 slot 2

1.1.25  userlog nat export host

【命令】

分布式设备：

userlog nat export slot slot-number host { ipv4-address | ipv6 ipv6-address } udp-port

undo userlog nat export slot slot-number host { ipv4-address | ipv6 ipv6-address }

分布式IRF设备：

userlog nat export chassis chassis-number slot slot-number host { ipv4-address | ipv6 ipv6-address } udp-port

undo userlog nat export chassis chassis-number slot slot-number host { ipv4-address | ipv6 ipv6-address }

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

slot slot-number：指定生成NAT日志的单板，slot-number表示单板所在的槽位号。（分布式设备）

chassis chassis-number slot slot-number：指定生成NAT日志的成员设备上的指定单板，chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。（分布式IRF设备）

ipv4-address：NAT日志服务器的IPv4地址，取值范围是合法的单播IP地址，且不能是环回地址。

ipv6 ipv6-address：NAT日志服务器的IPv6地址，取值范围是合法的单播IPv6地址。

udp-port：NAT日志服务器的UDP端口号，取值范围为0～65535。

【描述】

userlog nat export host命令用来配置接收NAT日志报文的NAT日志服务器的IP地址和UDP端口号。undo userlog nat export host命令用来恢复缺省情况。

缺省情况下，没有配置NAT日志服务器的IP地址和UDP端口号。

在分布式设备上，每个接口板可以单独配置NAT日志服务器，起到分担NAT日志服务器负载的作用，每个接口板为输出的报文进行独立编号（报文头的序列号）。

在分布式IRF设备上，每个成员设备的不同接口板可以单独配置NAT日志服务器，起到分担NAT日志服务器负载的作用，每个接口板为输出的报文进行独立编号（报文头的序列号）。

需要注意的是：

l              如果以UDP报文输出NAT日志，则必须配置NAT日志服务器，否则NAT日志不能正常输出。

l              如果指定的NAT日志服务器所在的VPN并不存在，则NAT日志报文将会发送失败。

l              为了避免与通用的UDP端口号冲突，建议使用1024以上的UDP端口号。

相关配置可参考命令userlog nat export source-ip。

【举例】

# 在分布式设备上，将2号接口板上的NAT日志信息发送给NAT日志服务器（NAT日志服务器的地址为169.254.1.1、端口号为2000）。

<Sysname> system-view

[Sysname] userlog nat export slot 2 host 169.254.1.1 2000

# 在分布式IRF设备上，将1号成员设备的2号接口板上的NAT日志信息发送给NAT日志服务器（NAT日志服务器的地址为169.254.1.1、端口号为2000）。

<Sysname> system-view

[Sysname] userlog nat export chassis 1 slot 2 host 169.254.1.1 2000

1.1.26  userlog nat export source-ip

【命令】

userlog nat export source-ip ip-address

undo userlog nat export source-ip

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

ip-address：UDP报文的源IP地址。

【描述】

userlog nat export source-ip命令用来配置承载NAT日志的UDP报文的源IP地址。undo userlog nat export source-ip命令用来恢复缺省情况。

缺省情况下，承载NAT日志的UDP报文的源IP地址为发送该报文的接口的IP地址。

相关配置可参考命令userlog nat export host。

【举例】

# 将169.254.1.2配置为承载NAT日志的UDP报文的源IP地址。

<Sysname> system-view

[Sysname] userlog nat export source-ip 169.254.1.2

1.1.27  userlog nat export version

【命令】

userlog nat export version version-number

undo userlog nat export version

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

version-number：NAT日志报文的版本号，取值范围为1（目前系统仅支持版本1）。

【描述】

userlog nat export version命令用来配置NAT日志报文的版本号。undo userlog nat export version命令用来恢复缺省情况。

缺省情况下，NAT日志报文的版本号为1。

【举例】

# 将NAT日志报文版本号设为版本1。

<Sysname> system-view

[Sysname] userlog nat export version 1

1.1.28  userlog nat syslog

【命令】

userlog nat syslog

undo userlog nat syslog

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

userlog nat syslog命令用来配置NAT日志输出到信息中心。undo userlog nat syslog命令用来恢复缺省情况。

缺省情况下，NAT日志输出到NAT日志服务器。

需要注意的是，如果将NAT日志输出方式设置为输出到信息中心，系统产生的NAT日志可能会占用较大的内存空间，因此建议该方式用于日志量比较小的情况。

【举例】

# 设置NAT日志输出到信息中心。

<Sysname> system-view

[Sysname] userlog nat syslog