目  录

1 NAT

1.1 NAT简介

1.1.1 NAT工作机制

1.1.2 NAT转换控制

1.1.3 NAT实现方式

1.1.4 NAT表项

1.1.5 DNS mapping

1.1.6 NAT支持ALG

1.1.7 NAT444支持和BRAS联动

1.2 NAT配置任务简介

1.3 配置静态地址转换

1.3.1 配置准备

1.3.2 配置出方向一对一静态地址转换

1.3.3 配置出方向网段对网段静态地址转换

1.3.4 配置入方向一对一静态地址转换

1.3.5 配置入方向网段对网段静态地址转换

1.4 配置动态地址转换

1.4.1 配置限制和指导

1.4.2 配置准备

1.4.3 配置出方向动态地址转换

1.4.4 配置入方向动态地址转换

1.5 配置内部服务器

1.5.1 配置普通内部服务器

1.5.2 配置负载分担内部服务器

1.5.3 配置基于ACL的内部服务器

1.6 配置NAT444地址转换

1.6.1 配置NAT444端口块静态映射

1.6.2 配置NAT444端口块动态映射

1.6.3 配置NAT444端口块全局共享功能

1.7 配置DNS mapping

1.8 配置NAT ALG

1.9 配置NAT日志功能

1.9.1 配置NAT会话日志功能

1.9.2 配置NAT444用户日志功能

1.9.3 配置NAT444告警信息日志功能

1.9.4 配置动态NAT444端口块使用率的阈值

1.10 开启NAT转换失败发送ICMP差错报文功能

1.11 NAT显示和维护

1.12 NAT典型配置举例

1.12.1 内网用户通过NAT地址访问外网（静态地址转换）

1.12.2 内网用户通过NAT地址访问外网（动态地址转换）

 

1 NAT

 

1.1  NAT简介

NAT（Network Address Translation，网络地址转换）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要应用在连接两个网络的边缘设备上，用于实现允许内部网络用户访问外部公共网络以及允许外部公共网络访问部分内部网络资源（例如内部服务器）的目的。NAT最初的设计目的是实现私有网络访问公共网络的功能，后扩展为实现任意两个网络间进行访问时的地址转换应用。

NAT可以让少量的外网网络IP地址代表较多的内部网络IP地址，这种地址转换能力具备以下优点：

·     私有网络内部的通信利用私网地址，如果私有网络需要与外部网络通信或访问外部资源，则可通过将大量的私网地址转换成少量的公网地址来实现，这在一定程度上缓解了IPv4地址空间日益枯竭的压力。

·     地址转换可以利用端口信息，通过同时转换公网地址与传输层端口号，使得多个私网用户可共用一个公网地址与外部网络通信，节省了公网地址。

·     通过静态映射，不同的内部服务器可以映射到同一个公网地址。外部用户可通过公网地址和端口访问不同的内部服务器，同时还隐藏了内部服务器的真实IP地址，从而防止外部对内部服务器乃至内部网络的攻击。

·     方便网络管理，例如私网服务器迁移时，无需过多配置的改变，仅仅通过调整内部服务器的映射表就可将这一变化体现出来。

1.1.1  NAT工作机制

配置了NAT功能的连接内部网络和外部网络的边缘设备，通常被称为NAT设备。当内部网络访问外部网络的报文经过NAT设备时，NAT设备会用一个合法的公网地址替换原报文中的源IP地址，并对这种转换进行记录；之后，当报文从外网侧返回时，NAT设备查找原有的记录，将报文的目的地址再替换回原来的私网地址，并转发给内网侧主机。这个过程，在私网侧或公网侧设备看来，与普通的网络访问并没有任何的区别。

1. 基本概念

·     NAT接口：NAT设备上应用了NAT相关配置的接口。

·     NAT地址：用于进行地址转换的IP地址，与外部网络路由可达，可静态指定或动态分配。

·     NAT表项：NAT设备上用于记录网络地址转换映射关系的表项。

·     Easy IP功能：NAT转换时直接使用设备上接口的IP地址作为NAT地址。设备上接口的地址可通过DHCP或PPPoE等协议动态获取，因此对于支持Easy IP的NAT配置，不直接指定NAT地址，而是指定对应的接口或当前接口。

2. NAT的基本组网类型

(1)     传统NAT

报文经过NAT设备时，在NAT接口上仅进行一次源IP地址转换或一次目的IP地址转换。对于内网访问外网的报文，在出接口上进行源IP地址转换；对于外网访问内网的报文，在入接口上进行目的地址IP地址转换。

(2)     两次NAT

报文入接口和出接口均为NAT接口。报文经过NAT设备时，先后进行两次NAT转换。对于内网访问外网的报文和外网访问内网的报文，均在入接口进行目的IP地址转换，在出接口进行源IP地址转换。这种方式常用于支持地址重叠的内网间互访。

(3)     双向NAT

报文经过NAT设备时，在NAT接口上同时进行一次源IP地址转换和一次目的IP地址转换。对于内网访问外网的报文，在出接口上同时进行源IP地址和目的IP地址的转换；对于外网访问内网的报文，同时在入接口上进行目的地址IP地址和源IP地址的转换。这种方式常用于支持内网用户主动访问与之地址重叠的外网资源。

3. 传统NAT的典型工作过程

如图1-1所示，一台NAT设备连接内网和外网，连接外网的接口为NAT接口，当有报文经过NAT设备时，NAT的基本工作过程如下。

图1-1 NAT基本工作过程示意图

 

(1)     当内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备时，NAT设备查看报文的IP头内容，发现该报文是发往外网的，则将其源IP地址字段的内网地址192.168.1.3转换成一个可路由的外网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备上建立表项记录这一映射。

(2)     外网服务器给内网用户发送的应答报文到达NAT设备后，NAT设备使用报文信息匹配建立的表项，然后查找匹配到的表项记录，用内网私有地址192.168.1.3替换初始的目的IP地址20.1.1.1。

上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道有192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。

1.1.2  NAT转换控制

在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问；或者希望某些外部网络的主机可以访问内部网络，而某些主机不允许访问。即NAT设备只对符合要求的报文进行地址转换。

NAT设备可以利用ACL（Access Control List，访问控制列表）来对地址转换的使用范围进行控制，通过定义ACL规则，并将其与NAT配置相关联，实现只对匹配指定的ACL permit规则的报文才进行地址转换的目的。而且，NAT仅使用规则中定义的源IP地址、源端口号、目的IP地址、目的端口号和传输层协议类型这几个元素进行报文匹配，忽略其它元素。

1.1.3  NAT实现方式

1. 静态方式

静态地址转换是指外部网络和内部网络之间的地址映射关系由配置确定，该方式适用于内部网络与外部网络之间存在固定访问需求的组网环境。静态地址转换支持双向互访：内网用户可以主动访问外网，外网用户也可以主动访问内网。

2. 动态方式

动态地址转换是指内部网络和外部网络之间的地址映射关系在建立连接的时候动态产生。该方式通常适用于内部网络有大量用户需要访问外部网络的组网环境。动态地址转换存在两种转换模式：

·     NO-PAT模式

NO-PAT（Not Port Address Translation）模式下，一个外网地址同一时间只能分配给一个内网地址进行地址转换，不能同时被多个内网地址共用。当使用某外网地址的内网用户停止访问外网时，NAT会将其占用的外网地址释放并分配给其他内网用户使用。

该模式下，NAT设备只对报文的IP地址进行NAT转换，同时会建立一个NO-PAT表项用于记录IP地址映射关系，并可支持所有IP协议的报文。

·     PAT模式

PAT（Port Address Translation）模式下，一个NAT地址可以同时分配给多个内网地址共用。该模式下，NAT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMP（Internet Control Message Protocol，因特网控制消息协议）查询报文。

图1-2描述了PAT的基本原理。

图1-2 PAT基本原理示意图

 

如图1-2所示，三个带有内网地址的报文到达NAT设备，其中报文1和报文2来自同一个内网地址但有不同的源端口号，报文1和报文3来自不同的内网地址但具有相同的源端口号。通过PAT映射，三个报文的源IP地址都被转换为同一个外网地址，但每个报文都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

采用PAT方式可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。

目前，PAT支持两种不同的地址转换模式：

·     Endpoint-Independent Mapping（不关心对端地址和端口转换模式）：只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过PAT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，该映射关系会被记录下来并生成一个EIM表项；并且NAT设备允许所有外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好的支持位于不同NAT网关之后的主机进行互访。

·     Address and Port-Dependent Mapping（关心对端地址和端口转换模式）：对于来自相同源地址和源端口号的报文，相同的源地址和源端口号并不要求被转换为相同的外部地址和端口号，若其目的地址或目的端口号不同，通过PAT映射后，相同的源地址和源端口号通常会被转换成不同的外部地址和端口号。与Endpoint-Independent Mapping模式不同的是，NAT设备只允许这些目的地址对应的外部网络的主机可以通过该转换后的地址和端口来访问这些内部网络的主机。这种模式安全性好，但由于同一个内网主机地址转换后的外部地址不唯一，因此不便于位于不同NAT网关之后的主机使用内网主机转换后的地址进行互访。

3. 内部服务器

在实际应用中，内网中的服务器可能需要对外部网络提供一些服务，例如给外部网络提供Web服务，或是FTP服务。这种情况下，NAT设备允许外网用户通过指定的NAT地址和端口访问这些内部服务器，NAT内部服务器的配置就定义了NAT地址和端口与内网服务器地址和端口的映射关系。

如图1-3所示，外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备将报文的目的地址与接口上的NAT内部服务器配置进行匹配，并将匹配上的访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成外网IP地址和端口号。

图1-3 内部服务器基本原理示意图

 

4. NAT444端口块方式

NAT444是运营商网络部署NAT的整体解决方案，它基于NAT444网关，结合AAA服务器、日志服务器等配套系统，提供运营商级的NAT，并支持用户溯源等功能。在众多IPv4向IPv6网络过渡的技术中，NAT444仅需在运营商侧引入二次NAT，对终端和应用服务器端的更改较小，并且NAT444通过端口块分配方式解决用户溯源等问题，因此成为了运营商的首选IPv6过渡方案。

NAT444解决方案的架构如图1-4所示。

图1-4 NAT444解决方案架构

 

·     CPE：实现用户侧地址转换。

·     BRAS：负责接入终端，并配合AAA完成用户认证、授权和计费。

·     NAT444网关：实现运营商级地址转换。

·     AAA服务器：负责用户认证、授权和计费等。

·     日志服务器：接受和记录用户访问信息，响应用户访问信息查询。

NAT444网关设备进行的地址转换（以下称为“NAT444地址转换”）是一种PAT方式的动态地址转换，但与普通PAT方式动态地址转换不同的是，NAT444地址转换是基于端口块（即一个端口范围）的方式来复用公网IP地址的，即一个私网IP地址在一个时间段内独占一个公网IP地址的某个端口块。例如：假设私网IP地址10.1.1.1独占公网IP地址202.1.1.1的一个端口块10001～10256，则该私网IP向公网发起的所有连接，源IP地址都将被转换为同一个公网IP地址202.1.1.1，而源端口将被转换为端口块10001～10256之内的一个端口。

端口块的分配支持静态映射和动态映射两种方式。

(2)     端口块静态映射

端口块静态映射是指，NAT网关设备根据配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，并创建静态端口块表项。当私网IP地址成员中的某个私网IP地址向公网发起新建连接时，根据私网IP地址匹配静态端口块表项，获取对应的公网IP地址和端口块，并从端口块中动态为其分配一个公网端口，对报文进行地址转换。

配置端口块静态映射时，需要创建一个端口块组，并在端口块组中配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小。假设端口块组中每个公网IP地址的可用端口块数为m（即端口范围除以端口块大小），则端口块静态映射的算法如下：按照从小到大的顺序对私网IP地址成员中的所有IP地址进行排列，最小的m个私网IP地址对应最小的公网IP地址及其端口块，端口块按照起始端口号从小到大的顺序分配；次小的m个私网IP地址对应次小的公网IP地址及其端口块，端口块的分配顺序相同；依次类推。

(3)     端口块动态映射

端口块动态映射融合了普通NAT动态地址转换和NAT444端口块静态映射的特点。当内网用户向公网发起连接时，首先根据动态地址转换中的ACL规则进行过滤，决定是否需要进行源地址转换。对于需要进行源地址转换的连接，当该连接为该用户的首次连接时，从所匹配的动态地址转换配置引用的NAT地址组中获取一个公网IP地址，从该公网IP地址中动态分配一个端口块，创建动态端口块表项，然后从端口块表项中动态分配一个公网端口，进行地址转换。对该用户后续连接的转换，均从生成的动态端口块表项中分配公网端口。当该用户的所有连接都断开时，回收为其分配的端口块资源，删除相应的动态端口块表项。

端口块动态映射支持增量端口块分配。当为某私网IP地址分配的端口块资源耗尽（端口块中的所有端口都被使用）时，如果该私网IP地址向公网发起新的连接，则无法再从端口块中获取端口，无法进行地址转换。此时，如果预先在相应的NAT地址组中配置了增量端口块数，则可以为该私网IP地址分配额外的端口块，进行地址转换。

1.1.4  NAT表项

1. NAT会话表项

NAT设备处理一个连接的首报文时便确定了相应的地址转换关系，并同时创建会话表项，该会话表项中添加了NAT扩展信息（例如接口信息、转换方式）。会话表项中记录了首报文的地址转换信息。这类经过NAT处理的会话表项，也称为NAT会话表项。

当该连接的后续报文经过NAT设备时，将与NAT会话表项进行匹配，NAT设备从匹配到的会话表项中得到首报文的转换方式，并根据首报文的转换方式对后续报文进行处理。后续报文方向与首报文相同时，源和目的的转换方式与首报文相同；方向相反时，转换方式与首报文相反。即，如果首报文转换了源地址，则后续报文需要转换目的地址；如果首报文转换了目的地址，则后续报文需要转换源地址。

NAT会话表项的更新和老化由会话管理模块维护，关于会话管理的相关介绍请参见“安全配置指导”中的“会话管理”。

2. EIM表项

如果NAT设备上使能了Endpoint-Independent Mapping模式，则在PAT方式的动态地址转换过程中，会首先创建一个NAT会话表项，然后创建一个EIM表项用于记录地址和端口的转换关系（内网地址和端口<-->NAT地址和端口），该表项有以下两个作用：

·     保证后续来自相同源地址和源端口的新建连接与首次连接使用相同的转换关系。

·     允许外网主机向NAT地址和端口发起的新建连接根据EIM表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

3. NO-PAT表项

在NO-PAT方式进行源地址的动态转换过程中，NAT设备首先创建一个NAT会话表项，然后建立一个NO-PAT表项用于记录该转换关系（内网地址<-->NAT地址）。除此之外，在NAT设备进行ALG处理时，也会触发创建NO-PAT表项。NAT ALG的相关介绍请参见“1.1.6  NAT支持ALG”。

NO-PAT表项有以下两个作用：

·     保证后续来自相同源地址的新建连接与首次连接使用相同的转换关系。

·     配置了reversible参数的情况下，允许满足指定条件的主机向NAT地址发起的新建连接根据NO-PAT表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

4. NAT444端口块表项

NAT444端口块表项记录1个用户在NAT444网关转换前的私网IP地址、转换后对应的公网IP地址及其端口块。

端口块表项分为静态端口块表项和动态端口块表项：

·     静态端口块表项在配置了NAT444端口块静态映射的相关命令时由系统自动创建，在删除相关配置时删除。

·     动态端口块表项在收到某私网IP地址的首次连接时创建，在该私网IP地址的所有连接都已关闭，表项中的所有端口都被回收时删除。

1.1.5  DNS mapping

一般情况下，DNS（Domain Name System，域名系统）服务器和访问私网服务器的用户都在公网，通过在NAT设备的公网接口上配置内部服务器，可以将公网地址、端口等信息映射到私网内的服务器上，使得公网用户可以通过内部服务器的域名或公网地址来访问内部服务器。但是，如图1-5所示，如果DNS服务器在公网，私网用户希望通过域名来访问私网的Web服务器，则会由于DNS服务器向私网用户发送的响应报文中包含的是私网服务器的公网地址，而导致收到响应报文的私网用户无法利用域名访问私网服务器。通过在设备上配置DNS mapping可以解决该问题。

图1-5 NAT DNS mapping工作示意图

 

DNS mapping功能是指，通过配置“域名+公网IP地址+公网端口号+协议类型”的映射表，建立内部服务器域名与内部服务器公网信息的对应关系。在配置了NAT的接口上，设备检查接收到的DNS响应报文，根据报文中的域名查找用户配置的DNS mapping映射表，并根据表项内的“公网地址+公网端口+协议类型”信息查找内部服务器地址映射表中该信息对应的私网地址，替换DNS查询结果中的公网地址。这样，私网用户收到的DNS响应报文中就包含了要访问的内部服务器的私网地址，也就能够使用内部服务器域名访问同一私网内的内部服务器。

1.1.6  NAT支持ALG

ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的解析和处理。通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析和处理。然而对于一些应用层协议，它们的报文的数据载荷中可能包含IP地址或端口信息，这些载荷信息也必须进行有效的转换，否则可能导致功能不正常。

例如，FTP（File Transfer Protocol，文件传输协议）应用由FTP客户端与FTP服务器之间建立的数据连接和控制连接共同实现，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置完成载荷信息的转换，以保证后续数据连接的正确建立。

1.1.7  NAT444支持和BRAS联动

图1-6 NAT444和BRAS联动组网图

 

如图1-6所示的组网环境中，用户访问外部网络时，传统NAT444方式下首先会在BRAS上完成AAA认证和私网地址的分配，认证通过后，用户发起访问外网的报文会在NAT444网关上进行NAT444转换。但是，这种传统方式会存在一些问题：

·     当用户认证完成后，AAA服务器就会对用户开始计费（BRAS上配置了计费的情况下），而此时如果NAT444资源已被其它用户耗尽，会导致该用户无法获取到公网资源，也就无法访问外网。这就产生了运营商已经对用户进行计费，但用户实际并为访问外网的问题。

·     如果运营商需要对内网用户进行溯源，那么必须提供日志服务器，并在NAT444网关上开启NAT日志功能。当用户流量报文经过NAT444网关时，NAT444网关就会向日志服务器发送用户私网地址与分配的公网资源的映射关系，这样就会对NAT444网关设备有一定的性能影响。而且，如果用户一段时间内没有访问外网，可能会导致再次访问外网时NAT444网关为其分配的公网资源与原来分配的不一致，如此反复，会在日志服务器上产生大量过期的映射信息，影响溯源效率。

若配置了NAT444网关与BRAS联动（通过在认证ISP域中指定具体的用户地址类型），则用户通过AAA认证并分配得到私网地址之后，NAT444网关会立即为该用户分配公网地址以及端口块，并将用户的私网IP地址、分配的公网地址及该端口块的映射关系通知给BRAS（如果NAT444网关上可分配的公网资源已耗尽，BRAS会强制用户下线，也不会对用户进行计费）。BRAS记录该地址映射关系，并将这个映射关系上报给AAA服务器。之后，该用户访问外部网络时直接使用NAT444网关已经分配的公网地址和端口块。通过此联动功能，AAA服务器能够获得并统一维护所有用户的地址映射关系，提供更便捷的用户溯源服务。而且，相对比传统方式（在用户访问外部网络时产生的地址映射关系），在用户上线时产生的地址映射关系更加稳定，NAT444将一直为上线用户维护地址映射关系，直到用户下线时才释放公网资源，并解除该映射关系。

目前，NAT444仅支持对PPP用户的业务与BRAS联动。

 

1.2  NAT配置任务简介

若接口上同时存在普通NAT静态地址转换、普通NAT动态地址转换、NAT444端口块静态映射、NAT444端口块动态映射和内部服务器的配置，则在地址转换过程中，它们的优先级从高到低依次为：

(1)     内部服务器。

(2)     普通NAT静态地址转换。

(3)     NAT444端口块静态映射。

(4)     NAT444端口块动态映射和普通NAT动态地址转换，系统在处理IPv4报文时对二者不做区分，统一按照ACL编号由大到小的顺序匹配。

表1-1 NAT配置任务简介

配置任务	说明	详细配置
配置静态地址转换	根据实际的组网需求，选择其中一种或多种转换方式 (1)     静态地址转换适用于：转换关系完全确定 (2)     动态地址转换 ·     PAT方式适用于大量内网用户通过少量NAT地址访问外网 ·     NO-PAT方式，通常仅用于配合内部服务器或静态地址转换实现双向NAT应用 (3)     内部服务器：内网服务器向外网提供服务 (4)     NAT444地址转换 ·     NAT444端口块静态映射适用于：用户私网IP地址确定 ·     NAT444端口块动态映射适用于：用户私网IP地址不确定	1.3
配置动态地址转换		1.4
配置内部服务器		1.5
配置NAT444地址转换		1.6
配置DNS mapping	可选	1.7
配置NAT ALG功能	可选	1.8
配置NAT日志功能	可选	1.9
开启NAT转换失败发送ICMP差错报文功能	可选	1.10

 

1.3  配置静态地址转换

配置静态地址转换时，需要首先在系统视图下配置静态地址转换映射，然后在接口下使该转换映射生效。

静态地址转换映射支持两种方式：一对一静态转换映射、网段对网段静态转换映射。静态地址转换可以支持配置在接口的出方向（nat static outbound）或入方向（nat static inbound）上，入方向的静态地址转换通常用于与接口上的出方向动态地址转换（nat outbound）、内部服务器（nat server）或出方向静态地址转换（nat static outbound）配合以实现双向NAT，不建议单独配置。

1.3.1  配置准备

·     配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。需要注意的是，NAT仅关注ACL规则中定义的源IP地址、源端口号、目的IP地址、目的端口号和传输层协议类型，不关注ACL规则中定义的其它元素。

·     对于入方向静态地址转换，需要手动添加路由：目的地址为静态地址转换配置中指定的local-ip或local-network；下一跳为静态地址转换配置中指定的外网地址，或者报文出接口的实际下一跳地址。

1.3.2  配置出方向一对一静态地址转换

出方向一对一静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换，具体过程如下：

·     对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的源IP地址转换为global-ip。

·     对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的目的IP地址转换为local-ip。

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

表1-2 配置出方向一对一静态地址转换

操作	命令	说明
进入系统视图	system-view	-
配置出方向一对一静态地址转换映射	nat static outbound local-ip [ acl { acl-number | name acl-name } [ reversible ] ] global-ip [ disable ]	缺省情况下，不存在任何地址转换映射
进入接口视图	interface interface-type interface-number	-
开启接口上的NAT静态地址转换功能	nat static enable	缺省情况下，NAT静态地址转换功能处于关闭状态

 

1.3.3  配置出方向网段对网段静态地址转换

出方向网段对网段静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络到一个外部公有网络的地址转换，具体过程如下：

·     对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网网络地址进行匹配，并将匹配的源IP地址转换为指定外网网络地址之一。

·     对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网网络地址进行匹配，并将匹配的目的IP地址转换为指定的内网网络地址之一。

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

表1-3 配置出方向网段对网段静态地址转换

操作	命令	说明
进入系统视图	system-view	-
配置出方向网段对网段静态地址转换映射	nat static outbound net-to-net local-start-address local-end-address [ acl { acl-number | name acl-name } [ reversible ] ] global global-network { mask-length | mask } [ disable ]	缺省情况下，不存在任何地址转换映射
开启接口上的NAT静态地址转换功能	nat static enable	缺省情况下，NAT静态地址转换功能处于关闭状态

 

1.3.4  配置入方向一对一静态地址转换

入方向一对一静态地址转换用于实现一个内部私有网络地址与一个外部公有网络地址之间的转换，具体过程如下：

·     对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的目的IP地址转换为global-ip。

·     对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的源IP地址转换为local-ip。

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

表1-4 配置入方向一对一静态地址转换

操作	命令	说明
进入系统视图	system-view	-
配置入方向一对一静态地址转换映射	nat static inbound global-ip [ acl { acl-number | name acl-name } [ reversible ] ] local-ip [ disable ]	缺省情况下，不存在任何地址转换映射
进入接口视图	interface interface-type interface-number	-
开启接口上的NAT静态地址转换功能	nat static enable	缺省情况下，NAT静态地址转换功能处于关闭状态

 

1.3.5  配置入方向网段对网段静态地址转换

入方向网段对网段静态地址转换用于实现一个内部私有网络与一个外部公有网络之间的地址转换，具体过程如下：

·     对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网网络地址进行匹配，并将匹配的目的IP地址转换为指定的外网网络地址之一。

·     对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网网络地址进行匹配，并将匹配的源IP地址转换为指定的内网网络地址之一。

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

表1-5 配置入方向网段对网段静态地址转换

操作	命令	说明
进入系统视图	system-view	-
配置入方向网段对网段静态地址转换映射	nat static inbound net-to-net global-start-address global-end-address [ acl { acl-number | name acl-name } [ reversible ] ] local local-network { mask-length | mask } [ disable ]	缺省情况下，不存在任何地址转换映射
进入接口视图	interface interface-type interface-number	-
开启接口上的NAT静态地址转换功能	nat static enable	缺省情况下，NAT静态地址转换功能处于关闭状态

 

1.4  配置动态地址转换

通过在接口上配置ACL和地址组（或接口地址）的关联即可实现动态地址转换。

·     直接使用接口的IP地址作为转换后的地址，即实现Easy IP功能。

·     选择使用地址组中的地址作为转换后的地址，根据地址转换过程中是否转换端口信息可将动态地址转换分为NO-PAT和PAT两种方式。

1.4.1  配置限制和指导

在同时配置了多条动态地址转换的情况下：

·     指定了ACL参数的动态地址转换配置的优先级高于未指定ACL参数的动态地址转换配置；

·     对于指定了ACL参数的动态地址转换配置，其优先级由ACL编号的大小决定，编号越大，优先级越高。

1.4.2  配置准备

·     配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。需要注意的是，NAT仅关注ACL规则中定义的源IP地址、源端口号、目的IP地址、目的端口号和传输层协议类型，不关注ACL规则中定义的其它元素。

·     确定是否直接使用接口的IP地址作为转换后的报文源地址。

·     配置根据实际网络情况，合理规划可用于地址转换的公网IP地址组。

·     确定地址转换过程中是否使用端口信息。

·     对于入方向动态地址转换，如果指定了add-route参数，则有报文命中该配置时，设备会自动添加路由表项：目的地址为本次地址转换使用的地址组中的地址，出接口为本配置所在接口，下一跳地址为报文的源地址；如果没有指定add-route参数，则用户需要在设备上手工添加路由。由于自动添加路由表项速度较慢，通常建议手工添加路由。

1.4.3  配置出方向动态地址转换

出方向动态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换，具体过程如下：

·     对于经过该接口发送的内网访问外网的报文，将与指定ACL permit规则匹配的报文源IP地址转换为地址组中的地址。

·     在指定了no-pat reversible参数，并且已经存在NO-PAT表项的情况下，对于经过该接口收到的外网访问内网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的内网地址。

表1-6 配置出方向动态地址转换

操作		命令	说明
进入系统视图		system-view	-
创建一个NAT地址组，并进入NAT地址组视图		nat address-group group-number [ name group-name ]	缺省情况下，不存在地址组
添加地址组成员		address start-address end-address	缺省情况下，不存在地址组成员 可通过多次执行本命令添加多个地址组成员 当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址成员组成员重叠
退回系统视图		quit	-
进入接口视图		interface interface-type interface-number	-
配置出方向动态地址转换	NO-PAT方式	nat outbound [ acl-number | name acl-name ] address-group { group-number | name group-name } no-pat [ reversible ] [ disable ] [ description text ]	二者至少选其一 缺省情况下，不存在出方向动态地址转换配置 一个接口下可配置多个出方向的动态地址转换
	PAT方式	nat outbound [ acl-number | name acl-name ] [ address-group { group-number | name group-name } ] [ port-preserved ] [ disable ] [ description text ]
退回系统视图		quit	-
（可选）配置PAT方式地址转换的模式		nat mapping-behavior endpoint-independent [ acl { acl-number | name acl-name } ]	缺省情况下，PAT方式地址转换的模式为Address and Port-Dependent Mapping 该配置只对PAT方式的出方向动态地址转换有效

 

1.4.4  配置入方向动态地址转换

入方向动态地址转换功能通常与接口上的出方向动态地址转换（nat outbound）、内部服务器（nat server）或出方向静态地址转换（nat static outbound）配合，用于实现双向NAT应用，不建议单独使用。

入接口动态地址转换的具体过程如下：

·     对于该接口接收到的外网访问内网的首报文，将与指定的ACL permit规则匹配的报文的源IP地址转换为地址组中的地址。

·     在指定了no-pat reversible参数，并且已经存在NO-PAT表项的情况下，对于经过该接口发送的内网访问外网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的外网地址。

需要注意的是，该方式下的地址转换不支持Easy IP功能。

表1-7 配置入方向动态地址转换

操作	命令	说明
进入系统视图	system-view	-
创建一个NAT地址组，并进入NAT地址组视图	nat address-group group-number [ name group-name ]	缺省情况下，不存在NAT地址组
添加地址组成员	address start-address end-address	缺省情况下，不存在地址组成员 可通过多次执行本命令添加多个地址组成员 当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址组成员重叠
退回系统视图	quit	-
进入接口视图	interface interface-type interface-number	-
配置入方向动态地址转换	nat inbound { acl-number | name acl-name } address-group { group-number | name group-name } [ no-pat [ reversible ] [ add-route ] ] [ disable ] [ description text ]	缺省情况下，不存在入方向动态地址转换配置 一个接口下可配置多个入方向的动态地址转换

 

1.5  配置内部服务器

通过在NAT设备上配置内部服务器，建立一个或多个内网服务器内网地址和端口与外网地址和端口的映射关系，使外部网络用户能够通过配置的外网地址和端口来访问内网服务器。内部服务器可以位于一个普通的内网内。

内部服务器通常配置在外网侧接口上。

若普通内部服务器或者负载分担内部服务器配置中引用了acl参数，则表示与指定的ACL permit规则匹配的报文才可以使用内部服务器的映射表进行地址转换。需要注意的是，NAT仅关注ACL规则中定义的源IP地址、源端口号、目的IP地址、目的端口号和传输层协议类型，不关注ACL规则中定义的其它元素。

1.5.1  配置普通内部服务器

普通的内部服务器是将内网服务器的地址和端口映射为外网地址和端口，允许外部网络中的主机通过配置的外网地址和端口访问位于内网的服务器。

表1-8 配置普通内部服务器

操作		命令	说明
进入系统视图		system-view	-
进入接口视图		interface interface-type interface-number	-
配置普通内部服务器	外网地址单一，未使用外网端口或外网端口单一	nat server [ protocol pro-type ] global { global-address | current-interface | interface interface-type interface-number } [ global-port ] inside local-address [ local-port ] [ acl { acl-number | name acl-name } ] [ disable ]	四者至少选其一 缺省情况下，不存在内部服务器 一个接口下可以配置多个普通内部服务器
	外网地址单一，外网端口连续	nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } global-port1 global-port2 inside { { local-address | local-address1 local-address2 } local-port | local-address local-port1 local-port2 } [ acl { acl-number | name acl-name } ] [ disable ]
	外网地址连续，未使用外网端口或外网端口单一	nat server protocol pro-type global global-address1 global-address2 [ global-port ] inside { local-address | local-address1 local-address2 } [ local-port ] [ acl { acl-number | name acl-name } ] [ disable ]
	外网地址连续，外网端口单一	nat server protocol pro-type global global-address1 global-address2  global-port inside local-address local-port1 local-port2 [ acl { acl-number | name acl-name } ] [ disable ]

 

1.5.2  配置负载分担内部服务器

负载分担内部服务器是指在配置内部服务器时，将内部服务器的内网信息指定为一个内部服务器组，组内的多台主机可以共同对外提供某种服务。外网用户向内部服务器指定的外网地址发起应用请求时，NAT设备可根据内网服务器的权重和当前连接数，选择其中一台内网服务器作为目的服务器，实现内网服务器负载分担。

表1-9 配置负载分担内部服务器

操作	命令	说明
进入系统视图	system-view	-
配置内部服务器组，并进入服务器组视图	nat server-group group-number	缺省情况下，不存在内部服务器组
添加内部服务器组成员	inside ip inside-ip port port-number [ weight weight-value ]	缺省情况下，内部服务器组内没有内部服务器组成员 一个内部服务器组内可以添加多个组成员
退回系统视图	quit	-
进入接口视图	interface interface-type interface-number	-
配置负载分担内部服务器	nat server protocol pro-type global { { global-address | current-interface | interface interface-type interface-number } { global-port | global-port1 global-port2 } | global-address1 global-address2 global-port } inside server-group group-number [ acl { acl-number | name acl-name } ] [ disable ]	缺省情况下，不存在内部服务器 一个接口下可以配置多个负载分担内部服务器

 

1.5.3  配置基于ACL的内部服务器

普通内部服务器方式必须指定公网地址，基于ACL内部服务器不用指定具体的公网地址，而是指定公网地址的集合，即通过ACL规则匹配过滤的一部分公网地址。对于符合ACL规则的报文，它的目的地址统一转换成相同的内部服务器地址和端口，它是普通内部服务器的扩展。

表1-10 配置基于ACL的内部服务器

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number
配置基于ACL的内部服务器	nat server global { global-acl-number | name global-acl-name } inside local-address [ local-port ] [ disable ]	缺省情况下，不存在内部服务器 一个接口下可以配置多个基于ACL的内部服务器

 

1.6  配置NAT444地址转换

通过在NAT444网关设备上配置NAT444地址转换，可以实现基于端口块的公网IP地址复用，使一个私网IP地址在一个时间段内独占一个公网IP地址的某个端口块。

NAT444是出方向地址转换，通常配置在外网侧接口上。

1.6.1  配置NAT444端口块静态映射

配置NAT444端口块静态映射需要创建一个端口块组，并在接口的出方向上应用该端口块组。端口块组中需要配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小，系统会根据端口块组中的配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，创建静态端口块表项，并根据表项进行NAT444地址转换。

表1-11 配置NAT444端口块静态映射

操作	命令	说明
进入系统视图	system-view	-
创建一个NAT端口块组，并进入NAT端口块组视图	nat port-block-group group-number	缺省情况下，不存在NAT端口块组
添加私网地址成员	local-ip-address start-address end-address	缺省情况下，不存在私网地址成员 一个端口块组内，可以配置多个私网地址成员，但各私网地址成员之间的IP地址不能重叠
添加公网地址成员	global-ip-pool start-address end-address	缺省情况下，不存在公网地址成员 一个端口块组内，可以配置多个公网地址成员，但各公网地址成员之间的IP地址不能重叠
配置公网地址的端口范围	port-range start-port-number end-port-number	缺省情况下，公网地址的端口范围为1～65535
配置端口块大小	block-size block-size	缺省情况下，端口块大小为256
退回系统视图	quit	-
进入接口视图	interface interface-type interface-number	-
配置NAT444端口块静态映射	nat outbound port-block-group group-number	缺省情况下，不存在NAT444端口块静态映射配置 一个接口下可配置多条基于不同端口块组的NAT444端口块静态映射
退回系统视图	quit	-
（可选）配置PAT方式出方向动态地址转换的模式	nat mapping-behavior endpoint-independent [ acl { acl-number | name acl-name } ]	缺省情况下，PAT方式出方向动态地址转换的模式为Address and Port-Dependent Mapping

 

1.6.2  配置NAT444端口块动态映射

NAT444端口块动态映射的配置方式与普通的PAT方式出方向动态地址转换的配置基本相同，只要在接口的出方向上配置ACL和NAT地址组的关联即可。所不同的是，对于NAT444端口动态映射，必须在NAT地址组中配置端口块参数，以实现基于端口块的NAT444地址转换。

表1-12 配置NAT444端口块动态映射

操作	命令	说明
进入系统视图	system-view	-
创建一个NAT地址组，并进入NAT地址组视图	nat address-group group-number [ name group-name ]	缺省情况下，不存在地址组
添加地址组成员	address start-address end-address	缺省情况下，不存在地址组成员 可通过多次执行本命令添加多个地址组成员 当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址成员组成员重叠
配置端口范围	port-range start-port-number end-port-number	缺省情况下，端口范围为1～65535 该配置仅对PAT方式地址转换生效
配置端口块参数	port-block block-size block-size [ extended-block-number extended-block-number ]	缺省情况下，不存在端口块参数 该配置仅对PAT方式地址转换生效
退回系统视图	quit	-
进入接口视图	interface interface-type interface-number	-
配置PAT方式出方向动态地址转换	nat outbound [ acl-number | name acl-name ] [ address-group group-number | name group-name } ] [ port-preserved ]	缺省情况下，不存在PAT方式出方向动态地址转换配置 port-preserved参数对NAT444端口块动态映射无效
退回系统视图	quit	-
（可选）配置PAT方式地址转换的模式	nat mapping-behavior endpoint-independent [ acl { acl-number | name acl-name } ]	缺省情况下，PAT方式出方向动态地址转换的模式为Address and Port-Dependent Mapping

 

1.6.3  配置NAT444端口块全局共享功能

在已配置NAT444端口块动态映射的情况下，当同一个源IP地址的报文从不同出接口进行NAT地址转换时，可能会分配到不同的端口块。如果需要使同一个源IP地址分配到相同的端口块，请开启端口块全局共享功能。

表1-13 配置NAT444端口块全局共享功能

操作	命令	说明
进入系统视图	system-view	-
配置NAT444端口块全局共享功能	nat port-block global-share enable	缺省情况下，端口块全局共享功能处于关闭状态

 

1.7  配置DNS mapping

通过配置DNS mapping，可以在DNS服务器位于外网的情况下，实现内网用户可通过域名访问位于同一内网的内部服务器的功能。DNS mapping功能需要和内部服务器配合使用，由nat server配置定义内部服务器对外提供服务的外网IP地址和端口号，由DNS mapping建立“内部服务器域名<-->外网IP地址+外网端口号+协议类型”的映射关系。

NAT设备对来自外网的DNS响应报文进行DNS ALG处理时，由于载荷中只包含域名和应用服务器的外网IP地址（不包含传输协议类型和端口号），当接口上存在多条NAT服务器配置且使用相同的外网地址而内网地址不同时，DNS ALG仅使用IP地址来匹配内部服务器可能会得到错误的匹配结果。因此需要借助DNS mapping的配置，指定域名与应用服务器的外网IP地址、端口和协议的映射关系，由域名获取应用服务器的外网IP地址、端口和协议，进而（在当前NAT接口上）精确匹配内部服务器配置获取应用服务器的内网IP地址。

表1-14 配置DNS mapping

操作	命令	说明
进入系统视图	system-view	-
配置一条域名到内部服务器的映射	nat dns-map domain domain-name protocol pro-type { interface interface-type interface-number | ip global-ip } port global-port	缺省情况下，不存在域名到内部服务器的映射 可配置多条域名到内部服务器的映射

 

1.8  配置NAT ALG

通过开启指定应用协议类型的ALG功能，实现对应用层报文数据载荷字段的分析和NAT处理。

表1-15 配置NAT ALG功能

操作	命令	说明
进入系统视图	system-view	-
开启指定或所有协议类型的NAT ALG功能	nat alg { all | dns | ftp | h323 | icmp-error | ils | mgcp | nbt | pptp | rsh | rtsp | sccp | sip | sqlnet | tftp | xdmcp }	缺省情况下，DNS、FTP、ICMP差错报文、RSTP、PPTP协议类型的NAT ALG功能处于开启状态，其他协议类型的NAT ALG功能处于关闭状态

 

1.9  配置NAT日志功能

1.9.1  配置NAT会话日志功能

NAT会话日志是为了满足网络管理员安全审计的需要，对NAT会话（报文经过设备时，源或目的信息被NAT进行过转换的连接）信息进行的记录，包括IP地址及端口的转换信息、用户的访问信息以及用户的网络流量信息。

有三种情况可以触发设备生成NAT会话日志：

·     新建NAT会话。

·     删除NAT会话。新增高优先级的配置、删除配置、报文匹配规则变更、NAT会话老化以及执行删除NAT会话的命令时，都可能导致NAT会话被删除。

·     存在NAT活跃流。NAT活跃流是指在一定时间内存在的NAT会话。当设置的生成活跃流日志的时间间隔到达时，当前存在的NAT会话信息就被记录并生成日志。

表1-16 配置NAT会话日志功能

操作	命令	说明
进入系统视图	system-view	-
开启NAT日志功能	nat log enable [ acl { acl-number | name acl-name } ]	缺省情况下，NAT日志功能处于关闭状态
开启NAT新建会话的日志功能	nat log flow-begin	三者至少选其一 缺省情况下，创建、删除NAT会话或存在NAT活跃流时，均不生成NAT日志
开启NAT删除会话的日志功能	nat log flow-end
开启NAT活跃流的日志功能，并设置生成活跃流日志的时间间隔	nat log flow-active time-value

 

1.9.2  配置NAT444用户日志功能

NAT444用户日志是为了满足互联网用户溯源的需要，在NAT444地址转换中，对每个用户的私网IP地址进行端口块分配或回收时，都会输出一条基于用户的日志，记录私网IP地址和端口块的映射关系。在进行用户溯源时，只需根据报文的公网IP地址和端口找到对应的端口块分配日志信息，即可确定私网IP地址。

有两种情况可以触发设备输出NAT444用户日志：

·     端口块分配：端口块静态映射方式下，在某私网IP地址的第一个新建连接通过端口块进行地址转换时输出日志；端口块动态映射方式下，在为某私网IP地址分配端口块或增量端口块时输出日志。

·     端口块回收：端口块静态映射方式下，在某私网IP地址的最后一个连接拆除时输出日志；端口块动态映射方式下，在释放端口块资源（并删除端口块表项）时输出日志。

在配置NAT444用户日志功能前，必须先配置将用户定制日志发送到日志主机的功能，否则无法产生NAT444用户日志。详细配置请参见“网络管理和监控配置指导”中的“信息中心”。

表1-17 配置NAT444用户日志功能

操作	命令	说明
进入系统视图	system-view	-
开启NAT日志功能	nat log enable [ acl { acl-number | name acl-name } ]	缺省情况下，NAT日志功能处于关闭状态 ACL参数对NAT444用户日志功能无效
开启端口块分配的NAT444用户日志功能	nat log port-block-assign	二者至少选其一 缺省情况下，分配和回收端口块时，均不输出NAT444用户日志
开启端口块回收的NAT444用户日志功能	nat log port-block-withdraw

 

1.9.3  配置NAT444告警信息日志功能

在NAT444地址转换中，如果可为用户分配的公网IP地址、端口块或端口块中的端口都被占用，则该用户的后续连接由于没有可用的资源无法对其进行地址转换，相应的报文将被丢弃。为了监控公网IP地址和端口块资源的使用情况，可以对端口用满和资源用满两种情况记录告警信息日志。

·     端口用满告警：在私网IP地址对应的端口块中的所有端口都被占用的情况下，输出告警信息日志。对于端口块动态映射方式，如果配置了增量端口块分配，则当首次分配的端口块中的端口都被占用时，并不输出日志；只有当增量端口块中的端口也都被占用时，才会输出日志。

·     资源用满告警：在NAT444端口块动态映射中，如果所有资源（公网IP地址、端口块）都被占用，则输出日志。

在配置NAT444告警信息日志功能前，必须先配置将用户定制日志发送到日志主机的功能，否则无法产生NAT444告警信息日志。详细配置请参见“网络管理和监控配置指导”中的“信息中心”。

表1-18 配置NAT444告警信息日志功能

操作	命令	说明
进入系统视图	system-view	-
开启NAT日志功能	nat log enable [ acl { acl-number | name acl-name } ]	缺省情况下，NAT日志功能处于关闭状态 ACL参数对NAT444告警信息日志功能无效
开启NAT444告警信息的日志功能	nat log alarm	缺省情况下，NAT444告警信息日志功能处于关闭状态

 

1.9.4  配置动态NAT444端口块使用率的阈值

创建动态端口块表项时，若端口块的使用率大于阈值，系统会输出告警日志。

表1-19 配置动态NAT444端口块使用率的阈值

操作	命令	说明
进入系统视图	system-view	-
配置动态NAT444端口块使用率的阈值	nat log port-block usage threshold threshold-value	缺省情况下，动态NAT444的端口块使用率的阈值为90%

 

1.10  开启NAT转换失败发送ICMP差错报文功能

缺省情况下，设备在NAT转换失败时，不发送ICMP差错报文，既可以减少网络上的无用报文，节约带宽，还可以避免将防火墙IP地址暴露在公网侧。

使用traceroute功能时，需要用到ICMP差错报文，需要开启发送ICMP差错报文的功能。

表1-20 开启NAT转换失败发送ICMP差错报文功能

操作	命令	说明
进入系统视图	system-view	-
开启设备NAT转换失败发送ICMP差错报文功能	nat icmp-error reply	缺省情况下，NAT转换失败时，设备不发送ICMP差错报文

 

1.11  NAT显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示NAT配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除NAT表项。

表1-21 NAT显示和维护

操作	命令
显示NAT ALG功能的开启状态	display nat alg
显示所有的NAT配置信息	display nat all
显示NAT地址组的配置信息	display nat address-group [ group-number ]
显示NAT DNS mapping的配置信息	display nat dns-map
显示NAT EIM表项信息	display nat eim [ slot slot-number ]
显示NAT入接口动态地址转换关系的配置信息	display nat inbound
显示NAT日志功能的配置信息	display nat log
显示NAT NO-PAT表项信息	display nat no-pat [ slot slot-number ]
显示NAT出接口动态地址转换关系的配置信息	display nat outbound
显示NAT内部服务器的配置信息	display nat server
显示NAT内部服务器组的配置信息	display nat server-group [ group-number ]
显示NAT会话	display nat session [ { source-ip source-ip | destination-ip destination-ip } * ] [ slot slot-number ] [ verbose ]
显示NAT静态地址转换的配置信息	display nat static
显示NAT统计信息	display nat statistics [ summary ] [ slot slot-number ]
显示NAT444端口块静态映射的配置信息	display nat outbound port-block-group
显示NAT端口块组配置信息	display nat port-block-group [ group-number ]
显示端口块表项	display nat port-block { dynamic | static } [ slot slot-number ]
显示动态NAT444地址组中端口块的使用率	display nat port-block-usage [ address-group group-id ] [ slot slot-number ]
删除NAT会话	reset nat session [ slot slot-number ]

 

1.12  NAT典型配置举例

1.12.1  内网用户通过NAT地址访问外网（静态地址转换）

1. 组网需求

内部网络用户10.110.10.8/24使用外网地址202.38.1.100访问Internet。

2. 组网图

图1-7 静态地址转换典型配置组网图

 

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置内网IP地址10.110.10.8到外网地址202.38.1.100之间的一对一静态地址转换映射。

<AC> system-view

[AC] nat static outbound 10.110.10.8 202.38.1.100

# 使配置的静态地址转换在接口Vlan-interface20上生效。

[AC] interface vlan-interface 20

[AC-Vlan-interface20] nat static enable

4. 验证配置

# 以上配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证以上配置成功。

[AC] display nat static

Static NAT mappings:

  Totally 1 outbound static NAT mappings.

  IP-to-IP:

    Local IP     : 10.110.10.8

    Global IP    : 202.38.1.100

    Config status: Active

 

Interfaces enabled with static NAT:

  Totally 1 interfaces enabled with static NAT.

  Interface: Vlan-interface20

    Config status: Active

# 通过以下显示命令，可以看到Client访问某外网服务器时生成NAT会话信息。

[AC] display nat session verbose

Initiator:

  Source      IP/port: 10.110.10.8/42496

  Destination IP/port: 202.38.1.111/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: Vlan-interface10

Responder:

  Source      IP/port: 202.38.1.111/42496

  Destination IP/port: 202.38.1.100/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: Vlan-interface20

State: ICMP_REPLY

Application: INVALID

Start time: 2012-08-16 09:30:49  TTL: 27s

Initiator->Responder:            5 packets        420 bytes

Responder->Initiator:            5 packets        420 bytes

 

Total sessions found: 1

1.12.2  内网用户通过NAT地址访问外网（动态地址转换）

1. 组网需求

·     某公司内网使用的IP地址为192.168.0.0/16。

·     该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。

·     需要实现，内部网络中192.168.1.0/24网段的用户可以访问Internet，其它网段的用户不能访问Internet。使用的外网地址为202.38.1.2和202.38.1.3。

2. 组网图

图1-8 内网用户通过NAT访问外网

 

 

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置地址组0，包含两个外网地址202.38.1.2和202.38.1.3。

<AC> system-view

[AC] nat address-group 0

[AC-address-group-0] address 202.38.1.2 202.38.1.3

[AC-address-group-0] quit

# 配置ACL 2000，仅允许对内部网络中192.168.1.0/24网段的用户报文进行地址转换。

[AC] acl basic 2000

[AC-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[AC-acl-ipv4-basic-2000] quit

# 在接口Vlan-interface20上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。

[AC] interface vlan-interface 20

[AC-Vlan-interface20] nat outbound 2000 address-group 0

4. 验证配置

以上配置完成后，Client A能够访问WWW server，Client B无法访问WWW server。通过查看如下显示信息，可以验证以上配置成功。

[AC] display nat all

NAT address group information:

  Totally 1 NAT address groups.

  Address group 0:

    Port range: 1-65535

    Address information:

      Start address         End address

      202.38.1.2            202.38.1.3

 

NAT outbound information:

  Totallu 1 NAT outbound rules.

  Interface: Vlan-interface20

    ACL: 2000

    Address group: 0

    Port-preserved: N    NO-PAT: N         Reversible: N

    Config status: Active

 

NAT logging:

  Log enable          : Disabled

  Flow-begin          : Disabled

  Flow-end            : Disabled

  Flow-active         : Disabled

  Port-block-assign   : Disabled

  Port-block-withdraw : Disabled

  Alarm               : Disabled

 

NAT mapping behavior:

  Mapping mode : Address and Port-Dependent

  ACL          : ---

  Config status: Active

 

NAT ALG:

  DNS        : Enabled

  FTP        : Disabled

  H323       : Disabled

  ICMP-ERROR : Enabled

  ILS        : Disabled

  MGCP       : Disabled

  NBT        : Disabled

  PPTP       : Enabled

  RTSP       : Enabled

  RSH        : Disabled

  SCCP       : Disabled

  SIP        : Disabled

  SQLNET     : Disabled

  TFTP       : Disabled

  XDMCP      : Disabled

# 通过以下显示命令，可以看到Client A访问WWW server时生成NAT会话信息。

[AC] display nat session verbose

Initiator:

  Source      IP/port: 192.168.1.10/52992

  Destination IP/port: 200.1.1.10/2048

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: Vlan-interface10

Responder:

  Source      IP/port: 200.1.1.10/4

  Destination IP/port: 202.38.1.3/0

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: ICMP(1)

  Inbound interface: Vlan-interface20

State: ICMP_REPLY

Application: INVALID

Start time: 2012-08-15 14:53:29  TTL: 12s

Initiator->Responder:            1 packets         84 bytes

Responder->Initiator:            1 packets         84 bytes

 

Total sessions found: 1