- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
05-H3C MSR系列路由器 内网用户通过NAT地址访问地址重叠的外网典型配置举例
本章节下载： 05-H3C MSR系列路由器 内网用户通过NAT地址访问地址重叠的外网典型配置举例 (201.17 KB)
H3C MSR系列路由器
内网用户通过NAT地址访问地址重叠的外网配置举例
Copyright © 2024 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
本文档介绍MSR系列路由器内网用户通过NAT地址访问地址重叠的外网典型配置举例。
本文档适用于使用Comware V7软件版本的MSR系列路由器，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解NAT特性。
如图1所示，Router作为某公司内网访问外网的网关，内网网段与外网Web server所在网段地址重叠。该公司拥有202.38.1.2和202.38.1.3两个公网地址。现要求Host可以通过域名访问外网的Web server。
图1 内网用户通过NAT地址访问地址重叠的外网典型配置组网图
· 由于外网DNS服务器回复给内网主机的Web服务器地址与内网主机地址重叠，因此NAT设备需要将Web服务器地址转换为动态分配的一个NAT地址。动态地址分配可以通过入方向动态地址转换实现，地址转换需要通过DNS ALG功能实现。
· 由于内网主机的地址与外网Web服务器的真实地址重叠，因此也需要为内网主机动态分配一个的NAT地址，可以通过出方向动态地址转换实现。
· 外网Web服务器对应的NAT地址在NAT设备上没有路由，因此需要手工添加静态路由。
本配置举例是在MSR3610-X1路由器Release 6749版本上进行配置和验证的。
# 配置路由器各接口的IP地址。
<Router> system-view
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] ip address 192.168.1.1 24
[Router-GigabitEthernet1/0/1] quit
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip address 10.0.1.1 24
[Router-GigabitEthernet1/0/2] quit
# 开启DNS协议的ALG功能。
# 配置ACL 2000，仅允许对192.168.1.0/24网段的用户报文进行地址转换。
[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Router-acl-ipv4-basic-2000] quit
# 创建地址组1。
# 添加地址组成员202.38.1.2。
[Router-nat-address-group-1] address 202.38.1.2 202.38.1.2
[Router-nat-address-group-1] quit
# 创建地址组2。
# 添加地址组成员202.38.1.3。
[Router-nat-address-group-2] address 202.38.1.3 202.38.1.3
[Router-nat-address-group-2] quit
# 在接口GigabitEthernet1/0/2上配置入方向动态地址转换，允许使用地址组1中的地址对DNS应答报文载荷中的外网地址进行转换，并在转换过程中不使用端口信息，以及允许反向地址转换。
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] nat inbound 2000 address-group 1 no-pat reversible
# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组2中的地址对内网访问外网的报文进行源地址转换，并在转换过程中使用端口信息。
[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 2
[Router-GigabitEthernet1/0/2] quit
# 配置静态路由，目的地址为外网服务器NAT地址202.38.1.2，出接口为GigabitEthernet1/0/2，下一跳地址为10.0.1.1。
[Router] ip route-static 202.38.1.2 32 gigabitethernet 1/0/2 10.0.1.1
# 以上配置完成后，Host能够通过域名访问Web server。在路由器上通过display nat all命令显示NAT配置信息。
NAT address group information:
Totally 2 NAT address groups.
Address group 1:
Port range: 1-65535
Address information:
Start address End address
202.38.1.2 202.38.1.2
Address group 2:
Port range: 1-65535
Address information:
Start address End address
202.38.1.3 202.38.1.3
NAT inbound information:
Totally 1 NAT inbound rules.
Interface: GigabitEthernet1/0/2
ACL: 2000
Address group ID: 1
Add route: N NO-PAT: Y Reversible: Y
NAT counting: 0
Config status: Active
NAT outbound information:
Totally 1 NAT outbound rules.
Interface: GigabitEthernet1/0/2
ACL: 2000
Address group ID: 2
Port-preserved: N NO-PAT: N Reversible: N
NAT counting: 0
Config status: Active
NAT logging:
Log enable : Disabled
Flow-begin : Disabled
Flow-end : Disabled
Flow-active : Disabled
Port-block-assign : Disabled
Port-block-withdraw : Disabled
Alarm : Disabled
NO-PAT IP usage : Disabled
NAT mapping behavior:
Mapping mode: Address and Port-Dependent
ACL : ---
Config status: Active
NAT ALG:
DNS : Enabled
FTP : Enabled
H323 : Enabled
ICMP-ERROR : Enabled
ILS : Enabled
MGCP : Enabled
NBT : Enabled
PPTP : Enabled
RTSP : Enabled
RSH : Enabled
SCCP : Enabled
SCTP : Enabled
SIP : Enabled
SQLNET : Enabled
TFTP : Enabled
XDMCP : Enabled
Static NAT load balancing: Disabled
NAT link-switch recreate-session: Disabled
NAT configuration-for-new-connection: Disabled
NAT global-policy compatible-previous-version rule-type ipv4-snat-and-dnat trans
late-before-secp : Disabled
# 通过display nat session verbose命令显示NAT会话的详细信息，可以看到Host访问Web server时生成NAT会话信息。
[Router] display nat session verbose
Slot 1:
Initiator:
Source IP/port: 192.168.1.10/1694
Destination IP/port: 202.38.1.2/8080
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet1/0/1
Responder:
Source IP/port: 192.168.1.10/8080
Destination IP/port: 202.38.1.3/1025
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet1/0/2
State: TCP_ESTABLISHED
Application: HTTP
Rule ID: -/-/-
Rule name:
Start time: 2013-08-15 14:53:29 TTL: 3597s
Initiator->Responder: 7 packets 308 bytes
Responder->Initiator: 5 packets 312 bytes
Total sessions found: 1
#
interface GigabitEthernet1/0/1
port link-mode route
ip address 192.168.1.1 255.255.255.0
#
interface GigabitEthernet1/0/2
port link-mode route
ip address 10.0.1.1 255.255.255.0
nat inbound 2000 address-group 1 no-pat reversible
nat outbound 2000 address-group 2
#
ip route-static 202.38.1.2 32 GigabitEthernet1/0/2 10.0.1.1
#
acl number 2000
rule 0 permit source 192.168.1.0 0.0.0.255
#
nat address-group 1
address 202.38.1.2 202.38.1.2
#
nat address-group 2
address 202.38.1.3 202.38.1.3
#
· 《H3C MSR 系列路由器 配置指导(V7)》中的“三层技术-IP业务配置指导”
· 《H3C MSR 系列路由器 命令参考(V7)》中的“三层技术-IP业务命令参考”
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
