- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
03-NAT66配置
本章节下载： 03-NAT66配置 (228.61 KB)
目 录
1.6.1 IPv6内网用户通过转换后的地址前缀访问外网配置举例
1.6.2 IPv6内网用户在内网侧通过转换后的地址前缀访问外网配置举例
1.6.3 IPv6外网用户通过转换后的地址前缀访问内网服务器配置举例
NAT66（IPv6-to-IPv6 Network Address Translation，IPv6-to-IPv6网络地址转换）是基于IPv6网络的地址转换技术，用于将IPv6报文中的IPv6地址转换为另一个IPv6地址。在实际应用中，NAT66主要应用在连接两个IPv6网络的边缘设备上，用于实现允许内部网络用户访问外部公共网络以及允许外部公共网络访问部分内部网络资源（例如内部服务器）的目的。
NAT66前缀转换（IPv6-to-IPv6 Network Prefix Translation，NPTv6，IPv6-to-IPv6网络前缀转换）是NAT66的一种实现方式，其将报文头中的IPv6地址的前缀替换为另一个IPv6地址前缀，实现IPv6地址转换。NAT66前缀转换提供两种地址转换方式：源地址转换和目的地址转换。前者应用在内部网络主动访问外部网络的场景中；后者应用在内部网络向外部网络提供服务，并由外部网络主动访问这些服务的场景中。
NAT66源地址转换功能主要应用在如下场景中：
· 单个内部网络和外部网络。使用NAT66设备连接单个内部网络和公网，内部网络中的主机使用仅支持在本地范围内路由的IPv6地址前缀。当内部网络中的主机访问外部网络时，报文中的源IPv6地址前缀将被NAT66设备转换为全球单播IPv6地址前缀。
· 冗余和负载分担。一个IPv6网络去往另外一个IPv6网络的边缘位置存在多个NAT66设备，通过NAT66设备去往另一个IPv6网络的路径形成了等价路由，流量可以在这些NAT66设备上进行负载分担。这种情况下，可以在这些NAT66设备上配置相同的源地址转换规则，使得任意一台NAT66设备都可以处理不同站点间的IPv6流量。
· 多宿主。在多宿主的网络环境中，NAT66设备连接一个内部网络，同时连接到不同的外部网络。可以在NAT66设备的各个外网侧接口上配置地址转换，将同一个内网地址转换成不同的外网地址，实现同一个内部地址到多个外部地址的映射。
NAT66目的地址转换功能用于内网中的服务器对外部网络提供服务的场景中，例如给外部网络提供Web服务或FTP服务。通过在NAT66设备外网侧接口上配置内部服务器地址和外网地址的映射关系，外部网络用户能够通过指定的外网地址来访问内网服务器。
ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的解析和处理。通常情况下，NAT66只对报文头中的IPv6地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析和处理。然而对于一些应用层协议，它们的报文的数据载荷中可能包含IPv6地址或端口信息，这些载荷信息也必须进行有效的转换，否则可能导致功能不正常。
例如，FTP（File Transfer Protocol，文件传输协议）应用由FTP客户端与FTP服务器之间建立的数据连接和控制连接共同实现，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置完成载荷信息的转换，以保证后续数据连接的正确建立。
目前，NAT66支持对FTP、SIP、H323、RTSP报文和ICMP差错报文进行ALG处理。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置IPv6源地址转换的前缀映射关系。
nat66 prefix source original-ipv6-prefix original-prefix-length [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ vpn-instance translated-vpn-instance-name ] [ pat ] [ inbound ]
缺省情况下，未配置IPv6源地址转换前缀映射关系。
配置本命令的注意事项请参见命令手册。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置IPv6目的地址转换的前缀映射关系。
（命令形式一）
nat66 prefix destination original-ipv6-prefix prefix-length [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix prefix-length [ vpn-instance translated-vpn-instance-name ]
（命令形式二）
nat66 prefix destination protocol pro-type original-ipv6-prefix original-prefix-length [ global-port ] [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ local-port ] [ vpn-instance translated-vpn-instance-name ]
缺省情况下，未配置IPv6目的地址转换的前缀映射关系。
配置本命令的注意事项请参见命令手册。
可在任意视图下执行以下命令：
· 显示所有的NAT66配置信息。
display nat66 all
· 显示NAT66会话，即经过NAT66地址转换处理的会话。
display nat66 session [ slot slot-number ] [ verbose ]
· 显示NAT66统计信息。
display nat66 statistics [ summary ] [ slot slot-number ]
请在用户视图下执行以下命令，删除NAT66会话。
reset nat66 session [ slot slot-number ]
某公司为了隐藏内部网络，为用户分配的IPv6地址的前缀为FD01:0203:0405::/48，使用该地址前缀的IPv6地址为唯一本地地址，不可在互联网上路由。为了使内网网络用户能够访问互联网上的FTP服务器，将内网用户使用的IPv6地址前缀转换为2001:0DF8:0001::/48。
图1-1 IPv6内网用户通过转换后的地址前缀访问外网配置组网图
# 配置接口IPv6地址、路由、安全域及安全策略保证网络可达，具体配置步骤略。
# 配置IPv6源地址转换的前缀映射关系，将IPv6地址前缀FD01:0203:0405::/48转换为2001:0DF8:0001::/48。
<Device> system-view
[Device] interface gigabitethernet 0/0/2
[Device-GigabitEthernet0/0/2] nat66 prefix source fd01:0203:0405:: 48 2001:0df8:0001:: 48
[Device-GigabitEthernet0/0/2] quit
# 以上配置完成后，内网主机能够访问FTP server。通过查看如下显示信息，可以验证以上配置成功。
[Device] display nat66 all
NAT66 source information:
Totally 1 source rules.
Interface(outbound): GigabitEthernet0/0/2
Original prefix/prefix-length: FD01:203:405::/48
Translated prefix/prefix-length: 2001:DF8:1::/48
# 通过以下显示命令，可以看到内部主机访问外部FTP server时生成NAT66会话信息。
<Device> display nat66 session verbose
Slot 1:
Initiator:
Source IP/port: FD01:203:405::1/56002
Destination IP/port: 2001:DC8:1::100/21
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/1
Source security zone: Trust
Responder:
Source IP/port: 2001:DC8:1::100/21
Destination IP/port: 2001:DF8:1:D50F::1/56002
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/2
Source security zone: Untrust
State: TCP_ESTABLISHED
Application: FTP
Rule ID: 1
Rule name: 1
Start time: 2018-12-06 14:48:31 TTL: 3597s
Initiator->Responder: 0 packets 0 bytes
Responder->Initiator: 0 packets 0 bytes
Total sessions found: 1
某公司内部网络IPv6地址的前缀为FD01:0203:0405::/48，被收购后，总公司为子公司分配的IPv6地址前缀为2001:0DF8:0001::/48。子公司要访问总公司的服务器时，将内网用户使用的IPv6地址前缀转换为2001:0DF8:0001::/48。
图1-2 IPv6用户在内网侧通过转换后的地址前缀访问外网配置组网图
# 配置接口IPv6地址、路由、安全域及安全策略保证网络可达，具体配置步骤略。
# 配置入方向IPv6源地址转换的前缀映射关系，Device在GigabitEthernet0/0/1接口入方向收到IPv6地址前缀为FD01:0203:0405::/48报文时，将该前缀转换为2001:0DF8:0001::/48。
<Device> system-view
[Device] interface gigabitethernet 0/0/1
[Device-GigabitEthernet0/0/1] nat66 prefix source fd01:0203:0405:: 48 2001:0df8:0001:: 48 inbound
[Device-GigabitEthernet0/0/1] quit
# 以上配置完成后，内网主机能够访问FTP server。通过查看如下显示信息，可以验证以上配置成功。
[Device] display nat66 all
NAT66 source information:
Totally 1 source rules.
Interface(inbound): GigabitEthernet0/0/1
Original prefix/prefix-length: FD01:203:405::/48
Translated prefix/prefix-length: 2001:DF8:1::/48
# 通过以下显示命令，可以看到子公司内部主机访问总公司的FTP server时生成的NAT66会话信息。从该会话信息中可以看出子公司内部主机的IPv6地址由FD01:203:405::1转换为2001:DF8:1:D50F::1。
[Device] display nat66 session verbose
Slot 1:
Initiator:
Source IP/port: FD01:203:405::1/56002
Destination IP/port: 2001:DC8:1::100/21
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/1
Responder:
Source IP/port: 2001:DC8:1::100/21
Destination IP/port: 2001:DF8:1:D50F::1/56002
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/2
State: TCP_ESTABLISHED
Application: FTP
Rule ID: 1
Rule name: 1
Start time: 2025-02-12 14:48:31 TTL: 3597s
Initiator->Responder: 0 packets 0 bytes
Responder->Initiator: 0 packets 0 bytes
Total sessions found: 1
某公司内部对外提供FTP服务。公司内部使用的IPv6地址前缀为FD01:0203:0405::/48。其中，内部FTP服务器地址为FD01:0203:0405::100/48。需要实现如下功能：
· 外部的主机可以访问内部的FTP服务器。
· 使用2001:AB01:0001::1作为公司对外提供服务的IPv6地址。
图1-3 IPv6外网用户通过转换后的地址前缀访问内网服务器配置组网图
# 配置接口IPv6地址、路由、安全域及安全策略保证网络可达，具体配置步骤略。
# 配置IPv6目的地址转换的前缀映射关系，将IPv6地址前缀2001:AB01:0001::1/128转换为FD01:0203:0405::100/128。
<Device> system-view
[Device] interface gigabitethernet 0/0/2
[Device-GigabitEthernet0/0/2] nat66 prefix destination 2001:ab01:1::1 128 fd01:203:405::100 128
[Device-GigabitEthernet0/0/2] quit
# 以上配置完成后，外部主机能够访问FTP server。通过查看如下显示信息，可以验证以上配置成功。
[Device] display nat66 all
NAT66 destination information:
Totally 1 destination rules.
Interface(inbound): GigabitEthernet0/0/2
Original prefix/prefix-length: 2001:AB01:1::1/128
Translated prefix/prefix-length: FD01:203:405::100/128
# 通过以下显示命令，可以看到外部主机访问内部FTP server时生成NAT会话信息。
[Device] display nat66 session verbose
Slot 1:
Initiator:
Source IP/port: 2001:DC8:1::100/9025
Destination IP/port: 2001:AB01:1::1/21
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/2
Source security zone: Untrust
Responder:
Source IP/port: FD01:203:405::100/21
Destination IP/port: 2001:DC8:1::100/9025
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet0/0/1
Source security zone: Trust
State: TCP_ESTABLISHED
Application: FTP
Rule ID: 1
Rule name: 1
Start time: 2018-12-06 14:56:03 TTL: 3579s
Initiator->Responder: 0 packets 0 bytes
Responder->Initiator: 0 packets 0 bytes
Total sessions found: 1
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
