你说的比较模糊，我给你个例子，你看看怎么样
#
//用户NAT的地址池
nat address-group 1 20210013 20210016
#
//配置允许进行NAT转换的内网地址段
acl number 2000
rule 0 permit source 19216800 000255
rule 1 deny
#
interface GigabitEthernet0/0
port link-mode route
//在出接口上进行NAT转换
nat outbound 2000 address-group 1
//在出接口上配置内网服务器19216802的>
给你做了一个，请下载附件，服务器地址是19216851，在总公司访问 >
另外，我还做了限制，员工之间不能互访，但是先声明，相同网段之内是无法做限制的
1、网络环境介绍视频终端A：IP：192168330 （内网）
NAT服务器：华为路由器WS5200 有NAT服务功能
WAN IP ：19216808 （对外网的IP地址）
LAN IP：19216831 （内网IP地址，内网网关地址）
视频终端B：19216802 （外网地址）
A：192168330----------------LAN：19216831 || NAT（路由器）||WAN：19216808 ------------------B：19216802
当前网络环境
A直接能ping通B的IP地址
A：ping 19216802 能通
B ping 不通A的IP地址
点对点会议中：A呼叫B
A发送到B的音频目的端口：60040
A发送到B的视频目的端口：60042
路由器NAT服务配置如下：（只贴了音频端口配置的截图）
NAT服务配置好后
终端A配置静态NAT IP地址
终端A配置静态NAT IP地址：19216808（就是路由器的WAN口地址）
此时发出的包，源IP地址就会变成19216808
路由器接收到的60040端口的UDP数据包，就会发送到映射的内网地址端口号上。实现网络穿越。
配置完后，可以用终端A直接IP呼叫终端B，实现音视频码流的网络穿越。
注：终端B无法呼叫终端A，只能通过终端A主呼。（一）相关概念
为了更好地认识NAT技术，我们先了解一下它所涉及的几个概念。
1．内部局部地址 在内部网上分配到一个主机的IP地址。这个地址可能不是一个有网络信息中心（NIC）或服务提供商所分配的合法IP地址。
2．内部全局地址 一个合法的IP地址（由NIC或服务供应商分配），对应到外部世界的一个或多个本地IP地址。
3．外部局部地址 出现在网络内的一个外部主机的IP地址，不一定是合法地址，它可以在内部网上从可路由的地址空间进行分配。
4．外部全局地址 由主机拥有者在外部网上分配给主机的IP地址，该地址可以从全局路由地址或网络空间进行分配。图1展示了NAT相关术语的图解。
对于NAT技术，提供4种翻译地址的方式，如下所示。
（二）4种翻译方式
1．静态翻译 是在内部局部地址和内部全局地址之间建立一对一的映射。
2．动态翻译 是在一个内部局部地址和外部地址池之间建立一种映射。
3．端口地址翻译 超载内部全局地址通过允许路由器为多个局部地址分配一个全局地址，也就是将多个局部地址映射为一个全局地址的某一端口，因此也被称为端口地址翻译（PAT）。
4．重叠地址翻译 翻译重叠地址是当一个内部网中使用的内部局部地址与另外一个内部网中的地址相同，通过翻译，使两个网络连接后的通信保持正常。
在实际使用中，通常需要以上几种翻译方式配合使用。
二、让典型应用“说话”
现在，我们以常见Cisco路由器为例，阐述典型应用中NAT技术的实现。
1．配置共享IP地址
应用需求：当您需要允许内部用户访问Internet，但又没有足够的合法IP地址时，可以使用配置共享IP地址连接Internet的NAT转换方式。
图2是配置内部网络1010100/24通过重载一个地址17216101/24访问外部网络的全过程。如果有多个外部地址，可以利用动态翻译进行转换，这里就不多做说明了。清单1展示了具体配置方法。
NAT路由器配置清单1
interface ethernet 0
ip address 101010254 2552552550
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 172161064 2552552550
ip nat outside
!-- 定义外部转换接口
ip nat pool ovrld 17216101 17216101 prefix 24
!-- 定义名为ovrld的NAT地址池和地址池重的地址17216101
ip nat inside source list 1 pool ovrld overload
!--指出被 access-list 1 允许的源地址会转换成NAT地址池ovrld中的地址并且转换会被内部多个机器重载成一个相同的IP地址。
access-list 1 permit 1010100 00031
!-- Access-list 1 允许地址1010100到101010255进行转换
NAT路由器配置清单2
interface ethernet 0
ip address 101010254 2552552550
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 1721620254 2552552550
ip nat outside
!-- 定义外部转换接口
ip nat inside source static 1010101 17216201
!-- 指定将地址1010101静态转换为17216201
适用范围：这种情况适合于通信都是由内部用户向Internet发起的应用。
例如小型企业多个用户通过共享xDSL连接Internet。另外，也可以用软件进行NAT转换，Windows 2000的 *** 作系统就有这样的功能。至于内部用户数量较多的情况，建议使用代理服务器。
2．配置在Internet上发布的服务器
应用需求：当您需要将内部设备发布到Internet上时，可以使用配置在Internet上发布的服务器的NAT转换方式。
图3是将内部网络的邮件服务器（IP地址为1010101/24）发布到外部网络的全过程，使用静态翻译可以实现这种转换。清单2展示了具体配置方法。
适用范围：这种情况适合于访问是从外部网络向内部设备发起的应用。
3．配置端口映射
应用需求：假设您在Internet上发布一台在内部网络的Web服务器，服务器配置成监听8080端口，您需要把外部网络对Web服务器80端口的访问请求重定向。
图4为配置端口映射示意图，清单3展示了具体配置方法。
4．配置TCP传输
应用需求：TCP传输装载共享是与地址匮乏无关的问题，它将数个设备的地址映射成一个虚拟设备的地址，从而实现设备间的负载均衡。
图5是将地址从1010102到10101015的真实设备映射成虚拟1010101地址的全过程。清单4展示了具体配置方法。
5．真实应用案例
应用需求：笔者所在的单位内部的局域网已建成，并稳定运行着各种应用系统。随着业务的发展，需要实施一个数据中心在外单位的新应用。出于安全方面的考虑，不能够对现有网络结构进行大的调整和改动；另外，由于资金方面的原因，需要尽可能地节省设备等方面的投入。
应用现状：我单位内部网结构如下：具有3个VLAN。VLAN 1（即1011X），使用单位内部应用系统，与数据中心没有数据交换；VLAN 2（即1022X），使用数据中心提供的应用系统，约有100台机器；VLAN 3（即1033X），只用2台机器使用数据中心提供的应用，分别是10331和10332。
数据中心提供一台Cisco 3640，Serial口与数据中心通过HDSL连接，分配的地址分别是1921682521和255255255252，FastEthernet口与单位内部局域网连接，分配的地址分别是19216810和2552552550。
实施方案：由于不打算更改内部网的结构，所以将内部网地址作为内部局部地址，数据中心分配的地址作为内部全局地址，实施NAT应用。另外NAT需要两个端口，一个做为inside，另一个做为outside，因此考虑使用FastEthernet口做inside，Serial口做outside。图6 为本单位NAT技术的应用图。
利用以上设置，我们成功实现了内部地址的翻译转换，并实现了在不改变现有网络结构的情况下与数据中心连网的目标。
三、有比较有选择
1．与代理服务器的比较
用户经常把NAT和代理服务器相混淆。NAT设备对源机器和目标机器都是透明的，地址翻译只在网络边界进行。代理服务器不是透明的，源机器知道它需要通过代理服务器发出请求，而且需要在源机器上做出相关的配置，目标机器则以为代理服务器就是发出请求的源机器，并将数据直接发送到代理服务器，由代理服务器将数据转发到源机器上。
NAT路由器配置清单3
interface ethernet 0
ip address 101010254 2552552550
ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 1721630254 2552552550
ip nat outside
!-- 定义外部转换接口
ip nat inside source static tcp 1010108 8080 17216308 80
!-- 指定将地址1010108:8080静态转换为17216308:80
NAT路由器配置清单4
interface ethernet 0
ip address 10101017 2552552550ip nat inside
!-- 定义内部转换接口
interface serial 0
ip address 101010254 2552552550ip nat outside
!-- 定义外部转换接口
ip nat pool real-hosts 1010102 10101015 prefix-length 28 type rotaryip nat inside destination list 1 pool real-hosts
!--定义地址池real-hosts地址范围是从1010102到10101015
!--指定将地址将地址池real-hosts转换为1010101
access-list 1 permit 1010101
代理服务器工作在OSI模型的第4层传输层，NAT则是工作在第3层网络层，由于高层的协议比较复杂，通常来说，代理服务器比NAT要慢一些。
但是NAT比较占用路由器的CPU资源，加上NAT隐藏了IP地址，跟踪起来比较困难，不利于管理员对内部用户对外部访问的跟踪管理和审计工作。所有NAT技术只适用于内部用户数量较少的应用，如果访问外部网络的用户数量大，而且管理员对内部用户有访问策略设置和访问情况跟踪的应用，还是使用代理服务器较好一些。
NAT路由器配置清单5
interface fastethernet 1/0
ip nat inside
!-- 定义内部转换接口
interface serial 0/0
ip address 1921682521 255255255252
ip address 1921681254 2552552550 secondary
ip nat outside
!-- 为节省端口，将数据中心提供的地址全部绑在Serial口
ip nat pool ToCenter 19216811 1921681253 prefix-length 24
ip nat inside source list 1 pool ToCenter
!-- 建立动态源地址翻译，指定在前一步定义的访问列表
access-list 1 permit 10331
access-list 1 permit 10332
access-list 1 permit 10220 000255
!-- 定义一个标准的访问列表，对允许访问数据中心的地址进行翻译
2．与防火墙比较
防火墙是一个或一组安全系统，它在网络之间执行访问控制策略。防火墙对流经它的网络通信数据进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，禁止特定端口的流出通信，封锁特洛伊木马等。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
一般的防火墙都具有NAT功能，或者能和NAT配合使用。应用到防火墙技术中的NAT技术可以把个别IP地址隐藏起来不被外界发现，使外界无法直接访问内部网络设备。作为网络安全的一个重要手段，是选用单纯的NAT技术还是带NAT技术的防火墙，要从几个方面考虑：
一是您的企业和运营机构如何运用访问控制策略，是为了明确地拒绝除对于连接到网络至关重的服务之外的所有服务，还是为了访问提供一种计量和审计的方法；
二是您对企业网需要何种程度的监视、冗余度以及控制水平；
三则是财务上的考虑，一个高端完整的防火墙系统是十分昂贵的。是否采用防火墙需要在易用性、安全性和预算之间做出平衡的决策。
四、安全中的不安全
我们可以从以下几个方面窥视NAT技术的安全性问题。
1．NAT只对地址进行转换而不进行其他 *** 作，因此，当您建立了与外部网络的连接时，NAT不会阻止任何从外部返回的恶意破坏信息。
2．虽然NAT隐藏了端到端的IP地址，但它并不隐藏主机信息。例如您通过NAT设备访问Windows Streaming Media服务器，您会发现服务器记录的不仅是您的主机名，还有您的内部IP地址和 *** 作系统。
3．Internet上的恶意攻击通常针对机器的“熟知端口”，如>说明
服务器由一台安装有Windows Server 2012 Datacenter的双网卡计算机充当，一个网卡接校园网并自动获得地址，另一个网卡设置为LAN，设置一个私有地址，例如192168101，并配置DHCP服务器，设置DHCP的作用域地址范围为192168102～254、子网掩码为2552552550、网关为192168101，DNS为校园网DNS。
LAN口网卡连接到一个普通的交换机上，然后将宽带路由器的LAN口(一般4个WAN口、1个LAN口)接到普通交换机上，并将宽带路由器的DHCP功能禁用。这样平板、手机将通过宽带路由器、并从Windows 2012服务器的DHCP获得IP地址、子网掩码、网关。而工作站1、工作站2则设置为“自动获取IP地址与DNS地址”即可。
一、安装远程访问服务
(1)在WindowsServer 2012中，打开“网络连接”，分别设置lan(连接到局域网)与wan(连接到广域网)网卡的地址
（2）配置DHCP服务器
（3）在“服务器管理器→仪表板”中，单击“添加角色和功能”
（4）在“选择安装类型”对话框，单击“基于角色或基于功能的安装”
（5）在“选择目标服务器”对话框，选择要安装RRAS的服务器。当前列表中只有一台服务器，如果有多台服务器，可以在此选择要安装的服务器。
（6）在“选择服务器角色”对话框单击“远程访问”
（7）在d出的“添加远程访问所需的功能”对话框，单击“添加功能”按钮
（8）在“选择功能”对话框，单击“下一步”按钮
（9）在“远程访问”对话框显示了要安装的功能概述
(10)在“选择角色服务”对话框中选中“DirectAccess和”及“路由”复选框
(11)在“确认安装所选内容”对话框，单击“安装”按钮，开始安装。如果选中“如果需要，自动重新启动目标服务器”单选框，在安装服务的时候，如果该安装需要重新启用服务器，安装程序会自动启动服务器。
(12)在“安装进度”中单击“关闭”按钮，安装完成
(13)返回到服务器管理器，单击图标，选择“打开开始向导”
(14)在“配置远程访问”中单击“仅部署DirectAccess”链接
（15）在“远程访问服务器设置”对话框，单击“取消”按钮NAT有三种SNAT，DNAT和PNAT。
先简单介绍下。SNAT（源地址转换）：目标地址不免，改写源地址，实现内网多用户使用同一个公网IP上网的情况。DNAT（目标地址转换）：源地址不变重新修改目标地址。PNAT（端口映射）：在DNAT基础上，实现内网IP端口对外网监听。
SNAT的实现方式：
先把Linux系统ipv4数据包的转发功能打开，系统就有了路由功能。
[root@localhost ~]# echo 1 > /proc/sys/net/ipv4/ip_forward
添加iptables的nat表项
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192168110/24 -j SNAT --to-source 20210xxxx
表示在postrouting链上，将内网源地址为192168110/24网段的数据包的源地址都转换为公网IP 20210xxxx。这样SNAT配置完毕，可以测试上网了。做NAT服务器的内网IP 19216811x 就是内网主机需要配置的网关地址。当然纯内网环境下，转换的成的IP也可以是另一个内网网段的IP。
SNAT还有一个常用选项：MASQUERADE。此选项可以用在动态获取IP地址的主机，如家用宽带拨号上网的主机。
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192168110/24 -o eth1 -j MASQUEREADE
在这里-o后面的网卡名是指定出去的接口，MASQUEREADE会调用该接口的地址作为转换后的源地址。
DNAT转换不多介绍了，用到的时候不多，格式如下：
[root@localhost ~]# iptables -t nat -A PREROUTING -d 20210xxXX -p tcp –-dport 8080 -j DNAT –-to-destination 19216811128:80
感兴趣的可以在网上搜一下nat原理。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）