NAT端口映射

配置实现Intranet通过DDN专线共享全局地址访问Internet，并使用合法地址202.128.62.33对外发布Web和FTP服务。网络拓扑如图8-8所示。Intranet内部采用专用网络地址192.168.1.0，子网掩码 255.255.255.0。申请到的合法Internet地址为202.128.62.33～202.128.62.62子网掩码255.255.255.224，广域网口地址为201.6.2.5 255.255.255.252（即所在的子网为201.6.2.4/30）广域网口封装HDLC。通过动态地址转换使内网的主机均可访问Internet。

  图8-8 静态和动态NAT的基本配置

配置思路：Intranet通过DDN专线共享全局地址访问Internet使用Port NAT实现；使用合法地址202.128.62.33对外发布Web和FTP服务是使用静态地址-端口转换实现。

a. 内部主机访问Internet的配置步骤

配置局域网口IP地址指定内部端口：

router(config)#interface f 0/0

router(config-if)#ip address 192.168.1.1 255.255.255.0

router(config-if)#no shutdown

router(config-if)#ip nat inside

配置广域网口IP地址指定外部端口：

router(config)#interface s1/0

router(config-if)# ip address 201.6.2.5 255.255.255.252

router(config-if)#ip nat outside

router(config-if)# no shutdown

封装HDLC协议：

router(config-if)# encapsulation hdlc

设置允许访问的内部IP地址列表：

router(config)#access list 1 permit 192.168.1.0  0.0.0 .255

配置全局IP地址池ssss：

router(config)#ip nat pool ssss 202.128.62.34 202.128.62.62 NETMASK 255.255.255.224

配置端口地址转换：

router(config)# ip nat inside source list 1 pool ssss overload

启用RIP版本2，配置RIP路由：

router(config)# router rip

router(config-router)# version 2

router(config-router)# network 192.168.1.0

router(config-router)# network 201.6.2.4

配置默认IP路由：

router(config)# ip route 0.0.0 .0 0.0.0.0 serial 1/0

因为本例是点到点的专线连接，不用配置RIP，只配置默认路由也可。

b.发布Web和FTP的配置

由于要用一个合法地址提供两种服务，故使用TCP静态地址-端口转换配置：

router(config)#ip nat inside source static tcp 192.168.1.2 80 202.128.62.33 80//Web局部到全局地址-端口转换

router(config)#ip nat inside source static tcp 192.168.1.2 21 202.128.62.33 21//FTP局部到全局地址-端口（控制端口）转换

router(config)#ip nat inside source static tcp 192.168.1.2 20 202.128.62.33 20//FTP局部到全局地址-端口（数据端口）转换