NAT基础：NAT技术原理，静态NAT、动态NAT、NAPT、Easy IP、NAT Server的原理，以及各NAT的配置方法和转换示例。
目录
NAT 技术原理：
静态NAT原理：
静态NAT（土豪用法）：
NAT转换示例：
静态NAT配置方法介绍：
1、方式一：
2、方式二：
静态NAT的配置实例：
动态NAT原理：
动态NAT转换示例（1）：
动态NAT配置介绍：
NAPT原理：
NAPT的配置方法：
查看nat映射表：
Easy IP：
Easy IP配置方法：
NAT Server（静态PAT）：
NAT Server转换示例：
NAT Server配置示例：
NAT 技术原理：
NAT：对IP数据报文中的IP地址进行转换，是一种在现网中被广泛部署的技术，一般部署在网络出口设备，例如路由器或防火墙上。
NAT的典型应用场景，在私有网络内部（园区、家庭）使用私有地址，出口设备部署NAT，对于“从内到外”的流量，网络设备通过NAT将数据包的源地址进行转换（转换成特定的公有地址），而对于“从外到内的”流量，则对数据包的目的地址进行转换。
通过私有地址的使用结合NAT技术，可以有效节约公网IPv4地址。
静态NAT原理：
静态NAT（土豪用法）：
一个私有地址对应并固定一个公有地址，现在企业几乎不会使用（因为并不会节省公网IP地址，也并不安全，因为可以直接通过公网地址找到主机。）
每个私有地址都有一个与之对应并且固定的公有地址，即私有地址和公有地址的关系是一对一的映射。
支持双向互访：
私有地址访问Internet经过出口设备NAT转换时，会被转换成对应的公有地址。同时，外部网络访问内部网络时，其报文中携带的公有地址（目的地址）也会被NAT设备转换成对应的私有地址。
NAT转换示例：
静态NAT配置方法介绍：
1、方式一：
接口视图下配置静态NAT,在连接外网的接口上配置：
给每个私有地址都配置一个公有地址，一对一转换（土豪用法）
nat static global +(gloval-address--公网地址) inside +(host-address--内网主机的私网地址)
例：
nat static global 10.10.1.1 inside 192.168.1.12、方式二：
1、系统视图下配置静态NAT：
nat static global +(global-address) inside +(host-address)配置命令相同，视图为系统视图，之后在具体的接口下开启静态NAT
2、进入需要开启NAT的接口，在接口下启用NAT static功能：
nat static enable
给多个主机配置静态NAT示例：
静态NAT的配置实例：
一个公网地址对应一个私网地址。
配完后需要在公网路由器配置回来的路由，回来时目标地址的私网地址改成公网地址即可。
动态NAT原理：
动态NAT：静态NAT严格地一对一进行地址映射，这就是导致即便内网主机长时间离线或者不发送数据时，与之对应的公有地址也处于使用状态，为了避免地址浪费，动态NAT提出了地址池的概念：所有可用的公有地址组成的地址池。
当内部主机访问外部网络时，临时分配一个地址池中未使用的地址，并将改地址标记为“In Use”。当该主机不在访问外部网络时回收分配的地址，重新标记为“Not Use”。
地址池中有多少个公网地址，就可以有多少个主机一起上网。例如有三个公网地址，那就有三个主机可以一起上网，第四个主机想要上网时会因为没有公网地址而访问不了外网。只能等待分配出去的公网地址被回收，才能被分配到公网地址上网。所以在现在的阶段，动态NAT也是使用的比较少的。
动态NAT转换示例（1）：
首先把公网地址组成一个地址池，当内网主机要访问外网的时候，报文到达了路由器，路由器会根据地址池中没有被使用的地址，在没有使用的地址中给他分配一个，做地址转换，然后把这个分配过去的公网地址做上“In Use”的标记，表示正在使用。 然后将数据发送给外网。
这样就会产生一个临时的NAT表项，生成的是临时的NAT映射表。如果这个公网地址长时间没有与外网通信，这个临时的NAT表项里的地址会存在老化现象，老化就相当于被删掉了，最后会被回收到动态NAT地址池，等待重新分配。如果表项不断的转换地，老化时间就会不断刷新，如果没有转换地址，老化时间到了，改地址就会被回收。
注意：
动态的地址分配是看地址池中哪个地址空闲了，才做出的临时分配。例如上午获取的公网地址时122.1.2.2，中午出去吃饭空闲了，地址被回收了。下午再来时访问外网被分配的地址可能就是122.1.2.3了。
所以说动态NAT地址分配的公网地址不是固定的，而是会存在变化的。
而静态NAT配置好后，公网地址是固定不变的，内网主机会一直使用这个静态NAT分配的公网地址。
回包时也是根据映射表查看公网地址对应的私网地址，进行地址转换，发送到内网主机。
动态NAT配置介绍：
1、创建地址池：
nat address-group group-index start-address end-address
配置公有地址范围，其中group-index为地址池编号，start-address、end-address分别为地址池起始地址、结束地址。
例：
nat address-group 1 122.1.2.1 122.1.2.3 --- 允许三个用户同时访问外网，因为地址池有三个外网地址。第一步配置地址池范围，可以配置一个公网地址，也可以配置一个范围的公网地址。有多少个公网地址就有多少个主机可以同时访问外网，所以现在动态NAT用的也比较少。
2、配置地址转换ACL规则：
Acl number
Rule permit source source-address source-wildcard
配置基础acl，匹配需要进行动态转换的源地址范围。
例：acl 2000
Rule 5 permit source 192.168.1.0 0.0.0.255 --- 允许192.168.1.0这个网段的IP地址使用这个地址池。配置第二步的作用是允许某网段IP地址通过，只对这个范围的IP地址进行NAT地址转换，限制其他网段或其他范围的IP地址进行NAT地址转换。
在有多个地址池时，用acl访问控制列表可以控制哪些内网地址用哪个地址池。
3、接口视图下配置带地址池的NAT Outbound：
Nat outbound acl-number address-group group-index [no-pat] ---动态nat末尾一定要加no-pat
例：
进入外网出口：
nat outbound 2000 address-group 1 no-pat ---acl编号+地址池编号+no-pat 只有报文的源地址匹配访问控制列表的时候，才会允许使用这个地址池中的地址。
接口下关联ACL与地址池进行动态地址转换，no-pat参数指定不进行端口转换
注：第三步配置好后，要将对方路由器配置路由表，配置的回程路由目的地址是地址池中的地址，要让转换的地址有回来的路。
no-pat（No-Port Address Translation，非端口地址转换）
动态NAT选择地址池中的地址进行地址转换时不会转换端口号，即No-PAT
动态nat在华为ensp模拟器中不能够很好的实现，所以不推荐在模拟器上配置。
NAPT原理：
1、NAPT的NAT映射表比动态NAT的NAT映射表多了端口号，不同的私网地址会被分配到不同的端口号。同个公有地址也会被分到不同的端口号。
2、在做地址转换时，一个公有地址会被分配到不同的端口号，对应多个私有地址。
3、回包的时候也是依靠NAT映射表中的地址端口号，查找与之对应的地址进行回包。
4、相同的公网地址回包时，就是依靠端口号进行区分。然后找到该端口号对应的私有地址进行回包。
5、在做地址转换时，NAT映射表中公有地址端口号是不会重复的，除非老化后，该端口号被回收，该端口号才会被重新分配。详情可看产品手册。
6、使用NAPT技术的话，理论上一个公有地址可以被分配到65535+65535个端口号（TCP 1-65535 UDP 1-65535），也就是说一个公有地址可以分配给几万个个私有地址使用。
NAPT与动态NAT的区别：
1、动态NAT选择地址池中的地址转换时不会转换端口号，即no-pat，动态nat是非端口地址转换。公有地址与私有地址还是1:1的映射关系，无法提高公有地址利用率。
2、NAPT（Network address and port Translation，网络地址端口转换），NAPT是网络地址端口转换 :从地址池中选择地址进行地址转换时不仅转换IP地址，同时也会对端口号进行转换，从而实现公有地址与私有地址的1:N映射（一个公有地址对应多个私有地址），可以有效提高公有地址的利用率。
NAPT的配置方法：
对比动态NAT的配置方法，NAPT只需要在动态NAT的基础上，把no-pat删掉即可。
查看nat映射表：
Dis nat session all Easy IP：
Easy IP：实现原理和NAPT相同，同时转换IP地址、传输层端口，区别在于Easy IP没有地址池的概念，使用接口地址做为NAT转换公有地址。
Easy IP适用于不具有固定公网IP的场景：如通过DHCP、PPPoE拨号获取的私有网络出口，可以直接获取到的动态地址进行转换。
Easy IP适用于小型公司或者家庭网络，没必要让运营商分配公有地址的时候使用。这时候就可以直接利用出口路由器的外网接口的地址来做一个NAPT。
Easy IP配置方法：
- 直接创建ACL列表
- 配置访问规则，允许哪些内网用户进行地址转换
- 进入外网接口使用命令：nat outbound 2000
Easy IP配置示例：
只需要用ACL将内网主机的地址段规定好，然后在在外网接口上直接用就行了
NAT Server（静态PAT）：
NAT Server和静态NAT类似。
静态NAT 是 地址的一对一转换，允许外部主机访问内网主机的所有端口，可以双向互访，不安全。
NAT Server 是地址和端口的 一对一转换，只能让外部主机访问内网服务器的特定端口，更加的安全，仅支持单项互访，及外网主动访问内网。一般用于提供外网主机访问内网服务器的场景。
NAT Server使用场景：
NAT Server：指定[公有地址:端口]与[私有地址:端口]的一对一映射关系，将内网服务器映射到公网，当私有网络中的服务器需要对公网提供服务时使用。
外网主机主动访问[公有地址:端口]实现对内网服务器的访问。
当希望外部设备访问公司内部服务的时候，就可以使用NAT Server技术，可以让外部设备访问设定好的服务，不能访问公司所有服务，只允许访问这些允许访问的服务。
NAT Server转换示例：
NAT Server配置示例：
在R1上配置NAT Server将内网服务器 192.168.1.10的80端口映射到公有地址122.1.2.1的8080端口。
配置方法：
1、进入连接外网接口：
2、进入接口后配置公有IP地址
3、配置nat server 转换，将Tcp协议访问202.10.10.1为目标地址的数据转换成192.168.1.10 8080端口。
nat sever protocol tcp global 202.10.10.1（运营商分配的公有地址） www inside 192.168.1.10 8080