在思科路由器上针对ADSL动态IP做端口映射(NAT)
几年前拿的网络工程师证，但后来一直从事软件开发，思科的好多命令都忘了。今天早上一来，有同事求救，说要发布一台服务器供第三方做联调测试，需要在路由器上做端口映射。
现在的情况是，本来昨天在路由器上都做好了设置，第三方公司也能访问我们的服务，但今天一来，人家说服务访问不了。原来是ADSL动态IP地址惹的祸，因为路由器今天重新从ISP哪里获取了一个新的IP地址。路由器的公网IP地址都变了，对应的nat策略也就失效了。
我看了同事在路由器上做的nat策略，仔细分析了一下，他使用的命令格式为：
ip nat inside source static protocol local-address local-port global-address global-port [permit-inside]
参数说明：
- local-address：内部本地地址。是主机在网络内部的IP地址，一般是未注册的私有地址。
- global-address：内部全局地址。是内部主机在外部网络表现出的地址，一般是注册的合法公网IP地址。
- protocol：协议。可以是 TCP 或 UDP。
- local-port：本地地址的服务端口号。
- global-port：全局地址的服务端口号，它可以和local-port不同。
- permit-inside：允许内部用户使用全局地址访问本地主机。
按道理，按照上述命令格式来配置端口转换，是没有错误的。但是同事忽略了一点，我们的路由器是使用ADSL拨号的，IP地址随时都会发生改变，配置时，他将global-address写死了一个固定IP地址，这也就导致了路由器重新获取IP地址后端口转换失效，贴出同事的nat配置：
ip nat inside source static tcp 10.10.49.180 80 14.153.20.47 10000
要解决这个问题，分两步：
1、确定路由器上的wan口名称
R2800-zuoyue-jifang# show running-config interface Loopback0 ip address 10.10.100.2 255.255.255.255 ip ospf network point-to-point ! interface GigabitEthernet0/0 no ip address ip nat enable ip virtual-reassembly duplex auto speed auto pppoe enable group global pppoe-client dial-pool-number 1 ! interface GigabitEthernet0/1 ip address 10.10.39.10 255.255.255.248 ip access-group qq in ip nat inside ip nat enable ip virtual-reassembly duplex auto speed auto ! interface Dialer100 mtu 1492 ip address negotiated ip nat outside ip virtual-reassembly encapsulation ppp dialer pool 1 dialer-group 1 ppp authentication pap callin ppp pap sent-username ****** ******
找到了wan口名称是“interface Dialer100”。
2、global-address不在写成固定ip地址，以wan口名代替
ip nat inside source static tcp 10.10.49.180 80 interface Dialer100 10000
这样就不怕路由器的IP地址经常改变了，nat策略也一直生效。
最后，提供在路由器上不能清除nat测试的方法，例如：
no ip nat inside source static tcp 10.10.49.180 80 interface Dialer100 10000
会报“%Static entry in use, cannot remove”错误，解决的方法是：
R2800-zuoyue-jifang# clear ip nat translation *
然后再执行删除。不过该操作会造成整个网络短暂掉线。