前文我們瞭解了包過濾工具ACL相關話題，回顧請參考https://www.cnblogs.com/qiuhom-1874/p/15156308.html；今天我們來聊一聊地址轉換技術NAT相關話題；
NAT技術背景
我們知道網際網路上能夠路由的地址都是公網地址，但隨著網際網路的發展和應用的增多，ipv4地址已經枯竭；儘管ipv6可以從根本上解決IPv4地址空間不足的問題，但目前眾多的網路裝置和網路應用仍是基於ipv4的，因此在ipv6廣泛應用之前，一些過度技術的使用是解決這個問題的主要技術手段；NAT（network address translation）網路地址轉換，主要用於實現位於內部網路的主機訪問外部網路的功能。當區域網內的主機需要訪問外部網路時，通過NAT技術可以將其私網地址轉換為公網地址，並且多個私網地址使用者可以共用一個公網地址，這樣既可保證網路互通，同時也節省了公網地址；簡單講NAT主要作用就是用於把內網地址轉換為公網地址，使得內網主機能夠正常和外部主機通訊；從轉換地址的方向來講，我們把轉換源地址叫做SNAT（source network address translation），把轉換目標地址叫做DNAT（destination network address translation）；
NAT應用場景
提示：現在用nat最多的場景就是上述通過轉換源ip地址，使得內網主機能夠正常上外網；像這種SNAT一般我們也叫作正向代理；一般部署在連線內網和外網的閘道器裝置上，如上圖RTA；主機A要上外網，它首先把資料包傳送給閘道器RTA，當RTA收到主機A傳送的訪問外部網路的請求時，首先它會把對應主機A的源地址轉換為對應的公網地址（可以是某個介面上的公網地址，也可以是某個地址池中的公網地址），然後RTA就把對應轉換的資訊記錄在一個NAT表中；然後把主機A的資料包再次封裝後，傳送出去；當對應公網主機回覆的包到達RTA時，首先RTA會查詢NAT表，看看對應的記錄，然後根據記錄把對應目標地址為公網地址再次轉換為私網地址，然後把對應的資料包重新封裝以後，傳送給對應的私網地址主機（主機A）；
提示：上圖為NAT的另一種應用場景，主要用於外部主機訪問內部某臺伺服器（或某些服務等）；這個時候需要做DNAT；把對應目標地址為公網地址轉換為對應的私網地址；通常我們叫這種DNAT技術為埠對映，或者叫反向代理；這裡說明一點，在SNAT中是內網主機主動訪問外部主機，在外部主機回覆報文中對應目標地址轉換為私網地址，這個是根據對應nat表中的記錄轉換的，是對應路由器自動維護的；我們這裡說的DNAT是外部主機主動訪問內部主機，此時在對應的路由器上是沒有對應的轉換資訊的，所以需要我們管理手動去配置；
NAT型別
1、靜態NAT
提示：靜態NAT實現了私網地址和公網地址的一對一轉換；一個公網ip只會分配給唯一且固定的內網主機；通常這種靜態NAT一般用於一臺優先使用某個關聯地址，或者想要外部網路使用一個指定的公網地址訪問內部伺服器時；在大型網路中，這種一對一的ip地址轉換是無法緩解公網地址短缺的問題，所以這種不適用大型網路環境中；
實驗：如下拓撲圖，在R1上手動配置靜態NAT，實現內部pc1能夠正常訪問pc3
分析：要想實現pc1能夠正常和pc3通訊，首先對應鏈路上的路由必須得通；從上面的拓撲我們可以看到pc1和pc3首先不在同一個網段內，所以pc1和pc3通訊首先得找閘道器；其次pc1發包，pc3能能正常收到，pc3回包，pc1能夠收到；在不配置任何NAT的情況下，pc發包，對應經過R1時，會將資料包轉發出去，因為r1有預設路由；R2有對應pc3所在網段的直連路由，但是pc3回包，源地址是pc3，目標地址是pc1，在資料包到達R2時，因為r2沒有對應pc1的路由，所以pc3回包，pc1收不到；但是R2有到達R1的直連路由，而R1又有對應pc1所在網路的直連路由，所以我們只需要將對應pc1傳送出來的包在R1上修改對應源地址，對應pc3的回包就能正常到達pc1；
驗證：按照上圖先配置好R1，R2和各pc地址，抓包看看對應通訊過程
配置R1
sys sys R1 int g0/0/0 ip add 192.168.10.254 24 int g0/0/1 ip add 2.0.0.1 24 q ip route-s 0.0.0.0 0 2.0.0.2
提示：對於R1來說，我們一定要寫一條預設路由（或者靜態路由），這樣能夠匹配對應內網的所有流量；否則pc1的流量到達R1時，會被R1丟棄（因為沒有路由）；
配置R2
sys sys R2 int g0/0/1 ip add 12.0.0.254 24 int g0/0/0 ip add 2.0.0.2 24
提示：我們這裡模擬運營商的網路，所以在R2上我們只需要在對應的介面配置上對應的ip地址即可；
現在用pc1ping pc3，並在pc3上抓包，看看對應pc1的包是否能夠正常到達pc3?
提示：可以看到在pc3上抓包能夠看到pc1請求pc3，pc3回應pc1，但是對應pc1並沒有收到pc3的回覆包，所以pc1顯示請求超時；
驗證：在R2的g0/0/0上抓包，看看對應pc3的回包是否被丟棄？
提示：在R2的g0/0/0介面上抓包，我們只看到對應pc1請求pc3的包，並沒有pc3回覆pc1的包；說明R2丟棄了pc3回覆pc1的包；其原因是R2上沒有對應去往pc1的路由；
在R2的g0/0/1口配置靜態nat，看看對應pc1是否可以正常和pc3通訊呢？
int g0/0/1 nat static en nat static global 2.0.0.5 inside 192.168.10.1
提示：在配置靜態NAT時，必須在對應的介面下開啟靜態nat功能；上述命令表示，把內網192.168.10.1的源地址修改為外網地址2.0.0.5；
驗證：現在pc1pingpc3在R2上的g0/0/0上抓包，看看對應通訊過程
提示：可以看到現在pc1能夠正常ping通pc3；在R2的g0/0/0口抓包也能看到現在pc1的資料包從R1傳送出來對應源地址被修改成2.0.0.5，此時pc3回覆pc1的包，對應目標地址就變成了2.0.0.5；而對應R2上有到達2.0.0.0/24網路的路由，所以最終pc3的回覆報文能夠正常從R2路由出去到達R1；而對應R1收到到達2.0.0.5的資料包，首先它會檢視自己的NAT表，看看有沒有對應的轉換資訊，如果有，則再把對應的資料包的目標ip地址修改成對應的私網地址；然後再從R1的g0/0/0口傳送出去；對應pc1就能收到pc3的回覆報文，所以pc1能夠正常ping通pc3；這裡需要注意，pc1能夠正常ping通pc3，不代表pc3就能正常ping通pc1哦，要想實現互通，還需要在R2上配置對應路由才行；
此時pc2是否能夠ping通pc3呢？
提示：pc2無法ping通pc3的原因是，pc3的回覆包在R2上沒有路由，被丟棄了；對應在R1上並沒有對應pc2的靜態nat資訊，所以pc2此時通過R1時，並不會修改源ip；所以pc3的回覆包其目標地址還是pc2，而對應回覆包在R2上沒有路由，所以會被R2丟棄；
檢視靜態nat表
2、動態NAT ，不轉換埠地址（no-pat）
提示：動態NAT的工作原理是藉助地址池來實現將內網地址轉換為地址池公網地址，從而實現內網訪問外網；這種型別的NAT有一個缺點是地址池中的地址用盡以後，只能等待被佔用的公網地址被釋放後，其他主機才能使用它來訪問公網。
實驗：還是上述拓撲，我們刪除R1上的靜態nat，然後建立一個地址池，裡面放2.0.0.5-2.0.0.6這兩個地址，看看對應pc1和pc2是否能夠正常訪問pc3呢？
刪除上面配置的靜態nat，並建立地址池
建立ACL，匹配pc1和pc2的流量
提示：上述acl表示允許任意流量；不管是pc1還是pc2的流量都會被該條acl所捕獲；
在R1的g0/0/1介面下，將acl和地址池關聯起來
提示：上述命令表示把acl 2000所捕獲的流量做snat其轉換的地址在對應1號編號的地址池裡，並且不做埠地址轉換；
驗證：pc1ping pc3看看是否能正常ping通呢？
提示：可以看到pc1能夠ping通pc3，但是丟包很嚴重；這裡的原因是地址池裡的地址個數太少了；導致地址不夠用，所以有些包可以正常被轉換，有些包不能被轉換；
驗證：用pc2pingpc3是否能夠ping通呢？
提示：可以看到現在用pc2也能正常ping通pc3，但最多隻能有兩個包通，其原因是pc2每傳送一次icmp的請求，都去地址池中拿一個地址進行轉換；而地址池中的地址只有兩個，後續的包沒有地址可以轉換，所以丟包了；
驗證：檢視動態nat會話表
提示：這個表需要邊ping邊看；從上面的資訊可以看到，對應每一次icmp請求都會被從地址池中拿一個地址進行轉換；從上面的實驗可以看到，這種動態NAT也可實現轉換源ip地址，從而實現內網地址可以訪問外網；這種型別不轉換埠的動態SNAT，首先需要有一個地址池，其次地址池中的地址如果少了，會影響通訊質量；所以這種方式也不是我們常用的上網方式；
3、動態NAT，轉換埠地址（pat）
提示：NAPT（Network Address Port Translation），也稱為NAT-PT或PAT，網路地址埠轉換，允許多個私網地址對映到同一個公網地址的不同埠。pat和no-pat兩種模式的區別是，一個轉換了源埠，一個沒有轉換源埠；其工作原理都是一樣的，都是從地址池中拿地址進行轉換；
實驗：把上述no-pat模式修改為pat模式
提示：pat是預設的模式，我們不需要在後面接pat；
驗證：現在pc1pingpc3看看還會上上面的丟包情況嗎？
提示：現在可以看到pc1pingpc3沒有再丟包，並且都是用的2.0.0.5這個地址；其原因是現在是埠轉換模式，每次pc1發包都會用掉一個源埠，對應會被R1轉換成另一個源埠；我們知道埠有很多，一個ip地址有65535個埠；所以對應一個ip地址來說，它可以轉換源埠65535個包；
檢視動態nat會話表
提示：可以看到現在的nat會話表中就有對應被轉換後端源埠；通過上述實驗，我們可以看到埠轉換的方式能夠很大程度的節省公網ip地址；但這種方式也不是我們最常用的上網方式；其原因是這種方式依賴地址池，對應公網ip都是固定的，而我們現在上網絕大部分都是通過撥號上網，對應的公網ip地址並不是固定的；公網地址不是固定的我們該怎麼配置動態NAT呢？
4、Easy IP
提示：Easy IP適用於小規模區域網中的主機訪問Internet的場景。小規模區域網通常部署在小型的網咖或者辦公室中，這些地方內部主機不多，出介面可以通過撥號方式獲取一個臨時公網IP地址。Easy IP可以實現內部主機使用這個臨時公網IP地址訪問Internet。easy ip本質上和napt工作原理是一樣的，唯一的不同是easy ip是轉換成對應介面上的ip地址，而napt是轉換成地址池中的地址；使用介面地址的好處是，如果對應介面上的ip地址變換了，對應NAT的配置不用更改，它會隨著介面地址的變化而變化；
實驗：將上述napt模式更改為easy ip模式
提示：Easy IP的配置與動態NAT的配置類似，主要區別是Easy IP不需要配置地址池；
驗證：用pc1pingpc3看看對應源地址是否轉換成對應R1的g0/0/1的介面地址呢？
提示：可以看到現在pc1pingpc3，對應pc1的地址被轉換成R1的g0/0/1的ip地址；
驗證：檢視動態NAT配置資訊。
提示：可以看到現在的NAT配置資訊中並沒有使用地址池編號，對應是介面的ip地址，且型別為easyip ;
驗證：檢視nat會話表
提示：nat會話表和napt型別沒有什麼不同，都是將源地址和源埠進行了轉換；
上述4中方式都是通過轉換源ip地址和源埠來實現內網主機訪問外網，都是SNAT；下面來說說另一種nat，埠對映也叫DNAT或nat伺服器；
5、NAT伺服器（DNAT或埠對映）
提示：NAT在使私網使用者訪問公網的同時，也遮蔽了公網使用者訪問私網主機的需求。所以當一個私網需要向公網使用者提供各種網路服務時，私網中的伺服器必須隨時可供公網使用者訪問。NAT伺服器可以實現這個需求，但是需要配置伺服器私網地址和埠號轉換為公網地址和埠號併發布出去。簡單講就是將對應私網的ip地址和埠和公網的ip地址和埠進行一一對應，使得公網使用者訪問對應公網的埠，就能訪問到對應私網主機上的服務；
實驗：如下拓撲，實現公網使用者能夠訪問到區域網內部的伺服器
配置伺服器1
配置R1
sys sys R1 int g0/0/0 ip add 192.168.10.254 24 int g0/0/1 ip add 2.0.0.1 24 nat server protocol tcp global 2.0.0.5 8080 inside 192.168.10.80 80 q ip route-s 0.0.0.0 0 2.0.0.2
提示：上述命令表示把內網主機192.168.10.80的80埠對映到公網ip的2.0.0.5的8080埠上；
配置R2
sys sys R2 int g0/0/1 ip add 12.0.0.254 24 int g0/0/0 ip add 2.0.0.2 24
配置客戶端
驗證：用客戶端訪問2.0.0.5的8080埠，看看是否能夠訪問到對應的http服務呢？
提示：可以看到現在訪問公網地址的2.0.0.5的8080埠能夠正常訪問到內部192.168.10.80的80服務；
更改公網地址為對應介面地址
驗證：檢視埠埠對映表
提示：可以看到對應對映表中全域性公網ip地址和埠對應的內網ip地址和埠；