明明白白你的NAT——NAT基础讲解
dreamKelly 2011-04-27
一、网络结构图说明
网络拓扑图如图1所示，分公司的PC（10.10.10.2/24）通过Internet访问总部的Server（192.168.10.2/24）。其中在分公司的Cisco 3750上应用了PAT规则，也就是"端口NAT"。在公司总部的防火墙B上应用了Static NAT，并且防火墙B上的互联网端口的IP地址配置为114.23.72.19/24。分公司Cisco 3750上的互联网端口的IP地址配置为114.23.72.219/24。在分公司的PC电脑上，和总部的Server上都运行了"360流量监控"软件，通过软件中的"网络连接"面板，能够清楚的看出NAT运行的机理。
（图1 网络结构图）
二、交换机和防火墙上NAT的配置
1、总部防火墙B上应用的是Static NAT规则，通过防火墙的Web控制页面就可操作完成，即在114.23.72.19/24和192.168.10.2/24之间做一静态转换，并且这两个IP地址之间的服务端口也都是一一段应。
2、Cisco 3750上的配置文件如下所示：
ip nat pool corporation 114.23.72.219 114.23.72.219 netmask 255.255.255.0 \\定义内部全局地址池 ip nat inside source list 10 pool corporation overload \\建立映射关系 ! interface GigabitEthernet1/0/1 \\定义外网接口 no switchport ip address 114.23.72.219 255.255.255.0 ip nat outside ! interface GigabitEthernet1/0/10 \\定义内网接口 ip nat inside ! access-list 10 permit 10.10.10.0 0.0.0.255 \\定义内部本地地址范围
三、实时监控查看NAT运行过程
"360流量监控"软件可以详细的显示本机服务和远程主机服务的连接情况。因为在大部分的电脑中，Tcp 139端口都是默认打开的，这样只需在分公司PC的"命令行"中执行"telnet 114.23.72.19 139"命令，就可在分公司PC与总部Server之间建立一个TCP连接，这是因为Telnet应用是通过TCP建立连接的。建立连接后，就可通过"360流量监控"中的"网络连接"面板查看它们的连接情况。如图2所示，是在PC上"360流量监控"的截图。从图上可以看出，PC上启动了一个"Telnet.exe"的进程，进程使用的是TCP协议，在本地的7420端口，和总部Server服务器的139端口建立了连接。
（图2 分公司PC上360实时截图）
（图3 总部Server上360实时截图）
图3所示是在Server上的"360流量监控"的截图。从图上可以看出，在总部Server上启动了一个"System"的系统进程，并且在本地的139端口和目标IP的52617端口之间建了TCP连接。
通过这两幅截图就能明白现实中NAT运行的原理。图中并没有显示出在10.10.10.2和192.168.10.2之间直接建立了连接，就是因为在Cisco 3750和防火墙B上应用了NAT规则。
四、总结
1、NAT规则有三种类型：静态NAT（Static NAT）、动态NAT（Dynamic NAT）和端口NAT（PAT），也称动态复用NAT。其实动态NAT就是静态NAT的一种特例。本实例中就应用了三种NAT规则中的两种，静态NAT和PAT。
静态NAT：将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，也是一直不变的。实例中总部的IP地址114.23.72.19和192.168.10.2之间就是这种一对一的转换。也就是某个私有IP地址只转换为某个公有IP地址。借助于静态NAT，可以实现外部网络对内部网络中某些特定服务器的访问。
动态NAT：将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定，随机的。所有被授权访问Internet的私有IP地址可随机转换为任何指定合法的IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态NAT转换。动态NAT可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。
