华为NAT配置案例.docx

华为NAT配置案例模拟

图表 1模拟拓扑图

1、在华为设备上部署静态NAT技术，实现公司员工（私网）访问internet（公网）
静态一对一：
AR1#
interface GigabitEthernet0/0/1
ip address 202.106.1.2 255.255.255.0
nat static global 202.1.1.1 inside 192.168.1.2 netmask 255.255.255.255

AR2#
[AR2]ip route-static 202.1.1.1 255.255.255.255 202.106.1.2
[AR2]
结果测试：

查看静态转换表
[AR1]display nat static
Static Nat Information:
Interface : GigabitEthernet0/0/1
Global IP/Port : 202.1.1.1/----
Inside IP/Port : 192.168.1.2/----
Protocol : ----
VPN instance-name : ----
Acl number : ----
Netmask : 255.255.255.255
Description : ----

Total : 1
[AR1]
在没有做静态NAT条目的PC2上不能访问公网，可以得出结论：静态NAT是静态一对一的关系
2、在华为设备上部署动态NAT技术，实现公司员工（私网）访问internet（公网）
动态NAT
[AR1]nat address-group 1 202.1.1.1 202.1.1.1（定义一个地址池存放一个可用公网地址202.1.1.1）
[AR1]dis cu | begin acl
acl number 2000 （定义转换的源IP）
rule 5 permit source 192.168.1.0 0.0.0.255
interface GigabitEthernet0/0/1（接口调用）
ip address 202.106.1.2 255.255.255.0
nat outbound 2000 address-group 1
结果测试：

在出接口下将ACL和地址池关联起来，需要注意华为设备上如果地支持中有不止一个IP地址，后面需加no-pat,本例中只有一个地址可以不加；PC1和PC2都可以访问公网
[AR1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 ?
no-pat Not use PAT
<cr> Please press ENTER to execute command

3、在华为设备上部署PAT技术实现公司员工（私网）访问internet（公网）
AR1#
acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255
interface GigabitEthernet0/0/1
ip address 202.106.1.2 255.255.255.0
nat outbound 2000 (定义复用接口g0/0/1用于PAT转换)
结果测试

[AR1]dis nat outbound
NAT Outbound Information:
--------------------------------------------------------------------------
Interface Acl Address-group/IP/Interface Type
--------------------------------------------------------------------------
GigabitEthernet0/0/1 2000 202.106.1.2 easyip
--------------------------------------------------------------------------
Total : 1
[AR1]

4、在华为设备上部署静态端口映射技术实现公网用户访问私网服务器
静态端口映射
--------------------------------------------------------------------------
AR1#
acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255

interface GigabitEthernet0/0/1
ip address 202.106.1.2 255.255.255.0
nat static protocol tcp global 202.1.1.1 23 inside 192.168.1.4 23
nat outbound 2000
#
return
[AR1-GigabitEthernet0/0/1]
--------------------------------------------------------------------------
AR3#
[AR3]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

[AR3]dis cu | begin vty
user-interface vty 0 4
authentication-mode password
set authentication password cipher ****
user-interface vty 16 20
[AR3]