宽带接入应用的核心－NAT配置模版

近期论坛中很多用户都在询问关于NAT的相关配置和问题，事实上，这也是绝大多数宽带接入用户会面临的问题。
注：虽然我们后来提供的1705等宽带路由器是可以通过Web界面来设置的，但本帖还是以CLI命令行来说明问题。
配置模版：
NAT的配置分为四段：
1、指定接口
通常需要至少两个以太网接口，分别设定为inside和outside，顾名思义，分别连接内网和外网；如：
interface FastEthernet0/0
  ip address 10.111.12.13 255.255.255.0
  no ip directed-broadcast
  ip nat outside
!
interface FastEthernet0/1
  ip address 192.168.1.1 255.255.255.0
  no ip directed-broadcast
  ip nat inside
!
2、指定用户群
注：一般是根据IP段来定义用户，如果要根据TCP、UDP端口号等信息来区分，需要使用扩展型ACL
ip access-list standard NATACL
  permit 192.168.1.0 255.255.255.0
3、具体NAT翻译
ip nat inside source list NATACL interface FastEthernet0/0
这条指令的意思是：“路由器从inside口上收到的数据包，如果其符合NATACL定义的规则，就将其Source源地址改为F0/0口的地址，即公网地址，然后继续转发”。
4、当然上面说转发的时候，还需要配合路由设置，对于大多数单线路接入的情况，使用默认路由即可！
ip route default 10.111.12.14
有些时候，外网接入是ADSL的，请使用相关的PPPoE模版来替代外网口模版，具体请参阅此贴：
http://bbs.bdcom.com.cn/dispbbs.asp?boardid=3&id=120
Router#show ip nat translations
Pro. Dir Inside local       Inside global      Outside local      Outside global
TCP  OUT 192.168.1.3:2951       10.11.12.13:2951 22.168.213.90:445 22.168.213.90:445
输出信息的前两项就是数据包的源地址被转换（前和后）的变化，后两项是目的地址，大多数情况下是不会变化的；本次转换的是TCP报文。
当然，在一个实际运行的路由器网络中，这样的条目会非常多，少则几百，多则上千上万；
查看时，可以将指令改为：show ip nat translations host <PC_IP_Addr>
这样可以大大减少输出的信息量。
注意：数据包的转发通常是有去有回的，对于一个引用的两个方向的数据包，其源、目的IP通常是对称相反的，但信息总量是一致的，所以这两个方向的数据包可以匹配同一个NAT转换条目。
很多时候，用户不仅仅是要进行共享（一个公网IP地址）上网，还需要将内网的几个服务器开放/映射到公网上去，以供外面的用户进行访问，这就需要使用NAT的端口映射功能。
其本质就是手工写入一条静态的NAT转换条目。
指令，在上述配置的基础上增加：
ip nat inside source static TCP <Local_IP> <Local_Port> <Global_IP | interface> <Global_IP>
ip nat inside source static UDP <Local_IP> <Local_Port> <Global_IP | interface> <Global_IP>
其中的四个参数分别为转换前后的IP地址和转换前后的TCP/UDP端口号。
其中，公网地址可以使用对应的端口名字来替代，主要用在adsl拨号的情况中，应对IP地址不固定的问题
状态查看，
Router#show ip nat translation
Pro. Dir Inside local       Inside global      Outside local      Outside global
TCP  --- 192.168.1.5:21     10.11.12.13:21  ---                ---        
TCP  --- 192.168.1.5:20     10.11.12.13:20  ---                ---      
可以看到：
1、在静态转换的条目中，没有目的地址的相关信息的；就目的地址是不需要匹配的，任何外网的用户都可以过来访问这个被映射的端口；
2、由于很多的网络服务需要使用多个端口，所以映射条目应该写多条；
常见的端口罗列，大家可以跟帖补充：）
FTP（port模式），TCP:20、21
SMTP，TCP:25
POP3，TCP:110
HTTP，TCP:80
如图，红色线条的流量即表示外网的用户能够通过端口映射功能访问到内网的服务器；除此以外，局域网的用户可能也希望通过路由器的公网接口地址来访问到这个内网的服务器，这就是接下来要讨论的特殊NAT功能，也称私服NAT功能。
这种情况通常是因为服务器通常会对应一个域名，而大多数的中小型用户，不愿意在内×××资建设自己的DNS服务器，转而借用公网上的电信、网通的DNS，但是这样做有一个缺陷，就是域名对应的IP地址只能是公网地址。在上面的典型拓扑中，就是路由器的外网口IP。
要解决这个问题，还是需要设置NAT的翻译表项，只不过比较“特殊”。
参考配置模版：
在一楼配置模版的情况下增加如下条目：
ip nat service privateservice
ip nat outside destination static TCP <Global_IP | interface> <Global_IP> <Local_IP> <Local_Port>
ip nat outside destination static TCP <Global_IP | interface> <Global_IP> <Local_IP> <Local_Port>
显然，其中的四个参数跟上面的NAT端口映射是一直的，只是前后的顺序反了一下。
另外，要使用私服NAT功能，还需要一个service的软件使能开关
通常NAT应用环境中，用户比较关心网络的效率和安全。
为了提高效率，我们一般会建议用户对局域网中的每个PC进行一系列的管理，参考配置指令如下（Config全局模式）：
ip nat translation max-entries host any 200
给每个PC的NAT并发连接数（即转换条目的数量）加个上限，200是一个经验中比较合适的值，不宜太大，也不一太小；
此外，还建议用户搭配GBSC功能对内网流量进行必要的管理，具体请参阅：
http://bbs.bdcom.com.cn/dispbbs.asp?boardid=3&Id=118
 
有些时候，网络中会比较常见ARP欺骗问题，引起网络中断、QQ账号失窃等问题，这个请参阅后续的专题“ARP专题”
双线路NAT
实际上，三、四线路也是一样的情况，只不过双线路比较典型罢了。
大多数情况下，组建双线路NAT有两种可能性：
1、“带宽捆绑”
这种情况大多出现在用户希望获得高较高带宽，但又不愿意付出更多的租用费的环境中。比如某小型企业，可以以普通家庭用户身份向电信或者网通同时租用两根ADSL线路，然后将其“捆绑”起来，以获得相当于4M的带宽；
2、“专网专用”
大家都知道，电信和网通之间的互访是很慢的，尤其是网络高峰期，尤其如此。当然我们现在讨论的不是其原因，而是在这种情况下，作为普通的internet接入用户，如何在这种情况下避免出现跨网带宽瓶颈。
其实方法很简单，就是该路由器向电信和网通个租用一根线路，连接到路由器。然后在路由器上面做一个判断机制，如果访问的目标主机（服务器）在电信网内，就把相应的数据包发到电信的线路上；反之就发送到网通的线路上。
注意：
事实上，除了电信和网通以外，还有其他的一些运营商，如移动、联通等；但在宽带接入市场里面，它们占的比重非常小，所以一般不做分类讨论了。
双线路NAT2
实际上，双线路的NAT配置非常简单，掌握一个原则就好了。
1、双线路指的是两个外线，即有两个端口要设置为ip nat outside，而局域网通常只有一个，设置为ip nat inside，即路由器至少要有3个接口。
2、第二部分是ACL，即对应用户权限；通常情况下，两路NAT可以公用一个ACL；
3、由于两条外线具有不同的公网地址，所以NAT转换的源地址是不同的，所以NAT转换的ip nat insdie source...指令应该是不同的。
显然，双线路NAT配置的实质就是配置两份NAT，只是有些内容可以公用，通常为：
ip nat inside和NAT的acl...
两种双线路配置的关键点在于：路由
对于“带宽捆绑”情况，由于用户访问是不区分重点目标的，只需要设置两条等价路由即可，之后路由器会按照以“流”为单位进行负载均衡；
对于“专网专用”，前面也分析到，关键是识别、判断其网络归属。那么如何归属呢？方法很简单，就是进行路由穷举。

参考配置信息：
1、“带宽捆绑”，此处以双路ADSL为例

interface Virtual-tunnel0
  mtu 1492
  ip address negotiated
  no ip directed-broadcast
  ppp chap hostname <username1>
  ppp chap password 0 <password1>
  ppp pap sent-username <username1>password 0 <password1>
  ip nat outside
  ip nat mss 1452
!
interface Virtual-tunnel1
  mtu 1492
  ip address negotiated
  no ip directed-broadcast
  ppp chap hostname <username2>
  ppp chap password 0 <password2>
  ppp pap sent-username <username2>password 0 <password2>
  ip nat outside
  ip nat mss 1452
!
interface FastEthernet0/0
  no ip address
  no ip directed-broadcast
!
interface FastEthernet0/1
  no ip address
  no ip directed-broadcast
!
interface FastEthernet0/2
  ip address 192.168.1.1 255.255.255.0
  no ip directed-broadcast
  ip nat inside
!
ip route default Virtual-tunnel0
ip route default Virtual-tunnel1
!
ip access-list standard online
  permit 192.168.1.0 255.255.255.0
!
vpdn enable
!
vpdn-group 0
  request-dialin
  port Virtual-tunnel0
  protocol pppoe
  pppoe bind FastEthernet0/0
!
vpdn-group 1
  request-dialin
  port Virtual-tunnel1
  protocol pppoe
  pppoe bind FastEthernet0/1
!
ip nat translation max-entries host any 200 
ip nat inside source list online interface Virtual-tunnel0
ip nat inside source list online interface Virtual-tunnel1
!
2、“专网专用”，此处以电信＋网通的光纤转以太网为例子

interface FastEthernet0/0          //电信接口和地址
 ip address 1.1.1.1 255.255.255.252
 no ip directed-broadcast
 ip nat outside
!
interface FastEthernet0/1          //网通接口和地址
 ip address 2.2.2.1 255.255.255.252
 no ip directed-broadcast
 ip nat outside
!
interface FastEthernet0/2
 ip address 192.168.1.1 255.255.255.0          //局域网网关
 ip address 192.168.2.1 255.255.255.0 secondary          //管理地址
 no ip directed-broadcast
 ip nat inside
!
ip route default FastEthernet0/0
ip route default FastEthernet0/1 20
ip route 58.16.0.0 255.252.0.0 FastEthernet0/1
ip route 58.20.0.0 255.255.0.0 FastEthernet0/1
ip route 58.22.0.0 255.254.0.0 FastEthernet0/1
ip route 58.240.0.0 255.252.0.0 FastEthernet0/1
ip route 58.246.0.0 255.254.0.0 FastEthernet0/1
ip route 58.248.0.0 255.248.0.0 FastEthernet0/1
ip route 60.0.0.0 255.224.0.0 FastEthernet0/1
ip route 60.208.0.0 255.240.0.0 FastEthernet0/1
ip route 61.48.0.0 255.248.0.0 FastEthernet0/1
ip route 61.133.0.0 255.255.128.0 FastEthernet0/1
ip route 61.134.96.0 255.255.224.0 FastEthernet0/1
ip route 61.134.128.0 255.255.128.0 FastEthernet0/1
ip route 61.135.0.0 255.255.0.0 FastEthernet0/1
ip route 61.137.128.0 255.255.128.0 FastEthernet0/1
ip route 61.138.0.0 255.255.128.0 FastEthernet0/1
ip route 61.138.128.0 255.255.192.0 FastEthernet0/1
ip route 61.139.128.0 255.255.192.0 FastEthernet0/1
ip route 61.148.0.0 255.254.0.0 FastEthernet0/1
ip route 61.156.0.0 255.255.0.0 FastEthernet0/1
ip route 61.159.0.0 255.255.192.0 FastEthernet0/1
ip route 61.161.0.0 255.255.192.0 FastEthernet0/1
ip route 61.161.128.0 255.255.128.0 FastEthernet0/1
ip route 61.162.0.0 255.254.0.0 FastEthernet0/1
ip route 61.167.0.0 255.255.0.0 FastEthernet0/1
ip route 61.168.0.0 255.255.0.0 FastEthernet0/1
ip route 61.176.0.0 255.255.0.0 FastEthernet0/1
ip route 61.179.0.0 255.255.0.0 FastEthernet0/1
ip route 61.181.0.0 255.255.0.0 FastEthernet0/1
ip route 61.182.0.0 255.255.0.0 FastEthernet0/1
ip route 61.189.0.0 255.255.128.0 FastEthernet0/1
ip route 122.192.0.0 255.252.0.0 FastEthernet0/1
ip route 122.196.0.0 255.254.0.0 FastEthernet0/1
ip route 202.96.0.0 255.255.192.0 FastEthernet0/1
ip route 202.96.64.0 255.255.240.0 FastEthernet0/1
ip route 202.97.128.0 255.255.192.0 FastEthernet0/1
ip route 202.97.224.0 255.255.248.0 FastEthernet0/1
ip route 202.97.240.0 255.255.240.0 FastEthernet0/1
ip route 202.98.0.0 255.255.240.0 FastEthernet0/1
ip route 202.99.64.0 255.255.224.0 FastEthernet0/1
ip route 202.99.96.0 255.255.248.0 FastEthernet0/1
ip route 202.99.128.0 255.255.192.0 FastEthernet0/1
ip route 202.99.208.0 255.255.240.0 FastEthernet0/1
ip route 202.99.224.0 255.255.224.0 FastEthernet0/1
ip route 202.102.128.0 255.255.248.0 FastEthernet0/1
ip route 202.102.224.0 255.255.240.0 FastEthernet0/1
ip route 202.106.0.0 255.255.0.0 FastEthernet0/1
ip route 202.107.0.0 255.255.128.0 FastEthernet0/1
ip route 202.108.0.0 255.255.0.0 FastEthernet0/1
ip route 202.110.0.0 255.255.128.0 FastEthernet0/1
ip route 202.111.128.0 255.255.192.0 FastEthernet0/1
ip route 203.93.8.0 255.255.255.0 FastEthernet0/1
ip route 203.93.192.0 255.255.192.0 FastEthernet0/1
ip route 210.13.128.0 255.255.128.0 FastEthernet0/1
ip route 210.14.160.0 255.255.224.0 FastEthernet0/1
ip route 210.14.192.0 255.255.224.0 FastEthernet0/1
ip route 210.15.32.0 255.255.224.0 FastEthernet0/1
ip route 210.15.96.0 255.255.224.0 FastEthernet0/1
ip route 210.15.128.0 255.255.192.0 FastEthernet0/1
ip route 210.21.0.0 255.255.0.0 FastEthernet0/1
ip route 210.52.128.0 255.255.128.0 FastEthernet0/1
ip route 210.53.0.0 255.255.0.0 FastEthernet0/1
ip route 210.74.96.0 255.255.224.0 FastEthernet0/1
ip route 210.74.128.0 255.255.224.0 FastEthernet0/1
ip route 210.82.0.0 255.254.0.0 FastEthernet0/1
ip route 218.8.0.0 255.252.0.0 FastEthernet0/1
ip route 218.12.0.0 255.255.0.0 FastEthernet0/1
ip route 218.21.128.0 255.255.128.0 FastEthernet0/1
ip route 218.24.0.0 255.252.0.0 FastEthernet0/1
ip route 218.56.0.0 255.252.0.0 FastEthernet0/1
ip route 218.60.0.0 255.254.0.0 FastEthernet0/1
ip route 218.67.128.0 255.255.128.0 FastEthernet0/1
ip route 218.68.0.0 255.254.0.0 FastEthernet0/1
ip route 218.104.0.0 255.252.0.0 FastEthernet0/1
ip route 219.154.0.0 255.254.0.0 FastEthernet0/1
ip route 219.156.0.0 255.254.0.0 FastEthernet0/1
ip route 219.158.0.0 255.255.0.0 FastEthernet0/1
ip route 219.159.0.0 255.255.192.0 FastEthernet0/1
ip route 220.252.0.0 255.255.0.0 FastEthernet0/1
ip route 221.0.0.0 255.240.0.0 FastEthernet0/1
ip route 221.192.0.0 255.224.0.0 FastEthernet0/1
ip route 222.128.0.0 255.240.0.0 FastEthernet0/1
ip route 222.160.0.0 255.254.0.0 FastEthernet0/1
ip route 222.162.0.0 255.255.0.0 FastEthernet0/1
ip route 222.163.0.0 255.255.224.0 FastEthernet0/1
!
ip access-list extended cnc
 permit ip 192.168.1.0 255.255.255.0 any
!
ip access-list extended telcom
 permit ip 192.168.1.0 255.255.255.0 any
!
!
ip nat translation max-entries host any 200
ip nat inside source list telcom interface FastEthernet0/0
ip nat inside source list cnc interface FastEthernet0/1 
使用注意点（双线路）：
1、比较上述的两个案例，无论是“带宽捆绑”，还是“专网专用”，其NAT的配置部分基本都是一样的。不同指出就是在于路由的设置上面。
2、在“带宽捆绑”案例中，两条路由的目的网段和Metric（默认为1）都是相等的，即它们的权限相等，此时访问外网的流量将在两个出口上按照统计平均的原则，在两条线路上面负载均衡。
也就是说，对于某个个体用户的单个流来说，它不能确定当前是从那个接口走的（事实上也不需要区分），但同时只能走一个出口；对于整个局域网的所有流量而言，是平均分配在两个接口上面的。
所以，单个用户的最大可用带宽是≤单个接口的带宽（本例中为2M），但有如果使用P2P方式下载除外；
对于整个局域网而言，其流量是可以分为多个流的，所以其流量是平均分配在两条线路上面的。
----对于每个出口而言，其总带宽只需要为一半的内网用户服务即可，这就减少了带宽拥塞带来的影响。
3、在“专网专用”中，所有的路由条目被分为三组：
其中ip route default FastEthernet0/0为①，ip route default FastEthernet0/1 20为②，剩余的一大堆路由条目为③；
其优先权是③＞①＞②
③内容中描述的一大堆的网段集合，就是网通的路由数据库；即路由器受到数据包之后，首先要判断它是否是访问访问网通，如果是就转发；否则进行下一步判断；
如果网通的相关条目判断失败，就根据①路由全部默认转发到F0/0即电信的网络中；
正常情况下②这个路由是没有用的，只有当电信网络出现问题，即①路由条目消失的时候才起到作用。
----也就是说，上述的配置可以实现专网专用的时候，还可以实现相互备份。
4、为什么只罗列网通的网段地址，而没有电信呢？
前面提过，电信＋网通就基本涵盖了绝大多数的宽带网；
且网通的数据库量比较小，罗列起来相对比较简单。除了网通之外的所有流量就归结为“大电信网”中；
5、电信网通的ISP路由数据库可能会有变更，所以如果定期更新。

源地址：http://bbs.bdcom.com.cn/read.php?tid=136

转载于:https://blog.51cto.com/mmfrancis/256169

博达路由器常见功能教学11相关推荐

  1. 博达路由器常见功能教学1

    忘记路由器密码怎么办? 很多情况下,我们会忘记路由器的登录管理密码,比如:长时间不用.网管工作交接不完全.设备更换等. 请按如下步骤来操作: 1.找到博达原配的Console线,将超级终端和路由器连接 ...

  2. 计算机网络工程教程:基于cisco路由器和交换机,计算机网络工程教程—基于cisco路由器和交换机教学课件作者陆魁军chap2交换机VLAN设置v2.ppt...

    计算机网络工程教程-基于cisco路由器和交换机教学课件作者陆魁军chap2交换机VLAN设置v2.ppt (47页) 本资源提供全文预览,点击全文预览即可全文预览,如果喜欢文档就下载吧,查找使用更方 ...

  3. Lucene.net常见功能实现知识汇总

    在开发SearchEasy Site SearchEngine(搜易站内搜索引擎)的时候,经常会遇到一些搜索引擎的常见功能如何实现的问题,比如实现相关度百分比显示?如何实现在结果中搜索等等诸如此类常见 ...

  4. 宽带路由器常见故障排除

    宽带路由器常见故障排除 2009年08月02日 星期日 上午 00:27 来源/作者:52硬件论坛 宽带路由器常见故障巧排除在SOHO和中小型企业用户中,宽带路由器应用非常普遍.对于一些网络新手来说, ...

  5. 博达网站服务器地址怎么查,路由器博达路由器配置经典教程

    博达路由器配置经典教程第一章路由器配置基础 一.基本设置方式 博达路由器可以用4种方式来设置 1 . Console口接终端或运行终端仿真软件的微机 2. 通过网络的TFTP服务器 3. 通过网 ...

  6. isis学不到looback口的路由_干货 | ONU、机顶盒、路由器常见网络问题及处理方法...

    点击上方U学在线一键关注,回复以下数字即可查看更多精彩内容: [211]中外信号强烈对比!厉害了,我的国 [212]中国移动400亿设计集采大标开标 [213]快年底了,通信工程人员的真实写照 [21 ...

  7. 网络工具nc的常见功能和用法

    文章目录 前言 nc netcat ncat nc的用法 测试udp端口是否可用 端口扫描 一对一聊天 传输文件 端口转发 总结 前言 nc 是一个Linux环境下常用的工具命令,可以用来帮助开发者查 ...

  8. 路由器NAT功能配置简介

    路由器NAT功能配置简介 随着internet的网络迅速发展,IP地址短缺已成为一个十分突出的问题.为了解决这个问题,出现了多种解决方案.下面几绍一种在目前网络环境中比较有效的方法即地址转换(NAT) ...

  9. 路由器的功能和特点是什么

    ​ 在大多数宽带路由中,当没有静态路由时,内部会有一个默认路由,它会将所有目的地在lan端口之外的数据包转发到wan端口的网关.宽带路由器只需要简单配置wan口参数,内网的主机就可以访问外网,这是工作 ...

最新文章

  1. 让人心动的电子工艺品
  2. windows使用ssh2远程登陆ubuntu
  3. python爬百度翻译-爬虫 python爬取百度翻译接口 超详细附源码
  4. python字符串的方法和列表的方法_python 字符串方法及列表，元组，字典(一)
  5. 学术写作强力推荐语法检查神器：marking mate
  6. 3_4 IteratorMode 迭代器模式
  7. 运行在Spark大数据上的应用体系架构
  8. linux cmake装在自己目录下,如何在Linux下安装cmake
  9. 第二阶段冲刺10天 第六天
  10. 18年5年制计算机辅助考试题,2018年自考《计算机辅助教育》试题二
  11. Instruments工具的使用
  12. 如何在 Mac 上的“照片”应用中创建智能相册？
  13. CodeForces 632C The Smallest String Concatenation(水)
  14. Verilog入门教程与实例分享
  15. 【Excel】按百分比随机抽取excel中数据
  16. 微信另外一种分享(图片 + 文字) 到朋友圈
  17. 简单实现你想数字电脑猜的小游戏
  18. VMware NAT 模式配置端口映射
  19. NSN HLR simulator for provisioning in expect
  20. 用python-webdriver实现自动填表

热门文章

  1. nbtscan局域网内查找病毒主机
  2. JS省市二级联动菜单,sky整理收集。
  3. 解决报错ImportError: unique_cuda.cpython-37m-x86_64-linux-gnu.so: undefined symbol: _ZN6caffe28T
  4. 应用程序无法正常启动解决方法
  5. C++期末考试1：求圆柱体体积(完整代码含测试)
  6. 高仿Android QQ2012登陆界面和注册界面
  7. Qt开发Activex笔记（二）：Qt调用Qt开发的Activex控件
  8. 如何把多线程下载的数据按位置写入一个文件
  9. 我用Python量化了1000万次散户操作，然后反着来，胜率竟然高达...?! | 你可以永远相信散户！
  10. 【1377. T 秒后青蛙的位置】