论文部分内容阅读
随着网络在商业应用中的普及，越来越多的企业同时拥有了内网（局域网）和外网（Internet网）。如何保证外部网络用户无法获取内部网络的结构呢？通过设置NAT可将内网与外网分离，这样外部接入用户就很难获取内部网络的情况，而内部用户可随时访问这两个网络中的资源。下面我们就对NAT设置做简单介绍。
1.NAT定义
NAT（Network Address Translationl网络地址转换，允许一个公司或机构以一个公用IP（Internet Protoco1）地址出现在Interne止。在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请（如192.168.*.*）等。NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关处，将内部地址替换成公用地址，从而在外部公网（nternet）上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共IP地址紧缺的问题。在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部Internet网络进行通讯时，具有NAT功能的设备（如路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。NAT主要的处理方式是通过修改UDP或TCP报文头部地址信息实现地址的转换。
我们知道防火墙的主要工作原理是，判断IP报头中包含的TCP端口号、信宿地址、信源地址以及附属信息来决定是否让该数据包通过。黑客在入侵的时候，通常会使NAT误认为其连接请求是被允许的，从而以一个授权用户的身份对你的网络进行访问。另外VPN（虚拟专用网络）越来越多被企业特别是大企业所认可，如果错误地配置NAT设备，则可能会产生严重的后果。正确配置NAT既可以保证网络通讯的正常，也可以保证网络更安全。
2.NAT的设置
根据NAT设置类型，大致可以分为静态地址转换、动态地址转换、复用动态地址转换。
1）静态地址转换
静态地址转换将内部本地地址与内部地址进行—对一的转换，并需指定与哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等需要用来为外部用户提供的服务，这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。
假设内部局域网使用的lP地址段为192.168.0.1～192.168.0.254，路由器局域网端（即默认网关）的IP地址为192.168.0.1，子网掩码为255.255.255.O。网络分配的合法IP地址范围为61.159.62.128～61.159.62.135，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.248，可用于转换的IP地址范围为61.159.62.130～61.159.62.134。要求将内部网址192.168.O.2～192.168.0.6分别转换为合法IP地址61.159.62.130～61.159.62.134。
第一步，设置外部端口。
interface serial 0
ip address 61.159.62.129 255.255.255.248
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 192.168.0.1 255.255.255.0
ip nat inside
第三步，在内部本地与外部合法地址之间建立静态地址转换。
ip nat inside source static内部本地地址外部合法地址。
示例：
ip nat inside source static 192.168.0.2 61.159.62.130//将内部网络地址192.168.0.2转换为合法IP地址61.159.62.130
ip nat inside source static 192.168.0.3 61.159.62.131//将内部网络地址192.168.0.3转换为合云IP地址61.159.62.131
ip nat inside source static 192.168.0.461.159.62.132，/将内部网络地址192.168.0.4转换为合法IP地址61.159.62.132
ip nat inside source static 192.168.0.561.159.62.133//将内部网络地址192.168.0.5转换为合法IP地址61.159.62.133
ip nat inside sourag static 192.168.0.661.159.62.134//将内部网络地址192.168.0.6转换为合法IP地址61.159.62.134
至此，静态地址转换配置完毕。
2）动态地址转换
动态地址转换也是将本地地址与内部合法地址—对一的转换，但是动态地址转换是从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换。
假设内部网络使用的IP地址段为172.16.100.1～1 7 2.1 6.1 0 0.2 5 4，路由器局域网端口（即默认网关）的IP地址为172.16.1 00.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.1 59.62.1 28～61.1 59.62.191，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.192，可用于转换的IP地址范围为61.159.62.130～61.159.62.190。要求将内部网址172.16.100.2-172.16.100.254动态转换为合法IP地址61.159.62.130-61.159.62.190。 第一步，设置外部端口。
设置外部端口命令的语法如下：
ip nat outside
示例：
interface serial 0∥进入串行端El serial 0
ip address 61.159.62.129 255.255.255.192//将其IP地址指定为61.159.62.129，子网掩码为255.255.255.192
ip nat outside//将串行Elserial 0设置为外网端口
注意，可以定义多个外部端口。
第二步，设置内部端口。
设置内部接口命令的语法如下：
ip nat inside
示例：
interface ethernet 0//进入以太网端ElEthernet 0
ip address 172.16.100.1 255.＼5.255.0//将其IP地址指定为172.16.100.1，子网掩码为255.255.255.0
ip nat inside//将Ethernet 0设置为内网端口。
注意，可以定义多个内部端口。
第三步，定义合法lP地址池。
定义合法IP地址池命令的语法如下：
ip nat pool地址池名称起始IP地址终止IP地址子网掩码
其中，地址池名字可以任意设定。
示例：
ip nat pool chinanet 61.159.62.130 61.159.62.190netmask 255.255.255.192//指明地址缓冲池的名称为ehinanet，IP地址范围为61.159.62.130～61.159.62.190，子网掩码为255.255.255.192。需要注意的是，即使掩码为255.255.255.0，也会由起始IP地址和终止IP地址HIP地址池进行限制。
或ip nat pool test 61.159.62.130 61.159.62.190prefix-length 26
注意，如果有多个合法IP地址范围，可以分别添加。例如，如果还有一段合法IP地址范围为“211.82.216.1～211.82.216.254”，那么，可以再通过下述命令将其添加至缓冲池中。
ip nat pool eernet 211.82.216.1 211.82.216.254netmask 255.255.255.0
或
ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24
第四步，定义内部网络中允许访问I nterne～的访问列表。
定义内部访问列表命令的语法如下：
access-list标号permit源地址通配符（其中，标号为1～99之间的整数）
access-list 1 permit 172.16.100.0 0.0.0.255//允许访问Internet的网段为172.16.100.0-172.16.100.255，反掩码为0.0 0.255。需要注意的是，在这里采用的是反掩码，而非子网掩码。反掩码与子网掩码的关系为反掩码+子网掩码=255.255.255.255。例如，子网掩码为255.255.0.0，则反掩码为0.0.255.255；子网掩码为255.0.0.0，则反掩码为0.255.255.255；子网掩码为255.252.0.0，则反掩码为0.3.255.255；子网掩码为255.255.255.192，则反掩码为0.0.0.63。
另外，如果想将多个IP地址段转换为合法IP地址，可以添加多个访问列表。例如，当把172.16.98.0-172.16.98.255和172.16.99.0～172.16.99.255转换为合法IP地址时，应当添加下述命令：
access-list2 permit 172.16.98.0 0.0.0.255
access-list3 permit 172.16.99.0 0.0.0.255
第五步，实现网络地址转换。
在全局设置模式下，将第四步由access-list指定的内部本地地址列表与第三步指定的合法IP地址池进行地址转换。命令语法如下：
ip nat inside source list访问列表标号pool内部合法地址池名字。
示例：
ip nat inside source list 1 pool chinanet
如果有多个内部访问列表，可以一一添加，以实现网络地址转换，如
ip nat inside source list 2 pool chinanet
ip nat inside source list 3 pool chinanet
如果有多个地址池，也可以一一添加，以增加合法地址池范围，如
ip nat inside source list 1 pool eernet
ip nat inside source list 2 pool cernet
ip nat inside source list 3 pool eernet
至此，动态地址转换设置完毕。
3）复用动态地址转换
复用动态地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。当多个用户同时使用一个IP地址，外部网络通过路由器内部利用上层的如TCP或UDP端口号等唯一标识某台计算机。 内部网络使用的IP地址段为10.100.100.1～10.100.1 0 0.2 5 4，路由器局域网端口（即默认网关）的I P地址为1 0.1 0 0.1 0 0.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为202.99.160.0-202.99.160.3，路由器广域网中的IP地址为202.99.160.1，子网掩码为255.255.255.252，可用于转换的IP地址为202.99.160.2。要求将内部网址10.100.100.1～10.100.100.254转换为合法IP地址202.99.160.2。.
第一步，设置外部端口。
interace serial 0
ip address 202.99.160.1 255.255.255.252
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 10.100.100.1 255.255.255.0
ipnatinside
第三步，定义合法l P地址池。
ip nat pool onlyone 202.99.160.2 202.99.160.2netmask 255。255.255.252//指明地址缓冲池的名称为onlyone，IP地址范围为202.99.160.2，子网掩码为255.255.255.252
由于本例只有一个IP地址可用，所以，起始IP地址与终止IP地址均为202.99.160.2。如果有多个IP地址，则应当分别键入起止的IP地址。
第四步，定义内部访问列表。
access-list 1 permit 10.100.100.0 0.0.0.255
允许访问Internetr的网段为10.100.100.0-10.100.100.255，子网掩码为255.255.255.0。需要注意的是，在这里子网掩码的顺序跟平常所写的顺序相反，即0.0.0.255。
第五步，设置复用动态地址转换。
在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。命令语法如下：
ip nat inside source list访问列表号pool内部合法地址池名字overload。
示例：
ip nat inside source listl pool onlyone overload∥以端口复用方式，将访问列表1中的私有IP地址转换为onlvone IP地址池中定义的合法IP地址
注意：overload是复用动态地址转换的关键词。
至此，端口复用动态地址转换完成。
在网络发展的今天，不管使用那种地址转换，都是为了在实现企业或机构的内部网络组建和应用。然而对于网络安全来说，却是一种严峻的考验。正确配置并应用网络地址转换NAT技术，可以更好地为企业用户服务，也可以更好地保证企业的信息安全。
1.NAT定义
NAT（Network Address Translationl网络地址转换，允许一个公司或机构以一个公用IP（Internet Protoco1）地址出现在Interne止。在一个网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请（如192.168.*.*）等。NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关处，将内部地址替换成公用地址，从而在外部公网（nternet）上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共IP地址紧缺的问题。在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部Internet网络进行通讯时，具有NAT功能的设备（如路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。NAT主要的处理方式是通过修改UDP或TCP报文头部地址信息实现地址的转换。
我们知道防火墙的主要工作原理是，判断IP报头中包含的TCP端口号、信宿地址、信源地址以及附属信息来决定是否让该数据包通过。黑客在入侵的时候，通常会使NAT误认为其连接请求是被允许的，从而以一个授权用户的身份对你的网络进行访问。另外VPN（虚拟专用网络）越来越多被企业特别是大企业所认可，如果错误地配置NAT设备，则可能会产生严重的后果。正确配置NAT既可以保证网络通讯的正常，也可以保证网络更安全。
2.NAT的设置
根据NAT设置类型，大致可以分为静态地址转换、动态地址转换、复用动态地址转换。
1）静态地址转换
静态地址转换将内部本地地址与内部地址进行—对一的转换，并需指定与哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等需要用来为外部用户提供的服务，这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。
假设内部局域网使用的lP地址段为192.168.0.1～192.168.0.254，路由器局域网端（即默认网关）的IP地址为192.168.0.1，子网掩码为255.255.255.O。网络分配的合法IP地址范围为61.159.62.128～61.159.62.135，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.248，可用于转换的IP地址范围为61.159.62.130～61.159.62.134。要求将内部网址192.168.O.2～192.168.0.6分别转换为合法IP地址61.159.62.130～61.159.62.134。
第一步，设置外部端口。
interface serial 0
ip address 61.159.62.129 255.255.255.248
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 192.168.0.1 255.255.255.0
ip nat inside
第三步，在内部本地与外部合法地址之间建立静态地址转换。
ip nat inside source static内部本地地址外部合法地址。
示例：
ip nat inside source static 192.168.0.2 61.159.62.130//将内部网络地址192.168.0.2转换为合法IP地址61.159.62.130
ip nat inside source static 192.168.0.3 61.159.62.131//将内部网络地址192.168.0.3转换为合云IP地址61.159.62.131
ip nat inside source static 192.168.0.461.159.62.132，/将内部网络地址192.168.0.4转换为合法IP地址61.159.62.132
ip nat inside source static 192.168.0.561.159.62.133//将内部网络地址192.168.0.5转换为合法IP地址61.159.62.133
ip nat inside sourag static 192.168.0.661.159.62.134//将内部网络地址192.168.0.6转换为合法IP地址61.159.62.134
至此，静态地址转换配置完毕。
2）动态地址转换
动态地址转换也是将本地地址与内部合法地址—对一的转换，但是动态地址转换是从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换。
假设内部网络使用的IP地址段为172.16.100.1～1 7 2.1 6.1 0 0.2 5 4，路由器局域网端口（即默认网关）的IP地址为172.16.1 00.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.1 59.62.1 28～61.1 59.62.191，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.192，可用于转换的IP地址范围为61.159.62.130～61.159.62.190。要求将内部网址172.16.100.2-172.16.100.254动态转换为合法IP地址61.159.62.130-61.159.62.190。 第一步，设置外部端口。
设置外部端口命令的语法如下：
ip nat outside
示例：
interface serial 0∥进入串行端El serial 0
ip address 61.159.62.129 255.255.255.192//将其IP地址指定为61.159.62.129，子网掩码为255.255.255.192
ip nat outside//将串行Elserial 0设置为外网端口
注意，可以定义多个外部端口。
第二步，设置内部端口。
设置内部接口命令的语法如下：
ip nat inside
示例：
interface ethernet 0//进入以太网端ElEthernet 0
ip address 172.16.100.1 255.＼5.255.0//将其IP地址指定为172.16.100.1，子网掩码为255.255.255.0
ip nat inside//将Ethernet 0设置为内网端口。
注意，可以定义多个内部端口。
第三步，定义合法lP地址池。
定义合法IP地址池命令的语法如下：
ip nat pool地址池名称起始IP地址终止IP地址子网掩码
其中，地址池名字可以任意设定。
示例：
ip nat pool chinanet 61.159.62.130 61.159.62.190netmask 255.255.255.192//指明地址缓冲池的名称为ehinanet，IP地址范围为61.159.62.130～61.159.62.190，子网掩码为255.255.255.192。需要注意的是，即使掩码为255.255.255.0，也会由起始IP地址和终止IP地址HIP地址池进行限制。
或ip nat pool test 61.159.62.130 61.159.62.190prefix-length 26
注意，如果有多个合法IP地址范围，可以分别添加。例如，如果还有一段合法IP地址范围为“211.82.216.1～211.82.216.254”，那么，可以再通过下述命令将其添加至缓冲池中。
ip nat pool eernet 211.82.216.1 211.82.216.254netmask 255.255.255.0
或
ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24
第四步，定义内部网络中允许访问I nterne～的访问列表。
定义内部访问列表命令的语法如下：
access-list标号permit源地址通配符（其中，标号为1～99之间的整数）
access-list 1 permit 172.16.100.0 0.0.0.255//允许访问Internet的网段为172.16.100.0-172.16.100.255，反掩码为0.0 0.255。需要注意的是，在这里采用的是反掩码，而非子网掩码。反掩码与子网掩码的关系为反掩码+子网掩码=255.255.255.255。例如，子网掩码为255.255.0.0，则反掩码为0.0.255.255；子网掩码为255.0.0.0，则反掩码为0.255.255.255；子网掩码为255.252.0.0，则反掩码为0.3.255.255；子网掩码为255.255.255.192，则反掩码为0.0.0.63。
另外，如果想将多个IP地址段转换为合法IP地址，可以添加多个访问列表。例如，当把172.16.98.0-172.16.98.255和172.16.99.0～172.16.99.255转换为合法IP地址时，应当添加下述命令：
access-list2 permit 172.16.98.0 0.0.0.255
access-list3 permit 172.16.99.0 0.0.0.255
第五步，实现网络地址转换。
在全局设置模式下，将第四步由access-list指定的内部本地地址列表与第三步指定的合法IP地址池进行地址转换。命令语法如下：
ip nat inside source list访问列表标号pool内部合法地址池名字。
示例：
ip nat inside source list 1 pool chinanet
如果有多个内部访问列表，可以一一添加，以实现网络地址转换，如
ip nat inside source list 2 pool chinanet
ip nat inside source list 3 pool chinanet
如果有多个地址池，也可以一一添加，以增加合法地址池范围，如
ip nat inside source list 1 pool eernet
ip nat inside source list 2 pool cernet
ip nat inside source list 3 pool eernet
至此，动态地址转换设置完毕。
3）复用动态地址转换
复用动态地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。当多个用户同时使用一个IP地址，外部网络通过路由器内部利用上层的如TCP或UDP端口号等唯一标识某台计算机。 内部网络使用的IP地址段为10.100.100.1～10.100.1 0 0.2 5 4，路由器局域网端口（即默认网关）的I P地址为1 0.1 0 0.1 0 0.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为202.99.160.0-202.99.160.3，路由器广域网中的IP地址为202.99.160.1，子网掩码为255.255.255.252，可用于转换的IP地址为202.99.160.2。要求将内部网址10.100.100.1～10.100.100.254转换为合法IP地址202.99.160.2。.
第一步，设置外部端口。
interace serial 0
ip address 202.99.160.1 255.255.255.252
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 10.100.100.1 255.255.255.0
ipnatinside
第三步，定义合法l P地址池。
ip nat pool onlyone 202.99.160.2 202.99.160.2netmask 255。255.255.252//指明地址缓冲池的名称为onlyone，IP地址范围为202.99.160.2，子网掩码为255.255.255.252
由于本例只有一个IP地址可用，所以，起始IP地址与终止IP地址均为202.99.160.2。如果有多个IP地址，则应当分别键入起止的IP地址。
第四步，定义内部访问列表。
access-list 1 permit 10.100.100.0 0.0.0.255
允许访问Internetr的网段为10.100.100.0-10.100.100.255，子网掩码为255.255.255.0。需要注意的是，在这里子网掩码的顺序跟平常所写的顺序相反，即0.0.0.255。
第五步，设置复用动态地址转换。
在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。命令语法如下：
ip nat inside source list访问列表号pool内部合法地址池名字overload。
示例：
ip nat inside source listl pool onlyone overload∥以端口复用方式，将访问列表1中的私有IP地址转换为onlvone IP地址池中定义的合法IP地址
注意：overload是复用动态地址转换的关键词。
至此，端口复用动态地址转换完成。
在网络发展的今天，不管使用那种地址转换，都是为了在实现企业或机构的内部网络组建和应用。然而对于网络安全来说，却是一种严峻的考验。正确配置并应用网络地址转换NAT技术，可以更好地为企业用户服务，也可以更好地保证企业的信息安全。