NAT协议 - 技术栈

192.168.1.2需要上网，那么它就把该数据给了网关（源IP：192.168.1.2，目标IP：200.1.1.2），网关看到目标IP为200.1.1.2，那么根据路由表将此数据包路由到右侧端口，因为路由器配置了NAT，那么就会检查地址转换表（192.168.1.2------100.1.1.1）发现有源IP的匹配条目进而将源地址转换为100.1.1.1后将数据包从右接口发出（源IP：100.1.1.1，目标IP：200.1.1.2），之后就可以访问200.1.1.2，200.1.1.2收到了请求就会回应（源IP：200.1.1.2，目标IP：100.1.1.1）这个数据包发到了路由器1，路由器1配置了NAT，那么就检查目标IP，发现有匹配的项目，进而将目标IP转换为192.168.1.2进而发给192.168.1.2数据响应（源IP：100.1.1.1，目标IP：192.168.1.2）。

注意：

这种方式在仅有1个公网IP地址的情况下，内网中仅有1台设备可以访问外网。
上面这种方式中没有对端口进行转换，那么访问公网的特定端口就会转化到私网的特定端口上，如今也推出了静态NAPT，可以实现静态配置内网IP端口与公网IP端口的映射

动态NAT

**理解：**定义内外部地址池，动态随机转换，当有一个私网IP要访问互联网，那么就会自动拿出地址池里面的公网IP来进行对接转换，若再有一个私网IP想要访问外部网络，则会再从地址池中拿出公网IP对接（一对一转换）

192.168.1.2访问200.1.1.2执行过程

192.168.1.2需要上网，那么它就把该数据给了网关（源IP：192.168.1.2，目标IP：200.1.1.2），网关看到目标IP为200.1.1.2，那么根据路由表将此数据包路由到右侧端口，因为路由器配置了动态NAT，那么就会检查地址转换表，发现没有映射关系但配了动态NAT，那么就会把源IP拿去内部地址池比较，发现属于内部地址池（动态在NAT地址转换表补充至源IP），那么就从外部公网地址池拿出一个公网IP（动态的在NAT地址转换表补充至公网IP）在NAT地址表中形成一个转换关系（源IP：192.168.1.2；公网IP：100.1.1.1），同时将源IP转化为100.1.1.1将数据发到200.1.1.2（源IP：100.1.1.1，目标IP：200.1.1.2）；（后面就和静态NAT一样了）

**注意：**动态NAT中的NAT地址转换表的条目将会在源IP设备停止发包的24小时后消失。

NAPT

前言：

网络地址端口转换NAPT（Network Address Port Translation）是把内部地址映射到外部网络的一个IP地址的不同端口上。
NAPT相对于动态NAT来说，它实现了外部公网地址池的复用。

NAPT协议的NAT表

|-----------|------------|-----------|-----------|
| 源IP地址 | 公网IP地址 | 源端口号 | 路由器端口 |
| 内网设备1源IP | 公网地址 | 内网设备1开放端口 | 路由器监听端口1 |
| 内网设备2源IP | 公网地址 | 内网设备2开放端口 | 路由器监听端口2 |

注意：

该表中对于没有消失的表项中路由器使用的端口号路由器不能用第二次
NAT表中的公网地址不一定是路由器接口处的公网IP地址，也可以是其他公网地址，当一个外部数据发过来的时候，就会检查目标IP是否与公网IP匹配，目标端口是否与路由端口匹配，若都匹配了则能转发数据到内网

192.168.1.2的5000端口访问200.1.1.2的80端口执行过程

192.168.1.2需要上网，那么它就把该数据给了网关（源IP：192.168.1.2，目标IP：200.1.1.2；源端口：5000，目标端口：80），网关看到目标IP为200.1.1.2，那么根据路由表将此数据包路由到右侧端口，因为路由器配置了NAT，那么就会检查地址转换表，发现没有映射关系但配置NAPT，于是就去拿源IP去内部地址池比较，发现属于内部地址池（将该地址动态在NAT地址转换表补充至源IP，将源端口补充至源端口），于是就从外部公网地址池复用一个公网IP（将该IP动态的在NAT地址转换表补充至公网IP，路由器随机开启端口1补充至路由器端口），形成路由表（源IP地址：192.168.1.2；公网IP：100.1.1.1；源端口：5000；路由器端口：1）后将公网地址作为源IP地址，路由器随机开启的端口作为源端口（源IP：100.1.1.1，目标IP：200.1.1.2；源端口：1，目标端口：80）将数据包发送到200.1.1.2；200.1.1.2收到后向100.1.1.1回复消息（源IP：200.1.1.2，目标IP：100.1.1.1；源端口：80，目标端口：1）路由器1配置了NAT于是就查看目标IP并且将其转化为源IP，查看目标端口号转化为源端口号（源IP：200.1.1.2，目标IP：192.168.1.2；源端口：80，目标端口：5000）并将数据发送给192.168.1.2的5000端口。

**注意：**使用NAPT协议可以复用公网地址，进而达到局域网内的多台设备仅用一个公网IP实现上网的目的。

基本命令

进入特权模式

**查看nat表：**show ip nat translations

**清空nat表：**clear ip nat translations

配置动态NAPT转换

定义内外网接口

进入路由器内网接口

**定义内网接口：**ip nat inside

进入路由器外网端口

**定义外网端口：**ip nat outside

**注意：**外网端口用来转换出去包的源IP，内网端口用来转换进来包的目标IP。

配置NAPT

进入全局配置模式

**定义内部地址池：**access-list 1 permit 内网IP地址通配符掩码

该ACL表主要是做匹配地址转换，来往的数据若符合上述规定则会做地址转换

**做NAPT动态映射：**ip nat inside source list 1 路由器公网接口 overload

只要源IP满足ACL表号1，那么就允许使用路由器公网接口的IP地址做替换

**总结：**执行了以上的两个步骤，那么只要是ACL表允许的数据，都会允许做NAPT转换，进而实现了一个公网IP允许多个私网IP设备同时上网。

静态NAPT配置

定义内外网接口

进入路由器内网接口

**定义内网接口：**ip nat inside

进入路由器外网端口

**定义外网端口：**ip nat outside

配置静态NAPT

进入全局配置模式

将私网IP完整的映射到公网IP上

ip nat source static 私网IP地址公网IP地址

将私网IP的端口映射到公网IP的端口上

ip nat inside source static 协议私网IP 私网端口路由器公网IP 路由器公网端口

注意：

静态NAPT中的协议可选为tcp/udp
静态NAPT配置后，访问路由器公网IP的端口，那么就会自动映射到私网IP的私网端口