Cisco NAT（网络地址转换）是一种广泛使用的技术，它允许多台内部设备通过一个或少量公有IP地址访问互联网，从而有效节省IP地址资源，并增强网络安全性，在Cisco设备（如路由器、防火墙等）上配置NAT涉及多种命令和模式，理解这些命令的作用和适用场景是成功部署NAT的关键，以下将详细介绍Cisco NAT的配置命令、步骤及相关注意事项。
NAT的基本工作原理是将内部网络的私有IP地址转换为公有IP地址,或将外部网络的公有IP地址转换为内部网络的私有IP地址，根据转换的方向和方式，NAT主要分为三种类型：静态NAT（Static NAT）、动态NAT（Dynamic NAT）和PAT（Port Address Translation，也称为NAT Overload），静态NAT为一对一映射，通常用于需要从外部访问的内部服务器；动态NAT将内部私有地址池中的地址动态映射到公有地址池；PAT则允许多个内部设备共享一个或少量公有IP地址，通过端口号区分不同的连接，是最常用的NAT类型。
配置NAT的第一步是进入全局配置模式（configure terminal），在全局配置模式下，需要定义哪些内部网络地址需要被转换，即“内部本地地址”（inside local address），以及转换后使用的“内部全局地址”（inside global address），对于静态NAT，使用ip nat inside source static命令，格式为ip nat inside source static <inside_local_ip> <inside_global_ip>，将内部服务器192.168.1.10的静态NAT映射到公有IP 203.0.113.10，命令为ip nat inside source static 192.168.1.10 203.0.113.10，这条命令会在NAT转换表中创建一条永久的一对一映射条目。
对于动态NAT,需要先定义一个内部本地地址池（使用ip nat pool命令）和一个访问控制列表（ACL）来指定需要转换的地址范围，定义一个名为POOL1的地址池，包含203.0.113.100到203.0.113.200，命令为ip nat pool POOL1 203.0.113.100 203.0.113.200 netmask 255.255.255.0，然后创建一个ACL，允许需要转换的内部地址（如192.168.1.0/24），命令为access-list 1 permit 192.168.1.0 0.0.0.255，将地址池与ACL关联起来，使用ip nat inside source list <ACL号> pool <池名>命令，例如ip nat inside source list 1 pool POOL1，这样，当内部设备访问互联网时，NAT会从地址池POOL1中动态分配一个未被使用的全局IP地址进行转换。
PAT的配置与动态NAT类似,只是不需要定义多个全局IP地址，而是使用接口的IP地址作为转换后的地址，配置命令为ip nat inside source list <ACL号> interface <接口名> overload，如果外部接口是Serial0/0/1，其IP地址为203.0.113.1，且需要转换192.168.1.0/24网段的流量，命令为ip nat inside source list 1 interface Serial0/0/1 overload。overload关键字是PAT的核心，它告诉NAT设备在转换时不仅使用IP地址，还使用传输层端口号（如TCP/UDP端口）来区分不同的连接，从而实现多对一的地址转换。
除了配置NAT转换规则,还需要指定哪些接口是内部接口（inside），哪些是外部接口（outside），内部接口连接内部网络，通常使用私有IP地址；外部接口连接互联网或外部网络，使用公有IP地址，使用ip nat inside命令标记内部接口，例如interface GigabitEthernet0/0进入接口配置模式后，输入ip nat inside；同样，使用ip nat outside命令标记外部接口，例如interface Serial0/0/1后输入ip nat outside，这一步至关重要，因为NAT设备需要知道数据包的来源和去向，以决定是否需要进行地址转换。
配置完成后,可以使用show ip nat translations命令查看当前的NAT转换表，显示内部本地地址、内部全局地址、外部全局地址、外部本地地址以及端口号和协议等信息，如果需要清除转换表，可以使用clear ip nat translation *命令清除所有条目，或使用clear ip nat translation <内部本地IP> <内部全局IP>清除特定条目。debug ip nat命令可以实时监控NAT的转换过程，帮助排查配置问题，但在生产环境中应谨慎使用，以免影响设备性能。
需要注意的是,NAT的配置顺序很重要，通常建议先定义地址池和ACL，再配置NAT转换规则，最后标记内外接口，确保ACL中允许的地址范围与需要转换的内部网络地址一致，避免地址转换失败，对于PAT，如果内部服务器需要从外部访问，通常需要配置静态NAT或PAT端口映射（也称为端口转发），将外部特定端口的流量映射到内部服务器的IP和端口，例如ip nat inside source static tcp 192.168.1.10 80 203.0.113.10 80，这样外部用户访问203.0.113.10的80端口时，流量会被转发到192.168.1.10的80端口。
在实际网络环境中,NAT的配置可能涉及更复杂的场景，如多个内部接口、多个外部接口、策略路由等，此时可能需要使用更高级的NAT命令，如ip nat inside source route-map结合ACL和路由映射来实现基于策略的NAT转换，还需要考虑NAT与VPN、IPSec等技术的兼容性，确保这些技术能够正常协同工作。
Cisco NAT的配置命令主要包括ip nat inside source static（静态NAT）、ip nat pool（定义地址池）、access-list（定义允许转换的地址范围）、ip nat inside source list pool（动态NAT）、ip nat inside source list interface overload（PAT），以及ip nat inside和ip nat outside（标记内外接口），正确理解和使用这些命令，结合网络拓扑和需求，可以实现灵活、高效的NAT配置，满足企业网络对地址管理和安全访问的需求。
相关问答FAQs：
-
问：静态NAT和动态NAT的主要区别是什么？如何选择使用哪种？
答：静态NAT是一对一的永久地址映射，适用于需要从外部网络访问的内部服务器（如Web服务器、邮件服务器），因为映射关系固定，外部访问时IP地址不变，动态NAT是将内部本地地址池中的地址动态映射到全局地址池，映射关系不固定，适用于普通内部客户端访问互联网的场景，无需外部访问，选择时，如果内部设备需要被外部主动访问，使用静态NAT；如果仅是内部设备访问外部，且无需固定IP，使用动态NAT或PAT。 -
问：配置PAT时，为什么需要使用
overload关键字？如果没有overload会发生什么？
答：overload关键字是PAT的核心功能，它告诉NAT设备在转换时不仅使用IP地址，还使用传输层端口号（如TCP/UDP端口）来区分不同的连接，从而允许多个内部设备共享一个或少量公有IP地址，如果没有overload，命令ip nat inside source list <ACL号> interface <接口名>将退化为动态NAT，即每个内部连接都需要一个独立的公有IP地址，如果公有IP地址不足，部分连接将无法进行地址转换，导致访问失败。
