思科NAT（网络地址转换）是一种广泛应用于网络中的技术，主要用于在私有网络和公共网络之间建立连接，通过将私有IP地址转换为公共IP地址，从而节省公共IP地址资源，并增强网络安全性，NAT配置在思科设备上主要通过一系列命令实现,以下将详细介绍NAT的配置命令及其应用场景。
NAT的基本概念
NAT主要分为三种类型：静态NAT、动态NAT和PAT（端口地址转换，也称为NAT Overload），静态NAT将一个私有IP地址与一个公共IP地址进行一一映射；动态NAT将一组私有IP地址动态映射到一组公共IP地址；PAT则将多个私有IP地址映射到一个公共IP地址的不同端口,是应用最广泛的一种NAT类型。
NAT配置前的准备
在配置NAT之前,需要明确以下信息：
- 内部接口和外部接口：确定哪些接口连接内部私有网络,哪些接口连接外部公共网络。
- 内部本地地址和内部全局地址：内部本地地址是私有网络中的IP地址,内部全局地址是转换后的公共IP地址。
- NAT类型：根据需求选择静态NAT、动态NAT或PAT。
NAT配置命令详解
基本配置步骤
（1）进入全局配置模式：
Router> enable Router# configure terminal
（2）定义内部接口和外部接口：
假设FastEthernet0/0是连接内部网络的接口，Serial0/0/0是连接外部网络的接口。
Router(config)# interface FastEthernet0/0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface Serial0/0/0 Router(config-if)# ip nat outside Router(config-if)# exit
（3）配置NAT转换规则：
- 静态NAT配置：
Router(config)# ip nat inside source static 192.168.1.10 203.0.113.10
上述命令表示将内部本地地址
168.1.10静态映射到内部全局地址0.113.10。 - 动态NAT配置：
首先定义一个NAT地址池：
Router(config)# ip nat pool NAT-POOL 203.0.113.20 203.0.113.30 netmask 255.255.255.224
然后定义一个ACL,允许需要进行NAT转换的内部地址：
Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255
最后将ACL与NAT地址池关联：
（图片来源网络，侵删）Router(config)# ip nat inside source list 10 pool NAT-POOL
- PAT配置：
PAT通常使用接口的IP地址作为内部全局地址：
Router(config)# ip nat inside source list 10 interface Serial0/0/0 overload
或者使用NAT地址池的PAT：
Router(config)# ip nat inside source list 10 pool NAT-POOL overload
高级配置选项
（1）NAT超时时间配置： 默认情况下，NAT条目会因超时而删除,可以通过以下命令调整超时时间：
Router(config)# ip nat translation udp-timeout 300 Router(config)# ip nat translation tcp-timeout 600
（2）NAT日志记录： 可以开启NAT日志功能,记录NAT转换事件：
Router(config)# ip nat log translations 1024
（3）NAT复用端口： 在PAT中，默认情况下不同内部主机的相同端口会被复用,可以通过以下命令禁用：
Router(config)# no ip nat port allocation-type random
NAT配置验证与调试
（1）查看NAT转换表：
Router# show ip nat translations
（2）查看NAT统计信息：
Router# show ip nat statistics
（3）调试NAT事件：
Router# debug ip nat
（4）清除NAT转换表：
Router# clear ip nat translation *
NAT配置示例
假设一个企业网络使用168.1.0/24作为内部网段，外部接口IP为0.113.1，需要配置PAT使内部主机访问互联网,配置步骤如下：
- 定义内部和外部接口：
Router(config)# interface FastEthernet0/0 Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface Serial0/0/0 Router(config-if)# ip nat outside Router(config-if)# exit
- 定义ACL允许内部网段：
Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255
- 配置PAT：
Router(config)# ip nat inside source list 10 interface Serial0/0/0 overload
- 验证配置：
Router# show ip nat translations
NAT配置注意事项
- 接口方向：确保内部接口和外部接口的方向配置正确,否则NAT无法正常工作。
- ACL规则：ACL必须正确匹配需要转换的内部地址,否则地址无法被转换。
- IP地址冲突：静态NAT中使用的内部全局地址不能与外部网络中的其他地址冲突。
- 性能影响：NAT会增加设备的CPU和内存负担,在高流量网络中需要考虑设备性能。
相关问答FAQs
问题1：如何区分静态NAT和动态NAT的应用场景？
解答：静态NAT适用于需要固定外部IP地址的服务器，如Web服务器、邮件服务器等，因为这些服务需要稳定的公网IP地址供外部访问，动态NAT适用于内部主机临时访问外部网络的情况，如员工上网，无需固定公网IP地址,动态NAT可以灵活分配可用的公网IP地址。
问题2：PAT和动态NAT的主要区别是什么？
解答：PAT（端口地址转换）与动态NAT的主要区别在于PAT允许多个内部主机共享一个公网IP地址，通过不同的端口号区分不同的连接；而动态NAT是一对一的映射，每个内部主机需要一个独立的公网IP地址，PAT在公网IP地址资源有限的情况下更为高效,是家庭和小型企业网络中最常用的NAT类型。
