思科NAT（网络地址转换）是一种广泛使用的技术，它允许多台内部设备通过一个或少量公网IP地址访问互联网，有效解决了IPv4地址枯竭问题，同时增强了网络安全性，在思科设备上配置NAT涉及多种命令和模式，理解这些命令的用法和参数对于网络管理员至关重要，NAT主要分为静态NAT、动态NAT和PAT（端口地址转换，也称为NAPT或Overloading）三种类型，每种类型的应用场景和配置命令都有所不同。
配置NAT的第一步是进入全局配置模式,通常命令为enable followed by configure terminal，在全局配置模式下，需要定义内部和外部网络接口，明确哪些接口连接内部网络（通常是LAN接口，如FastEthernet0/0），哪些连接外部网络（通常是WAN接口，如Serial0/0/0），接口的识别可以通过ip nat inside和ip nat outside命令来完成，其中ip nat inside应用于连接内部网络的接口，ip nat outside应用于连接外部网络的接口，如果FastEthernet0/0连接内部网络，则配置命令为interface FastEthernet0/0，然后ip nat inside；同理，对于Serial0/0/0接口，则配置interface Serial0/0/0，然后ip nat outside。
接下来是NAT转换规则的配置,对于静态NAT，它是一对一的固定映射，通常用于需要从外部网络访问的内部服务器，如Web服务器或邮件服务器，静态NAT配置命令为ip nat inside source static 内部IP 外部IP，如果内部服务器的IP地址是192.168.1.100，希望将其映射为公网IP 203.0.113.10，则命令为ip nat inside source static 192.168.1.100 203.0.113.10，这条命令的含义是，当内部设备192.168.1.100发起的流量从内部接口出去时，源IP地址会被替换为203.0.113.10；当外部流量目的IP为203.0.113.10到达外部接口时，目的IP地址会被替换为192.168.1.100，从而实现双向通信。
动态NAT则将一组内部私有IP地址动态映射到一组公网IP地址池中的一个,映射关系不固定，由NAT设备自动分配，配置动态NAT需要先定义一个IP地址池，然后指定哪些内部IP地址可以参与动态NAT转换，定义IP地址池的命令为ip nat pool 地址池名称 起始IP 结束IP netmask 子网掩码，例如ip nat pool POOL1 203.0.113.20 203.0.113.30 netmask 255.255.255.224，定义了一个包含11个公网IP的地址池，需要创建一个访问控制列表（ACL）来允许参与动态NAT的内部IP地址范围，例如access-list 10 permit 192.168.1.0 0.0.0.255允许整个192.168.1.0/24网段，将ACL与地址池关联起来，命令为ip nat inside source list ACL编号 pool 地址池名称 overload，这里的overload关键字是PAT的标志，如果不加overload，则为纯粹的动态NAT（一对一映射，较少使用），在实际应用中，动态NAT通常会与PAT结合使用，即overload。
PAT是最常用的NAT类型,它允许多个内部设备共享一个或少数几个公网IP地址，通过不同的端口号来区分不同的内部会话，PAT的配置与动态NAT类似，但必须包含overload关键字，使用上述的地址池和ACL，配置命令为ip nat inside source list 10 pool POOL1 overload，如果没有定义地址池，也可以直接使用外部接口的IP地址作为PAT转换的公网IP，命令为ip nat inside source list 10 interface Serial0/0/0 overload，这种方式更为简洁，适用于只有一个公网IP的情况，当内部主机（如192.168.1.5的TCP端口12345）访问外部主机时，NAT设备会将其源IP和端口转换为外部接口IP（如203.0.113.1）和临时端口（如50000），当外部响应返回时，NAT设备根据会话表将目的IP和端口转换回内部主机的IP和端口。
除了基本配置,思科NAT还提供了一些诊断和监控命令，用于排查问题和监控NAT会话状态。show ip nat translations命令用于查看当前活动的NAT转换表，显示内部IP、外部IP、协议、端口号等信息。show ip nat statistics命令则显示NAT的统计信息，如总转换数量、匹配ACL的数据包数量、因资源不足而失败的数据包数量等，这些信息对于评估NAT性能和排查故障非常有帮助，如果需要清除NAT转换表，可以使用clear ip nat translation *命令清除所有转换，或clear ip nat translation inside 内部IP 外部IP清除特定转换。
在配置NAT时,还需要注意一些常见问题，确保内部和外部接口正确标记了ip nat inside和ip nat outside，否则NAT规则将无法生效，ACL的定义必须准确，只允许需要NAT转换的内部流量通过ACL，否则可能导致不必要的NAT转换或安全风险，第三，PAT依赖于端口号，如果内部发起的会话数量超过了可用端口号的范围（尽管实际中端口数量很大，65535个），理论上会出现资源耗尽，但这种情况非常罕见，对于需要从外部访问的内部服务器，除了配置静态NAT外，还需要在防火墙或ACL上允许相应的服务端口（如TCP 80用于HTTP）流量到达外部接口的公网IP地址。
以下是一个简单的NAT配置示例,假设路由器的外网接口为Serial0/0/0（IP: 203.0.113.1/29），内网接口为FastEthernet0/0（IP: 192.168.1.1/24），要求内网所有主机通过PAT访问互联网，同时内网Web服务器（192.168.1.100）需要提供外部访问，映射为公网IP 203.0.113.2。
配置步骤如下：
- 配置接口IP和NAT标记：
interface FastEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip nat inside no shutdown interface Serial0/0/0 ip address 203.0.113.1 255.255.255.248 ip nat outside no shutdown - 定义静态NAT用于Web服务器：
ip nat inside source static 192.168.1.100 203.0.113.2 - 定义ACL允许内网其他主机进行PAT：
access-list 1 permit 192.168.1.0 0.0.0.255 - 配置PAT,使用外部接口IP：
ip nat inside source list 1 interface Serial0/0/0 overload
通过以上配置,内网主机192.168.1.100可以通过203.0.113.2被外部访问，而其他内网主机（192.168.1.1-192.168.1.254，除192.168.1.100外）则通过PAT共享203.0.113.1访问互联网。
思科NAT命令的配置需要根据网络需求选择合适的NAT类型,正确配置接口、ACL、地址池（如需），并利用诊断命令进行监控，静态NAT适用于需要固定映射和外部访问的场景，动态NAT结合PAT则是解决内网多主机共享公网IP的主流方案，熟练掌握这些命令和配置逻辑，能够有效构建和管理中小型网络的互联网接入。
相关问答FAQs
-
问：静态NAT和动态NAT（带overload的PAT）的主要区别是什么？ 答：静态NAT是一对一的固定IP地址映射，通常用于需要从外部网络主动访问的内部服务器，映射关系在配置时确定且不变，而动态NAT带overload（即PAT）允许多个内部主机共享一个或少量公网IP地址，通过不同的传输层端口号来区分不同的会话，映射关系是动态分配的，适用于普通内网用户访问互联网的场景，节省公网IP资源。
-
问：在配置NAT时，如果
show ip nat translations命令显示没有条目，可能的原因有哪些？ 答：可能的原因包括：① 内部或外部接口未正确配置ip nat inside或ip nat outside命令；② ACL定义错误或未正确关联到NAT规则，导致没有流量匹配ACL；③ 内部主机没有实际发起访问外网的流量，NAT转换表是动态生成的，没有流量则无条目；④ NAT配置语法错误，如命令拼写错误、参数不匹配等；⑤ 路由问题，导致流量没有经过NAT设备，需要逐一检查这些方面来排查问题。
