锐捷网络设备中的NAT（网络地址转换）命令是配置和管理内部网络与外部网络通信的关键工具，主要用于解决IPv4地址不足、隐藏内部网络结构以及实现负载均衡等问题，以下将详细介绍锐捷设备上常用的NAT命令及其应用场景，包括静态NAT、动态NAT、PAT（端口地址转换）的配置方法，以及相关的验证和调试命令。
在配置NAT之前,需要明确几个基本概念：内部本地地址（Inside Local）是内部网络中设备的实际IP地址，内部全局地址（Inside Global）是经过NAT转换后在公网中使用的IP地址，外部本地地址（Outside Local）是外部网络设备在内部网络中看到的地址，外部全局地址（Outside Global）是外部网络设备的实际IP地址，配置NAT时，首先需要定义哪些接口连接内部网络（Inside接口），哪些接口连接外部网络（Outside接口），以锐捷交换机或路由器为例，进入全局配置模式后，使用ip nat inside命令将接口定义为内部接口，ip nat outside命令将接口定义为外部接口。
静态NAT用于将内部本地地址与内部全局地址进行一对一的固定映射,通常用于需要对外提供服务的服务器，如Web服务器、邮件服务器等，配置静态NAT的命令为ip nat inside source static <内部本地IP> <内部全局IP>，例如ip nat inside source static 192.168.1.100 202.96.1.100，表示将内部IP地址192.168.1.100映射为公网IP地址202.96.1.100，配置完成后，可以通过show ip nat translations命令查看当前的NAT转换表，验证静态NAT是否生效。
动态NAT则使用一个公网IP地址池,内部本地地址可以动态池中的任意一个公网地址进行映射，适用于内部用户需要访问外部网络的场景，配置动态NAT需要先定义公网IP地址池，命令为ip nat pool <地址池名称> <起始IP> <结束IP> netmask <子网掩码>，例如ip nat pool POOL1 202.96.1.100 202.96.1.200 netmask 255.255.255.0，然后定义一个访问控制列表（ACL）来允许需要进行NAT转换的内部地址，例如access-list 10 permit 192.168.1.0 0.0.0.255，最后将ACL与地址池关联，命令为ip nat inside source list 10 pool POOL1 overload，其中overload关键字表示启用PAT（即多个内部地址共享一个公网IP地址，通过端口号区分），如果不使用overload，则为动态NAT一对一映射。
PAT是NAT的一种特殊形式,也是最常用的方式，它通过端口号实现多个内部地址共享一个公网IP地址，配置PAT时，只需在动态NAT命令中添加overload参数，如上述命令所示，如果不需要定义地址池，也可以直接使用接口的IP地址作为PAT转换的公网地址，命令为ip nat inside source list 10 interface GigabitEthernet0/0/1 overload，其中GigabitEthernet0/0/1为连接外部网络的接口，还可以配置NAT超时时间，通过ip nat translation timeout <秒数>命令调整NAT条目的老化时间，默认为600秒。
在NAT配置过程中,可能会遇到各种问题，因此需要掌握常用的验证和调试命令。show ip nat translations用于显示当前的NAT转换表，show ip nat statistics用于显示NAT的统计信息，包括转换条目数量、命中率等，如果NAT不生效，可以使用debug ip packet和debug ip nat命令进行调试，但注意调试命令会产生大量输出，建议在非生产环境或网络流量较小时使用，调试完成后，需使用undebug all命令关闭调试。
以下表格总结了锐捷设备上常用的NAT配置命令及其功能：
| 命令 | 功能 |
|---|---|
ip nat inside |
将接口定义为内部接口 |
ip nat outside |
将接口定义为外部接口 |
ip nat inside source static <本地IP> <全局IP> |
配置静态NAT |
ip nat pool <名称> <起始IP> <结束IP> netmask <掩码> |
定义NAT地址池 |
access-list <列表号> permit <网段> <反掩码> |
定义允许NAT的ACL |
ip nat inside source list <列表号> pool <地址池名> overload |
配置动态NAT或PAT |
ip nat inside source list <列表号> interface <接口> overload |
使用接口IP作为PAT地址 |
show ip nat translations |
查看NAT转换表 |
clear ip nat translation * |
清除所有NAT转换条目 |
相关问答FAQs：
问题1：配置NAT后，内部用户无法访问外部网络，可能的原因有哪些？如何排查？
解答：可能的原因包括：① 内外接口定义错误，需检查是否正确配置了ip nat inside和ip nat outside；② ACL规则配置错误，确保ACL允许了内部地址的流量；③ NAT地址池IP地址与外部网络冲突，或地址池中没有可用IP；④ 路由配置问题，确保内部网络有默认路由指向NAT设备，且NAT设备有去往外部网络的路由，排查步骤：使用show ip nat translations查看是否有NAT条目生成；使用ping命令测试NAT设备内外接口的连通性；使用debug ip nat观察NAT转换过程。
问题2：如何配置NAT以实现内部服务器发布，同时隐藏内部服务器IP？
解答：可以通过静态NAT或PAT结合端口映射实现，如果需要固定公网IP访问服务器，使用静态NAT命令ip nat inside source static <内部服务器IP> <公网服务器IP>；如果需要通过不同端口号访问内部多个服务器，可以使用PAT端口映射，命令为ip nat inside source static tcp <内部服务器IP> <内部端口> <公网IP> <公网端口> extendable，例如ip nat inside source static tcp 192.168.1.100 80 202.96.1.100 8080 extendable，表示将外部访问202.96.1.100:8080的流量映射到内部192.168.1.100:80，配置完成后，需确保外部网络可以访问公网IP和端口，并在防火墙上放行相应流量。
