目  录

1 MAC地址

1.1 概述

1.2 配置MAC地址表项

1.3 配置MAC地址表项的老化时间

1.4 MAC地址典型配置举例

2 VLAN

2.1 概述

2.2 VLAN配置任务简介

2.3 新建VLAN

2.4 配置VLAN中的端口

2.5 配置端口所属的VLAN

2.6 VLAN典型配置举例

2.7 注意事项

3 ARP管理

3.1 概述

3.1.1 ARP简介

3.1.2 免费ARP简介

3.2 查看ARP表项

3.3 配置静态ARP表项

3.4 删除ARP表项

3.5 配置免费ARP功能

3.6 静态ARP典型配置举例

4 IGMP Snooping

4.1 概述

4.2 IGMP Snooping配置任务简介

4.3 全局启用IGMP Snooping

4.4 在VLAN内配置IGMP Snooping

4.5 在端口上配置IGMP Snooping

4.6 查看IGMP Snooping组播表项信息

4.7 IGMP Snooping典型配置举例

5 IPv4和IPv6路由

5.1 概述

5.2 查看IPv4激活路由表

5.3 新建IPv4静态路由

5.4 查看IPv6激活路由表

5.5 新建IPv6静态路由

5.6 IPv4静态路由典型配置举例

5.7 IPv6静态路由典型配置举例

5.8 注意事项

6 DHCP

6.1 概述

6.1.1 DHCP简介

6.2 配置DHCP服务器

6.2.1 DHCP服务器配置任务简介

6.2.2 启动DHCP服务

6.2.3 配置DHCP服务器的静态地址池

6.2.4 配置DHCP服务器的动态地址池

6.2.5 配置接口工作在DHCP服务器模式

6.2.6 查看地址池中已被分配的地址信息

6.3 DHCP服务器典型配置举例

7 DNS

7.1 概述

7.2 DNS配置任务简介

7.3 配置静态域名解析表

7.4 启动动态域名解析

7.5 配置DNS服务器的IP地址

7.6 配置域名后缀

7.7 清空动态域名缓存区

7.8 DNS典型配置举例

8 PPPoE

8.1 概述

8.2 配置PPPoE Client

8.3 查看PPPoE Client会话统计信息

8.4 查看PPPoE Client会话概要信息

8.5 PPPoE Client典型配置举例

8.6 注意事项

9 服务管理

9.1 概述

9.2 配置服务管理

10 诊断工具

10.1 概述

10.1.1 Ping

10.1.2 Trace Route

10.2 Ping操作

10.2.1 IPv4 Ping

10.2.2 IPv6 Ping

10.3 Trace Route操作

11 NAT

11.1 概述

11.1.1 NAT简介

11.1.2 地址转换控制

11.1.3 NAT实现

11.2 配置NAT动态转换

11.3 配置一对一地址转换

11.4 配置虚拟服务器

11.5 配置ALG（应用层网关）

11.6 NAT典型配置举例

11.6.1 NAT动态转换典型配置举例

11.6.2 一对一地址转换典型配置举例

11.6.3 虚拟服务器典型配置举例

1 MAC地址

1.1  概述

为了转发报文，设备需要维护MAC地址表。MAC地址表的表项包含了与该设备相连的设备的MAC地址、与此设备相连的设备的接口号以及所属的VLAN ID。MAC地址表中的表项包括静态表项和动态表项，其中静态表项是由用户配置的；动态表项包括用户配置的以及设备学习得来的。静态表项不会被老化掉，而动态表项会被老化掉。

设备学习MAC地址的方法如下：如果从某接口（假设为接口A）收到一个数据帧，设备就会分析该数据帧的源MAC地址（假设为MAC-SOURCE）并认为目的MAC地址为MAC-SOURCE的报文可以由接口A转发；如果MAC地址表中已经包含MAC-SOURCE，设备将对该表项进行更新；如果MAC地址表中尚未包含MAC-SOURCE，设备则将这个新MAC地址以及该MAC地址对应的接口A作为一个新的表项加入到MAC地址表中。

设备在转发报文时，根据MAC地址表项信息，会采取以下两种转发方式：

·              单播方式：当MAC地址表中包含与报文目的MAC地址对应的表项时，设备直接将报文从该表项中的转发出接口发送。

·              广播方式：当设备收到目的地址为全F的报文，或MAC地址表中没有包含对应报文目的MAC地址的表项时，设备将采取广播方式将报文向除接收接口外的所有接口进行转发。

图1-1 设备的MAC地址表项

1.2  配置MAC地址表项

(1)      在导航栏中选择“网络 > MAC地址”，默认进入“MAC”页签的页面，页面显示所有的MAC地址表项，如下图所示。

图1-2 MAC

(2)      单击<新建>按钮，进入新建MAC地址表项的配置页面，如下图所示。

图1-3 MAC地址创建

(3)      配置MAC地址表项的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表1-1 新建MAC地址表项的详细配置

1.3  配置MAC地址表项的老化时间

(1)      在导航栏中选择“网络 > MAC地址”。

(2)      单击“设置”页签，进入MAC地址表项老化时间的配置页面，如下图所示。

图1-4 设置

(3)      配置MAC地址表项老化时间，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表1-2 MAC地址老化时间的详细配置

1.4  MAC地址典型配置举例

1. 组网需求

用户通过Web网管设置MAC地址表功能。要求在VLAN1中的GigabitEthernet1/0/1端口下添加一个静态MAC地址表项00e0-fc35-dc71。

2. 配置步骤

配置静态MAC地址表项。

步骤1：在导航栏中选择“网络 > MAC地址”，默认进入“MAC”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              输入MAC地址为“00e0-fc35-dc71”。

·              选择类型为“static”。

·              选择VLAN ID为“1”。

·              选择端口为“GigabitEthernet1/0/1”。

步骤4：单击<确定>按钮完成操作。

图1-5 新建静态MAC地址表项

2 VLAN

2.1  概述

以太网是一种基于CSMA/CD（Carrier Sense Multiple Access/Collision Detect，带冲突检测的载波侦听多路访问）的共享通讯介质的数据网络通讯技术，当主机数目较多时会导致冲突严重、广播泛滥、性能显著下降，甚至网络不可用等问题。通过交换机实现LAN互联虽然可以解决冲突（Collision）严重的问题，但仍然不能隔离广播报文。在这种情况下出现了VLAN（Virtual Local Area Network，虚拟局域网）技术，这种技术可以把一个LAN划分成多个虚拟的LAN——VLAN，每个VLAN是一个广播域，VLAN内的主机间通信就和在一个LAN内一样，而VLAN间则不能直接互通。这样，广播报文被限制在一个VLAN内，如下图所示。

图2-1 VLAN示意图

VLAN根据划分方式不同可以分为不同类型，Web界面目前只支持对基于端口的VLAN的配置。基于端口划分VLAN是VLAN最简单、最有效的划分方式。他按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发指定VLAN的报文。

2.2  VLAN配置任务简介

表2-1 VLAN配置步骤

2.3  新建VLAN

(1)      在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面，如下图所示。

图2-2 VLAN

(2)      单击<新建>按钮，进入新建VLAN的配置页面，如下图所示。

(3)      在“VLAN ID”文本框中输入要创建的VLAN ID。

(4)      单击<确定>按钮完成操作。

图2-3 新建VLAN

2.4  配置VLAN中的端口

(1)      在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面，如图2-2所示。

(2)      在VLAN列表中单击某VLAN对应的图标，进入修改该VLAN的配置页面，如下图所示。

图2-4 修改VLAN

(3)      配置VLAN的描述，以及VLAN中的端口成员，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表2-2 VLAN中端口的详细配置

2.5  配置端口所属的VLAN

(1)      在导航栏中选择“网络 > VLAN”。

(2)      单击“端口”页签，进入端口显示页面，如下图所示。

图2-5 端口

(3)      在端口列表中单击某端口对应的图标，进入修改该端口的配置页面，如下图所示。

图2-6 修改端口

(4)      配置端口所属的VLAN，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表2-3 端口所属VLAN的详细配置

2.6  VLAN典型配置举例

1. 组网需求

·              AP与Switch使用GigabitEthernet1/0/1相连。

·              GigabitEthernet1/0/1为Hybrid端口，缺省VLAN ID为1。

·              配置GigabitEthernet1/0/1，使该端口允许VLAN 1、VLAN 2、VLAN 6到VLAN 50、VLAN 100的报文通过，且允许VLAN 1和VLAN 100的报文发送时不带Tag标签。

图2-7 VLAN配置组网图

2. 配置AP

(1)      创建VLAN 2、VLAN 6到VLAN 50、VLAN 100。

步骤1：在导航栏中选择“网络 > VLAN”，默认进入“VLAN”页签的页面。

步骤2：单击<新建>按钮。

步骤3：如下图所示，输入VLAN ID为“2,6-50,100”。

步骤4：单击<确定>按钮完成操作。

图2-8 新建VLAN

(2)      配置GigabitEthernet1/0/1为VLAN 2、VLAN 6到VLAN 50的Tagged成员。

步骤1：单击“端口”页签。

步骤2：在端口列表中单击GigabitEthernet1/0/1对应的图标。

步骤3：进行如下配置，如下图所示。

·              选择成员类型为“Tagged”。

·              输入VLAN ID为“2,6-50”。

图2-9 配置GigabitEthernet1/0/1的Tagged成员

步骤4：单击<确定>按钮，弹出如下图所示的对话框。

步骤5：在对话框中单击<确定>完成操作。

图2-10 确认配置对话框

(3)      配置GigabitEthernet1/0/1为VLAN 100的Untagged成员。

步骤1：再次在端口列表中单击GigabitEthernet1/0/1对应的的图标。

步骤2：进行如下配置，如下图所示。

·              选择成员类型为“Untagged”。

·              输入VLAN ID为“100”。

步骤3：单击<确定>按钮完成操作。

图2-11 配置GigabitEthernet1/0/1的Untagged成员

3. 配置Switch

与AP上的配置步骤相似，不再赘述。

2.7  注意事项

配置VLAN时需要注意如下事项：

(1)      VLAN1为系统缺省VLAN，用户不能手工创建和删除。

(2)      保留VLAN是系统为实现特定功能预留的VLAN，用户不能手工创建和删除。

(3)      用户不能手工删除设备上动态学习到的VLAN。

3 ARP管理

3.1  概述

3.1.1  ARP简介

ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

在局域网中，当主机或其它网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送，因此发送站还必须有接收站的物理地址，所以需要一个从IP地址到物理地址的映射。APR就是实现这个功能的协议。

3.1.2  免费ARP简介

1. 免费ARP报文

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送者IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文来实现以下功能：

·              确定其它设备的IP地址是否与本机IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·              设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

2. 免费ARP报文学习功能

使能了免费ARP报文学习功能后，设备会根据收到的免费ARP报文中携带的信息（源IP地址、源MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文源IP地址对应的ARP表项：

·              如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项。

·              如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。

关闭免费ARP报文学习功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭免费ARP报文学习功能，以节省ARP表项资源。

3.2  查看ARP表项

在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如下图所示。页面显示所有ARP表项的信息。

图3-1 ARP表

3.3  配置静态ARP表项

(1)      在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图3-1所示。

(2)      单击<新建>按钮，进入新建静态ARP表项的配置页面，如下图所示。

图3-2 新建静态ARP

(3)      配置静态ARP表项的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表3-1 静态ARP表项的详细配置

3.4  删除ARP表项

(1)      在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面，如图3-1所示。

(2)      删除ARP表项，详细配置如下表所示。

表3-2 删除ARP表项的详细配置

3.5  配置免费ARP功能

(1)      在导航栏中选择“网络 > ARP管理”。

(2)      单击“免费ARP”页签，进入如下图所示的页面。

图3-3 免费ARP

(3)      配置免费ARP功能，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表3-3 免费ARP功能的详细配置

3.6  静态ARP典型配置举例

1. 组网需求

·              AP通过接口GigabitEthernet1/0/1连接Router。接口GigabitEthernet1/0/1属于VLAN 1。

·              Router的IP地址为192.168.1.1/24，MAC地址为00e0-fc01-0000。

为了增加AP和Router通信的安全性，可以在AP上配置静态ARP表项。

图3-4 静态ARP配置组网图

2. 配置步骤

(1)      配置静态ARP表项。

步骤1：在导航栏中选择“网络 > ARP管理”，默认进入“ARP表”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              输入IP地址为“192.168.1.1”。

·              输入MAC地址为“00e0-fc01-0000”。

·              选中“高级选项”前的复选框。

·              输入VLAN ID为“1”。

·              选择端口为“GigabitEthernet1/0/1”。

步骤4：单击<确定>按钮完成操作。

图3-5 新建静态ARP表项

4 IGMP Snooping

4.1  概述

IGMP Snooping是Internet Group Management Protocol Snooping（互联网组管理协议窥探）的简称，它是运行在二层设备上的组播约束机制，用于管理和控制组播组。

运行IGMP Snooping的二层设备通过对收到的IGMP报文进行分析，为端口和MAC组播地址建立起映射关系，并根据这样的映射关系转发组播数据。

如下图所示，当二层设备没有运行IGMP Snooping时，组播数据在二层被广播；当二层设备运行了IGMP Snooping后，已知组播组的组播数据不会在二层被广播，而在二层被组播给指定的接收者。

图4-1 二层设备运行IGMP Snooping前后的对比

IGMP Snooping通过二层组播将信息只转发给有需要的接收者，可以带来以下好处：

·              减少二层网络中的广播报文，节约网络带宽。

·              增强组播信息的安全性。

·              为实现对每台主机的单独计费带来方便。

4.2  IGMP Snooping配置任务简介

表4-1 IGMP Snooping配置步骤

4.3  全局启用IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如下图所示。

(2)      选中IGMP Snooping“启动”前的单选按钮。

(3)      单击<确定>按钮完成操作。

图4-2 基本配置

4.4  在VLAN内配置IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如上图所示。

(2)      在“VLAN配置”中单击要配置的VLAN对应的图标，进入该VLAN的IGMP Snooping配置页面，如下图所示。

图4-3 VLAN配置

(3)      在VLAN内配置IGMP Snooping，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表4-2 VLAN内IGMP Snooping的详细配置

4.5  在端口上配置IGMP Snooping

(1)      在导航栏中选择“网络 > IGMP Snooping”。

(2)      单击“高级配置”页签，进入如下图所示的页面。

图4-4 高级配置

(3)      在端口上配置IGMP Snooping，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表4-3 IGMP Snooping高级参数的详细配置

4.6  查看IGMP Snooping组播表项信息

(1)      在导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面，如图4-2所示。

(2)      单击“显示表项”前的扩展按钮，展开如下图所示的内容，可以查看IGMP Snooping组播表项的概要信息，详细说明如表4-4所示。

图4-5 显示表项

(3)      单击要查看的表项对应的图标，进入该IGMP Snooping组播表项详细信息的显示页面，如下图所示，详细说明如表4-4所示。

图4-6 表项详细信息

表4-4 IGMP Snooping组播表项信息的详细说明

4.7  IGMP Snooping典型配置举例

1. 组网需求

·              如下图所示，Router A通过GigabitEthernet1/0/2接口连接组播源（Source），通过GigabitEthernet1/0/1接口连接AP；Router A上运行IGMPv2，AP上运行版本2的IGMP Snooping，并由Router A充当IGMP查询器。

·              通过配置，使Host A能接收发往组播组224.1.1.1的组播数据；同时，使AP将收到的未知组播数据直接丢弃，避免在其所属的VLAN内广播。

图4-7 IGMP Snooping配置组网图

2. 配置Router A

在Router A上启用IP组播路由，在各接口上启用PIM-DM，并在接口GigabitEthernet1/0/1上启用IGMP。具体配置过程略。

3. 配置AP

(1)      全局启用IGMP Snooping。

步骤1：在AP的导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”页签的页面。

步骤2：如下图所示，选中IGMP Snooping“启动”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图4-8 全局启用IGMP Snooping

(2)      在VLAN 1（端口GigabitEthernet1/0/1和WLAN-BSS1默认属于VLAN 1）内启用IGMP Snooping和丢弃未知组播数据报文功能。

步骤1：单击VLAN 1对应的图标。

步骤2：进行如下配置，如下图所示。

·              选中IGMP Snooping“启动”前的单选按钮。

·              选中版本“2”前的单选按钮。

·              选中丢弃未知组播数据报文“启动”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图4-9 VLAN配置

4. 配置结果验证

在AP上查看IGMP Snooping组播表项的信息。

步骤1：在AP的导航栏中选择“网络 > IGMP Snooping”，默认进入“基本配置”的页面。

步骤2：单击“显示表项”前的扩展按钮。

步骤3：查看IGMP Snooping组播表项概要信息，如下图所示。

图4-10 配置结果（IGMP Snooping组播表项概要信息）

步骤4：单击VLAN 1的IGMP Snooping组播表项（0.0.0.0，224.1.1.1）对应的图标。

步骤5：查看该IGMP Snooping组播表项的详细信息，如下图所示。

图4-11 配置结果（IGMP Snooping组播表项详细信息）

由此可见，AP上的端口WLAN-BSS1已经加入了组播组224.1.1.1。

5 IPv4和IPv6路由

5.1  概述

在网络中路由器根据所收到的报文的目的地址选择一条合适的路径，并将报文转发到下一个路由器。路径中最后的路由器负责将报文转发给目的主机。路由就是报文在转发过程中的路径信息，用来指导报文转发。

路由表中保存了各种路由协议发现的路由。路由器通过路由表选择路由，把优选路由下发到FIB（Forwarding Information Base，转发信息库）表中，通过FIB指导报文转发。每个路由器中都至少保存着一张路由表和一张FIB表。

静态路由是一种特殊的路由，由管理员手工配置。配置静态路由后，去往指定目的地的数据报文将按照管理员指定的路径进行转发。静态路由配置方便，对系统要求低，适用于拓扑结构简单并且稳定的小型网络。其缺点是每当网络拓扑结构发生变化，都需要手工重新配置，不能自动适应。

5.2  查看IPv4激活路由表

(1)      在导航栏中选择“网络 > IPv4路由”，默认进入“显示”页签的页面，如下图所示。

图5-1 IPv4路由显示

(2)      查看IPv4激活路由表的信息，详细说明如下表所示。

表5-1 IPv4激活路由表的详细说明

5.3  新建IPv4静态路由

(1)      在导航栏中选择“网络 > IPv4路由”。

(2)      单击“创建”页签，进入IPv4静态路由配置页面，如下图所示。

图5-2 IPv4静态路由创建

(3)      配置IPv4静态路由的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表5-2 IPv4静态路由的详细配置

5.4  查看IPv6激活路由表

(1)      在导航栏中选择“网络 > IPv6路由”，默认进入“显示”页签的页面，如下图所示。

图5-3 IPv6路由显示

(2)      查看IPv6激活路由表的信息，详细说明如下表所示。

表5-3 IPv6激活路由表的详细说明

5.5  新建IPv6静态路由

(1)      在导航栏中选择“网络 > IPv6路由”。

(2)      单击“创建”页签，进入IPv6静态路由配置页面，如下图所示。

图5-4 IPv6静态路由创建

(3)      配置IPv6静态路由的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表5-4 IPv6静态路由的详细配置

5.6  IPv4静态路由典型配置举例

1. 组网需求

Switch A、Switch B和AP各接口及主机的IP地址和掩码如下图所示。要求Switch A、Switch B和AP之间配置IPv4静态路由后，Host A和Host B之间能够互通。

图5-5 IPv4静态路由配置组网图

2. 配置思路

采用如下的思路配置IPv4静态路由：

(1)      在Switch A上配置一条到Switch B的缺省路由。

(2)      在Switch B上配置一条到Switch A的静态路由。

(3)      在AP上配置一条到Switch B的缺省路由。

3. 配置步骤

(1)      配置Host A的网关地址为1.1.2.3，配置Host B的网关地址为1.1.3.3。

(2)      在Switch A上配置一条下一跳为“1.1.4.2”的缺省路由。

(3)      在Switch B上配置一条目的地址为“1.1.2.0/24”、下一跳为“1.1.4.1”的静态路由。

(4)      在AP上配置缺省路由。

步骤1：在AP的导航栏中选择“网络 > IPv4路由”。

步骤2：单击“创建”页签，进入IPv4静态路由配置页面。

步骤3：进行如下配置，如下图所示。

·              输入目的IP地址为“0.0.0.0”。

·              输入掩码为“0”。

·              输入下一跳为“1.1.3.3”。

步骤4：单击<确定>按钮完成操作。

图5-6 配置缺省路由

4. 配置结果验证

(1)      查看激活路由列表。

分别进入Switch A、Switch B和AP的IPv4路由显示页面。查看到页面上的激活路由列表中有新配置的静态路由。

(2)      在Host A上使用ping命令验证Host B是否可达（假定主机安装的操作系统为Windows XP）。

C:\Documents and Settings\Administrator>ping 1.1.3.2

Pinging 1.1.3.2 with 32 bytes of data:

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Reply from 1.1.3.2: bytes=32 time=1ms TTL=128

Ping statistics for 1.1.3.2:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

5.7  IPv6静态路由典型配置举例

1. 组网需求

Switch A、Switch B和AP各接口及主机的IP地址和掩码如下图所示。要求Switch A、Switch B和AP之间配置IPv6静态路由协议后，Host A和Host B之间能够互通。

图5-7 IPv6静态路由配置组网图

2. 配置思路

采用如下的思路配置IPv6静态路由：

(1)      在Switch A上配置一条到Switch B的缺省路由。

(2)      在Switch B上配置一条到Switch A的静态路由。

(3)      在AP上配置一条到Switch B的缺省路由。

3. 配置步骤

(1)      配置Host A的网关地址为1::1，配置Host B的网关地址为3::1。

(2)      在Switch A上配置一条下一跳为“4::2”的缺省路由。

(3)      在Switch B上配置一条目的地址为“1::/64”、下一跳为“4::1”的静态路由。

(4)      在AP上配置缺省路由。

步骤1：在AP的导航栏中选择“网络 > IPv6路由”。

步骤2：单击“创建”页签，进入IPv6静态路由配置页面。

步骤3：进行如下配置，如下图所示。

·              输入目的IP地址为“::”。

·              选择前缀长度为“0”。

·              输入下一跳为“3::3”。

步骤4：单击<确定>按钮完成操作。

图5-8 配置缺省路由

4. 配置结果验证

(1)      查看激活路由列表。

分别进入Switch A、Switch B和AP的IPv6路由显示页面。查看到页面上的激活路由列表中有新配置的静态路由。

(2)      在Switch A上使用ping命令验证Host B是否可达。

<SwitchA> system-view

[SwitchA] ping ipv6 3::2

  PING 3::2 : 56  data bytes, press CTRL_C to break

    Reply from 3::2

    bytes=56 Sequence=1 hop limit=254  time = 63 ms

    Reply from 3::2

    bytes=56 Sequence=2 hop limit=254  time = 62 ms

    Reply from 3::2

    bytes=56 Sequence=3 hop limit=254  time = 62 ms

    Reply from 3::2

    bytes=56 Sequence=4 hop limit=254  time = 63 ms

    Reply from 3::2

    bytes=56 Sequence=5 hop limit=254  time = 63 ms

  --- 3::2 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 62/62/63 ms

5.8  注意事项

配置静态路由时需要注意如下事项：

(1)      如果在配置静态路由时没有指定优先级，就会使用缺省优先级。重新设置缺省优先级后，新设置的缺省优先级仅对新增的静态路由有效。Web界面目前不支持对缺省优先级的配置。

(2)      在配置静态路由时，如果先指定下一跳，然后再将该下一跳的地址配置为本地接口（如以太网接口、VLAN接口等）的IP地址，则该条静态路由不会生效。

(3)      在指定出接口时要注意：

·              对于NULL0和Loopback接口，配置了出接口就不再配置下一跳。

·              对于点到点接口，即使不知道对端地址，也可以在路由器配置时指定出接口。这样，即使对端地址发生了改变也无须改变该路由器的配置。如封装PPP协议的接口，通过PPP协商获取对端的IP地址，这时可以不指定下一跳，只需指定出接口即可。

6 DHCP

6.1  概述

6.1.1  DHCP简介

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。

DHCP采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等相应的配置信息，以实现IP地址等信息的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机），如下图所示。

图6-1 DHCP典型应用

6.2  配置DHCP服务器

6.2.1  DHCP服务器配置任务简介

表6-1 DHCP服务器配置步骤

6.2.2  启动DHCP服务

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如下图所示。

(2)      在页面最上方选中DHCP服务“启动”前的单选按钮，即可启动全局DHCP服务。

图6-2 DHCP服务器

6.2.3  配置DHCP服务器的静态地址池

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图6-2所示。

(2)      在“地址池”中选中“静态”前的单选按钮，显示的是所有静态地址池。

(3)      单击<新建>按钮，进入新建静态地址池的配置页面，如下图所示。

图6-3 静态地址池创建

(4)      配置静态地址池的信息，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表6-2 静态地址池的详细配置

6.2.4  配置DHCP服务器的动态地址池

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图6-2所示。

(2)      在“地址池”中选中“动态”前的单选按钮，显示的是所有动态地址池。

(3)      单击<新建>按钮，进入新建动态地址池的配置页面，如下图所示。

图6-4 动态地址池创建

(4)      配置动态地址池的信息，详细配置如下表所示。

(5)      单击<确定>按钮完成操作。

表6-3 动态地址池的详细配置

6.2.5  配置接口工作在DHCP服务器模式

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图6-2所示。

(2)      在“接口设置”中单击某接口对应的图标，进入该接口DHCP服务器功能的配置页面，如下图所示。

(3)      选中DHCP服务器“启动”前的单选按钮。

(4)      单击<确定>按钮完成操作。

图6-5 DHCP服务器接口设置

6.2.6  查看地址池中已被分配的地址信息

(1)      在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面，如图6-2所示。

(2)      在“在用地址”中查看地址池中已被分配的IP地址信息，详细说明如下表所示。

表6-4 已被分配的地址信息的详细说明

6.3  DHCP服务器典型配置举例

1. 组网需求

·              配置AP作为DHCP服务器为网段10.1.1.0/24中的客户端动态分配IP地址，AP上Vlan-interface1的IP地址为10.1.1.1/24。

·              10.1.1.0/24网段内的地址租用期限为10天12小时，网关的地址为10.1.1.2。

图6-6 DHCP服务器配置组网图

2. 配置步骤

(1)      启动DHCP服务。

步骤1：在导航栏中选择“网络 > DHCP”，默认进入“DHCP服务器”页签的页面。

步骤2：如下图所示，选中DHCP服务“启动”前的单选按钮完成操作。

图6-7 启动DHCP服务

(2)      配置Vlan-interface1工作在DHCP服务器模式。（缺省情况下接口工作在DHCP服务器模式，此步骤可以省略）

步骤1：在“接口设置”中单击Vlan-interface1对应的图标。

步骤2：如下图所示，选中DHCP服务器“启动”前的单选按钮。

步骤3：单击<确定>按钮完成操作。

图6-8 配置Vlan-interface1工作在DHCP服务器模式

(3)      配置DHCP服务器的动态地址池。

步骤1：在“地址池”中默认选中的是“动态”前的单选按钮，单击<新建>按钮。

步骤2：进行如下配置，如下图所示。

·              输入地址池名称为“test”。

·              输入IP地址为“10.1.1.0”。

·              输入掩码为“255.255.255.0”。

·              输入租用期限为“10”天“12”小时“0”分“0”秒。

·              输入网关地址为“10.1.1.2”。

步骤3：单击<确定>按钮完成操作。

图6-9 置DHCP服务器的动态地址池

7 DNS

7.1  概述

域名系统（DNS，Domain Name System）是一种用于TCP/IP应用程序的分布式数据库，提供域名与IP地址之间的转换。通过域名系统，用户进行某些应用时，可以直接使用便于记忆的、有意义的域名，而由网络中的域名解析服务器将域名解析为正确的IP地址。

域名解析分为静态域名解析和动态域名解析，二者可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析可能会花费一定的时间，且需要域名服务器的配合，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

1. 静态域名解析

静态域名解析就是手工建立域名和IP地址之间的对应关系。当用户使用域名进行某些应用（如Telnet应用）时，系统查找静态域名解析表，从中获取指定域名对应的IP地址。

2. 动态域名解析

动态域名解析是通过域名服务器进行动态域名解析。

7.2  DNS配置任务简介

1. 配置静态域名解析表

表7-1 静态域名解析表的配置步骤

2. 配置动态域名解析

表7-2 动态域名解析配置步骤

7.3  配置静态域名解析表

(1)      在导航栏中选择“网络> DNS”，默认进入“静态域名解析”页签的页面，如下图所示。

图7-1 静态域名解析

(2)      单击<新建>按钮，进入新建静态域名解析表项的配置页面，如下图所示。

图7-2 新建静态域名解析

(3)      配置静态域名解析表的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表7-3 静态域名解析表的详细配置信息

7.4  启动动态域名解析

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如下图所示的页面。

(3)      选中动态域名解析“启动”前的单选按钮。

(4)      单击<确定>按钮完成操作。

图7-3 动态域名解析

7.5  配置DNS服务器的IP地址

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图7-3所示的页面。

(3)      单击<添加IP地址>按钮，进入新建DNS服务器IP地址的页面，如下图所示。

(4)      在文本框中输入DNS服务器的IP地址。

(5)      单击<确定>按钮完成操作。

图7-4 新建DNS服务器IP地址

7.6  配置域名后缀

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图7-3所示的页面。

(3)      单击<添加域名后缀>按钮，进入新建DNS域名后缀的页面，如下图所示。

(4)      在文本框中输入DNS域名后缀。

(5)      单击<确定>按钮完成操作。

图7-5 新建DNS域名后缀

7.7  清空动态域名缓存区

(1)      在导航栏中选择“网络 > DNS”。

(2)      单击“动态域名解析”页签，进入如图7-3所示的页面。

(3)      选中“清空动态域名缓存区”前的复选框。

(4)      单击<确定>按钮完成操作。

7.8  DNS典型配置举例

1. 组网需求

为了避免记忆复杂的IP地址，AP希望通过便于记忆的域名访问某一主机。如果网络中存在DNS服务器，则可以利用动态域名解析功能，实现通过域名访问主机。

在本例中：

·              DNS服务器的IP地址是2.1.1.2/16，DNS服务器上存在com域，且com域中包含域名“host”和IP地址3.1.1.1/16的对应关系。

·              AP作为DNS客户端，使用动态域名解析功能，将域名解析为IP地址。

·              AP上配置域名后缀com，以便简化访问主机时输入的域名，例如通过输入host即可访问域名为host.com、IP地址为3.1.1.1/16的主机Host。

图7-6 DNS配置组网图

2. 配置DNS服务器

(1)      创建区域com。

步骤1：在开始菜单中，选择“程序 > 管理工具 > DNS”，进入域名服务器配置界面。

步骤2：如下图所示，右键点击“正向查找区域”，选择“新建区域”。

步骤3：按照提示创建新的区域com。

图7-7 创建区域

(2)      添加域名和IP地址的映射。

步骤1：如下图所示，右键点击区域com，选择“新建主机”，弹出新建主机的对话框。

图7-8 新建主机

步骤2：如下图所示，在新建主机的对话框中输入名称host和IP地址3.1.1.1。

步骤3：单击<添加主机>按钮完成操作。

图7-9 添加域名和IP地址的映射

3. 配置AP

(1)      启动动态域名解析功能。

步骤1：在导航栏中选择“网络 > DNS”。

步骤2：单击“动态域名解析”页签。

步骤3：如下图所示，选中动态域名解析“启动”前的单选按钮。

步骤4：单击<确定>按钮完成操作。

图7-10 使能动态域名解析功能

(2)      配置DNS服务器IP地址。

步骤1：单击<添加IP地址>按钮，进入新建DNS服务器IP地址的页面。

步骤2：如下图所示，输入DNS服务器IP地址为“2.1.1.2”。

步骤3：单击<确定>按钮完成操作。

图7-11 新建DNS服务器IP地址

(3)      配置域名后缀。

步骤1：单击<添加域名后缀>按钮，进入新建DNS域名后缀的页面。

步骤2：如下图所示，输入DNS域名后缀为“com”。

步骤3：单击<确定>按钮完成操作。

图7-12 新建DNS域名后缀

4. 配置结果验证

在AP上执行Ping主机名host的操作，可以ping通，且对应的目的地址为3.1.1.1。

步骤1：在导航栏中选择“网络 > 诊断工具”，进入“IPv4 Ping”页签的页面。

步骤2：输入目的主机名为“host”。

步骤3：单击<开始>按钮执行Ping操作。

步骤4：查看到如下图所示的Ping操作结果。

图7-13 Ping操作结果

8 PPPoE

8.1  概述

PPPoE是Point-to-Point Protocol over Ethernet的简称。PPPoE协议采用Client/Server方式，它将PPP报文封装在以太网帧之内，在以太网上提供点对点的连接。

AP设备上运行了PPPoE Client功能后，可以通过一个远端接入设备连入因特网，并可以实现对接入的每个AP设备进行控制、计费等。

PPPoE有两个阶段：Discovery阶段和PPP Session阶段，具体如下：

·              Discovery阶段

当一个客户端想开始PPPoE进程的时候，它必须先识别接入端的以太网MAC地址，建立PPPoE的SESSION ID。这就是Discovery阶段的目的。

·              PPP Session阶段

当PPPoE进入Session阶段后PPP报文就可以作为PPPoE帧的净荷封装在以太网帧发到对端，SESSION ID必须是Discovery阶段确定的ID，MAC地址必须是对端的MAC地址，PPP报文从Protocol ID开始。在Session阶段，客户端或服务器任何一方都可发PADT（PPPoE Active Discovery Terminate，PPPoE活动发现终止）报文通知对方结束本Session。

关于PPPoE的详细介绍，可以参考RFC2516。

图8-1 PPPoE组网图

8.2  配置PPPoE Client

(1)      在导航栏中选择“网络 > PPPoE”，默认进入“Client信息”页签的页面，如下图所示。

图8-2 Client信息

(2)      单击<新建>按钮，进入新建PPPoE Client页面，如下图所示。

图8-3 新建PPPoE Client

(3)      配置PPPoE Client的信息，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表8-1 新建PPPoE Client的详细配置

8.3  查看PPPoE Client会话统计信息

(1)      在导航栏中选择“网络 > PPPoE”。

(2)      单击“会话信息”页签。

(3)      选择会话信息查看类型为“统计信息”，页面如下图所示。

(4)      查看PPPoE Client会话统计信息，详细说明如下表所示。

图8-4 会话统计信息

表8-2 PPPoE Client会话统计信息的详细说明

8.4  查看PPPoE Client会话概要信息

(1)      在导航栏中选择“网络 > PPPoE”。

(2)      单击“会话信息”页签，进入会话信息查看页面。

(3)      选择会话信息查看类型为“概要信息”。

(4)      查看PPPoE Client会话概要信息，详细说明如下表所示。

图8-5 会话概要信息

表8-3 PPPoE Client会话概要信息的详细说明

8.5  PPPoE Client典型配置举例

1. 组网需求

如下图所示，配置AP实现PPPoE Client的功能，能够与PPPoE Server建立PPPoE互通。

图8-6 PPPoE Client配置组网图

2. 配置步骤

(1)      配置PPPoE Client。

步骤1：在AP的导航栏中选择“网络 > PPPoE”，默认进入“Client信息”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·              输入Dialer 接口为“1”。

·              输入用户名为“user1”。

·              输入密码为“hello”。

·              选择IP配置为“PPP协商”。

·              选择绑定接口为“Vlan-interface1”。

·              选择连接方式为“永久在线”。

步骤4：单击<确定>按钮完成操作。

图8-7 新建PPPoE Client

(2)      配置PPPoE Server。

PPPoE Server上需要启用PPPoE协议、配置与Client上的配置相同的PPPoE用户和密码、为PPP对端分配的IP地址等，详细配置略。

3. 配置结果验证

在AP上查看PPPoE Client会话的概要信息。

步骤1：在AP的导航栏中选择“网络 > PPPoE”，单击“会话信息”页签。

步骤2：选择会话信息查看类型为“概要信息”。

步骤3：查看到PPP协商已完成，如下图所示。

图8-8 查看PPPoE Client会话的概要信息

8.6  注意事项

配置PPPoE Client时需要注意，在“设备 > 接口管理”中创建的Dialer接口也可以在PPPoE Client的显示页面中显示出来，并且可以修改和删除，但是无法建立PPPoE Client会话。

9 服务管理

9.1  概述

服务管理模块提供了Telnet、SSH、SFTP、HTTP和HTTPS服务的使能管理功能，可以使用户只在需要使用相应的服务时使能服务，否则关闭服务。这样，可以提高系统的性能和设备的安全性，实现对设备的安全管理。

服务管理模块还提供了修改HTTP、HTTPS服务端口号的功能，以及设置将HTTP、HTTPS服务与ACL（Access Control List，访问控制列表）关联，只允许通过ACL过滤的客户端访问设备的功能，以减少非法用户对这些服务的攻击。

1. Telnet服务

Telnet协议在TCP/IP协议族中属于应用层协议，用于在网络中提供远程登录和虚拟终端的功能。

2. SSH服务

SSH是Secure Shell（安全外壳）的简称。用户通过一个不能保证安全的网络环境远程登录到设备时，SSH可以利用加密和强大的认证功能提供安全保障，保护设备不受诸如IP地址欺诈、明文密码截取等攻击。

3. SFTP服务

SFTP是Secure FTP的简称，是SSH 2.0中新增的功能。SFTP建立在SSH连接的基础之上，它使得远程用户可以安全地登录设备，进行文件管理和文件传送等操作，为数据传输提供了更高的安全保障。

4. HTTP服务

HTTP是Hypertext Transfer Protocol（超文本传输协议）的简称。它用来在Internet上传递Web页面信息。HTTP位于TCP/IP协议栈的应用层。

在设备上使能HTTP服务后，用户就可以通过HTTP协议登录设备，利用Web功能访问并控制设备。

5. HTTPS服务

HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。

HTTPS通过SSL协议，从以下几方面提高了设备的安全性：

·              通过SSL协议保证合法客户端可以安全地访问设备，禁止非法的客户端访问设备；

·              客户端与设备之间交互的数据需要经过加密，保证了数据传输的安全性和完整性，从而实现了对设备的安全管理；

·              为设备制定基于证书属性的访问控制策略，对客户端的访问权限进行控制，进一步避免了非法客户对设备进行攻击。

9.2  配置服务管理

(1)      在导航栏中选择“网络 > 服务管理”，进入服务管理的配置页面，如下图所示。

图9-1 服务管理

(2)      配置各种服务的启用状态及相关参数，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表9-1 服务管理的详细配置

10 诊断工具

10.1  概述

10.1.1  Ping

通过使用Ping工具，用户可以检查指定IP地址的设备是否可达，测试网络连接是否出现故障。

Ping的成功执行过程为：

(1)      源设备向目的设备发送ICMP回显请求（ECHO-REQUEST）报文。

(2)      目的设备在接收到该请求报文后，向源设备发送ICMP回显应答（ECHO-REPLY）报文。

(3)      源设备在收到该应答报文后，显示相关的统计信息。

Ping的输出信息分为以下几种情况：

·              Ping的执行对象可以是目的设备的IP地址或者主机名，如果该目的设备的主机名不可识别，则源设备上输出提示信息。

·              如果在超时时间内源设备没有收到目的设备回的ICMP回显应答报文，则输出提示信息和Ping过程报文的统计信息；如果在超时时间内源设备收到响应报文，则输出响应报文的字节数、报文序号、TTL（Time to Live，生存时间）、响应时间和Ping过程报文的统计信息。

Ping过程报文的统计信息包括发送报文个数、接收到响应报文个数、未响应报文数百分比、响应时间的最小值、平均值和最大值。

10.1.2  Trace Route

通过使用Trace Route工具，用户可以查看报文从源设备传送到目的设备所经过的三层设备。当网络出现故障时，用户可以使用该命令分析出现故障的网络节点。

Trace Route的执行过程为：

(1)      源设备发送一个TTL为1的报文给目的设备。

(2)      第一跳（即该报文所到达的第一个三层设备）回应一个TTL超时的ICMP报文（该报文中含有第一跳的IP地址），这样源设备就得到了第一个三层设备的地址。

(3)      源设备重新发送一个TTL为2的报文给目的设备。

(4)      第二跳回应一个TTL超时的ICMP报文，这样源设备就得到了第二个三层设备的地址。

(5)      以上过程不断进行，直到最终到达目的设备，源设备就得到了从它到目的设备所经过的所有三层设备的地址。

Trace Route的执行对象可以是目的设备的IP地址或者主机名，如果该目的设备的主机名不可识别，则源设备上输出提示信息。

10.2  Ping操作

10.2.1  IPv4 Ping

(1)      在导航栏中选择“网络 > 诊断工具”，默认进入“IPv4 Ping”页签的页面。

(2)      单击“高级设置”前的扩展按钮，可以展开IPv4 Ping操作高级参数的配置内容，如下图所示。

图10-1 IPv4 Ping

(3)      在“目的IP地址或者主机名”文本框中输入目标设备的IPv4地址或者主机名。

(4)      根据具体需要设置IPv4 Ping操作的高级参数。

(5)      单击<开始>按钮开始执行Ping操作。

(6)      在“信息”框中查看Ping操作的输出结果，如下图所示。

图10-2 IPv4 Ping操作结果

10.2.2  IPv6 Ping

(1)      在导航栏中选择“网络 > 诊断工具”。

(2)      单击“IPv6 Ping”页签。

(3)      单击“高级设置”前的扩展按钮，可以展开IPv6 Ping操作高级参数的配置内容，如下图所示。

图10-3 IPv6 Ping

(4)      在“目的IPv6地址或主机名”文本框中输入目标设备的IPv6地址或者主机名。

(5)      根据具体需要设置IPv6 Ping操作的高级参数。

(6)      单击<开始>按钮开始执行Ping操作。

(7)      在“信息”框中查看Ping操作的输出结果，如下图所示。

图10-4 IPv6 Ping操作结果

10.3  Trace Route操作

(1)      在导航栏中选择“网络 > 诊断工具”。

(2)      单击“Trace Route”页签，进入如下图所示的页面。

图10-5 Trace Route

(3)      在文本框中输入Trace Route操作的目的IP地址或者主机名。

(4)      单击<开始>按钮开始执行Trace Route操作。

(5)      在“信息”框中查看Trace Route操作的输出结果，如下图所示。

图10-6 Trace Route操作结果

11 NAT

11.1  概述

11.1.1  NAT简介

NAT（Network Address Translation，网络地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公网IP地址代表较多的私网IP地址的方式，将有助于减缓可用IP地址空间的枯竭。

下图描述了一个基本的NAT应用。

图11-1 地址转换的基本过程

(1)      内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备。

(2)      NAT设备查看报头内容，发现该报文是发往外网的，将其源IP地址字段的私网地址192.168.1.3转换成一个可在Internet上选路的公网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备的网络地址转换表中记录这一映射。

(3)      外网服务器给内网用户发送的应答报文（其初始目的IP地址为20.1.1.1）到达NAT设备后，NAT设备再次查看报头内容，然后查找当前网络地址转换表的记录，用内网私有地址192.168.1.3替换初始的目的IP地址。

上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道有192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。

地址转换的优点在于，在为内部网络主机提供了“隐私”保护的前提下，实现了内部网络的主机通过该功能访问外部网络的资源。但它也有一些缺点：

·              由于需要对数据报文进行IP地址的转换，涉及IP地址的数据报文的报头不能被加密。在应用协议中，如果报文中有地址或端口需要转换，则报文不能被加密。例如，不能使用加密的FTP连接，否则FTP协议的port命令不能被正确转换。

·              网络调试变得更加困难。比如，某一台内部网络的主机试图攻击其它网络，则很难指出究竟哪一台主机是恶意的，因为主机的IP地址被屏蔽了。

11.1.2  地址转换控制

在实际应用中，我们可能希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问，即当NAT设备查看IP数据报文的报头内容时，如果发现源IP地址属于禁止访问外部网络的内部主机，它将不进行地址转换。另外，也希望只有指定的公网地址才可用于地址转换。

设备可以利用ACL（Access Control List，访问控制列表）和地址池来对地址转换进行控制。

·              访问控制列表可以有效地控制地址转换的使用范围，只有满足访问控制列表规则的数据报文才可以进行地址转换。

·              地址池是用于地址转换的一些连续的公网IP地址的集合，它可以有效地控制公网地址的使用。用户可根据自己拥有的合法IP地址数目、内部网络主机数目以及实际应用情况，定义合适的地址池。在地址转换的过程中，NAT设备将会从地址池中挑选一个IP地址作为数据报文转换后的源IP地址。

11.1.3  NAT实现

1. 基本地址转换

从图11-1的地址转换过程可见，当内部网络访问外部网络时，地址转换将会选择一个合适的外部地址，来替代内部网络数据报文的源地址。在图11-1中是选择NAT设备出接口的IP地址（公有IP地址）。这样所有内部网络的主机访问外部网络时，只能拥有一个外部网络的IP地址，因此，这种情况同时只允许最多有一台内部网络主机访问外部网络。

当内部网络的多台主机并发的要求访问外部网络时，NAT也可实现对并发性请求的响应，允许NAT设备拥有多个公有IP地址。当第一个内网主机访问外网时，NAT选择一个公有地址IP1，在地址转换表中添加记录并发送数据报；当另一内网主机访问外网时，NAT选择另一个公有地址IP2，以此类推，从而满足了多台内网主机访问外网的请求。

2. NAPT

NAPT（Network Address Port Translation，网络地址端口转换）是基本地址转换的一种变形，它允许多个内部地址映射到同一个公有地址上，也可称之为“多对一地址转换”。

NAPT同时映射IP地址和端口号：来自不同内部地址的数据报文的源地址可以映射到同一外部地址，但它们的端口号被转换为该地址的不同端口号，因而仍然能够共享同一地址，也就是“私网IP地址＋端口号”与“公网IP地址＋端口号”之间的转换。

下图描述了NAPT的基本原理。

图11-2 NAPT基本原理示意图

如上图所示，三个带有内部地址的数据报文到达NAT设备，其中报文1和报文2来自同一个内部地址但有不同的源端口号，报文1和报文3来自不同的内部地址但具有相同的源端口号。通过NAPT映射，三个数据报文的源IP地址都被转换到同一个外部地址，但每个数据报文都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

采用NAPT可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。

3. Easy IP

Easy IP功能是指进行地址转换时，直接使用接口的外网IP地址作为转换后的源地址，能够最大程度的节省IP地址资源。它也可以利用访问控制列表控制哪些内部地址可以进行地址转换。

4. 虚拟服务器

NAT隐藏了内部网络的结构，具有“屏蔽”内部主机的作用，但是在实际应用中，可能需要给外部网络提供一个访问内网主机的机会，如给外部网络提供一台Web服务器，或是一台FTP服务器。

NAT设备提供的虚拟服务器功能，就是通过静态配置“公网IP地址＋端口号”与“私网IP地址＋端口号”间的映射关系，实现公网IP地址到私网IP地址的“反向”转换。例如，可以将20.1.1.1:8080配置为内网某Web服务器的外部网络地址和端口号供外部网络访问。

如下图所示，外部网络用户访问虚拟服务器的数据报文经过NAT设备时，NAT设备根据报文的目的地址查找地址转换表项，将访问虚拟服务器的请求报文的目的IP地址和端口号转换成虚拟服务器的私有IP地址和端口号。当虚拟服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成公网IP地址和端口号。

图11-3 虚拟服务器基本原理示意图

11.2  配置NAT动态转换

外部网络和内部网络之间的地址映射关系由报文动态决定。通过配置访问控制列表和地址池（或接口地址）的关联，由“具有某些特征的IP报文”挑选使用“地址池中地址（或接口地址）”，从而建立动态地址映射关系。适用于内部网络有大量用户需要访问外部网络的需求。这种情况下，关联中指定的地址池资源由内网报文按需从中选择使用，访问外网的会话结束之后该资源便释放给其它用户。

(1)      在左侧导航栏中选择“网络 > NAT”，进入如下图所示的页面。

图11-4 NAT动态转换

(2)      配置NAT动态转换的信息，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表11-1 NAT动态转换的详细配置

11.3  配置一对一地址转换

外部网络和内部网络之间的地址映射关系在配置中确定。适用于内部网络与外部网络之间的少量固定访问需求。

(1)      在左侧导航栏中选择“网络 > NAT”，点击“一对一地址转换”页签，进入如下图所示的页面。

图11-5 一对一地址转换

(2)      配置一对一地址转换的信息，详细配置如下表所示。

(3)      单击<确定>按钮并开启接口静态转换规则，完成操作。

表11-2 一对一地址转换配置

11.4  配置虚拟服务器

(1)      在导航栏中选择“网络 > NAT”，点击“虚拟服务器”页签，进入如下图所示的页面。

图11-6 虚拟服务器

(2)      配置虚拟服务器的信息，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表11-3 虚拟服务器配置

11.5  配置ALG（应用层网关）

应用层协议检测，即ALG（Application Level Gateway，应用层网关），主要完成对应用层报文的处理。通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析。然而一些特殊协议，它们报文的数据载荷中可能包含IP地址或端口信息，这些内容不能被NAT进行有效的转换，就可能导致问题。

例如，FTP（File Transfer Protocol，文件传输协议）应用由FTP客户端与FTP服务器之间建立的数据连接和控制连接共同实现，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置完成载荷信息的转换，以保证后续数据连接的正确建立。

(1)      在导航栏中选择“网络 > NAT”，点击“ALG（应用层网关）”页签，进入如下图所示的页面。

图11-7 ALG（应用层网关）

(2)      勾选需要启用应用层协议检测功能的协议。

(3)      单击<确定>按钮完成操作。

11.6  NAT典型配置举例

11.6.1  NAT动态转换典型配置举例

1. 组网需求

某公司内网使用的IP地址为192.168.0.0/16，该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。通过配置NAT使得内部网络中192.168.1.0/24网段的用户可以访问Internet，其它网段的用户不能访问Internet。

2. 组网图

图11-8 NAT动态转换配置组网图

3. 配置步骤

(1)      在左侧导航栏中选择“QoS > ACL IPv4”，然后点击“新建”页签，新建ACL：

¡  访问控制列表ID为2000

¡  匹配规则为用户配置

¡  点击<应用>按钮完成操作

图11-9 新建ACL

(2)      点击“基本配置”页签，配置ACL规则：

¡  访问控制列表为2000

¡  操作为允许

¡  选中“源IP地址”前的复选框，输入源IP地址为“192.168.1.0”，输入源地址通配符为“0.0.0.255”

¡  单击<新建>按钮完成操作

图11-10 配置ACL规则允许192.168.1.0/24网段的用户访问Internet

(3)      在ACL 2000下配置规则禁止其他用户访问Internet：

¡  选择操作为“禁止”

¡  单击<新建>按钮完成操作

图11-11 配置ACL规则禁止其他用户访问Internet

(4)      在左侧导航栏中选择“网络 > NAT”，默认进入NAT动态转换页面：

¡  选择接口Vlan-interface1

¡  转换方式为PAT

¡  配置开始IP地址为202.38.1.2

¡  配置结束IP地址为202.38.1.3

¡  ACL为2000

¡  单击<确定>按钮完成操作

图11-12 配置NAT动态转换

4. 验证配置

以上配置完成后，Client A能够访问Web server，Client B无法访问Web server。

11.6.2  一对一地址转换典型配置举例

1. 组网需求

内部网络用户192.168.1.10/24使用外网地址202.38.1.100访问Internet。

2. 组网图

图11-13 一对一地址转换配置组网图

3. 配置步骤

(1)      在左侧导航栏中选择“网络 > NAT”，点击“一对一地址转换”页签，进入一对一地址转换页面。

(2)      创建全局静态转换规则，配置内网IP地址为192.168.1.10，外网IP地址为202.38.1.100。

(3)      在接口Vlan-interface1上开启静态转换规则。

图11-14 配置一对一地址转换

4. 验证配置

以上配置完成后，内网主机可以访问外网服务器。

11.6.3  虚拟服务器典型配置举例

1. 组网需求

某公司内部对外提供Web服务，公司内部网址为192.168.1.0/24，内部Web服务器的IP地址为192.168.1.2/24。选用202.38.1.1作为公司对外提供服务的IP地址，实现外部的主机可以访问内部的服务器。

2. 组网图

图11-15 虚拟服务器配置组网图

3. 配置步骤

# 在左侧导航栏中选择“网络 > NAT”，点击“虚拟服务器”页签，进入虚拟服务器页面：

·              选择接口为“Vlan-interface2”

·              选择协议类型为“TCP”

·              选中外部IP地址的指定IP地址前的单选按钮，输入外部IP地址为“202.38.1.1”

·              在外部端口选择“HTTP”协议，并配置端口为“80”

·              在内部IP地址输入“192.168.1.2”

·              在内部端口选择“HTTP”协议，并配置端口为“80”

·              单击<确定>按钮完成操作

图11-16 配置虚拟服务器

4. 验证配置

以上配置完成后，外部的主机可以访问内部的服务器。