01-NAT命令
本章节下载: 01-NAT命令 (553.96 KB)
目 录
1.1.2 display nat address-group
1.1.6 display nat eim statistics
1.1.11 display nat server-group
1.1.17 nat address-group-usage threshold
1.1.25 nat mapping-behavior endpoint-independent { tcp | udp } *
1.1.32 nat static outbound net-to-net
address命令用来添加一个地址成员。
undo address命令用来删除一个地址成员。
【命令】
address start-address end-address
undo address start-address end-address
【缺省情况】
不存在地址成员。
【视图】
NAT地址组视图
【缺省用户角色】
network-admin
【参数】
start-address end-address:地址成员的起始IP地址和结束IP地址。end-address必须大于或等于start-address,如果start-address和end-address相同,则表示只有一个地址。start-address和end-address之间的IP地址数量不能超过65536个。
【使用指导】
一个NAT地址组是多个地址成员的集合。当需要对到达外部网络的数据报文进行地址转换时,报文的源地址将被转换为地址成员中的某个地址。
添加或删除地址成员时,需要注意:
· 同一个NAT地址组中可以多次执行本命令添加地址成员,但是添加的地址成员不能互相重叠。
· 所有NAT地址组中能够添加的地址成员总数为65536。
· 当NAT地址组被地址转换规则引用时,无法通过undo address命令删除该地址组中的地址成员。
【举例】
# 在NAT地址组2中添加地址成员。
<Sysname> system-view
[Sysname] nat address-group 2
[Sysname-address-group-2] address 10.1.1.1 10.1.1.15
[Sysname-address-group-2] address 10.1.1.20 10.1.1.30
【相关命令】
· nat address-group
display nat address-group命令用来显示NAT地址组的信息。
【命令】
display nat address-group [ group-id ] [ resource-usage [ verbose ] ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
group-id:显示指定NAT地址组的信息。group-id表示地址组的编号,地址组的编号,取值范围为0~65535。如果未指定本参数,则显示所有NAT地址组的信息。
resource-usage:显示NAT地址组资源使用率的信息。如果未指定本参数,则不显示NAT地址组资源使用率的信息,仅显示NAT地址组的配置信息。
verbose:显示NAT地址组资源的总使用率以及各个地址组成员资源使用率的详细信息。如果未指定本参数,则仅显示NAT地址组资源的总使用率。
【使用指导】
本命令显示的NAT地址组资源使用率包括:
· 地址使用率。地址使用率=被使用的IP地址数÷地址组拥有的地址总数。被使用的IP地址指的是,为用户分配的且已用于地址转换的公网IP。
· 端口使用率。端口使用率=已分配的端口数÷端口总数。配置nat per-global-ip user-limit命令后,端口使用率的计算方式不变。可能会导致查看到的端口使用率不准确,此为正常现象,无需处理。
【举例】
# 显示所有地址组的配置信息。
<Sysname> display nat address-group
NAT address group information:
Totally 8 NAT address groups.
Address group name/ID: group1/1
Port range: 1024-65535
Address information:
Start address End address
202.110.10.10 202.110.10.15
Address group name/ID: group2/2
Port range: 1024-65535
Address information:
Start address End address
202.110.10.20 202.110.10.25
202.110.10.30 202.110.10.35
Address group name/ID: group3/3
Port range: 1024-65535
Address information:
Start address End address
202.110.10.40 202.110.10.50
表1-1 display nat address-group命令显示信息描述表
字段 |
描述 |
NAT address group information |
NAT地址组信息 |
Totally n NAT address groups |
当前有n个地址组,仅显示父地址组的个数 |
Address group name/ID |
地址组的名称和编号 |
Port range |
地址的端口范围 |
Port block size |
端口块大小。如果未配置,则不显示 |
Extended block number |
增量端口块数。如果未配置,则不显示 |
Extended block size |
每个增量端口块中包含的端口数。如果未配置,则不显示 |
Port-single-alloc |
逐端口分配模式。如果未配置,则不显示 |
TCP port limit |
可分配给TCP协议的最大端口数目。如果未配置,则不显示 |
UDP port limit |
可分配给UDP协议的最大端口数目。如果未配置,则不显示 |
ICMP port limit |
可分配给ICMP协议的最大端口数目。如果未配置,则不显示 |
Port limit in total |
可分配给TCP、UDP和ICMP协议的最大端口总数。如果未配置,则不显示 |
Instance name/ID |
绑定NAT地址组的NAT实例名称和ID |
Totally n sub NAT address groups |
基于NAT父地址组派生出n个子地址组 |
Address group name/ID |
NAT地址组名称和ID |
Address information |
地址组成员信息 |
Start address |
地址组成员的起始地址。如果未配置,则显示”---” |
End address |
地址组成员的结束地址。如果未配置,则显示”---” |
# 显示指定地址组的配置信息。
<Sysname> display nat address-group 1
Address group name/ID: group1/1
Port range: 1024-65535
Instance name/ID: nat1/1
Address information:
Start address End address
202.110.10.10 202.110.10.15
表1-2 display nat address-group命令显示信息描述表
字段 |
描述 |
Address group name/ID |
NAT地址组的名称和编号 |
Instance name/ID |
NAT实例的名称和编号 |
Address information |
地址组成员信息 |
Start address |
地址组成员的起始地址。如果未配置,则显示”---” |
End address |
地址组成员的结束地址。如果未配置,则显示”---” |
# 显示NAT地址组的资源总使用率以及各个地址组成员资源使用率的详细信息。
<Sysname> display nat address-group resource-usage verbose
NAT address group information:
Totally 2 NAT address groups.
Address group name/ID: group2/2
Port range: 1024-1000
IP usage: 100%
Port usage: 0%
Port usage of group members:
Start address End address Port usage
202.110.10.10 202.110.10.15 50%
202.110.10.20 202.110.10.25 50%
Address group name/ID: group3/3
Port range: 1024-65535
IP usage: 0%
Port usage: 0%
Port usage of group members:
Start address End address Port usage
10.1.1.1 10.1.1.10 0%
表1-3 display nat address-group resource-usage verbose命令显示信息描述表
字段 |
描述 |
NAT address group information |
NAT地址组信息 |
Totally n NAT address groups |
当前有n个地址组 |
Address group name/ID |
地址组的名称和编号 |
Port range |
地址的端口范围 |
Port block size |
端口块大小。如果未配置,则不显示 |
Extended block number |
增量端口块数。如果未配置,则不显示 |
Extended block size |
每个增量端口块中包含的端口数。如果未配置,则不显示 |
TCP port limit |
可分配给TCP协议的最大端口数目。如果未配置,则不显示 |
UDP port limit |
可分配给UDP协议的最大端口数目。如果未配置,则不显示 |
ICMP port limit |
可分配给ICMP协议的最大端口数目。如果未配置,则不显示 |
Port limit in total |
可分配给TCP、UDP和ICMP协议的最大端口总数。如果未配置,则不显示 |
Instance name/ID |
NAT实例的名称和编号 |
IP usage |
地址组的地址使用率 |
Port usage |
地址组的端口使用率 |
Port usage of group members |
地址组成员的端口使用率 |
Start address |
地址组成员的起始地址。如果未配置,则显示”---” |
End address |
地址组成员的结束地址。如果未配置,则显示”---” |
【相关命令】
· nat address-group
display nat all命令用来显示所有的NAT配置信息。
【命令】
display nat all
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示所有的NAT配置信息。(接口NAT)(独立运行模式)
<Sysname> display nat all
NAT address group information:
Totally 5 NAT address groups.
Address group name/ID: 1/1
Port range: 1024-65535
Failover group name: nat
Address information:
Start address End address
202.110.10.10 202.110.10.15
Address group name/ID: 2/2
Port range: 1024-65535
Failover group name: group1
Failover group name: trans
Address information:
Start address End address
202.110.10.20 202.110.10.25
202.110.10.30 202.110.10.35
Address group name/ID: 3/3
Port range: 1024-65535
Failover group name: abc
Address information:
Start address End address
202.110.10.40 202.110.10.50
Address group name/ID: 4/4
Port range: 10001-65535
Port block size: 500
Extended block number: 1
Failover group name: trans
Address information:
Start address End address
202.110.10.60 202.110.10.65
Address group name/ID: 5/5
Port range: 10001-65535
Port block size: 6400
Extended block number: 1
Extended block size: 64
TCP port limit: 1000
UDP port limit: 2000
ICMP port limit: 3000
Port limit in total: 6000
Address information:
Start address End address
202.110.10.70 202.110.10.75
Address group name/ID: 6/6
Port range: 1024-65535
Address information:
Start address End address
--- ---
NAT server group information:
Totally 3 NAT server groups.
Group Number Inside IP Port Weight
1 192.168.0.26 23 100
192.168.0.27 23 500
2 --- --- ---
3 192.168.0.26 69 100
NAT outbound information:
Totally 2 NAT outbound rules.
Interface: Ten-GigabitEthernet3/1/2
ACL: 2036 Address group: 1 Port-preserved: Y
NO-PAT: N Reversible: N
Config status: Active
Interface: Ten-GigabitEthernet3/1/2
ACL: 2037 Address group: 1 Port-preserved: N
NO-PAT: Y Reversible: Y
VPN instance: vpn_nat
Config status: Active
NAT internal server information:
Totally 4 internal servers.
Interface: Ten-GigabitEthernet3/1/3
Protocol: 6(TCP)
Global IP/port: 50.1.1.1/23
Local IP/port : 192.168.10.15/23
ACL : 2000
Service card : Slot 2
Config status : Active
Interface: Ten-GigabitEthernet3/1/4
Protocol: 6(TCP)
Global IP/port: 50.1.1.1/23-30
Local IP/port : 192.168.10.15-192.168.10.22/23
Global VPN : vpn1
Local VPN : vpn3
Service card : Slot 2
Config status : Active
Interface: Ten-GigabitEthernet3/1/4
Protocol: 255(Reserved)
Global IP/port: 50.1.1.100/---
Local IP/port : 192.168.10.150/---
Global VPN : vpn2
Local VPN : vpn4
ACL : 3000
Service card : Slot 2
Config status : Inactive
Reasons for inactive status: Active
Interface: Ten-GigabitEthernet3/1/5
Protocol: 17(UDP)
Global IP/port: 50.1.1.2/23
Local IP/port : server group 1
192.168.0.26/23 (Connections: 10)
192.168.0.27/23 (Connections: 20)
Global VPN : vpn1
Local VPN : vpn3
Service card : Slot 2
Config status : Active
Static NAT mappings:
Totally 2 inbound static NAT mappings.
Net-to-net:
Global IP : 2.2.2.1 – 2.2.2.255
Local IP : 1.1.1.0
Netmask : 255.255.255.0
Global VPN : vpn2
Local VPN : vpn1
ACL : 2000
Reversible : Y
Config status: Active
IP-to-IP:
Global IP : 5.5.5.5
Local IP : 4.4.4.4
Global VPN : vpn3
Local VPN : vpn4
ACL : 2001
Reversible : Y
Config status: Active
Totally 2 outbound static NAT mappings.
Net-to-net:
Local IP : 1.1.1.1 - 1.1.1.255
Global IP : 2.2.2.0
Netmask : 255.255.255.0
Local VPN : vpn1
Global VPN : vpn2
ACL : 2000
Reversible : Y
Failover group name: abc
Config status: Active
IP-to-IP:
Local IP : 4.4.4.4
Global IP : 5.5.5.5
Local VPN : vpn1
Global VPN : vpn2
ACL: : 2001
Reversible : Y
Failover group name: group1
Config status: Active
Interfaces enabled with static NAT:
Totally 2 interfaces enabled with static NAT.
Interface: Ten-GigabitEthernet3/1/4
Service card : Slot 2
Config status: Active
Interface: Ten-GigabitEthernet3/1/6
Config status: Active
NAT DNS mappings:
Totally 2 NAT DNS mappings.
Domain name : www.example.com
Global IP : 6.6.6.6
Global port : 23
Protocol : TCP(6)
Config status: Active
Domain name : service.example.com
Global IP : 10.1.1.1
Global port : 12
Protocol : TCP(6)
Config status: Active
NAT logging:
Log enable : Enabled
Flow-begin : Disabled
Flow-end : Disabled
Flow-active : Disabled
Port-block-assign : Disabled
Port-block-withdraw : Disabled
Port-alloc-fail : Enabled
Port-block-alloc-fail : Disabled
Port-usage : Disabled
Port-block-usage : Enabled(40%)
NAT hairpinning:
Totally 2 interfaces enabled with NAT hairpinning.
Interface: Ten-GigabitEthernet3/1/4
Service card : Slot 2
Config status: Active
Interface: Ten-GigabitEthernet3/1/6
Service card : Slot 2
Config status: Active
NAT mapping behavior:
Mapping mode : Endpoint-Independent
ACL : 2050
Config status: Active
NAT ALG:
DNS : Disabled
FTP : Enabled
H323 : Disabled
ICMP-ERROR : Enabled
ILS : Disabled
MGCP : Disabled
NBT : Disabled
PPTP : Disabled
RTSP : Enabled
RSH : Disabled
SCCP : Disabled
SIP : Disabled
SQLNET : Disabled
TFTP : Disabled
XDMCP : Disabled
NAT Agency ALG:
FTP : Enabled
ICMP-ERROR : Enabled
SIP : Disabled
NAT port block group information:
Totally 3 NAT port block groups.
Port block group 1:
Port range: 1024-65535
Block size: 256
TCP port limit: 1000
UDP port limit: 2000
ICMP port limit: 3000
Port limit in total: 6000
Failover group name: nat
Local IP address information:
Start address End address VPN instance
172.16.1.1 172.16.1.254 ---
192.168.1.1 192.168.1.254 ---
192.168.3.1 192.168.3.254 ---
Global IP pool information:
Start address End address
201.1.1.1 201.1.1.10
201.1.1.21 201.1.1.25
Port block group 2:
Port range: 10001-30000
Block size: 500
Failover group name: group1
Local IP address information:
Start address End address VPN instance
10.1.1.1 10.1.10.255 ---
Global IP pool information:
Start address End address
202.10.10.101 202.10.10.120
Port block group 3:
Port range: 1024-65535
Block size: 256
Local IP address information:
Start address End address VPN instance
--- --- ---
Global IP pool information:
Start address End address
--- ---
NAT outbound port block group information:
Totally 2 outbound port block group items.
Interface: Ten-GigabitEthernet3/1/2
Port-block-group: 2
Config status : Active
Interface: Ten-GigabitEthernet3/1/2
Port-block-group: 10
Config status : Inactive
Reasons for inactive status:
The following items don't exist or aren't effective: port block group.
NAT extended port block report to RADIUS: Disabled
上述显示信息是目前所有NAT配置信息的集合。由于部分NAT配置(nat address-group、nat server-group、nat outbound、nat server、nat static、nat static net-to-net、nat static enable、nat dns-map、nat log、nat port-block-group和nat outbound port-block-group)有自己独立的显示命令,且此处显示信息的格式与各命令对应的显示信息的格式相同的,所以此处不对这些配置的显示字段的含义进行详细解释,如有需要,请参考各独立的显示命令。下面的表格将给出相关显示命令的参见信息并仅解释nat hairpin enable、nat mapping-behavior和nat alg配置的显示字段的含义。
表1-4 display nat all命令显示信息描述表
字段 |
描述 |
NAT address group information |
NAT地址组的配置信息,详细字段解释请参见“表1-3” |
NAT instance information |
NAT实例的配置信息,详细字段请参见“1.1.7 ” |
NAT server group information |
NAT内部服务器组的配置信息,详细字段解释请参见“表1-12” |
NAT outbound information |
出方向动态地址转换的配置信息,详细字段解释请参见“表1-10” |
NAT internal server information |
NAT内部服务器的配置信息,详细字段解释请参见“表1-11” |
Static NAT mappings |
静态地址转换的配置信息,详细字段解释请参见“表1-14” |
NAT DNS mappings |
NAT DNS mapping的配置信息,详细字段解释请参见“表1-5” |
NAT logging |
NAT日志功能的配置信息,详细字段解释请参见“表1-8” |
NAT hairpinning |
NAT hairpin功能。如果未配置,则不显示该字段 |
Totally n interfaces enabled NAT hairpinning |
当前有n个接口开启NAT hairpin功能 |
Interface |
开启NAT hairpin功能的接口 |
Service card |
显示提供NAT处理的业务板。如果接口下没有指定业务板,则不显示该字段 |
Config status |
显示NAT hairpin配置的状态 · Active:生效 |
NAT mapping behavior |
PAT方式下的地址转换模式 · Connection-dependent:表示关心对端地址和端口的非共享转换模式 · Endpoint-Independent (TCP):表示不关心对端地址和端口的转换模式,且为传输层协议类型为TCP的报文在PAT方式出方向地址转换中仅创建EIM表项 · Endpoint-Independent (TCP-5-Tuple):表示不关心对端地址和端口的转换模式,为传输层协议类型为TCP的报文在PAT方式出方向地址转换中既创建五元组类型的会话表项,也创建EIM表项 · Endpoint-Independent (UDP):表示不关心对端地址和端口的转换模式,且为传输层协议类型为UDP的报文在PAT方式出方向地址转换中仅创建EIM表项 · Endpoint-Independent (UDP-5-Tuple):表示不关心对端地址和端口的转换模式,且为传输层协议类型为UDP的报文在PAT方式出方向地址转换中既创建五元组类型的会话表项,也创建EIM表项 |
ACL |
引用的ACL编号或名称。如果未配置,则显示“---” |
Config status |
显示NAT mapping behavior配置的状态 · Active:生效 · Inactive:不生效 |
Reasons for inactive status |
当Config status字段为Inactive时,显示NAT mapping behavior配置不生效的原因 · The following items don't exist or aren't effective: ACL:引用的ACL不存在 |
NAT ALG |
各协议的NAT ALG功能开启信息 |
NAT port block group information |
NAT端口块组的配置信息,详细字段解释请参见“1.1.10 ” |
NAT outbound port block group information |
NAT端口块静态映射的配置信息,详细字段解释请参见“1.1.10 ” |
NAT extended port block report to RADIUS |
(暂不支持)NAT支持将用户私网IP与增量端口块的映射关系上报给RADIUS服务器功能的开启状态: · Enabled:表示开启 · Disabled:表示关闭 |
Static NAT load balancing |
静态NAT在多个NAT业务引擎上进行负载分担功能的开启状态: · Enabled:表示开启 · Disabled:表示关闭 |
NAT Agency ALG |
为代拨用户报文开启ALG功能的开启状态: · Enabled:表示开启 · Disabled:表示关闭 |
NAT VSRP port |
NAT通过VSRP建立数据备份通道使用的TCP端口号 |
display nat dns-map命令用来显示NAT DNS mapping配置信息。
【命令】
display nat dns-map
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示NAT DNS mapping的配置信息。
<Sysname> display nat dns-map
NAT DNS mapping information:
Totally 2 NAT DNS mappings.
Domain name : www.example.com
Global IP : 6.6.6.6
Global port : 23
Protocol : TCP(6)
Config status: Active
Domain name : service.example.com
Global IP : 10.1.1.1
Global port : 12
Protocol : TCP(6)
Config status: Active
表1-5 display nat dns-map命令显示信息描述表
字段 |
描述 |
NAT DNS mapping information |
NAT DNS mapping配置信息 |
Totally n NAT DNS mappings |
当前有n条DNS mapping配置 |
Domain name |
DNS域名 |
Global IP |
外网地址。如果配置使用的是Easy IP方式,则此处显示指定的接口的地址。“---”表示接口下未配置外网地址 |
Global port |
外网端口号 |
Protocol |
协议名称以及协议编号 |
Config status |
显示DNS mapping配置的状态 · Active:生效 · Inactive:不生效 |
Reasons for inactive status |
当Config status字段为Inactive时,显示DNS mapping配置不生效的原因 · The following items don't exist or aren't effective: interface IP address:引用的接口未配置IP地址 |
【相关命令】
· nat dns-map
display nat eim命令用来显示NAT EIM表项信息。
【命令】
(独立运行模式)
display nat eim [ slot slot-number ] [ protocol { icmp | tcp | udp } ] [ local-ip { b4 ipv6-address | local-ip } ] [ local-port local-port ] [ global-ip global-ip ] [ global-port global-port ]
(IRF模式)
display nat eim [ chassis chassis-number slot slot-number ] [ protocol { icmp | tcp | udp } ] [ local-ip { b4 ipv6-address | local-ip } ] [ local-port local-port ] [ global-ip global-ip ] [ global-port global-port ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有成员设备的所有单板。(IRF模式)
protocol:显示指定协议类型的EIM表项信息。
icmp:显示ICMP协议类型的EIM表项信息。
tcp:显示TCP协议类型的EIM表项信息。
udp:显示UDP协议类型的EIM表项信息。
local-ip local-ip:显示指定内网IP地址的EIM表项信息,local-ip表示内网IP地址。
local-ip b4 ipv6-address:显示指定B4设备IPv6地址的EIM表项信息,ipv6-address表示B4设备的IPv6地址。
local-port local-port:显示指定内网端口号的EIM表项信息,local-port表示内网端口号,取值范围为0~65535。
global-ip global-ip:显示指定公网IP地址的EIM表项信息,global-ip表示公网IP地址。
global-port global-port:显示指定公网端口号的EIM表项信息,global-port表示公网端口号,取值范围为0~65535。
【使用指导】
EIM三元组表项是报文在进行Endpoint-Independent Mapping方式的PAT转换时创建的,它记录了内网和外网的转换关系(内网地址和端口<-->NAT地址和端口),该表项有以下两个作用:
· 保证后续来自相同源地址和源端口的新建连接与首次连接使用相同的转换关系。
· 允许外网主机向NAT地址和端口发起的新建连接根据EIM表项进行反向地址转换。
如果不指定local-ip、local-port、global-ip、global-port参数,将显示所有ICMP/TCP/UDP协议类型的EIM表项信息。
【举例】
# 显示指定slot上的NAT EIM表项信息。(独立运行模式)
<Sysname> display nat eim slot 1
Slot 1:
Local IP/port: 192.168.100.100/1024
Global IP/port: 200.100.1.100/2048
DS-Lite tunnel peer: -
Local VPN: vpn1
Global VPN: vpn2
Protocol: TCP(6)
Failover group name: -
Local IP/port: 192.168.100.200/2048
Global IP/port: 200.100.1.200/4096
DS-Lite tunnel peer: -
Protocol: UDP(17)
Failover group name: -
Total entries found: 2
# 显示指定slot上协议类型为TCP的NAT EIM表项信息。(独立运行模式)
<Sysname> display nat eim slot 1 cpu 0 protocol tcp
Slot 1:
Local IP/port: 192.168.100.100/1024
Global IP/port: 200.100.1.100/2048
DS-Lite tunnel peer: -
Local VPN: vpn1
Global VPN: vpn2
Protocol: TCP(6)
Failover group name: -
Total entries found: 1
表1-6 display nat eim命令显示信息描述表
字段 |
描述 |
CPU |
CPU编号 |
DS-Lite tunnel peer |
DS-Lite B4端隧道地址。会话不属于任何DS-Lite隧道时,本字段显示为“-” |
Local VPN |
内网地址所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
Global VPN |
外网地址所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
Protocol |
协议名称以及协议编号 |
Failover group name |
备份组的名称。如果未绑定任何备份组,本字段显示为“-” |
Total entries found |
当前查找到的EIM表项的个数 |
【相关命令】
· nat mapping-behavior
· nat outbound
display nat eim statistics命令用来显示NAT EIM表项的统计信息。
【命令】
(独立运行模式)
display nat eim statistics [ slot slot-number ]
(IRF模式)
display nat eim statistics [ chassis chassis-number slot slot-number ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
【使用指导】
通过本命令可以查看NAT EIM表项的统计信息,包括EIM表项的数量、传输层协议为TCP或UDP的EIM表项创建速率等信息。
【举例】
# 显示指定slot上NAT EIM的统计信息。(独立运行模式)
<Sysname> display nat eim statistics slot 2
EIM: Total EIM entries.
TCP: Total EIM entries for TCP.
UDP: Total EIM entries for UDP.
Rate: Creating rate of EIM entries.
TCP rate: Creating rate of EIM entries for TCP.
UDP rate: Creating rate of EIM entries for UDP.
Slot EIM TCP UDP Rate TCP rate UDP rate
(entries/s) (entries/s) (entries/s)
2 0 0 0 0 0 0
表1-7 display nat eim statistics命令显示信息描述表
字段 |
描述 |
Total EIM entries |
EIM表项个数 |
Total EIM entries for TCP |
传输层协议为TCP的EIM表项个数 |
Total EIM entries for UDP |
传输层协议为UDP的EIM表项个数 |
Creating rate of EIM entries |
EIM表项的创建速率 |
Creating rate of EIM entries for TCP |
传输层协议为TCP的EIM表项创建速率 |
Creating rate of EIM entries for UDP |
传输层协议为UDP的EIM表项创建速率 |
【相关命令】
· nat mapping-behavior
display nat log命令用来显示NAT日志功能的配置信息。
【命令】
display nat log
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示NAT日志功能的配置信息。
<Sysname> display nat log
NAT logging:
Log enable : Enabled
Flow-begin : Disabled
Flow-end : Disabled
Flow-active : Disabled
Port-block-assign : Disabled
Port-block-withdraw : Disabled
Port-alloc-fail : Enabled
Port-block-alloc-fail : Disabled
Port-usage : Disabled
Port-block-usage : Enabled(Threshold: 40%)
Bandwidth-usage : Enabled(Threshold: 90%)
表1-8 display nat log命令显示信息描述表
字段 |
描述 |
NAT logging |
NAT日志功能的配置信息 |
Log enable |
NAT日志开关 · Enabled:表示处于开启状态。如果指定了ACL,则同时显示指定的ACL编号或名称 · Disabled:表示处于关闭状态 |
Flow-begin |
NAT会话新建日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Flow-end |
NAT会话删除日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Flow-active |
NAT活跃流日志功能开关 · Enabled:表示处于开启状态。该状态下,将同时显示配置的生成活跃流日志的时间间隔(单位为分) · Disabled:表示处于关闭状态 |
Port-block-assign |
端口块分配的NAT444用户日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Port-block-withdraw |
端口块回收的NAT444用户日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Port-alloc-fail |
端口分配失败的日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Port-block-alloc-fail |
端口块分配失败的日志功能开关 · Enabled:表示处于开启状态 · Disabled:表示处于关闭状态 |
Port-usage |
端口块中端口使用率的日志功能开关 · Enabled:表示处于开启状态。该状态下,将同时显示配置的端口使用率的阈值(单位为百分比) · Disabled:表示处于关闭状态 |
Port-block-usage |
端口块使用率的日志功能处于开启(Enabled)状态,Threshold表示配置的端口块使用率的阈值,单位为百分比,缺省值为90% |
Bandwidth-usage |
(暂不支持)CGN单板带宽使用率日志功能始终处于开启(Enabled)状态,同时显示触发系统输出日志信息的CGN单板带宽使用率阈值(单位为百分比),缺省值为90% |
【相关命令】
· nat log enable
· nat log flow-active
· nat log flow-begin
display nat no-pat命令用来显示NAT NO-PAT表项信息。
【命令】
(独立运行模式)
display nat no-pat [ slot slot-number ]
(IRF模式)
display nat no-pat [ chassis chassis-number slot slot-number ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
【使用指导】
NO-PAT表项记录了动态分配的一对一地址映射关系,该表项有两个作用:
· 保证后续同方向的新连接使用与第一个连接相同的地址转换关系。
· 反方向的新连接可以使用NO-PAT表进行地址转换。
nat outbound配置的NO-PAT方式在转换报文地址之后都需要创建NO-PAT表。这两种配置创建的NO-PAT表类型不同,不能互相使用,因此分成两类进行显示。
【举例】
# 显示指定slot的NAT NO-PAT表项。(独立运行模式)
<Sysname> display nat no-pat slot 1
Slot 1:
Global IP: 200.100.1.100
Local IP: 192.168.100.100
Global VPN: vpn2
Local VPN: vpn1
Reversible: N
Type : Inbound
Local IP: 192.168.100.200
Global IP: 200.100.1.200
Reversible: Y
Type : Outbound
Total entries found: 2
表1-9 display nat no-pat命令显示信息描述表
字段 |
描述 |
Global IP |
外网地址 |
Local IP |
内网地址 |
Local VPN |
内网地址所属的MPLS L3VPN的实例名称。如果不属于任何VPN实例,则该行不显示 |
Global VPN |
外网地址所属的MPLS L3VPN的实例名称。如果不属于任何VPN实例,则该行不显示 |
Reversible |
是否允许反向地址转换。若其值为“Y”,则表示在某方向上发起的连接已成功建立地址转换表项的情况下,允许反方向发起的连接使用已建立的地址转换表项进行地址转换;若其值为“N”,则表示不允许 |
Type |
NO-PAT表项类型 · Inbound:入方向动态地址转换过程中创建的NO-PAT表项 · Outbound:出方向动态地址转换过程中创建的NO-PAT表项 |
Total entries found |
当前查找到的NO-PAT表项的个数 |
【相关命令】
· nat outbound
display nat outbound命令用来显示出方向动态地址转换的配置信息。
【命令】
display nat outbound
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示出方向动态地址转换的配置信息。(接口NAT)(独立运行模式)
<Sysname> display nat outbound
NAT outbound information:
Totally 2 NAT outbound rules.
Interface: Ten-GigabitEthernet3/1/1
ACL: 2036 Address group: 1 Port-preserved: Y
NO-PAT: N Reversible: N
Service card: Slot 5
Config status: Active
Interface: Ten-GigabitEthernet3/1/2
ACL: 2037 Address group: 2 Port-preserved: N
NO-PAT: Y Reversible: Y
VPN instance: vpn_nat
Service card: Slot 5
Config status: Active
Interface: Ten-GigabitEthernet3/1/1
DS-Lite B4 ACL: 2100 Address group: 0 Port-preserved: N
NO-PAT: N Reversible: N
Service card: Slot 5
Config status: Active
表1-10 display nat outbound命令显示信息描述表
字段 |
描述 |
NAT outbound information |
出方向动态地址转换的配置信息 |
Totally n NAT outbound rules |
当前存在n条出方向动态地址转换 |
Interface |
出方向动态地址转换配置所在的接口 |
ACL |
引用的IPv4 ACL编号或名称。如果未配置,则显示“---” |
DS-Lite B4 ACL |
DS-Lite B4引用的IPv6 ACL编号或名称 |
Address group |
出方向动态地址转换使用的地址组。如果未配置,则显示“---” |
Port-preserved |
PAT方式下,是否尽量不转换端口 |
NO-PAT |
是否使用NO-PAT方式进行转换。若其值为“N”,则表示使用PAT方式 |
Reversible |
是否允许反向地址转换。若其值为“Y”,则表示在某方向上发起的连接已成功建立地址转换表项的情况下,允许反方向发起的连接使用已建立的地址转换表项进行地址转换;若其值为“N”,则表示不允许 |
VPN instance |
地址组所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
Service card |
显示提供NAT处理的业务板。如果接口下未指定业务板,则不显示该字段 |
Config status |
显示配置的状态 · Active:生效 · Inactive:不生效 |
Reasons for inactive status |
当Config status字段为Inactive时,显示配置不生效的原因 · The following items don't exist or aren't effective: global VPN, interface IP address, address group, and ACL:配置中地址组所属的VPN实例、接口地址、地址组、ACL不存在或不生效 · NAT address conflicts:NAT地址冲突 |
【相关命令】
· nat outbound
display nat server命令用来显示NAT内部服务器的配置信息。
【命令】
display nat server
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示NAT内部服务器的信息。(接口NAT)(独立运行模式)
<Sysname> display nat server
NAT internal server information:
Totally 4 internal servers.
Interface: Ten-GigabitEthernet3/1/3
Protocol: 6(TCP)
Global IP/port: 50.1.1.1/23
Local IP/port : 192.168.10.15/23
Config status : Active
Interface: Ten-GigabitEthernet3/1/4
Protocol: 6(TCP)
Global IP/port: 50.1.1.1/23-30
Local IP/port : 192.168.10.15-192.168.10.22/23
Global VPN : vpn1
Local VPN : vpn3
Config status : Active
Interface: Ten-GigabitEthernet3/1/4
Protocol: 255(Reserved)
Global IP/port: 50.1.1.100/---
Local IP/port : 192.168.10.150/---
Global VPN : vpn2
Local VPN : vpn4
Service card : Slot 5
Config status : Active
Interface: Ten-GigabitEthernet3/1/5
Protocol: 17(UDP)
Global IP/port: 50.1.1.2/23
Local IP/port : server group 1
1.1.1.1/21 (Connections: 10)
192.168.100.200/80 (Connections: 20)
Global VPN : vpn1
Local VPN : vpn10
Service card : Slot 5
Config status : Active
表1-11 display nat server命令显示信息描述表
字段 |
描述 |
NAT internal server information |
NAT内部服务器的配置信息 |
Totally n internal servers |
当前存在n条内部服务器配置 |
Interface |
内部服务器配置所在的接口 |
Protocol |
内部服务器的协议编号以及协议名称 |
Global IP/port |
内部服务器的外网地址/端口号 · Global IP可以是单个地址,也可以是一个连续的地址段。如果使用Easy IP方式,则此处显示指定的接口的地址;如果接口下未配置地址,则Global IP显示为“---” · port可以是单个端口,也可以是一个连续的端口段。如果指定的协议没有端口的概念,则port显示为“---” |
Local IP/port |
对于普通内部服务器,显示服务器的内网地址/端口号 · Local IP可以是单个地址,也可以是一个连续的地址段 · port可以是单个端口,也可以是一个连续的端口段。如果指定的协议没有端口的概念,则port显示为“---” 对于负载分担内部服务器,显示内部服务器组编号以及服务器组成员的IP地址、端口和连接数 |
Global VPN |
外网地址所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
Local VPN |
内网地址所属的MPLS L3VPN的VPN实例名称。 如果不属于任何VPN实例,则不显示该字段 |
ACL |
引用的ACL编号或名称。如果未配置,则不显示该字段 |
Service card |
显示提供NAT处理的业务板。如果接口下未指定业务板,则不显示该字段 |
Config status |
显示配置的状态 · Active:生效 · Inactive:不生效 |
Reasons for inactive status |
当Config status字段为Inactive时,显示配置不生效的原因 · The following items don't exist or aren't effective: local VPN, global VPN, interface IP address, server group, and ACL:配置中内网地址所属的VPN实例、外网地址所属的VPN实例、接口地址、服务器组、ACL不存在或不生效 · Server configuration conflicts:NAT内部服务器配置冲突 · NAT address conflicts:NAT地址冲突 |
【相关命令】
· nat server
display nat server-group命令用来显示NAT内部服务器组的配置信息。
【命令】
display nat server-group [ group-id ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
group-id:NAT内部服务器组的编号,取值范围为0~65535。如果不指定该参数,则显示所有内部服务器组。
【举例】
# 显示所有NAT内部服务器组的配置信息。
<Sysname> display nat server-group
NAT server group information:
Totally 3 NAT server groups.
Group Number Inside IP Port Weight
1 192.168.0.26 23 100
192.168.0.27 23 500
2 --- --- ---
3 192.168.0.26 69 100
# 显示指定NAT内部服务器组的配置信息。
<Sysname> display nat server-group 1
Group Number Inside IP Port Weight
1 192.168.0.26 23 100
192.168.0.27 23 500
表1-12 display nat server-group命令显示信息描述表
字段 |
描述 |
NAT server group information |
NAT内部服务器组信息 |
Totally n NAT server groups |
当前有n个内部服务器组 |
Group Number |
内部服务器组的编号 |
Inside IP |
内部服务器组成员在内网的IP地址。如果未配置,则显示“---” |
Port |
内部服务器组成员在内网的端口。如果未配置,则显示“---” |
Weight |
内部服务器组成员的权重值。如果未配置,则显示“---” |
【相关命令】
· nat server-group
display nat session命令用来显示NAT会话,即经过NAT地址转换处理的会话。
【命令】
(独立运行模式)
display nat session [ { source-ip source-ip | destination-ip destination-ip } * [ vpn-instance vpn-instance-name ] ] [ protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite } ] [ slot slot-number ] [ brief | verbose ]
(IRF模式)
display nat session [ { source-ip source-ip | destination-ip destination-ip } * [ vpn-instance vpn-instance-name ] ] [ protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite } ] [ chassis chassis-number slot slot-number ] [ brief | verbose ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
source-ip source-ip:显示指定源地址的会话。source-ip表示源地址,该地址必须是创建会话的报文的源地址。
destination-ip destination-ip:显示指定目的地址的会话。destination-ip表示目的地址,该地址必须是创建会话的报文的目的地址。
vpn-instance vpn-instance-name:显示指定目的VPN实例的会话。vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。该VPN实例必须是报文中携带的VPN实例。如果不指定该参数,则显示目的IP不属于任何VPN实例的会话。
protocol { dccp | icmp | raw-ip | sctp | tcp | udp | udp-lite }:显示指定协议类型的IPv4单播会话表项。其中,IPv4传输层协议类型可包括DCCP、ICMP、RawIP、SCTP、TCP、UDP和UDP-Lite。如果未指定本参数,则显示所有支持的协议类型的NAT会话。
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
brief:显示NAT会话的简要信息。
verbose:显示NAT会话的详细信息。如果不配置则显示会话的概要信息。
【使用指导】
如果不指定任何参数,则显示所有的NAT会话的详细信息。
【举例】
# 显示指定slot上NAT会话的详细信息。(独立运行模式)
<Sysname> display nat session slot 1 verbose
Slot 1:
Initiator:
Source IP/port: 192.168.1.18/1877
Destination IP/port: 192.168.1.55/22
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: Ten-GigabitEthernet3/1/1
Responder:
Source IP/port: 192.168.1.55/22
Destination IP/port: 192.168.1.10/1877
DS-Lite tunnel peer: -
VPN instance/VLAN ID/VLL ID: -/-/-
Protocol: TCP(6)
Inbound interface: Ten-GigabitEthernet3/1/2
State: TCP_SYN_SENT
Application: SSH
Start time: 2011-07-29 19:12:36
Initiator->Responder: 1 packets 48 bytes
Responder->Initiator: 0 packets 0 bytes
Total sessions found: 1
# 显示指定slot上NAT会话的简要信息。(独立运行模式)
<Sysname> display nat session slot 1 brief
Slot 1:
Protocol Source IP/port Destination IP/port Global IP/port
TCP 10.2.1.58/2477 20.1.1.2/1025 30.2.4.9/226
Total sessions found: 1
表1-13 display nat session命令显示信息描述表
字段 |
描述 |
Source IP/port |
源IP地址/端口号 |
Destination IP/port |
目的IP地址/端口号 |
DS-Lite tunnel peer |
DS-Lite隧道对端地址。会话不属于任何DS-Lite隧道时,本字段显示为“-” |
VPN instance/VLAN ID/VLL ID |
会话所属的MPLS L3VPN/二层转发时会话所属的VLAN ID/二层转发时会话所属的INLINE。如果未指定则显示“-/-/-” |
Protocol |
传输层协议类型,包括:DCCP、ICMP、Raw IP 、SCTP、TCP、UDP、UDP-Lite |
Inbound interface |
报文的入接口 |
State |
会话状态 |
Application |
应用层协议类型,取值包括:FTP、DNS等,OTHER表示未知协议类型,其对应的端口为非知名端口 |
Start time |
会话创建时间 |
TTL |
会话剩余存活时间,单位为秒 |
Initiator->Responder |
发起方到响应方的报文数、报文字节数 |
Responder->Initiator |
响应方到发起方的报文数、报文字节数 |
Total sessions found |
当前查找到的会话的总数 |
Source IP/port |
发起方的源IP地址/端口号 |
Destination IP/port |
发起方的目的IP地址/端口号 |
Global IP/port |
公网IP地址/端口号 |
【相关命令】
· reset nat session
display nat static命令用来显示NAT静态地址转换的配置信息。
【命令】
display nat static
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【举例】
# 显示NAT静态地址转换的配置信息。(接口NAT)(独立运行模式)
<Sysname> display nat static
Static NAT mappings:
Totally 2 inbound static NAT mappings.
Net-to-net:
Global IP : 1.1.1.1 - 1.1.1.255
Local IP : 2.2.2.0
Netmask : 255.255.255.0
Global VPN : vpn2
Local VPN : vpn1
ACL : 2000
Reversible : Y
Config status: Active
IP-to-IP:
Global IP : 5.5.5.5
Local IP : 4.4.4.4
Global VPN : vpn3
Local VPN : vpn4
ACL : 2001
Reversible : Y
Config status: Active
Totally 2 outbound static NAT mappings.
Net-to-net:
Local IP : 1.1.1.1 - 1.1.1.255
Global IP : 2.2.2.0
Netmask : 255.255.255.0
Local VPN : vpn1
Global VPN : vpn2
ACL : 2000
Reversible : Y
Config status: Active
IP-to-IP:
Local IP : 4.4.4.4
Global IP : 5.5.5.5
Local VPN : vpn4
Global VPN : vpn3
ACL: : 2000
Reversible : Y
Config status: Active
Interfaces enabled with static NAT:
Totally 2 interfaces enabled with static NAT.
Interface: Ten-GigabitEthernet3/1/2
Service card : Slot 5
Config status: Active
Interface: Ten-GigabitEthernet3/1/3
Config status: Active
表1-14 display nat static命令显示信息描述表
字段 |
描述 |
Static NAT mappings |
静态地址转换的配置信息 |
Totally n inbound static NAT mappings |
当前存在n条入方向静态地址转换的配置 |
Totally n outbound static NAT mappings |
当前存在n条出方向静态地址转换的配置 |
Net-to-net |
网段到网段的静态地址转换映射 |
IP-to-IP |
IP到IP的静态地址转换映射 |
Local IP |
内网IP地址或地址范围 |
Global IP |
外网IP地址或地址范围 |
Netmask |
IP地址掩码 |
Local VPN |
内网地址所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
Global VPN |
外网地址所属的MPLS L3VPN的VPN实例名称。如果不属于任何VPN实例,则不显示该字段 |
ACL |
引用的ACL编号或名称。如果未配置,则不显示该字段 |
Reversible |
是否允许反向地址转换。若其值为“Y”,则表示在某方向上发起的连接已成功建立地址转换表项的情况下,允许反方向发起的连接使用已建立的地址转换表项进行地址转换 如果未配置,则不显示该字段 |
Interfaces enabled with static NAT |
静态地址转换在接口下的开启情况 |
Totally n interfaces enabled with static NAT |
当前有n个接口开启了静态地址转换 |
Interface |
开启静态地址转换功能的接口 |
Service card |
显示提供NAT服务的业务板。如果接口下未指定业务板,则不显示该字段 |
Config status |
显示配置的状态 · Active:生效 · Inactive:不生效 |
Reasons for inactive status |
当Config status字段为Inactive时,显示配置不生效的原因 · The following items don't exist or aren't effective: local VPN, global VPN, and ACL:配置中内网地址所属的VPN实例、外网地址所属的VPN实例、ACL不存在或不存在 · NAT address conflicts:NAT地址冲突 |
【相关命令】
· nat static
· nat static net-to-net
· nat static enable
display nat statistics命令用来显示NAT统计信息。
【命令】
(独立运行模式)
display nat statistics [ summary ] [ slot slot-number ]
(IRF模式)
display nat statistics [ summary ] [ chassis chassis-number slot slot-number ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
summary:显示NAT统计信息的摘要信息。不指定该参数时,显示NAT统计信息的详细信息。
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
【举例】
# 显示所有NAT统计信息的详细信息。
<Sysname> display nat statistics
Slot 0:
Total session entries: 100
Total EIM entries: 1
Total inbound NO-PAT entries: 0
Total outbound NO-PAT entries: 0
Total static port block entries: 10
Total dynamic port block entries: 15
Active static port block entries: 0
Active dynamic port block entries: 0
Total PAT entries: 0
表1-15 display nat statistics命令显示信息描述表
字段 |
描述 |
Total session entries |
NAT会话表项个数 |
Total EIM entries |
EIM表项个数 |
Total inbound NO-PAT entries |
入方向的NO-PAT表项个数 |
Total outbound NO-PAT entries |
出方向的NO-PAT表项个数 |
Total static port block entries |
当前配置创建的静态端口块表项个数 |
Total dynamic port block entries |
当前配置可创建的动态端口块表项个数,即可分配的动态端口块总数,包括已分配的端口块和尚未分配的端口块。如果用户设置的端口块参数中增量端口块与预分配端口块大小不同,系统将按照端口块大小为64来计算可创建的动态端口块表项个数 |
Active static port block entries |
当前正在使用的静态端口块表项个数 |
Active dynamic port block entries |
当前已创建的动态端口块表项个数,即已分配的动态端口块个数 |
Total PAT entries |
PAT表项个数 |
# 显示所有NAT统计信息的概要信息。
<Sysname> display nat statistics summary
EIM: Total EIM entries.
SPB: Total static port block entries.
DPB: Total dynamic port block entries.
ASPB: Active static port block entries.
ADPB: Active dynamic port block entries.
Slot Sessions EIM SPB DPB ASPB ADPB
0 100 1 10 15 0 0
表1-16 display nat statistics summary命令显示信息描述表
字段 |
描述 |
Sessions |
NAT会话表项个数 |
EIM |
EIM表项个数 |
SPB |
当前配置创建的静态端口块表项个数 |
DPB |
当前配置可创建的动态端口块表项个数,即可分配的动态端口块总数,包括已分配的端口块和尚未分配的端口块。如果用户设置的端口块参数中增量端口块与预分配端口块大小不同,系统将按照端口块大小为64来计算可创建的动态端口块表项个数 |
ASPB |
当前正在使用的静态端口块表项个数 |
ADPB |
当前已创建的动态端口块表项个数,即已分配的动态端口块个数 |
inside ip命令用来添加一个内部服务器组成员。
undo inside ip命令用来删除一个内部服务器组成员。
【命令】
inside ip inside-ip port port-number [ weight weight-value ]
undo inside ip inside-ip port port-number
【缺省情况】
内部服务器组内没有内部服务器组成员。
【视图】
内部服务器组视图
【缺省用户角色】
network-admin
【参数】
inside-ip:内部服务器组成员的IP地址。
port port-number:内部服务器组成员提供服务的端口号,取值范围为1~65535。
weight weight-value:内部服务器组成员的权重。weight-value表示权值,取值范围为1~1000,缺省值为100。内部服务器组成员按照权重比例对外提供服务,权重值越大的内部服务器组成员对外提供服务的比重越大。
【举例】
# 为内部服务器组1添加一个内部服务器组成员,其IP地址为10.1.1.2,服务端口号为30。
<Sysname> system-view
[Sysname] nat server-group 1
[Sysname-nat-server-group-1] inside ip 10.1.1.2 port 30
【相关命令】
· nat server-group
nat address-group命令用来创建地址组,并进入地址组视图。如果指定的地址组已经存在,则直接进入地址组视图。
undo nat address-group命令用来删除指定的地址组。
【命令】
nat address-group group-id
undo nat address-group group-id
【缺省情况】
不存在地址组。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
group-id:地址组编号,取值范围为0~65535。
【使用指导】
一个地址组是多个地址组成员的集合,各个地址组成员通过address命令配置。当需要对数据报文进行动态地址转换时,其源地址将被转换为地址组成员中的某个地址。
地址组被地址转换的配置引用时,无法通过undo nat address-group命令删除该地址组。
【举例】
# 创建一个地址组,编号为1。
<Sysname> system-view
[Sysname] nat address-group 1
【相关命令】
· address
· display nat address-group
· display nat all
· nat outbound
nat address-group-usage threshold命令用来配置NAT地址组资源使用率的告警阈值。
undo nat address-group-usage threshold命令用来恢复缺省情况。
【命令】
nat address-group-usage threshold threshold-value
undo nat address-group-usage threshold
【缺省情况】
NAT地址组资源使用率告警阈值为90%。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
threshold-value:NAT地址组资源使用率的告警阈值,取值范围为40~100,单位为百分比。
【使用指导】
当NAT地址组资源的使用率大于或等于设定的告警阈值时,系统将会输出日志信息进行预警。当NAT地址组资源的使用率小于设定的告警阈值的87.5%时,系统会输出资源使用率恢复日志信息。
只有开启NAT的告警功能(通过snmp-agent trap enable nat)之后,本命令才能生效。
【举例】
# 配置NAT地址组资源使用率的告警阈值为80%。
<Sysname> system-view
[Sysname] nat address-group-usage threshold 80
【相关命令】
· snmp-agent trap enable nat
nat alg命令用来开启指定或所有协议类型的NAT ALG功能。
undo nat alg命令用来关闭指定或所有协议类型的NAT ALG功能。
【命令】
nat alg { all | dns | ftp | h323 | icmp-error | ils | mgcp | nbt | pptp | rsh | rtsp | sccp | sip | sqlnet | tftp | xdmcp }
undo nat alg { all | dns | ftp | h323 | icmp-error | ils | mgcp | nbt | pptp | rsh | rtsp | sccp | sip | sqlnet | tftp | xdmcp }
【缺省情况】
FTP协议、ICMP差错控制报文和RTSP协议的NAT ALG功能处于开启状态,其他协议类型的NAT ALG功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
all:所有可指定的协议的ALG功能。
dns:表示DNS协议的ALG功能。
ftp:表示FTP协议的ALG功能。
h323:表示H323协议的ALG功能。
icmp-error:表示ICMP差错控制报文的ALG功能。
ils:表示ILS(Internet Locator Service,互联网定位服务)协议的ALG功能。
mgcp:表示MGCP(Media Gateway Control Protocol,媒体网关控制协议)协议的ALG功能。
nbt:表示NBT(NetBIOS over TCP/IP,基于TCP/IP的网络基本输入输出系统)协议的ALG功能。
pptp:表示PPTP(Point-to-Point Tunneling Protocol,点到点隧道协议)协议的ALG功能。
rsh:表示RSH(Remote Shell,远程外壳)协议的ALG功能。
rtsp:表示RTSP(Real Time Streaming Protocol,实时流协议)协议的ALG功能。
sccp:表示SCCP(Skinny Client Control Protocol,瘦小客户端控制协议)协议的ALG功能。
sip:表示SIP(Session Initiation Protocol,会话初始协议)协议的ALG功能。
sqlnet:表示SQLNET协议的ALG功能。
tftp:表示TFTP协议的ALG功能。
xdmcp:表示XDMCP(X Display Manager Control Protocol,X显示监控)协议的ALG功能。
【使用指导】
ALG(Application Level Gateway,应用层网关)主要完成对应用层报文的解析和处理。通常情况下,NAT只对报文头中的IP地址和端口信息进行转换,不对应用层数据载荷中的字段进行分析和处理。然而对于一些应用层协议,它们的报文的数据载荷中可能包含IP地址或端口信息,这些载荷信息也必须进行有效的转换,否则可能导致功能不正常。
例如,FTP应用由数据连接和控制连接共同完成,而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定,这就需要ALG利用NAT的相关转换配置来完成载荷信息的转换,以保证后续数据连接的正确建立。
如果使用nat mapping-behavior endpoint-independent命令配置了在PAT方式出方向地址转换中仅创建EIM表项(即未指定tcp-5-tuple、udp-5-tuple参数),则无法配置nat alg h323命令。
【举例】
# 开启FTP协议的ALG功能。
<Sysname> system-view
[Sysname] nat alg ftp
【相关命令】
· display nat all
· nat mapping-behavior endpoint-independent
nat dns-map命令用来配置一条域名到内部服务器的映射。
undo nat dns-map命令用来删除一条域名到内部服务器的映射。
【命令】
nat dns-map domain domain-name protocol pro-type { interface interface-type interface-number | ip global-ip } port global-port
undo nat dns-map domain domain-name
【缺省情况】
不存在域名到内部服务器的映射。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
domain domain-name:指定内部服务器的合法域名。domain-name表示内部服务器的域名,由“.”分隔的字符串组成(如example.com),每个字符串的长度不超过63个字符,包括“.”在内的总长度不超过253个字符。不区分大小写,字符串中可以包含字母、数字、“-”、“_”或“.”。
protocol pro-type:指定内部服务器的协议类型。pro-type表示具体的协议类型,取值为tcp或udp。
interface interface-type interface-number:表示使用指定接口的地址作为内部服务器的外网地址。interface-type interface-number表示接口类型和接口编号。
ip global-ip:指定内部服务器提供给外部网络访问的IP地址。global-ip表示外网IP地址。
port global-port:指定内部服务器提供给外部网络访问的服务端口号,可输入的形式如下:
· 数字:取值范围为1~65535。
· 协议名称:为1~15个字符的字符串,例如ftp、telnet等。
【使用指导】
NAT的DNS mapping功能需要和内部服务器配合使用,主要应用于DNS服务器在外网,应用服务器在内网(在NAT设备上有对应的nat server配置),内网用户需要通过域名访问内网应用服务器的场景。NAT设备对来自外网的DNS响应报文进行DNS ALG处理时,由于载荷中只包含域名和应用服务器的外网IP地址(不包含传输协议类型和端口号),当接口上存在多条NAT服务器配置且使用相同的外网地址而内网地址不同时,DNS ALG仅使用IP地址来匹配内部服务器可能会得到错误的匹配结果。因此需要借助DNS mapping的配置,指定域名与应用服务器的外网IP地址、端口和协议的映射关系,由域名获取应用服务器的外网IP地址、端口和协议,进而(在当前NAT接口上)精确匹配内部服务器配置获取应用服务器的内网IP地址。
设备可支持配置多条域名到内部服务器的映射。
【举例】
# 某公司内部对外提供Web服务,内部服务器的域名为www.example.com,对外的IP地址为202.112.0.1,服务端口号为12345。配置一条域名到内部服务器的映射,使得公司内部用户可以通过域名访问内部Web服务器。
<Sysname> system-view
[Sysname] nat dns-map domain www.example.com protocol tcp ip 202.112.0.1 port 12345
【相关命令】
· display nat all
· display nat dns-map
· nat server
nat hairpin enable命令用来开启NAT hairpin功能。
undo nat hairpin enable用来关闭NAT hairpin功能。
【命令】
nat hairpin enable
undo nat hairpin enable
【缺省情况】
NAT hairpin功能处于关闭状态。
【视图】
接口视图
【缺省用户角色】
network-admin
【使用指导】
NAT hairpin功能用于满足位于内网侧的用户之间或用户与服务器之间通过NAT地址进行访问的需求,需要与内部服务器(nat server)、出方向动态地址转换(nat outbound)或出方向静态地址转换(nat static outbound)配合工作。开启NAT hairpin的内网侧接口上会对报文同时进行源地址和目的地址的转换。
【举例】
# 在Ten-GigabitEthernet3/1/1接口下开启NAT hairpin功能。
<Sysname> system-view
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat hairpin enable
【相关命令】
· display nat all
nat log enable命令用来开启NAT日志功能。
undo nat log enable用来关闭NAT日志功能。
【命令】
nat log enable [ acl { ipv4-acl-number | name ipv4-acl-name } ]
undo nat log enable
【缺省情况】
NAT日志功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
acl:指定ACL的编号或名称。
ipv4-acl-number:ACL的编号,取值范围为2000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
【使用指导】
必须开启NAT日志功能,NAT会话日志功能(包括NAT新建会话、NAT删除会话和NAT活跃流的日志功能)、NAT444用户日志功能(包括NAT444端口块分配和NAT444端口块回收的日志功能)和NAT444告警信息日志功能才能生效。
acl参数只对NAT会话日志功能有效,对其他NAT日志功能无效。如果指定了ACL,则只有符合ACL permit规则的数据流才有可能触发输出NAT会话日志;如果没有指定ACL,则表示对所有被NAT处理过的数据流都有可能触发输出NAT会话日志。
【举例】
# 开启NAT日志功能。
<Sysname> system-view
[Sysname] nat log enable
【相关命令】
· display nat all
· display nat log
· nat log flow-active
· nat log flow-begin
· nat log flow-end
nat log flow-active命令用来开启NAT活跃流日志功能,并设置生成活跃流日志的时间间隔。
undo nat log flow-active命令用来关闭NAT活跃流的日志功能。
【命令】
nat log flow-active time-value
undo nat log flow-active
【缺省情况】
NAT活跃流的日志功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
time-value:表示触发输出NAT活跃流日志的时间间隔,取值范围为10~120,单位为分钟。
【使用指导】
对于一些长时间没有断开的NAT会话(即活跃流),如果需要定期记录其连接情况,则可以通过活跃流日志功能来实现。
开启NAT活跃流日志功能后,对于NAT活跃流,每经过指定的时间间隔,设备就会记录一次NAT日志。
只有开启NAT日志功能(通过nat log enable命令)之后,活跃流日志功能才能生效。
【举例】
# 开启NAT活跃流日志功能,并设置输出NAT活跃流日志的时间间隔为10分钟。
<Sysname> system-view
[Sysname] nat log flow-active 10
【相关命令】
· display nat all
· display nat log
· nat log enable
nat log flow-begin命令用来开启NAT新建会话的日志功能,即新建NAT会话时,输出NAT日志。
undo nat log flow-begin命令用来关闭NAT新建会话的日志功能。
【命令】
nat log flow-begin
undo nat log flow-begin
【缺省情况】
NAT新建会话的日志功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
只有开启NAT日志功能(通过nat log enable命令)之后,NAT新建会话的日志功能才能生效。
【举例】
# 开启NAT新建会话的日志功能。
<Sysname> system-view
[Sysname] nat log flow-begin
【相关命令】
· display nat all
· display nat log
· nat log enable
nat log flow-end命令用来开启NAT删除会话的日志功能。
undo nat log flow-end命令用来关闭NAT删除会话的日志功能。
【命令】
nat log flow-end
undo nat log flow-end
【缺省情况】
NAT删除会话的日志功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
只有开启NAT日志功能(通过nat log enable命令)之后,NAT删除会话的日志功能才能生效。
【举例】
# 开启NAT删除会话的日志功能。
<Sysname> system-view
[Sysname] nat log flow-end
【相关命令】
· display nat all
· display nat log
· nat log enable
nat mapping-behavior endpoint-independent命令用来配置PAT方式出方向动态地址转换的模式为Endpoint-Independent Mapping。
undo nat mapping-behavior endpoint-independent命令用来恢复缺省情况。
【命令】
nat mapping-behavior endpoint-independent { tcp [ tcp-5-tuple ] | udp [ udp-5-tuple ] } *
undo nat mapping-behavior endpoint-independent
【缺省情况】
PAT出方向动态方式地址转换的模式为Connection-Dependent Mapping。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
tcp:表示配置设备为传输层协议类型为TCP的报文在PAT方式出方向地址转换创建EIM表项。
udp:表示配置设备为传输层协议类型为UDP的报文在PAT方式出方向地址转换创建EIM表项。
tcp-5-tuple:表示配置设备为传输层协议类型为TCP的报文在PAT方式出方向地址转换中创建五元组(源地址、源端口号、协议类型、目的地址、目的端口号)类型的会话表项。如果不指定该参数,则表示仅创建EIM表项。
udp-5-tuple:表示配置设备为传输层协议类型为UDP的报文在PAT方式出方向地址转换中创建五元组(源地址、源端口号、协议类型、目的地址、目的端口号)类型的会话表项。如果不指定该参数,则表示仅创建EIM表项。
【使用指导】
PAT方式出方向动态地址转换支持两种模式:
· Endpoint-Independent Mapping(不关心对端地址和端口的转换模式):只要是来自相同源地址和源端口号的报文,不论其目的地址是否相同,通过PAT映射后,其源地址和源端口号都被转换为同一个外部地址和端口号,该映射关系会被记录下来并生成一个EIM表项;并且NAT网关设备允许外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好的支持位于不同NAT网关之后的主机间进行互访。
· Connection-Dependent Mapping(关心对端地址和端口的非共享转换模式):来自同一源地址和源端口号并且去往特定目的地址和端口号的报文,通过PAT映射后,其源地址和源端口号都被转换为同一个外部地址和端口号。同一源地址和源端口号并且去往不同目的地址和端口号的报文,通过PAT映射后,其源地址和源端口号被转换为不同的外部地址和端口号。与Endpoint-Independent Mapping模式不同的是,这种模式安全性好,即NAT设备只允许这些目的地址对应的外部网络的主机可以通过该转换后的地址和端口来访问这些内部网络的主机。
创建EIM表项时,有如下配置约束:
· 接口NAT方式下,存在nat server、nat static outbound、nat static outbound net-to-net、nat alg h323中任意一种配置的情况下,无法配置nat mapping-behavior endpoint-independent tcp和nat mapping-behavior endpoint-independent udp命令。
配置本命令后,对于ICMP报文,始终会创建EIM表项和五元组类型的会话表项。
存在NO-PAT方式的动态地址转换配置的情况下,配置PAT方式出方向动态地址转换的模式为Endpoint-Independent Mapping后,新增和当前已存在的NO-PAT方式的动态地址转换配置均无法生效。
【举例】
# 对TCP报文以Endpoint-Independent Mapping模式进行地址转换,且仅创建EIM表项。
<Sysname> system-view
[Sysname] nat mapping-behavior endpoint-independent tcp
【相关命令】
· display nat eim
· display nat eim statistics
· nat outbound
· nat server
· nat static outbound
· nat static outbound net-to-net
nat outbound命令用来配置出方向动态地址转换。
undo nat outbound命令用来删除指定的出方向动态地址转换。
【缺省情况】
不存在动态地址转换配置。
【命令】
· NO-PAT方式
nat outbound [ ipv4-acl-number | name ipv4-acl-name ] address-group group-id [ vpn-instance vpn-instance-name ] no-pat [ reversible ]
undo nat outbound [ ipv4-acl-number | name ipv4-acl-name ]
· PAT方式
nat outbound [ ipv4-acl-number | name ipv4-acl-name ] [ address-group group-id ] [ vpn-instance vpn-instance-name ] [ port-preserved ]
undo nat outbound [ ipv4-acl-number | name ipv4-acl-name ]
【视图】
接口视图
【缺省用户角色】
network-admin
【参数】
ipv4-acl-number:ACL的编号,取值范围为2000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
address-group group-id:指定地址转换使用的地址组。group-id为地址组的编号,取值范围为0~65535。如果不指定该参数,则直接使用该接口的IP地址作为转换后的地址,即实现Easy IP功能。
vpn-instance vpn-instance-name:指定地址组中的地址所属的VPN实例。vpn-instance-name表示MPLS L3VPN中的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示地址组中的地址不属于任何一个VPN实例。
no-pat:表示使用NO-PAT方式进行转换,即转换时不使用报文的端口信息;如果未指定本参数,则表示使用PAT方式进行转换,即转换时使用报文的端口信息。PAT方式仅支持TCP、UDP和ICMP查询报文,由于ICMP报文没有端口的概念,我们将ICMP ID作为ICMP报文的源端口。
reversible:表示允许反向地址转换。即,在内网用户主动向外网发起连接并成功触发建立地址转换表项的情况下,允许外网向该内网用户发起的连接使用已建立的地址转换表项进行目的地址转换。
port-preserved:PAT方式分配端口时尽量不转换端口。
【使用指导】
一般情况下,出方向动态地址转换配置在和外部网络连接的接口上,一个接口下可同时配置多条出方向地址转换。动态地址转换有两种转换方式:
· PAT方式:对于从内网到外网的报文,如果符合ACL permit规则,则使用地址组中的地址或该接口的地址(Easy IP方式)进行源地址转换,同时转换源端口(IP1/port1转换为IP2/port2);如果同时配置了PAT方式下的地址转换模式为EIM(Endpoint-Independent Mapping),则外网可以通过IP2/port2主动访问内网,NAT设备根据EIM表项转换目的地址和端口(IP2/port2转换为IP1/port1)。
· NO-PAT方式:对于从内网到外网的报文,如果符合ACL permit规则,则使用地址组中的地址进行源地址转换,不转换源端口(IP1转换为IP2);如果同时配置了reversible,则允许外网通过IP2主动访问内网,对于此类报文,需要进行ACL反向匹配(提取报文的源地址/端口和目的地址/端口,并将目的地址转换为IP1,然后将源地址/端口和目的地址/端口互换去匹配ACL),只有反向匹配ACL的报文才能进行转换(将目的地址IP2转换为IP1),否则不予转换。
指定出方向和入方向动态地址转换引用的地址组时,需要注意:
· 一个地址组被PAT方式的nat outbound配置引用后,不能再被NO-PAT方式的nat outbound配置引用,反之亦然。
· 当PAT方式出方向动态地址转换的模式为Endpoint-Independent Mapping时,NO-PAT方式的配置将无法生效。
指定出方向动态地址转换引用的ACL时,需要注意:
· 在一个接口下,一个ACL只能被一个nat outbound引用。
· 配置多条出方向动态地址转换时,只有一个nat outbound可以不引用ACL。
· 不指定ACL编号或名称的情况下,不对转换对象进行限制。
· 对于同一接口下的出方向动态地址转换配置,指定了ACL的配置的优先级高于未指定ACL的配置的优先级;对于指定了ACL的出方向动态地址转换配置,其生效优先级由ACL编号的大小决定,编号越大,优先级越高。
在VPN组网中,配置出方向动态地址转换时需要指定vpn-instance参数,且VPN实例的名称必须与该接口关联的VPN实例一致。
【举例】
# 配置ACL 2001,允许对10.110.10.0/24网段的主机报文进行地址转换。
<Sysname> system-view
[Sysname] acl basic 2001
[Sysname-acl-ipv4-basic-2001] rule permit source 10.110.10.0 0.0.0.255
[Sysname-acl-ipv4-basic-2001] rule deny
[Sysname-acl-ipv4-basic-2001] quit
# 配置地址组1,并添加地址组成员:202.110.10.10、202.110.10.11、202.110.10.12。
[Sysname] nat address-group 1
[Sysname-address-group-1] address 202.110.10.10 202.110.10.12
[Sysname-address-group-1] quit
# 在接口Ten-GigabitEthernet3/1/1上配置出方向动态地址转换,允许对匹配ACL 2001的报文使用地址组1中的地址进行地址转换,且在转换的时候使用TCP/UDP的端口信息。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat outbound 2001 address-group 1
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 如果在接口Ten-GigabitEthernet3/1/1上不使用TCP/UDP的端口信息进行地址转换,可以使用如下配置。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat outbound 2001 address-group 1 no-pat
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 如果直接使用接口Ten-GigabitEthernet3/1/1接口的IP地址进行地址转换,可以使用如下的配置。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat outbound 2001
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 内网10.110.10.0/24网段的主机使用地址组1中的地址作为转换后的地址访问外部网络。如果要在内网用户向外网主动发起访问之后,允许外网用户主动向10.110.10.0/24网段的主机发起访问,并利用已建立的地址转换表项进行反向地址转换,可以使用如下配置。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat outbound 2001 address-group 1 no-pat reversible
【相关命令】
· address
· display nat eim
· display nat outbound
· nat mapping-behavior
nat server命令用来配置NAT内部服务器,即定义内部服务器的外网地址和端口与内网地址和端口的映射表项。
undo nat server命令用来删除指定的内部服务器配置。
【命令】
普通内部服务器
· 外网地址单一,未使用外网端口或外网端口单一
nat server [ protocol pro-type ] global { global-address | current-interface | interface interface-type interface-number } [ global-port ] [ vpn-instance global-vpn-instance-name ] inside local-address [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ reversible ]
undo nat server [ protocol pro-type ] global { global-address | current-interface | interface interface-type interface-number } [ global-port ] [ vpn-instance global-vpn-instance-name ]
· 外网地址单一,外网端口连续
nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } global-port1 global-port2 [ vpn-instance global-vpn-instance-name ] inside { { local-address | local-address1 local-address2 } local-port | local-address local-port1 local-port2 } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ]
undo nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } global-port1 global-port2 [ vpn-instance global-vpn-instance-name ]
· 外网地址连续,未使用外网端口
nat server protocol pro-type global global-address1 global-address2 [ vpn-instance global-vpn-instance-name ] inside { local-address | local-address1 local-address2 } [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ]
undo nat server protocol pro-type global global-address1 global-address2 [ global-port ] [ vpn-instance global-vpn-instance-name ]
· 外网地址连续,外网端口单一
nat server protocol pro-type global global-address1 global-address2 global-port [ vpn-instance global-vpn-instance-name ] inside { local-address [ local-port1 local-port2 ] | [ local-address | local-address1 local-address2 ] [ local-port ] } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ]
undo nat server protocol pro-type global global-address1 global-address2 global-port [ vpn-instance global-vpn-instance-name ]
负载分担内部服务器
nat server protocol pro-type global { { global-address | current-interface | interface interface-type interface-number } { global-port | global-port1 global-port2 } | global-address1 global-address2 global-port } [ vpn-instance global-vpn-instance-name ] inside server-group group-id [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ]
undo nat server protocol pro-type global { { global-address | current-interface | interface interface-type interface-number } { global-port | global-port1 global-port2 } | global-address1 global-address2 global-port } [ vpn-instance global-vpn-instance-name ]
基于ACL的内部服务器
nat server global { ipv4-acl-number | name ipv4-acl-name } inside local-address [ local-port ] [ vpn-instance local-vpn-instance-name ]
undo nat server global { ipv4-acl-number | name ipv4-acl-name }
【缺省情况】
不存在内部服务器。
【视图】
接口视图
【缺省用户角色】
network-admin
【参数】
protocol pro-type:指定协议类型。只有当协议类型是TCP、UDP协议时,配置的内部服务器才能带端口参数。如果不指定协议类型,则表示对所有协议类型的报文都生效。pro-type可输入以下形式:
· 数字:取值范围为1~255。
· 协议名称:取值包括icmp、tcp和udp。
global:指定服务器向外提供服务的外网信息。
global-address:内部服务器向外提供服务时对外公布的外网IP地址。
global-address1、global-address2:外网IP地址范围,所包含的地址数目不能超过256。global-address1表示起始地址,global-address2表示结束地址。global-address2必须大于global-address1。
ipv4-acl-number:ACL的编号,取值范围为2000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
current-interface:使用当前接口的主用IP地址作为内部服务器的外网地址,即实现Easy IP方式的内部服务器。
interface interface-type interface-number:表示使用指定接口的主用IP地址作为内部服务器的外网地址,即实现Easy IP方式的内部服务器。interface-type interface-number表示接口类型和接口编号。目前只支持Loopback接口。
global-port1、global-port2:外网端口范围,和内部主机的IP地址范围构成一一对应的关系。global-port1表示起始端口,global-port2表示结束端口。global-port2必须大于global-port1,且端口范围中的端口数目不能大于256。外网端口可输入以下形式:
· 数字:取值范围为1~65535。起始端口和结束端口均支持此形式。
· 协议名称:为1~15个字符的字符串,例如http、telnet等。仅起始端口支持该形式。
inside:指定服务器的内网信息。
local-address1、local-address2:定义一组连续的内网IP地址范围,和外网端口范围构成一一对应的关系。local-address1表示起始地址,local-address2表示结束地址。local-address2必须大于local-address1。该地址范围的数量必须和global-port1、global-port2定义的端口数量相同。
local-port:内部服务器的内网端口号,可输入以下形式:
· 数字:取值范围为1~65535(FTP数据端口号20除外)。
· 协议名称:为1~15个字符的字符串,例如http、telnet等。
global-port:外网端口号,缺省值以及取值范围的要求和local-port的规定一致。
local-address:服务器的内网IP地址。
vpn-instance global-vpn-instance-name:对外公布的外网地址所属的VPN实例。global-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示对外公布的外网地址不属于任何一个VPN实例。
vpn-instance local-vpn-instance-name:内部服务器所属的VPN实例。local-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示内部服务器不属于任何一个VPN实例。
server-group group-id:服务器在内网所属的服务器组。若指定了该参数,则表示要配置一个负载分担内部服务器。group-id表示内部服务器组的编号,取值范围为0~65535。
acl:指定ACL的编号或名称。若指定了该参数,则表示与指定的ACL permit规则匹配的报文才可以使用内部服务器的映射表进行地址转换。
ipv4-acl-number:ACL的编号,取值范围为2000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
reversible:表示支持私网侧内部服务器主动访问外网。内部服务器主动访问外网时,将私网地址转换为内部服务器向外提供服务的外网IP地址。
【使用指导】
通过该配置可以利用NAT设备将一些内部网络的服务器提供给外部网络使用,例如内部的Web服务器、FTP服务器、Telnet服务器、POP3服务器、DNS服务器等。这些内部服务器可以位于普通的内网内,也可以位于MPLS VPN实例内。
NAT内部服务器通常配置在NAT设备的外网侧接口上。外网用户可以通过global-address定义的外网地址和global-port定义的外网端口来访问内网地址和内网端口分别为local-address和local-port的内部服务器。当pro-type不是TCP(协议号为6)或UDP(协议号为17)时,用户只能设置内部IP地址与外部IP地址的一一对应的关系,无法设置端口号之间的映射。需要注意的是,请不要将global-address和local-address指定为相同的IP地址,否则会导致NAT功能异常或报文丢弃。
NAT内部服务器支持以下几种内网和外网的地址、端口映射关系。
表1-17 NAT内部服务器的地址与端口映射关系
外网 |
内网 |
一个外网地址 |
一个内网地址 |
一个外网地址、一个端口号 |
一个内网地址、一个内网端口号 |
一个外网地址,N个连续的外网端口号 |
· 一个内网地址,一个内网端口 · N个连续的内网地址,一个内网端口号 · 一个内网地址,N个连续的内网端口号 |
N个连续的外网地址 |
· 一个内网地址 · N个连续的内网地址 |
N个连续的外网地址连续,一个外网端口号 |
· 一个内网地址,一个内网端口号 · N个连续的内网地址,一个内网端口号 · 一个内网地址,N个连续的内网端口号 |
一个外网地址,一个外网端口号 |
一个内部服务器组 |
一个外网地址,N个连续的外网端口号 |
|
N个连续的外网地址,一个外网端口号 |
|
外网地址(通过ACL进行匹配) |
· 一个内网地址 · 一个内网地址、一个内网端口号 |
一个接口下允许配置的nat server命令个数与设备的型号有关。对于同一个接口下配置的NAT服务器,其协议类型、外网地址和外网端口号的组合必须是唯一的,否则认为是配置冲突。本规则同样适用于Easy IP方式的NAT服务器。每个nat server命令下可以配置的NAT内部服务器数目为global-port2与global-port1的差值,即配置多少个外网端口就对应多少个NAT内部服务器。
由于Easy IP方式的NAT内部服务器使用了当前接口或其它接口的IP地址作为它的外网地址,因此强烈建议在配置了Easy IP方式的NAT内部服务器之后,其它NAT内部服务器不要再配置该接口的IP地址作为它的外网地址,反之亦然。
对于Easy IP方式的NAT服务器,如果其引用的接口的IP地址发生改变,导致跟现有的其它非Easy IP方式的NAT服务器冲突,则Easy IP方式的NAT服务器配置失效;如果接口地址又修改为不冲突的IP,或者之前与之冲突的NAT服务器被删除,则Easy IP方式的NAT配置重新生效。
在配置负载分担内部服务器时,若配置一个外网地址,N个连续的外网端口号对应一个内部服务器组,或N个连续的外网地址,一个外网端口号对应一个内部服务器组,则内部服务器组的成员个数不能小于N,即同一用户不能通过不同的外网地址或外网端口号访问相同内网服务器的同一服务。
在VPN组网中,配置NAT内部服务器时需要指定vpn-instance参数,且VPN实例的名称必须与该接口关联的VPN实例一致。
【举例】
# 在接口Ten-GigabitEthernet3/1/1上配置NAT内部服务器,指定局域网内部的Web服务器的IP地址是10.110.10.10,希望外部通过https://202.110.10.10:8080可以访问Web服务器。
<Sysname> system-view
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat server protocol tcp global 202.110.10.10 8080 inside 10.110.10.10 https
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 在接口Ten-GigabitEthernet3/1/1上配置NAT内部服务器,指定MPLS VPN实例vrf10内部的FTP服务器的IP地址是10.110.10.11,希望外部通过ftp://202.110.10.10可以访问FTP服务器。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat server protocol tcp global 202.110.10.10 21 inside 10.110.10.11 vpn-instance vrf10
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 在接口Ten-GigabitEthernet3/1/1上配置NAT内部服务器,指定一个VPN实例vrf10内部的主机10.110.10.12,希望外部网络的主机可以利用ping 202.110.10.11命令ping通它。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat server protocol icmp global 202.110.10.11 inside 10.110.10.12 vpn-instance vrf10
[Sysname-Ten-GigabitEthernet3/1/1] quit
# 在接口Ten-GigabitEthernet3/1/1上配置NAT内部服务器,指定一个外部地址202.110.10.10,从端口1001~1100分别映射MPLS VPN实例vrf10内主机10.110.10.1~10.110.10.100的telnet服务。202.110.10.10:1001访问10.110.10.1,202.110.10:1002访问10.110.10.2,依此类推。
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat server protocol tcp global 202.110.10.10 1001 1100 inside 10.110.10.1 10.110.10.100 telnet vpn-instance vrf10
# 正确的服务器地址为10.0.0.172,用户配置的错误地址为192.168.0.0/24网段的地址,在接口Ten-GigabitEthernet3/1/1上配置基于ACL的内部服务器对这部分用户的配置错误进行纠正。
<Sysname> system-view
[Sysname] acl advanced 3000
[Sysname-acl-ipv4-adv-3000] rule 5 permit ip destination 192.168.0.0 0.0.0.255
[Sysname-acl-ipv4-adv-3000] quit
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat server global 3000 inside 10.0.0.172
【相关命令】
· display nat all
· display nat server
· nat server-group
nat server-group命令用来创建内部服务器组,并进入内部服务器组视图。如果指定的内部服务器组已经存在,则直接进入内部服务器组视图。
undo nat server-group命令用来删除指定的内部服务器组。
【命令】
nat server-group group-id
undo nat server-group group-id
【缺省情况】
不存在内部服务器组。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
group-id:服务器组编号,取值范围为0~65535。
【使用指导】
一个内部服务器组中可以包括多个内部服务器组成员(通过inside ip命令配置)。
【举例】
# 配置一个内部服务器组,编号为1。
<Sysname> system-view
[Sysname] nat server-group 1
【相关命令】
· display nat all
· display nat server-group
· inside ip
· nat server
nat service命令用来指定处理NAT业务的slot。
undo nat service命令用来恢复缺省情况。
【命令】
(独立运行模式)
nat service slot slot-number
undo nat service slot
(IRF模式)
nat service chassis chassis-number slot slot-number
undo nat service chassis
【缺省情况】
未指定处理NAT业务的slot。
【视图】
接口视图
【缺省用户角色】
network-admin
【参数】
slot slot-number:指定单板。slot-number为单板所在的槽位号。(独立运行模式)
chassis chassis-number slot slot-number:指定成员设备上指定单板的槽位号。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。(IRF模式)
【使用指导】
如果需要使用具有NAT能力的业务板进行NAT处理,必须在配置了NAT业务的接口上指定提供NAT处理的slot。否则接口的NAT功能不生效。
一个接口上的NAT业务只能由一个slot处理,该slot可以是设备上的任意可提供NAT处理的slot。通常,如果接口所在的slot具有NAT处理能力,那么建议将接口所在slot指定为处理NAT业务的slot。
多个接口引用了同一个地址组或外网地址时,这些接口必须指定同一个slot进行NAT处理。否则,可能会出现配置成功但实际不生效的情况,并且在配置恢复(由设备重启、软件升级等原因导致)时可能会造成配置丢失。
在接口上,不能通过重复执行本命令来修改接口上指定处理NAT业务的slot。如需修改,请先通过undo nat service命令取消指定的slot,再执行nat service命令。
【举例】
# 指定slot 5作为提供NAT业务处理的slot。(独立运行模式)
<Sysname> system-view
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat service slot 5
【相关命令】
· failover-group
nat static enable命令用来开启接口上的NAT静态地址转换功能。
undo nat static enable命令用来关闭接口上的NAT静态地址转换功能。
【命令】
nat static enable
undo nat static enable
【缺省情况】
NAT静态地址转换功能处于关闭状态。
【视图】
接口视图
【缺省用户角色】
network-admin
【使用指导】
接口下开启NAT静态地址转换功能后,所有已配置的静态地址转换映射都会在该接口上生效。
【举例】
# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的出方向一对一静态地址转换,并且在接口Ten-GigabitEthernet3/1/1上开启静态地址转换功能。
<Sysname> system-view
[Sysname] nat static outbound 192.168.1.1 2.2.2.2
[Sysname] interface ten-gigabitethernet 3/1/1
[Sysname-Ten-GigabitEthernet3/1/1] nat static enable
【相关命令】
· display nat all
· display nat static
· nat static
· nat static net-to-net
nat static outbound命令用来配置出方向一对一静态地址转换映射。
undo nat static outbound命令用来删除出方向一对一静态地址转换映射。
【命令】
nat static outbound local-ip [ vpn-instance local-vpn-instance-name ] global-ip [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ]
undo nat static outbound local-ip [ vpn-instance local-vpn-instance-name ]
【缺省情况】
不存在任何地址转换映射。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
local-ip:内网IP地址。
vpn-instance local-vpn-instance-name:内网IP地址所属的VPN实例。local-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示内网IP地址不属于任何一个VPN实例。
global-ip:外网IP地址。
vpn-instance global-vpn-instance-name:外网IP地址所属的VPN实例。global-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示外网IP地址不属于任何一个VPN实例。
acl:指定ACL的编号或名称,本参数用于控制内网主机可以访问的目的地址。
ipv4-acl-number:ACL的编号,取值范围为3000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
reversible:表示从外网主动访问内网的报文必须通过ACL反向匹配,才能使用该配置进行目的地址转换。
【使用指导】
对于从内网到外网的报文,将其源地址local-ip转换为global-ip;对于从外网到内网的报文,将其目的地址global-ip转换为local-ip。
指定引用的ACL时,需要注意:
· 如果没有指定ACL,则所有从内网到外网的报文都可以使用该配置进行源地址转换;所有从外网到内网的报文都可以使用该配置进行目的地址转换。
· 如果仅指定了ACL,没有指定ACL反向匹配(即没有配置reversible),对于从内网到外网的报文,只有报文符合ACL permit规则,才能使用该配置进行源地址转换;对于从外网主动访问内网的报文,不能使用该配置进行目的地址转换。
· 如果既指定了ACL,又指定了ACL反向匹配(即配置了reversible),对于从内网到外网的报文,只有报文符合ACL permit规则,才能使用该配置进行源地址转换;对于从外网主动访问内网的报文,需要进行ACL反向匹配(提取报文的源地址/端口和目的地址/端口,并根据配置转换目的地址,然后将源地址/端口和目的地址/端口互换去匹配ACL),只有反向匹配ACL的报文才能使用该配置进行转换,否则不予转换。
如果接口下既配置了NAT动态地址转换,又配置了NAT静态地址转换,则优先使用静态地址转换。
设备可支持配置多条出方向静态地址转换映射(包括nat static outbound和nat static outbound net-to-net)。
在VPN组网中,配置出方向静态地址转换时需要指定vpn-instance参数,且VPN实例的名称必须与该接口关联的VPN实例一致。
【举例】
# 配置内网IP地址192.168.1.1到外网IP地址2.2.2.2的出方向静态地址转换映射。
<Sysname> system-view
[Sysname] nat static outbound 192.168.1.1 2.2.2.2
# 配置出方向静态地址转换映射,允许内网用户192.168.1.1访问外网网段3.3.3.0/24时,使用外网IP地址2.2.2.2。
<Sysname> system-view
[Sysname] acl advanced 3001
[Sysname-acl-ipv4-adv-3001] rule permit ip destination 3.3.3.0 0.0.0.255
[Sysname-acl-ipv4-adv-3001] quit
[Sysname] nat static outbound 192.168.1.1 2.2.2.2 acl 3001
【相关命令】
· display nat all
· display nat static
· nat static enable
nat static outbound net-to-net命令用来配置出方向网段到网段的静态地址转换映射。
undo nat static outbound net-to-net命令用来删除出方向网段到网段的静态地址转换映射。
【命令】
nat static outbound net-to-net local-start-address local-end-address [ vpn-instance local-vpn-instance-name ] global global-network { mask-length | mask } [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ]
undo nat static outbound net-to-net local-start-address local-end-address [ vpn-instance local-vpn-instance-name ]
【缺省情况】
不存在任何地址转换映射。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
local-start-address local-end-address:内网地址范围,所包含的地址数目不能超过256。local-start-address表示起始地址,local-end-address表示结束地址。local-end-address必须大于或等于local-start-address,如果二者相同,则表示只有一个地址。
vpn-instance local-vpn-instance-name:内网IP地址所属的VPN实例。local-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示内网IP地址不属于任何一个VPN实例。
global-network:外网网段地址。
vpn-instance global-vpn-instance-name:外网IP地址所属的VPN实例。global-vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示外网IP地址不属于任何一个VPN实例。
mask-length:外网网络地址的掩码长度,取值范围为8~31。
mask:外网网络地址掩码。
acl:指定ACL的编号或名称,本参数用于控制内网主机可以访问的目的地址。
ipv4-acl-number:ACL的编号,取值范围为3000~3999。
name ipv4-acl-name:ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
reversible:表示从外网主动访问内网的报文必须通过ACL反向匹配,才能使用该配置进行目的地址转换。
【使用指导】
内网网段通过起始地址和结束地址来指定,外网网段通过外网地址和掩码来指定。
对于从内网到外网的报文,使用其源地址匹配内网地址,将源地址转换为外网地址;对于从外网到内网的报文,使用其目的地址匹配外网地址,将目的地址转换为内网地址。
内网结束地址不能大于内网起始地址和外网掩码所决定的网段中的最大IP地址。比如:外网地址配置为2.2.2.0,掩码为255.255.255.0,内网起始地址为1.1.1.100,则内网结束地址不应该大于1.1.1.0/24网段中可用的最大IP地址,即1.1.1.255。
指定引用的ACL时,需要注意:
· 如果没有指定ACL,则所有从内网到外网的报文都可以使用该配置进行源地址转换;所有从外网到内网的报文都可以使用该配置进行目的地址转换。
· 如果仅指定了ACL,没有指定ACL反向匹配(即没有配置reversible),对于从内网到外网的报文,只有报文符合ACL permit规则,才能使用该配置进行源地址转换;对于从外网主动访问内网的报文,不能使用该配置进行目的地址转换。
· 如果既指定了ACL,又指定了ACL反向匹配(即配置了reversible),对于从内网到外网的报文,只有报文符合ACL permit规则,才能使用该配置进行源地址转换;对于从外网主动访问内网的报文,需要进行ACL反向匹配(提取报文的源地址/端口和目的地址/端口,并根据配置转换目的地址,然后将源地址/端口和目的地址/端口互换去匹配ACL),只有反向匹配ACL的报文才能使用该配置进行转换,否则不予转换。
如果接口下既配置了NAT动态地址转换,又配置了NAT静态地址转换,则优先使用静态地址转换。
设备可支持配置多条出方向静态地址转换映射(包括nat static outbound和nat static outbound net-to-net)。
在VPN组网中,配置出方向静态地址转换时需要指定vpn-instance参数,且VPN实例的名称必须与该接口关联的VPN实例一致。
【举例】
# 配置内网网段192.168.1.0/24到外网网段2.2.2.0/24的出方向静态地址转换映射。
<Sysname> system-view
[Sysname] nat static outbound net-to-net 192.168.1.1 192.168.1.255 global 2.2.2.0 24
# 配置出方向网段到网段的静态地址转换映射,允许内网192.168.1.0/24网段的用户访问外网网段3.3.3.0/24时,使用外网网段2.2.2.0/24中的地址。
<Sysname> system-view
[Sysname] acl advanced 3001
[Sysname-acl-ipv4-adv-3001] rule permit ip destination 3.3.3.0 0.0.0.255
[Sysname-acl-ipv4-adv-3001] quit
[Sysname] nat static outbound net-to-net 192.168.1.1 192.168.1.255 global 2.2.2.0 24 acl 3001
【相关命令】
· display nat all
· display nat static
· nat static enable
reset nat eim命令用来删除NAT EIM表项信息。
【命令】
(独立运行模式)
reset nat eim [ protocol { icmp | tcp | udp } ] [ local-ip { b4 ipv6-address | local-ip } ] [ local-port local-port ] [ global-ip global-ip ] [ global-port global-port ] [ slot slot-number ]
(IRF模式)
reset nat eim [ protocol { icmp | tcp | udp } ] [ local-ip { b4 ipv6-address | local-ip } ] [ local-port local-port ] [ global-ip global-ip ] [ global-port global-port ] [ chassis chassis-number slot slot-number ]
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
protocol:删除指定协议类型的EIM表项信息。如果未指定本参数,则表示删除所有协议类型的EIM表项信息。
icmp:删除ICMP协议类型的EIM表项信息。
tcp:删除TCP协议类型的EIM表项信息。
udp:删除UDP协议类型的EIM表项信息。
local-ip b4 ipv6-address:删除指定B4设备IPv6地址的EIM表项信息,ipv6-address表示B4设备的IPv6地址。
local-ip local-ip:删除指定内网IP地址的EIM表项信息,local-ip表示内网IP地址。
local-port local-port:删除指定内网端口号的EIM表项信息,local-port表示内网端口号,取值范围为0~65535。
global-ip global-ip:删除指定公网IP地址的EIM表项信息,global-ip表示公网IP地址。
global-port global-port:删除指定公网端口号的EIM表项信息,global-port表示公网端口号,取值范围为0~65535。
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
【使用指导】
如果不指定local-ip、local-port、global-ip、global-port参数,将删除所有ICMP/TCP/UDP协议类型的EIM表项信息。
【举例】
# 删除指定slot上的NAT EIM表项信息。(独立运行模式)
<Sysname> reset nat eim slot 1
【相关命令】
· display nat eim
· display nat eim statistics
· nat mapping-behavior
reset nat session命令用来删除NAT会话。
【命令】
(独立运行模式)
reset nat session [ protocol { tcp | udp } ] [ slot slot-number ]
(IRF模式)
reset nat session [ protocol { tcp | udp } ] [ chassis chassis-number slot slot-number ]
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
protocol:删除指定协议类型的NAT会话。如果未指定本参数,则表示删除所有协议类型的NAT会话。
tcp:删除TCP协议类型的NAT会话。
udp:删除UDP协议类型的NAT会话。
slot slot-number:指定单板。slot-number为单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(独立运行模式)
chassis chassis-number slot slot-number:指定单板。chassis-number表示设备在IRF中的成员编号,slot-number表示单板所在的槽位号。如果不指定本参数,则表示指定所有单板。(IRF模式)
【举例】
# 删除指定slot上的NAT会话。(独立运行模式)
<Sysname> reset nat session slot 1
【相关命令】
· display nat session
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!