使用NAT功能进行地址转换时，NAT模块会发布公网IP地址的主机路由。如果公网IP地址是一段地址范围，则NAT模块会对公网IP地址范围划分网段，划分网段时使用的掩码长度为8、16、24、26、28、30。例如，公网IP地址范围为122.90.12.128～122.90.12.135，则NAT模块发布的主机路由的目的地址和掩码长度为122.90.12.128/30和122.90.12.132/30。

1.2 NAT基本概念

NAT基本概念如下：

· NAT设备：配置了NAT功能的连接内部网络和外部网络的边缘设备。

· NAT接口：NAT设备上应用了NAT相关配置的接口。

· NAT规则：用于进行地址转换的NAT配置称为NAT规则。NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

· NAT地址：用于进行地址转换的公网IP地址，与外部网络路由可达，可静态指定或动态分配。

· NAT表项：NAT设备上用于记录网络地址转换映射关系的表项。关于NAT表项的详细介绍请参见“1.6 NAT表项”。

· Easy IP功能：NAT转换时直接使用设备上接口的IP地址作为NAT地址。设备上接口的地址可静态指定或通过DHCP或PPPoE等协议动态获取。

· 全局NAT：NAT规则的应用范围为全局。对于全局NAT，所有经过NAT设备的流量都会进行匹配，并对匹配NAT规则的流量进行地址转换。

· 接口NAT：NAT规则的应用范围为接口。对于接口NAT，只有经过应用NAT规则的接口的流量才会进行匹配，并对匹配NAT规则的流量进行地址转换。

1.3 NAT工作机制

图1-1 NAT基本工作过程示意图

如图1-1所示，一台NAT设备连接内网和外网，当有报文经过NAT设备时，NAT的基本工作过程如下：

(1) 当内网用户主机（192.168.1.3）向外网服务器（1.1.1.2）发送的IP报文通过NAT设备时，NAT设备查看报文的IP头内容，发现该报文是发往外网的，则将其源IP地址字段的内网地址192.168.1.3转换成一个可路由的外网地址20.1.1.1，并将该报文发送给外网服务器，同时在NAT设备上建立表项记录这一映射关系。

(2) 外网服务器给内网用户发送的应答报文到达NAT设备后，NAT设备使用报文信息匹配建立的表项，然后查找匹配到的表项记录，用内网私有地址192.168.1.3替换初始的目的IP地址20.1.1.1。

上述的NAT过程对终端（如图中的Host和Server）来说是透明的。对外网服务器而言，它认为内网用户主机的IP地址就是20.1.1.1，并不知道存在192.168.1.3这个地址。因此，NAT“隐藏”了企业的私有网络。

1.4 NAT转换控制

在实际应用中，如果用户希望某些内部网络的主机可以访问外部网络，而某些主机不允许访问；或者希望某些外部网络的主机可以访问内部网络，而某些主机不允许访问。即NAT设备只对符合要求的报文进行地址转换。

NAT设备可以利用ACL（Access Control List，访问控制列表）来对地址转换的使用范围进行控制，通过定义ACL规则，并将其与NAT配置相关联，实现只对匹配指定的ACL permit规则的报文才进行地址转换的目的。而且，NAT仅使用规则中定义的源IP地址、源端口号、目的IP地址、目的端口号、传输层协议类型和VPN实例这几个元素进行报文匹配，忽略其它元素。

1.5 NAT转换方式

1.5.1 静态IP地址转换

静态地址转换是指外部网络和内部网络之间的地址映射关系由配置确定，该方式适用于内部网络与外部网络之间存在固定访问需求的组网环境。静态地址转换支持双向互访：内网用户可以主动访问外网，外网用户也可以主动访问内网。

1.5.2 源IP地址转换

源IP地址转换方式是一种动态地址转换方式，动态地址转换是指内部网络和外部网络之间的地址映射关系在建立连接的时候动态产生。该方式通常适用于内部网络有大量用户需要访问外部网络的组网环境。

源IP地址转换包括NO-PAT模式的地址转换、基于端口的PAT模式的地址转换和基于端口块的PAT模式的地址转换。

1. NO-PAT模式

NO-PAT（Not Port Address Translation）模式下，一个外网地址同一时间只能分配给一个内网地址进行地址转换，不能同时被多个内网地址共用。当使用某外网地址的内网用户停止访问外网时，NAT会将其占用的外网地址释放并分配给其他内网用户使用。

该模式下，NAT设备只对报文的IP地址进行NAT转换，同时会建立一个NO-PAT表项用于记录IP地址映射关系，并可支持所有IP协议的报文。

2. 基于端口的PAT模式

PAT（Port Address Translation）模式下，一个NAT地址可以同时分配给多个内网地址共用。该模式下，NAT设备需要对报文的IP地址和传输层端口同时进行转换，且只支持TCP、UDP和ICMP（Internet Control Message Protocol，互联网控制消息协议）查询报文。

图1-2 PAT基本原理示意图

如图1-2所示，三个带有内网地址的报文到达NAT设备，其中报文1和报文2来自同一个内网地址但有不同的源端口号，报文1和报文3来自不同的内网地址但具有相同的源端口号。通过PAT映射，三个报文的源IP地址都被转换为同一个外网地址，但每个报文都被赋予了不同的源端口号，因而仍保留了报文之间的区别。当各报文的回应报文到达时，NAT设备仍能够根据回应报文的目的IP地址和目的端口号来区别该报文应转发到的内部主机。

采用PAT方式可以更加充分地利用IP地址资源，实现更多内部网络主机对外部网络的同时访问。

目前，PAT支持两种不同的地址转换模式：

· Endpoint-Independent Mapping（不关心对端地址和端口转换模式）：只要是来自相同源地址和源端口号的报文，不论其目的地址是否相同，通过PAT映射后，其源地址和源端口号都被转换为同一个外部地址和端口号，该映射关系会被记录下来并生成一个EIM表项；并且NAT设备允许所有外部网络的主机通过该转换后的地址和端口来访问这些内部网络的主机。这种模式可以很好的支持位于不同NAT网关之后的主机进行互访。

· Address and Port-Dependent Mapping（关心对端地址和端口转换模式）：对于来自相同源地址和源端口号的报文，相同的源地址和源端口号并不要求被转换为相同的外部地址和端口号，若其目的地址或目的端口号不同，通过PAT映射后，相同的源地址和源端口号通常会被转换成不同的外部地址和端口号。与Endpoint-Independent Mapping模式不同的是，NAT设备只允许这些目的地址对应的外部网络的主机可以通过该转换后的地址和端口来访问这些内部网络的主机。这种模式安全性好，但由于同一个内网主机地址转换后的外部地址不唯一，因此不便于位于不同NAT网关之后的主机使用内网主机转换后的地址进行互访。

3. 基于端口块的PAT模式

基于端口块的PAT模式是一种基于端口范围的PAT动态地址转换，即一个私网IP地址在一个时间段内独占一个公网IP地址的某个端口块。例如：假设私网IP地址10.1.1.1独占公网IP地址202.1.1.1的一个端口块10001～10256，则该私网IP向公网发起的所有连接，源IP地址都将被转换为同一个公网IP地址202.1.1.1，而源端口将被转换为端口块10001～10256之内的一个端口。

基于端口块的PAT模式包括端口块方式包括静态映射和动态映射两种，主要应用在NAT444中。

· 端口块静态映射

端口块静态映射是指，NAT网关设备根据配置自动计算私网IP地址到公网IP地址、端口块的静态映射关系，并创建静态端口块表项。当私网IP地址成员中的某个私网IP地址向公网发起新建连接时，根据私网IP地址匹配静态端口块表项，获取对应的公网IP地址和端口块，并从端口块中动态为其分配一个公网端口，对报文进行地址转换。

配置端口块静态映射时，需要创建一个端口块组，并在端口块组中配置私网IP地址成员、公网IP地址成员、端口范围和端口块大小。假设端口块组中每个公网IP地址的可用端口块数为m（即端口范围除以端口块大小），则端口块静态映射的算法如下：按照从小到大的顺序对私网IP地址成员中的所有IP地址进行排列，最小的m个私网IP地址对应最小的公网IP地址及其端口块，端口块按照起始端口号从小到大的顺序分配；次小的m个私网IP地址对应次小的公网IP地址及其端口块，端口块的分配顺序相同；依次类推。

· 端口块动态映射

当内网用户向公网发起连接时，首先根据动态地址转换中的ACL规则进行过滤，决定是否需要进行源地址转换。对于需要进行源地址转换的连接，当该连接为该用户的首次连接时，从所匹配的动态地址转换配置引用的NAT地址组中获取一个公网IP地址，从该公网IP地址中动态分配一个端口块，创建动态端口块表项，然后从端口块表项中动态分配一个公网端口，进行地址转换。对该用户后续连接的转换，均从生成的动态端口块表项中分配公网端口。当该用户的所有连接都断开时，回收为其分配的端口块资源，删除相应的动态端口块表项。

端口块动态映射支持增量端口块分配。当为某私网IP地址分配的端口块资源耗尽（端口块中的所有端口都被使用）时，如果该私网IP地址向公网发起新的连接，则无法再从端口块中获取端口，无法进行地址转换。此时，如果预先在相应的NAT地址组中配置了增量端口块数，则可以为该私网IP地址分配额外的端口块，进行地址转换。

1.5.3 目的IP地址转换

在实际应用中，内网中的服务器可能需要对外部网络提供一些服务，例如给外部网络提供Web服务，或是FTP服务。这种情况下，通过定义内部服务器对外提供服务使用的外部IP地址＋端口与内部服务器在内网使用的地址＋端口的映射关系，实现NAT设备允许外网用户通过指定的NAT地址和端口访问这些内部服务器。

如图1-3所示，外部网络用户访问内部网络服务器的数据报文经过NAT设备时，NAT设备将报文的目的地址与接口上的NAT内部服务器配置进行匹配，并将匹配上的访问内部服务器的请求报文的目的IP地址和端口号转换成内部服务器的私有IP地址和端口号。当内部服务器回应该报文时，NAT设备再根据已有的地址映射关系将回应报文的源IP地址和端口号转换成外网IP地址和端口号。

图1-3 内部服务器基本原理示意图

1.6 NAT表项

1.6.1 NAT会话表项

NAT设备处理一个连接的首报文时便确定了相应的地址转换关系，并同时创建会话表项，该会话表项中添加了NAT扩展信息（例如接口信息、转换方式）。会话表项中记录了首报文的地址转换信息。这类经过NAT处理的会话表项，也称为NAT会话表项。

当该连接的后续报文经过NAT设备时，将与NAT会话表项进行匹配，NAT设备从匹配到的会话表项中得到首报文的转换方式，并根据首报文的转换方式对后续报文进行处理：

· 后续报文方向与首报文相同时，源和目的的转换方式与首报文相同。

· 后续报文方向与首报文相反时，转换方式与首报文相反。即，如果首报文转换了源地址，则后续报文需要转换目的地址；如果首报文转换了目的地址，则后续报文需要转换源地址。

NAT会话表项的更新和老化由会话管理模块维护，关于会话管理的相关介绍请参见“安全配置指导”中的“会话管理”。

1.6.2 EIM表项

如果NAT设备上开启了Endpoint-Independent Mapping模式，则在PAT方式的动态地址转换过程中，会首先创建一个NAT会话表项，然后创建一个用于记录地址和端口的转换关系（内网地址和端口<-->NAT地址和端口）的EIM三元组表项，该表项有以下两个作用：

· 保证后续来自相同源地址和源端口的新建连接与首次连接使用相同的转换关系。

· 允许外网主机向NAT地址和端口发起的新建连接根据EIM表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

1.6.3 NO-PAT表项

在NO-PAT方式进行源地址的动态转换过程中，NAT设备首先创建一个NAT会话表项，然后建立一个NO-PAT表项用于记录该转换关系（内网地址<-->NAT地址）。除此之外，在NAT设备进行ALG处理时，也会触发创建NO-PAT表项。NAT ALG的相关介绍请参见“1.9 NAT支持ALG”。

NO-PAT表项有以下两个作用：

· 保证后续来自相同源地址的新建连接与首次连接使用相同的转换关系。

· 允许满足指定条件的主机向NAT地址发起的新建连接根据NO-PAT表项进行反向地址转换。

该表项在与其相关联的所有NAT会话表项老化后老化。

1.6.4 端口块表项

端口块表项记录1个用户在网关转换前的私网IP地址、转换后对应的公网IP地址及其端口块。端口块表项分为静态端口块表项和动态端口块表项。关于端口块表项的详细介绍，请参见“1.5.2 3. 基于端口块的PAT模式”。

1.7 NAT支持多VPN实例

支持多VPN实例的NAT允许VPN实例内的用户访问外部网络，同时允许分属于不同VPN实例的用户互访。例如，当某VPN实例内的用户经过NAT设备访问外部网络时，NAT将内部网络主机的IP地址和端口替换为NAT地址和端口，同时还记录了用户的VPN实例信息（如VPN实例名称）。外部网络的回应报文到达NAT设备时，NAT将外部网络地址和端口还原为内部网络主机的IP地址和端口，同时可得知该回应报文应该转发给哪一个VPN实例内的用户。另外，NAT还可利用外部网络地址所携带的VPN实例信息，支持多个VPN实例之间的互访。

同时，NAT内部服务器也支持多VPN实例，这给外部网络提供了访问VPN实例内服务器的机会。例如，VPN1内提供Web服务的主机地址是10.110.1.1，可以使用202.110.10.20作为Web服务器的外部地址，Internet的用户使用202.110.10.20的地址就可以访问到VPN1提供的Web服务。目前，仅全局NAT支持多VPN实例。

1.8 NAT hairpin

NAT hairpin功能用于满足位于内网侧的用户之间或内网侧的用户与服务器之间通过NAT地址进行访问的需求，通过对报文同时进行源地址和目的地址的转换来实现。它支持两种组网模式：

· P2P：位于内网侧的用户之间通过动态分配的NAT地址互访。内网各主机首先向外网服务器注册自己的内网地址信息，该地址信息为外网侧出方向地址转换的NAT地址，然后内网主机之间通过使用彼此向外网服务器注册的外网地址进行互访。

· C/S：位于内网侧的用户使用NAT地址访问内网服务器。

1.9 NAT支持ALG

例如，FTP（File Transfer Protocol，文件传输协议）应用由FTP客户端与FTP服务器之间建立的数据连接和控制连接共同实现，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置完成载荷信息的转换，以保证后续数据连接的正确建立。

1.10 NAT DNS mapping

一般情况下，DNS（Domain Name System，域名系统）服务器和访问私网服务器的用户都在公网，通过在NAT设备上配置内部服务器，可以将公网地址、端口等信息映射到私网内的服务器上，使得公网用户可以通过内部服务器的域名或公网地址来访问内部服务器。但是，如图1-4所示，如果DNS服务器在公网，私网用户希望通过域名来访问私网的Web服务器，则会由于DNS服务器向私网用户发送的响应报文中包含的是私网服务器的公网地址，而导致收到响应报文的私网用户无法利用域名访问私网服务器。通过在设备上配置DNS mapping可以解决该问题。

图1-4 NAT DNS mapping工作示意图

NAT DNS mapping功能是指，通过配置“域名+公网IP地址+公网端口号+协议类型”的映射表，建立内部服务器域名与内部服务器公网信息的对应关系。NAT设备检查接收到的DNS响应报文，根据报文中的域名查找用户配置的DNS mapping映射表，并根据表项内的“公网地址+公网端口+协议类型”信息查找内部服务器地址映射表中该信息对应的私网地址，替换DNS查询结果中的公网地址。这样，私网用户收到的DNS响应报文中就包含了要访问的内部服务器的私网地址，也就能够使用内部服务器域名访问同一私网内的内部服务器。

1.11 NAT444

1.11.1 NAT444简介

NAT444是运营商网络部署NAT的整体解决方案，它基于NAT444网关，结合AAA服务器、日志服务器等配套系统，提供运营商级的NAT，并支持用户溯源等功能。在众多IPv4向IPv6网络过渡的技术中，NAT444仅需在运营商侧引入二次NAT，对终端和应用服务器端的更改较小，并且NAT444通过端口块分配方式解决用户溯源等问题，因此成为了运营商的首选IPv6过渡方案。

NAT444解决方案分为集中部署和分布部署两种。

1.11.2 NAT444集中部署

通过在CR设备上安装处理NAT业务的slot或者旁挂NAT444设备来实现NAT444。如图1-5所示，用户访问外部网络时，CPE设备上进行第一次NAT转换，然后在BRAS上完成AAA认证和私网地址的分配，认证通过后，用户发起访问外网的报文会在NAT444网关上进行NAT444转换（第二次NAT转换）。

图1-5 NAT444集中部署组网图

1.11.3 NAT444分布部署

通过在BRAS设备上安装处理NAT业务的slot实现NAT444，此种部署方式需要配置BRAS联动功能。如图1-6所示。配置NAT444网关与BRAS联动（通过在认证ISP域中指定具体的用户地址类型），用户通过AAA认证并分配得到私网地址之后，NAT444网关会立即为该用户分配公网地址以及端口块，并将用户的私网IP地址、分配的公网地址及该端口块的映射关系通知给BRAS（如果NAT444网关上可分配的公网资源已耗尽，BRAS会强制用户下线，也不会对用户进行计费）。BRAS记录该地址映射关系，并将这个映射关系上报给AAA服务器。之后，该用户访问外部网络时直接使用NAT444网关已经分配的公网地址和端口块。通过此联动功能，AAA服务器能够获得并统一维护所有用户的地址映射关系，提供更便捷的用户溯源服务。

目前，仅支持对PPP用户的业务与NAT444网关联动。

图1-6 NAT444分布式部署组网图

1.12 地址重叠场景中的NAT

1.12.1 地址重叠的两个VPN之间互访

分属不同VPN的内部网络主机使用了相同的地址空间，为了实现不同VPN中地址重叠的内网主机互访，需要配置静态NAT，对同一个方向的同一条流的数据报文同时进行源IP地址转换和目的IP地址转换。

如图1-7所示，VPN 1和VPN 2中的内网用户地址均为192.168.1.1。配置静态NAT，将VPN 1中Host A的地址在VPN 2中转换为172.16.1.1，将VPN 2中Host B的地址在VPN 1中转换为172.16.2.1。当静态NAT生效后，Host A使用172.16.2.1能够访问Host B，Host B使用172.16.1.1能够访问Host A。

图1-7 地址中叠的两个VPN之间互访

1.12.2 内网用户主动访问与之地址重叠的外网服务器

当内部网络主机使用外网注册地址或者合法的外网地址访问外部网络时，内网主机的IP地址和外网主机的IP地址可能会发生重叠。为了实现内网主机能够成功访问与之地址重叠的外部服务器，需要配置NAT ALG＋动态NAT。

如图1-8所示，内网Host通过域名访问外网Web服务器，Host和Web服务器的IP地址均为192.168.1.1。

(1) 内网Host首先向外网的DNS服务器发起DNS查询请求。

(2) DNS服务器发送的DNS应答报文中，Web服务器的域名对应的IP地址为192.168.1.1。DNS应答报文经过NAT设备时，进行DNS的NAT ALG处理，将DNS应答报文中域名对应的IP地址192.168.1.1转换为10.1.1.1（该地址为临时分配的NAT地址）。NAT设备将ALG处理后的DNS应答报文发送给内网Host。

(3) Host访问Web服务器的报文中，源IP地址为192.168.1.1，目的IP地址为10.1.1.1。报文经过NAT设备时，NAT设备根据动态NAT配置将源地址192.168.1.1转换为20.1.1.1；NAT设备检测到目的地址10.1.1.1为临时分配的NAT地址，根据步骤(2)中的转换关系，将10.1.1.1转换为192.168.1.1。

图1-8 内网用户主动访问与之地址重叠的外网服务器

1.13 NAT支持基于VPN限制会话数

在实际组网中，用户可以通过限制当前VPN的会话数，避免某个VPN消耗过多资源。当设备统计到该VPN实际建立的NAT会话数已经超过配置的限制数，将不会再建立新的NAT会话，从而限制该用户的访问。

2 配置接口NAT

2.1 接口NAT配置限制和指导

接口NAT通用配置限制和指导如下：

· 如果NAT规则中使用了ACL进行报文过滤，则NAT只对匹配指定的ACL permit规则的报文才进行地址转换，匹配时仅关注ACL规则中定义的源IP地址、源端口号、目的IP地址、目的端口号、传输层协议类型和VPN实例，不关注ACL规则中定义的其它元素。

· 在双上行链路组网环境中，一个出接口配置了地址转换，另一个出接口没有配置地址转换，这种情况下，建议用户不要将两个出接口添加到同一个安全域，否则可能导致流量中断。关于“安全域”的相关介绍，请参见“安全配置指导”中的“安全域”。

· 若接口上同时存在普通NAT静态地址转换、普通NAT动态地址转换、内部服务器、NAT444端口块静态映射和NAT444端口块动态映射的配置，则在地址转换过程中，它们的优先级从高到低依次为：

a. 内部服务器。

b. 普通NAT静态地址转换。

c. NAT444端口块静态映射。

d. NAT444端口块动态映射和普通NAT动态地址转换。对于NAT444端口块动态映射和普通NAT动态地址转换，系统在处理IPv4报文时对二者不做区分，统一按照ACL编号由大到小的顺序匹配。

配置BRAS联动功能时，需要注意：

· 目前，支持BRAS联动功能的用户地址类型包括私网IP地址（private-ipv4）和私网双栈地址（private-ds）。

· 用户上线后，若NAT444配置发生变更，则在线用户使用的公网IP和端口块也会随之变化，而上报给RADIUS服务器的公网IP和端口块并不能保持同步变化，会导致在线用户溯源不准确。因此，建议在NAT444配置发生变更之后，立即手动强制所有使用该NAT配置的用户下线。当用户再次上线之后，将会使用配置变更后的公网IP和端口。

2.2 接口NAT配置任务简介

(1) 配置接口上的地址转换方式

(2) （可选）配置NAT hairpin功能

(3) （可选）配置NAT ALG

(4) （可选）配置NAT DNS mapping功能

(5) （可选）提高NAT业务的可靠性

¡ 开启NAT端口负载分担功能

¡ 配置NAT支持HA

(6) （可选）配置NAT维护功能

¡ 开启NAT转换失败发送ICMP差错报文功能

(7) （可选）配置NAT日志功能

(8) （可选）特定条件下的NAT配置

¡ 开启反向报文的重定向功能

¡ 开启对TCP SYN和SYN ACK报文中时间戳的删除功能

¡ 开启主备链路切换后的NAT会话重建功能

(9) 配置NAT基于VPN限制会话数

2.3 配置接口上的静态地址转换

2.3.1 配置限制和指导

入方向的静态地址转换建议与接口上的出方向动态地址转换（nat outbound）、内部服务器（nat server）或出方向静态地址转换（nat static outbound）配合使用，以实现“源IP地址转换＋目的IP地址转换”。

2.3.2 配置准备

· 配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。

· 对于入方向静态地址转换，需要手动添加路由：目的地址为静态地址转换配置中指定的local-ip或local-network；下一跳为静态地址转换配置中指定的外网地址，或者报文出接口的实际下一跳地址。

2.3.3 配置出方向一对一静态地址转换

1. 功能简介

出方向一对一静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的源IP地址转换为global-ip。

· 对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的目的IP地址转换为local-ip。

2. 配置限制和指导

多个出方向一对一静态地址转换引用不同的ACL规则时，可以将同一个私网地址转换为不同的公网地址。

出方向一对一静态地址转换的配置中不引用ACL规则时，该静态地址转换允许反方向发起的连接进行地址转换。否则，必须指定reversible参数才允许反向地址转换。

调整出方向一对一静态NAT规则的匹配优先级时，被移动的规则必须满足如下所有条件：

· 被移动的NAT规则均指定了规则名称。

· 被移动的NAT规则的global-ip相同或local-ip相同。符合此条件的两条NAT规则中，至少有一条NAT规则引用了ACL。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置出方向一对一静态地址转换映射。

nat static outbound local-ip [ vpn-instance local-vpn-instance-name ] global-ip [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ vrrp virtual-router-id ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ packet-type-ignore ] [ description text ]

本命令中vrrp virtual-router-id参数的支持情况与设备的型号有关，具体请参见命令参考。

(3) （可选）调整出方向一对一静态NAT规则的匹配优先级。

nat static outbound rule move nat-rule-name1 { after | before } nat-rule-name2

缺省情况下，出方向一对一静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

(4) 进入接口视图。

interface interface-type interface-number

(5) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.3.4 配置出方向网段对网段静态地址转换

1. 功能简介

出方向网段对网段静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络到一个外部公有网络的地址转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网网络地址进行匹配，并将匹配的源IP地址转换为指定外网网络地址之一。

· 对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网网络地址进行匹配，并将匹配的目的IP地址转换为指定的内网网络地址之一。

2. 配置限制和指导

调整出方向网段到网段静态NAT规则的匹配优先级时，被移动的规则必须满足如下所有条件：

· 要移动的NAT规则均指定了规则名称。

· 要移动的NAT规则的外网网段相同或内网网段相同。符合此条件的两条NAT规则中，至少有一条NAT规则引用了ACL。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置出方向网段对网段静态地址转换映射。

nat static outbound net-to-net local-start-address local-end-address [ vpn-instance local-vpn-instance-name ] global global-network { mask-length | mask } [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ vrrp virtual-router-id ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ]

本命令中vrrp virtual-router-id参数的支持情况与设备的型号有关，具体请参见命令参考。

(3) （可选）调整出方向网段对网段静态NAT规则的匹配优先级。

nat static outbound net-to-net rule move nat-rule-name1 { after | before } nat-rule-name2

缺省情况下，出方向网段对网段静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

(4) 进入接口视图。

interface interface-type interface-number

(5) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.3.5 配置基于对象组的出方向静态地址转换

1. 功能简介

基于对象组的出方向静态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其源IP地址与指定的内网IPv4地址对象组进行匹配，并将匹配的源IP地址转换为外网IPv4地址对象组中的地址。

· 对于该接口接收到的外网访问内网的报文，将其目的IP地址与指定的外网IPv4地址对象组进行匹配，并将匹配的目的IP地址转换为内网IPv4地址对象组中的地址。

2. 配置限制和指导

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

基于地址对象组的出方向静态地址转换引用的IPv4地址对象组满足如下条件时，配置才能生效：

· 引用的地址对象组中只能存在一个主机对象（host）或者一个子网对象（subnet）。

· 引用的地址对象组的子网对象中不能包含排除地址。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置基于对象组的出方向静态地址转换映射。

nat static outbound object-group local-object-group-name [ vpn-instance local-vpn-instance-name ] object-group global-object-group-name [ vpn-instance global-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ vrrp virtual-router-id ] [ disable ] [ counting ]

缺省情况下，不存在地址转换映射。

本命令中vrrp virtual-router-id参数的支持情况与设备的型号有关，具体请参见命令参考。

(3) 进入接口视图。

interface interface-type interface-number

(4) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.3.6 配置入方向一对一静态地址转换

1. 功能简介

入方向一对一静态地址转换用于实现一个内部私有网络地址与一个外部公有网络地址之间的转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网IP地址local-ip进行匹配，并将匹配的目的IP地址转换为global-ip。

· 对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网IP地址global-ip进行匹配，并将匹配的源IP地址转换为local-ip。

2. 配置限制和指导

调整入方向一对一静态NAT规则的匹配优先级时，被移动的规则必须满足如下所有条件：

· 要移动的NAT规则均指定了规则名称。

· 要移动的NAT规则的global-ip相同或local-ip相同。符合此条件的两条NAT规则中，至少有一条NAT规则引用了ACL。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置入方向一对一静态地址转换映射。

nat static inbound global-ip [ vpn-instance global-vpn-instance-name ] local-ip [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ packet-type-ignore ] [ description text ]

(3) （可选）调整入方向一对一静态NAT规则的匹配优先级。

nat static inbound rule move nat-rule-name1 { after | before } nat-rule-name2

缺省情况下，入方向一对一静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

(4) 进入接口视图。

interface interface-type interface-number

(5) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.3.7 配置入方向网段对网段静态地址转换

1. 功能简介

入方向网段对网段静态地址转换用于实现一个内部私有网络与一个外部公有网络之间的地址转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网网络地址进行匹配，并将匹配的目的IP地址转换为指定的外网网络地址之一。

· 对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网网络地址进行匹配，并将匹配的源IP地址转换为指定的内网网络地址之一。

2. 配置限制和指导

调整入方向网段到网段静态NAT规则的匹配优先级时，被移动的规则必须满足如下所有条件：

· 要移动的NAT规则均指定了规则名称。

· 要移动的NAT规则的外网网段相同或内网网段相同。符合此条件的两条NAT规则中，至少有一条NAT规则引用了ACL。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置入方向网段对网段静态地址转换映射。

nat static inbound net-to-net global-start-address global-end-address [ vpn-instance global-vpn-instance-name ] local local-network { mask-length | mask } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ]

(3) （可选）调整入方向网段对网段静态NAT规则的匹配优先级。

nat static inbound net-to-net rule move nat-rule-name1 { after | before } nat-rule-name2

缺省情况下，入方向网段对网段静态NAT规则的位置决定了匹配的优先级，位置越靠前的NAT规则，其匹配优先级越高。

(4) 进入接口视图。

interface interface-type interface-number

(5) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.3.8 配置基于对象组的入方向静态地址转换

1. 功能简介

基于对象组的入方向静态地址转换用于实现一个内部私有网络地址与一个外部公有网络地址之间的转换，具体过程如下：

· 对于经过该接口发送的内网访问外网的报文，将其目的IP地址与指定的内网IPv4地址对象组进行匹配，并将匹配的目的IP地址转换为指定的外网IPv4地址对象组中的地址。

· 对于该接口接收到的外网访问内网的报文，将其源IP地址与指定的外网IPv4地址对象组进行匹配，并将匹配的源IP地址转换为指定的内网IPv4地址对象组中的地址。

2. 配置限制和指导

如果接口上配置的静态地址转换映射中指定了acl参数，则仅对符合指定ACL permit规则的报文进行地址转换。

基于地址对象组的入方向静态地址转换引用的IPv4地址对象组满足如下条件时，配置才能生效：

· 引用的地址对象组中只能存在一个主机对象（host）或者一个子网对象（subnet）。

· 引用的地址对象组的子网对象中不能包含排除地址。

如果接口上配置的基于地址对象组的入方向静态地址转换所引用的内网IPv4地址对象组中配置了主机对象，那么该主机对象的IP地址不能与该接口的IP地址处于同一网段。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置基于对象组的入方向静态地址转换映射。

nat static inbound object-group global-object-group-name [ vpn-instance global-vpn-instance-name ] object-group local-object-group-name [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } [ reversible ] ] [ disable ] [ counting ]

缺省情况下，不存在地址转换映射。

(3) 进入接口视图。

interface interface-type interface-number

(4) 开启接口上的NAT静态地址转换功能。

nat static enable

缺省情况下，NAT静态地址转换功能处于关闭状态。

2.4 配置接口上的动态地址转换

2.4.1 配置限制和指导

在同时配置了多条动态地址转换的情况下：

· 指定了ACL参数的动态地址转换配置的优先级高于未指定ACL参数的动态地址转换配置；

· 对于指定了ACL参数的动态地址转换配置，其优先级由ACL编号的大小决定，编号越大，优先级越高。

2.4.2 配置准备

· 配置控制地址转换范围的ACL。ACL配置的相关介绍请参见“ACL和QoS配置指导”中的“ACL”。

· 确定是否直接使用接口的IP地址作为转换后的报文源地址。

· 配置根据实际网络情况，合理规划可用于地址转换的公网IP地址组。

· 确定地址转换过程中是否使用端口信息。

2.4.3 配置出方向动态地址转换

1. 功能简介

出方向动态地址转换通常应用在外网侧接口上，用于实现一个内部私有网络地址到一个外部公有网络地址的转换。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建NAT地址组，并进入NAT地址组视图。

nat address-group group-id [ name group-name ]

(3) 添加地址组成员。

address start-address end-address

可通过多次执行本命令添加多个地址组成员。

当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址成员组成员重叠。

(4) 退回系统视图。

quit

(5) 进入接口视图。

interface interface-type interface-number

(6) 配置出方向动态地址转换。请至少选择其中一项进行配置。

¡ NO-PAT方式。

nat outbound [ ipv4-acl-number | name ipv4-acl-name ] address-group { group-id | name group-name } [ vpn-instance vpn-instance-name ] no-pat [ reversible ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

¡ PAT方式。

nat outbound [ ipv4-acl-number | name ipv4-acl-name ] [ address-group { group-id | name group-name } ] [ vpn-instance vpn-instance-name ] [ port-preserved ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

一个接口下可配置多个出方向的动态地址转换。

参数	功能
address-group	不指定该参数时，则直接使用该接口的IP地址作为转换后的地址，即实现Easy IP功能
no-pat reversible	在指定该参数，并且已经存在NO-PAT表项的情况下，对于经过该接口收到的外网访问内网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的内网地址

(7) （可选）配置PAT方式地址转换的模式。

a. 退回系统视图。

quit

b. 配置PAT方式地址转换的模式。

nat mapping-behavior endpoint-independent [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，PAT方式地址转换的模式为Address and Port-Dependent Mapping。

该配置只对PAT方式的出方向动态地址转换有效。

(8) （可选）调整出方向动态NAT规则的匹配优先级。

nat outbound rule move nat-rule-name1 { after | before } nat-rule-name2

2.4.4 配置入方向动态地址转换

1. 配置限制和指导

入方向动态地址转换功能通常与接口上的出方向动态地址转换（nat outbound）、内部服务器（nat server）或出方向静态地址转换（nat static outbound）配合，用于实现“源IP地址转换＋目的IP地址转换”，不建议单独使用。

由于自动添加路由表项速度较慢，通常建议手工添加路由。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建NAT地址组，并进入NAT地址组视图。

nat address-group group-id [ name group-name ]

(3) 添加地址组成员。

address start-address end-address

可通过多次执行本命令添加多个地址组成员。

当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址组成员重叠。

(4) 退回系统视图。

quit

(5) 进入接口视图。

interface interface-type interface-number

(6) 配置入方向动态地址转换。

nat inbound { ipv4-acl-number | name ipv4-acl-name } address-group { group-id | name group-name } [ vpn-instance vpn-instance-name ] [ no-pat [ reversible ] [ add-route ] ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

一个接口下可配置多个入方向的动态地址转换。

参数	功能
no-pat reversible	指定该参数，并且已经存在NO-PAT表项的情况下，对于经过该接口发送的内网访问外网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的外网地址
no-pat add-route	· 指定该参数，则有报文命中该配置时，设备会自动添加路由表项：目的地址为本次地址转换使用的地址组中的地址，出接口为本配置所在接口，下一跳地址为报文的源地址 · 没有指定该参数，则用户需要在设备上手工添加路由

参数

功能

no-pat reversible

指定该参数，并且已经存在NO-PAT表项的情况下，对于经过该接口发送的内网访问外网的首报文，将其目的IP地址与NO-PAT表项进行匹配，并将目的IP地址转换为匹配的NO-PAT表项中记录的外网地址

no-pat add-route

· 指定该参数，则有报文命中该配置时，设备会自动添加路由表项：目的地址为本次地址转换使用的地址组中的地址，出接口为本配置所在接口，下一跳地址为报文的源地址

· 没有指定该参数，则用户需要在设备上手工添加路由

(7) （可选）调整入方向动态NAT规则的匹配优先级。

nat inbound rule move nat-rule-name1 { after | before } nat-rule-name2

2.5 配置接口上的内部服务器

2.5.1 功能简介

内部服务器通常配置在外网侧接口上。通过在NAT设备上配置内部服务器，建立一个或多个内网服务器内网地址和端口与外网地址和端口的映射关系，使外部网络用户能够通过配置的外网地址和端口来访问内网服务器。内部服务器可以位于一个普通的内网内，也可以位于一个VPN实例内。

内部服务器可以通过如下配置方式实现。

· 普通内部服务器：将内网服务器的地址和端口映射为外网地址和端口，允许外部网络中的主机通过配置的外网地址和端口访问位于内网的服务器。

· 负载分担内部服务器：在配置内部服务器时，将内部服务器的内网信息指定为一个内部服务器组，组内的多台主机可以共同对外提供某种服务。外网用户向内部服务器指定的外网地址发起应用请求时，NAT设备可根据内网服务器的权重和当前连接数，选择其中一台内网服务器作为目的服务器，实现内网服务器负载分担。

· 基于ACL的内部服务器：普通内部服务器方式必须指定公网地址，基于ACL内部服务器不用指定具体的公网地址，而是指定公网地址的集合，即通过ACL规则匹配过滤的一部分公网地址。对于符合ACL规则的报文，它的目的地址统一转换成相同的内部服务器地址和端口，它是普通内部服务器的扩展。

· 基于对象组的内部服务器：基于对象组的内部服务器使用地址对象组和服务对象组作为报文匹配条件，对于符合匹配条件的报文，它的目的地址和端口统一转换成相同的内部服务器地址和端口。关于对象组的详细介绍，请参见“安全配置指导”中的“对象组”。

2.5.2 配置限制和指导

使用RTP（Real-Time Transport Protocol，实时传输协议）传输音视频的场景中，在RTP会话期间，服务器和客户端作为会话的参与者会周期性发送RTCP（Real-time ControlProtocol，实时传输控制协议）报文。如果服务器位于私网，配置nat server命令时需要指定reversible参数，否则服务器发送到公网客户端的RTCP报文会被NAT设备丢弃，导致音视频传输业务出现异常。

在配置负载分担内部服务器时，若配置一个外网地址，N个连续的外网端口号对应一个内部服务器组，或N个连续的外网地址，一个外网端口号对应一个内部服务器组，则内部服务器组的成员个数不能小于N，即同一用户不能通过不同的外网地址或外网端口号访问相同内网服务器的同一服务。在支持NAT内部服务器自动分配NAT规则名称的版本上执行配置回滚操作时，如果回滚配置文件中的NAT内部服务器不存在系统为其自动分配的NAT规则名称，会出现回滚失败的错误提示信息。比如，回滚配置文件中的配置为nat server global 112.1.1.1 inside 192.168.20.1，回滚操作完成后的配置为nat server global 112.1.1.1 inside 192.168.20.1 rule 内部服务器规则_10（内部服务器规则_10为系统自动分配的NAT规则名称），系统会将此配置与回滚文件中的配置进行比较，比较后发现两者不一致，会提示用户回滚失败。这种情况下，相关的命令已下发成功，用户无需处理。

配置内部服务器时，如果将TCP或UDP协议的端口号改为非知名端口号，则NAT设备不会进行ALG处理，导致用户无法使用内部服务器提供的服务。可通过如下两种方式解决上述问题：

· 修改内部服务器配置，使用TCP或UDP协议自身的知名端口号。

· 不修改内部服务器配置，使用port-mapping命令建立TCP或UDP协议与对应的内部服务器配置中的端口号的映射。关于port-mapping命令的详细介绍，请参见“安全配置指导”中的“APR”。

2.5.3 配置普通内部服务器

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 配置普通内部服务器。请至少选择其中一项进行配置。

¡ 外网地址单一，未使用外网端口或外网端口单一。

nat server [ protocol pro-type ] global { global-address | current-interface | interface interface-type interface-number } [ global-port ] [ vpn-instance global-vpn-instance-name ] inside local-address [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ reversible ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

本命令中vrrp virtual-router-id参数的支持情况与设备的型号有关，具体请参见命令参考。

¡ 外网地址单一，外网端口连续。

nat server protocol pro-type global { global-address | current-interface | interface interface-type interface-number } global-port1 global-port2 [ vpn-instance global-vpn-instance-name ] inside { { local-address | local-address1 local-address2 } local-port | local-address local-port1 local-port2 } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

¡ 外网地址连续，未使用外网端口。

nat server protocol pro-type global global-address1 global-address2 [ vpn-instance global-vpn-instance-name ] inside { local-address | local-address1 local-address2 } [ local-port ] [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

¡ 外网地址连续，外网端口单一。

nat server protocol pro-type global global-address1 global-address2 global-port [ vpn-instance global-vpn-instance-name ] inside { local-address [ local-port1 local-port2 ] | [ local-address | local-address1 local-address2 ] [ local-port ] } [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

一个接口下可以配置多个普通内部服务器。

2.5.4 配置负载分担内部服务器

(1) 进入系统视图。

system-view

(2) 创建内部服务器组，并进入服务器组视图。

nat server-group group-id

(3) 添加内部服务器组成员。

inside ip inside-ip port port-number [ weight weight-value ]

一个内部服务器组内可以添加多个组成员。

(4) 退回系统视图。

quit

(5) 进入接口视图。

interface interface-type interface-number

(6) 配置负载分担内部服务器。

nat server protocol pro-type global { { global-address | current-interface | interface interface-type interface-number } { global-port | global-port1 global-port2 } | global-address1 global-address2 global-port } [ vpn-instance global-vpn-instance-name ] inside server-group group-id [ vpn-instance local-vpn-instance-name ] [ acl { ipv4-acl-number | name ipv4-acl-name } ] [ vrrp virtual-router-id ] [ rule rule-name ] [ disable ] [ counting ] [ description text ]

一个接口下可以配置多个负载分担内部服务器。

2.5.5 配置基于ACL的内部服务器

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 配置基于ACL的内部服务器。

nat server global { ipv4-acl-number | name ipv4-acl-name } inside local-address [ local-port ] [ vpn-instance local-vpn-instance-name ] [ vrrp virtual-router-id ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

一个接口下可以配置多个基于ACL的内部服务器。

(4) （可选）调整基于ACL内部服务器NAT规则的匹配优先级。

nat server rule move nat-rule-name1 { after | before } nat-rule-name2

2.6 配置接口上的NAT444地址转换

2.6.1 功能简介

NAT444是出方向地址转换，通常配置在外网侧接口上。通过在NAT444网关设备上配置NAT444地址转换，可以实现基于端口块的公网IP地址复用，使一个私网IP地址在一个时间段内独占一个公网IP地址的某个端口块。

2.6.2 配置限制和指导

对于NAT444端口动态映射，必须在NAT地址组中配置端口块参数，以实现基于端口块的NAT444地址转换。

2.6.3 配置NAT444端口块静态映射

(1) 进入系统视图。

system-view

(2) 创建NAT端口块组，并进入NAT端口块组视图。

nat port-block-group group-id

(3) 添加私网地址成员。

local-ip-address start-address end-address [ vpn-instance vpn-instance-name ]

一个端口块组内，可以配置多个私网地址成员，但各私网地址成员之间的IP地址不能重叠。

(4) 添加公网地址成员。

global-ip-pool start-address end-address

一个端口块组内，可以配置多个公网地址成员，但各公网地址成员之间的IP地址不能重叠。

(5) 配置公网地址的端口范围。

port-range start-port-number end-port-number

缺省情况下，公网地址的端口范围为1～65535。

(6) 配置端口块大小。

block-size block-size

缺省情况下，端口块大小为256。

(7) 退回系统视图。

quit

(8) 进入接口视图。

interface interface-type interface-number

(9) 配置NAT444端口块静态映射。

nat outbound port-block-group group-id [ rule rule-name ] [ counting ]

缺省情况下，不存在NAT444端口块静态映射配置。

一个接口下可配置多条基于不同端口块组的NAT444端口块静态映射。

(10) （可选）配置PAT方式出方向动态地址转换的模式。

a. 退回系统视图。

quit

b. 配置PAT方式出方向动态地址转换的模式。

nat mapping-behavior endpoint-independent [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，PAT方式出方向动态地址转换的模式为Address and Port-Dependent Mapping。

2.6.4 配置NAT444端口块动态映射

1. 配置限制和指导

向NAT地址组中添加地址成员时，可采用如下方式之一：

· 添加一个或多个IP地址段。

· 添加一个接口，即实现Easy IP功能的NAT444端口块动态映射。与实现Easy IP功能的出方向动态地址转换相比，该方式支持用户溯源。

对于同一个NAT地址组，只能采用一种地址成员添加方式。

在NAT转换后的IP地址为设备外网侧接口的IP地址，且该地址是通过DHCP或PPPoE等协议动态获取的情况下，为了防止接口IP地址变化导致NAT IP地址信息不正确，请采用添加接口的方式。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) （可选）配置PAT方式地址转换的模式。

nat mapping-behavior endpoint-independent [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，PAT方式出方向动态地址转换的模式为Address and Port-Dependent Mapping。

(3) 创建NAT地址组，并进入NAT地址组视图。

nat address-group group-id [ name group-name ]

(4) 添加地址成员。下面两种方法互斥，请选择其中一项进行配置。

¡ 将IP地址段作为NAT地址组中的地址成员。

address start-address end-address

可通过多次执行本命令添加多个地址组成员。

当前地址组成员的IP地址段不能与该地址组中或者其它地址组中已有的地址成员组成员

重叠。

¡ 将接口的IP地址作为NAT地址组中的地址成员，即实现Easy IP功能。

address interface interface-type interface-number

缺省情况下，未指定接口地址作为地址成员。

在同一个NAT地址组中，通过本命令只能将一个接口的地址作为地址成员。

(5) （可选）配置端口范围。

port-range start-port-number end-port-number

缺省情况下，端口范围为1～65535。

该配置仅对PAT方式地址转换生效。

(6) 配置端口块参数。

port-block block-size block-size [ extended-block-number extended-block-number ]

缺省情况下，未配置NAT地址组的端口块参数。

该配置仅对PAT方式地址转换生效。

(7) 退回系统视图。

quit

(8) 进入接口视图。

interface interface-type interface-number

(9) 配置PAT方式出方向动态地址转换。

port-preserved参数对NAT444端口块动态映射无效。

(10) （可选）开启NAT动态端口块热备份功能。

a. 退回系统视图。

quit

b. 开启NAT动态端口块热备份功能。

nat port-block synchronization enable

缺省情况下，NAT动态端口块热备份功能处于关闭状态。

本命令的支持情况与设备的型号有关，具体请参见命令参考。

2.6.5 配置NAT444端口块全局共享功能

1. 功能简介

在已配置NAT444端口块动态映射的情况下，当同一个源IP地址的报文从不同出接口进行NAT地址转换时，可能会分配到不同的端口块。如果需要使同一个源IP地址分配到相同的端口块，请开启端口块全局共享功能。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置NAT444端口块全局共享功能。

nat port-block global-share enable

缺省情况下，端口块全局共享功能处于关闭状态。

2.7 配置NAT hairpin功能

1. 功能简介

NAT hairpin功能用于满足位于内网侧的用户之间或用户与服务器之间通过NAT地址进行访问的需求。开启NAT hairpin的内网侧接口上会对报文同时进行源地址和目的地址的转换。

2. 配置限制和指导

NAT hairpin功能需要与地址转换配合工作，支持如下两种不同的配合方式：

· NAT hairpin功能与内部服务器（nat server）、出方向动态地址转换（nat outbound）配合工作。

· NAT hairpin功能与内部服务器（nat server）、出方向静态地址转换（nat static outbound）配合工作。

NAT hairpin与不同的地址转换配合工作时，这些配置所在的接口必须在同一个接口板，否则NAT hairpin功能无法正常工作。

NAT hairpin功能与内部服务器配合工作时，仅支持与通过如下方式配置的内部服务器配合使用，并且使用如下方式配置内部服务器时，必须通过protocol参数指定协议类型，否则NAT hairpin功能不生效。

· 2.5.3 配置普通内部服务器

· 2.5.4 配置负载分担内部服务器

P2P方式下，外网侧的出方向地址转换必须配置为PAT转换方式，并开启EIM模式。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 开启NAT hairpin功能。

nat hairpin enable

缺省情况下，NAT hairpin功能处于关闭状态。

2.8 配置NAT ALG

1. 功能简介

ALG（Application Level Gateway，应用层网关）主要完成对应用层报文的解析和处理。通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析和处理。然而对于一些应用层协议，它们的报文的数据载荷中可能包含IP地址或端口信息，这些载荷信息也必须进行有效的转换，否则可能导致功能不正常。例如，FTP应用由数据连接和控制连接共同完成，而数据连接使用的地址和端口由控制连接协商报文中的载荷信息决定，这就需要ALG利用NAT的相关转换配置来完成载荷信息的转换，以保证后续数据连接的正确建立。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启指定或所有协议类型的NAT ALG功能。

nat alg { all | dns | ftp | h323 | icmp-error | ils | mgcp | nbt | pptp | rsh | rtsp | sccp | sctp | sip | sqlnet | tftp | xdmcp }

缺省情况下，DNS、FTP、ICMP差错报文、PPTP、RTSP协议类型的NAT ALG功能处于开启状态，其他协议类型的NAT ALG功能处于关闭状态。

2.9 配置NAT DNS mapping功能

1. 功能简介

NAT DNS mapping功能适用于DNS服务器在公网、私网用户希望通过域名来访问内部服务器的场景中。在该场景中，NAT设备对来自外网的DNS响应报文进行DNS ALG处理时，借助DNS mapping映射关系精确匹配内部服务器配置，进而获取内部服务器的内网IP地址。具体机制如下：

(1) NAT设备收到来自外网的DNS响应报文时，获取内网服务器域名和外网IP地址的对应关系。

(2) NAT设备根据域名和应用服务器外网IP地址的对应关系查找NAT DNS mapping映射表，获取“内部服务器域名<-->外网IP地址+外网端口号+协议类型”的映射关系。

(3) NAT设备根据“内部服务器域名<-->外网IP地址+外网端口号+协议类型”的映射关系匹配内部服务器配置，获取内部服务器的内网IP地址，并进行地址转换。

(4) NAT设备将地址转换后的DNS响应报文发送给内网用户。

2. 配置限制和指导

DNS mapping功能需要和内部服务器配合使用，由nat server配置定义内部服务器对外提供服务的外网IP地址和端口号，由DNS mapping建立“内部服务器域名<-->外网IP地址+外网端口号+协议类型”的映射关系。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启DNS协议类型的NAT ALG功能。

nat alg dns

缺省情况下，DNS协议类型的NAT ALG功能处于开启状态。

(3) 配置一条域名到内部服务器的映射。

nat dns-map domain domain-name protocol pro-type { interface interface-type interface-number | ip global-ip } port global-port

可配置多条域名到内部服务器的映射。

2.10 开启NAT 端口负载分担功能

1. 功能简介

在IRF双机热备的负载分担场景下，开启NAT端口负载分担功能后，两台设备分别获得一半的端口块资源，使得相同私网IP地址在不同的成员设备上独占一定的端口资源，避免端口分配冲突。关于IRF的详细介绍，请参见“虚拟化配置指导”中的“IRF”。

2. 硬件适配关系

本功能的支持情况与设备型号有关，请以设备的实际情况为准。

型号	说明
MSR610	支持
MSR810、MSR810-W、MSR810-W-DB、MSR810-LM、MSR810-W-LM、MSR810-10-PoE、MSR810-LM-HK、MSR810-W-LM-HK、MSR810-LM-CNDE-SJK、MSR810-CNDE-SJK、MSR810-EI、MSR810-LM-EA、MSR810-LM-EI	支持
MSR810-LMS、MSR810-LUS	不支持
MSR810-SI、MSR810-LM-SI	不支持
MSR810-LMS-EA、MSR810-LME	不支持
MSR1004S-5G、MSR1004S-5G-CN	支持
MSR1104S-W、MSR1104S-W-CAT6、MSR1104S-5G-CN、MSR1104S-W-5G-CN	支持
MSR2600-6-X1、MSR2600-15-X1、MSR2600-15-X1-T	支持
MSR2600-10-X1	不支持
MSR 2630	不支持
MSR3600-28、MSR3600-51	不支持
MSR3600-28-SI、MSR3600-51-SI	不支持
MSR3600-28-X1、MSR3600-28-X1-DP、MSR3600-51-X1、MSR3600-51-X1-DP	不支持
MSR3600-28-G-DP、MSR3600-51-G-DP	不支持
MSR3610-I-DP、MSR3610-IE-DP、MSR3610-IE-ES、MSR3610-IE-EAD、MSR-EAD-AK770、MSR3610-I-IG、MSR3610-IE-IG	支持
MSR-iMC	支持
MSR3610-X1、MSR3610-X1-DP、MSR3610-X1-DC、MSR3610-X1-DP-DC、MSR3620-X1、MSR3640-X1	不支持
MSR3610、MSR3620、MSR3620-DP、MSR3640、MSR3660	不支持
MSR3610-G、MSR3620-G	不支持
MSR3640-G	不支持
MSR3640-X1-HI	支持

型号	说明
MSR810-W-WiNet、MSR810-LM-WiNet	支持
MSR830-4LM-WiNet	不支持
MSR830-5BEI-WiNet、MSR830-6EI-WiNet、MSR830-10BEI-WiNet	支持
MSR830-6BHI-WiNet、MSR830-10BHI-WiNet	支持
MSR2600-6-WiNet	支持
MSR2600-10-X1-WiNet	不支持
MSR2630-WiNet	不支持
MSR3600-28-WiNet	不支持
MSR3610-X1-WiNet	不支持
MSR3620-X1-WiNet	不支持
MSR3610-WiNet、MSR3620-10-WiNet、MSR3620-DP-WiNet、MSR3620-WiNet、MSR3660-WiNet	不支持

型号	说明
MSR860-6EI-XS	支持
MSR860-6HI-XS	支持
MSR2630-XS	支持
MSR3600-28-XS	不支持
MSR3610-XS	不支持
MSR3620-XS	不支持
MSR3610-I-XS	支持
MSR3610-IE-XS	支持
MSR3620-X1-XS	不支持
MSR3640-XS	不支持
MSR3660-XS	不支持

型号	说明
MSR810-LM-GL	支持
MSR810-W-LM-GL	支持
MSR830-6EI-GL	支持
MSR830-10EI-GL	支持
MSR830-6HI-GL	支持
MSR830-10HI-GL	支持
MSR1004S-5G-GL	支持
MSR2600-6-X1-GL	支持
MSR3600-28-SI-GL	不支持

3. 配置限制和指导

在IRF双机热备的主备备份场景下或者设备工作于独立运行模式下时，不需要配置此命令。

4. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启NAT端口负载分担功能。

nat port-load-balance enable slot slot-number

缺省情况下，NAT端口负载分担功能处于关闭状态。

2.11 配置NAT支持HA

2.11.1 功能简介

在单台NAT设备的组网中，一旦发生单点故障，内网用户将无法与外网通信。采用HA方案可以很好的避免上述情况的发生。在该方案中部署两台设备组成HA，这两台设备均可承担NAT业务，并通过HA通道进行会话热备、会话关联表热备、NAT端口块表项热备以及NAT配置的同步。当其中一台设备故障后流量自动切换到另一台正常工作的设备。

有关HA的详细介绍，请参见“可靠性配置指导”中的“双机热备（RBM）”。

2.11.2 工作机制

HA组网中的两台设备均可承担NAT业务，实际处理NAT业务的设备由VRRP备份组中的Master设备承担。下面以主备模式的HA为例，介绍该场景中当Master设备发生故障时如何保证NAT业务不中断。

如图2-1所示，Device A和Device B组成HA（Device A为HA中的主管理设备，Device B为HA中的从管理设备），Device A通过备份通道将会话表项、会话关联表项和端口块表项实时备份到Device B。同时，Device A和Device B的下行链路组成VRRP备份组1，上行链路组成VRRP备份组2，并将VRRP和HA关联。HA根据链路状态或设备的转发能力选择Device A作为Master设备，正常情况下，由Device A进行地址转换。

图2-1 主备模式的HA组网

如图2-2所示，当Device A的接口Interface A2发生故障时，Device B在VRRP备份组中的状态由Backup变为Master，由于Device B上已经有相关的NAT配置信息和业务表项，因此可以保证链路切换后的NAT业务不中断。

图2-2 主备模式下的流量切换

2.11.3 硬件适配关系

本功能的支持情况与设备型号有关，请以设备的实际情况为准。

型号	说明
MSR610	支持
MSR810、MSR810-W、MSR810-W-DB、MSR810-LM、MSR810-W-LM、MSR810-10-PoE、MSR810-LM-HK、MSR810-W-LM-HK、MSR810-LM-CNDE-SJK、MSR810-CNDE-SJK、MSR810-EI、MSR810-LM-EA、MSR810-LM-EI	支持
MSR810-LMS、MSR810-LUS	不支持
MSR810-SI、MSR810-LM-SI	不支持
MSR810-LMS-EA、MSR810-LME	不支持
MSR1004S-5G、MSR1004S-5G-CN	支持
MSR1104S-W、MSR1104S-W-CAT6、MSR1104S-5G-CN、MSR1104S-W-5G-CN	支持
MSR2600-6-X1、MSR2600-15-X1、MSR2600-15-X1-T	支持
MSR2600-10-X1	不支持
MSR 2630	不支持
MSR3600-28、MSR3600-51	不支持
MSR3600-28-SI、MSR3600-51-SI	不支持
MSR3600-28-X1、MSR3600-28-X1-DP、MSR3600-51-X1、MSR3600-51-X1-DP	支持
MSR3600-28-G-DP、MSR3600-51-G-DP	不支持
MSR3610-I-DP、MSR3610-IE-DP、MSR3610-IE-ES、MSR3610-IE-EAD、MSR-EAD-AK770、MSR3610-I-IG、MSR3610-IE-IG	支持
MSR-iMC	支持
MSR3610-X1、MSR3610-X1-DP、MSR3610-X1-DC、MSR3610-X1-DP-DC、MSR3620-X1、MSR3640-X1	支持
MSR 3610、MSR 3620、MSR 3620-DP、MSR 3640、MSR 3660	支持
MSR3610-G、MSR3620-G	不支持
MSR3640-G	不支持
MSR3640-X1-HI	支持

型号	说明
MSR810-W-WiNet、MSR810-LM-WiNet	支持
MSR830-4LM-WiNet	不支持
MSR830-5BEI-WiNet、MSR830-6EI-WiNet、MSR830-10BEI-WiNet	支持
MSR830-6BHI-WiNet、MSR830-10BHI-WiNet	支持
MSR2600-6-WiNet	支持
MSR2600-10-X1-WiNet	不支持
MSR2630-WiNet	不支持
MSR3600-28-WiNet	不支持
MSR3610-X1-WiNet	支持
MSR3620-X1-WiNet	支持
MSR3610-WiNet、MSR3620-10-WiNet、MSR3620-DP-WiNet、MSR3620-WiNet、MSR3660-WiNet	支持

型号	说明
MSR860-6EI-XS	支持
MSR860-6HI-XS	支持
MSR2630-XS	支持
MSR3600-28-XS	支持
MSR3610-XS	支持
MSR3620-XS	支持
MSR3610-I-XS	支持
MSR3610-IE-XS	支持
MSR3620-X1-XS	支持
MSR3640-XS	支持
MSR3660-XS	支持

型号	说明
MSR810-LM-GL	支持
MSR810-W-LM-GL	支持
MSR830-6EI-GL	支持
MSR830-10EI-GL	支持
MSR830-6HI-GL	支持
MSR830-10HI-GL	支持
MSR1004S-5G-GL	支持
MSR2600-6-X1-GL	支持
MSR3600-28-SI-GL	不支持

2.11.4 配置主备模式下的NAT

1. 功能简介

在主备模式的HA组网中，静态IP地址转换、源IP地址转换、目的IP地址转换的部分转换配置会将转换后的公网IP地址或内部服务器对外提供服务的公网IP地址下发到地址管理。然后，主、备设备均会向同一局域网内所有节点通告公网IP与自身物理接口MAC地址的对应关系。导致与HA直连的上行三层设备可能会将下行报文发送给HA中的Backup设备，从而影响业务的正常运行。

为了避免上述情况的发生，需要将地址转换方式与VRRP备份组绑定。执行绑定操作后，仅Master设备收到对转换后IP地址或内部服务器对外提供服务的公网IP地址的ARP请求后，会回应ARP响应报文，响应报文中携带的MAC地址为此VRRP备份组的虚拟MAC地址，使得与HA直连的上行三层设备只会将下行报文发送给HA中的Master设备，保证业务的正常运行。

关于HA的详细介绍，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

2. 配置限制和指导

请在HA的主管理设备上将NAT转换配置与VRRP备份组绑定。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 将地址转换配置与VRRP备份组绑定。请根据网络需求选择步骤(3)～(8)中的一项或多项进行配置。

(3) 将NAT地址组与VRRP备份组绑定。

a. 进入NAT地址组视图。

nat address-group group-id [ name group-name ]

b. 将NAT地址组与VRRP备份组绑定。

vrrp vrid virtual-router-id

缺省情况下，NAT地址组未绑定任何VRRP备份组。

(4) 将NAT端口块组与VRRP备份组绑定。

a. 进入NAT端口块组视图。

nat port-block-group group-id

b. 将NAT端口块组与VRRP备份组绑定。

vrrp vrid virtual-router-id

缺省情况下，NAT端口块组未绑定任何VRRP备份组。

(5) 将出方向一对一静态地址转换映射与VRRP备份组绑定。

请参见“2.3.3 配置出方向一对一静态地址转换”。

(6) 将出方向网段到网段的静态地址转换映射VRRP备份组绑定。

请参见“2.3.4 配置出方向网段对网段静态地址转换”。

(7) 将基于对象组的出方向静态地址转换映射VRRP备份组绑定。

请参见“2.3.5 配置基于对象组的出方向静态地址转换”。

(8) 将NAT内部服务器与VRRP备份组绑定。

a. 进入接口视图。

interface interface-type interface-number

b. 将NAT内部服务器与VRRP备份组绑定。

请参见“2.5.2 配置普通内部服务器”、“2.5.4 配置负载分担内部服务器”、“2.5.5 配置基于ACL的内部服务器”

2.11.5 配置双主模式下的NAT

1. 功能简介

在双主模式的HA组网中，两台设备互为主备，仍然可能出现与HA直连的上行三层设备将下行报文发送给HA中的Backup设备，从而影响业务正常运行的情况。

为了避免上述情况的发生，需要将地址转换方式与VRRP备份组绑定。执行绑定操作后，仅Master设备收到对转换后IP地址或内部服务器对外提供服务的公网IP地址的ARP请求后，会回应ARP响应报文，响应报文中携带的MAC地址为此VRRP备份组的虚拟MAC地址。关于HA的详细介绍，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

2. 配置限制和指导

请根据不同的情况选择不同的配置方式：

· 双主模式的HA组网中，两台设备可以共用同一个NAT地址组/NAT端口块组，需要注意的是，为了防止不同的Master设备将不同主机的流量转换为同一个地址和端口号，需要使用PAT模式的地址转换，并配置nat remote-backup port-alloc命令，使得不同的Master设备使用不同范围的端口资源。

· 除上述情况外，建议双主模式HA组网中的两台设备使用不同的公网IP进行地址转换，避免出现不同的Master设备对不同主机的流量进行地址转换后，地址转换的结果相同的情况。例如，当HA中的两台设备使用不同地址范围的NAT地址组/NAT端口块组时（通过NAT规则引用的ACL匹配用户流量，实现不同源IP地址范围的用户流量使用不同的NAT地址组/NAT端口块组进行地址转换），不同的内网用户设置不同的网关地址，使得正向地址转换的流量由不同的Master设备进行处理。请在HA的主管理设备上将不同的NAT地址组或NAT端口块组与不同的VRRP备份组绑定，从而引导反向地址转换的流量使用不同的Master设备进行地址转换，实现NAT业务的负载分担。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 将地址转换配置与VRRP备份组绑定。请根据网络需求选择步骤(3)～(8)中的一项或多项进行配置。

(3) 将NAT地址组与VRRP备份组绑定。

a. 进入NAT地址组视图。

nat address-group group-id [ name group-name ]

b. 将NAT地址组与VRRP备份组绑定。

vrrp vrid virtual-router-id

缺省情况下，NAT地址组未绑定任何VRRP备份组。

重复执行本命令，最后一次执行的命令生效。

(4) 将NAT端口块组与VRRP备份组绑定。

a. 进入NAT端口块组视图。

nat port-block-group group-id

b. 将NAT地址组或NAT端口块组与VRRP备份组绑定。

vrrp vrid virtual-router-id

缺省情况下，NAT地址组或NAT端口块组未绑定任何VRRP备份组。

重复执行本命令，最后一次执行的命令生效。

(5) 将出方向一对一静态地址转换映射与VRRP备份组绑定。

请参见“2.3.3 配置出方向一对一静态地址转换”。

(6) 将出方向网段到网段的静态地址转换映射VRRP备份组绑定。

请参见“2.3.4 配置出方向网段对网段静态地址转换”。

(7) 将基于对象组的出方向静态地址转换映射VRRP备份组绑定。

请参见“2.3.5 配置基于对象组的出方向静态地址转换”。

(8) 将NAT内部服务器与VRRP备份组绑定。

a. 进入接口视图。

interface interface-type interface-number

b. 将NAT内部服务器与VRRP备份组绑定。

请参见“2.5.2 配置普通内部服务器”、“2.5.4 配置负载分担内部服务器”、“2.5.5 配置基于ACL的内部服务器”。

(9) （可选）指定HA中主、从管理设备可以使用的NAT端口块范围。

a. 退回系统视图。

quit

b. 指定HA中主、从管理设备可以使用的NAT端口块范围。

nat remote-backup port-alloc { primary | secondary }

缺省情况下，HA中的主、从管理设备共用NAT端口资源。

参数	功能
primary	表示使用数值较小的一半端口
secondary	表示使用数值较大的一半端口

2.12 配置NAT维护功能

2.12.1 开启NAT转换失败发送ICMP差错报文功能

1. 功能简介

缺省情况下，NAT设备对ICMP报文的地址转换失败时，不会发送ICMP差错报文，从而导致使用ICMP协议报文的应用无法感知此事件。开启本功能后，NAT设备对ICMP报文地址转换失败时，会发送ICMP差错报文，使用ICMP协议报文的应用根据收到的ICMP差错报文发现和定位问题。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启设备NAT转换失败发送ICMP差错报文功能。

nat icmp-error reply

缺省情况下，NAT转换失败时，设备不发送ICMP差错报文。

2.13 配置NAT日志功能

2.13.1 配置NAT会话日志功能

1. 功能简介

NAT会话日志是为了满足网络管理员安全审计的需要，对NAT会话（报文经过设备时，源或目的信息被NAT进行过转换的连接）信息进行的记录，包括IP地址及端口的转换信息、用户的访问信息以及用户的网络流量信息。

有三种情况可以触发设备生成NAT会话日志：

· 新建NAT会话。

· 删除NAT会话。新增高优先级的配置、删除配置、报文匹配规则变更、NAT会话老化以及执行删除NAT会话的命令时，都可能导致NAT会话被删除。

· 存在NAT活跃流。NAT活跃流是指在一定时间内存在的NAT会话。当设置的生成活跃流日志的时间间隔到达时，当前存在的NAT会话信息就被记录并生成日志。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启NAT日志功能。

nat log enable [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，NAT日志功能处于关闭状态。

(3) 开启NAT相关日志功能。请至少选择其中一项进行配置。

¡ 开启NAT新建会话的日志功能。

nat log flow-begin

¡ 开启NAT删除会话的日志功能。

nat log flow-end

¡ 开启NAT活跃流的日志功能，并设置生成活跃流日志的时间间隔。

nat log flow-active time-value

缺省情况下，创建、删除NAT会话或存在NAT活跃流时，均不生成NAT日志。

2.13.2 配置NAT444用户日志功能

1. 功能简介

NAT444用户日志是为了满足互联网用户溯源的需要，在NAT444地址转换中，对每个用户的私网IP地址进行端口块分配或回收时，都会输出一条基于用户的日志，记录私网IP地址和端口块的映射关系。在进行用户溯源时，只需根据报文的公网IP地址和端口找到对应的端口块分配日志信息，即可确定私网IP地址。

有两种情况可以触发设备输出NAT444用户日志：

· 端口块分配：端口块静态映射方式下，在某私网IP地址的第一个新建连接通过端口块进行地址转换时输出日志；端口块动态映射方式下，在为某私网IP地址分配端口块或增量端口块时输出日志。

· 端口块回收：端口块静态映射方式下，在某私网IP地址的最后一个连接拆除时输出日志；端口块动态映射方式下，在释放端口块资源（并删除端口块表项）时输出日志。

2. 配置准备

在配置NAT444用户日志功能前，必须先配置将用户定制日志发送到日志主机的功能，否则无法产生NAT444用户日志。详细配置请参见“网络管理和监控配置指导”中的“信息中心”。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启NAT日志功能。

nat log enable [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，NAT日志功能处于关闭状态。

ACL参数对NAT444用户日志功能无效。

(3) 开启端口块用户日志功能。请至少选择其中一项进行配置。

¡ 开启端口块分配的NAT444用户日志功能。

nat log port-block-assign

¡ 开启端口块回收的NAT444用户日志功能。

nat log port-block-withdraw

缺省情况下，分配和回收端口块时，均不输出NAT444用户日志。

2.13.3 配置NAT告警信息日志功能

1. 功能简介

在NAT地址转换中，如果可为用户分配的NAT资源用尽，后续连接由于没有可用的资源无法对其进行地址转换，相应的报文将被丢弃。本命令用来在NAT资源用尽时输出告警日志。在NO-PAT动态映射中，NAT资源是指公网IP地址；在EIM模式的PAT动态映射中，NAT资源是指公网IP地址和端口；在NAT444地址转换中，NAT资源是指公网IP、端口块和端口块中的端口。

NAT444端口块动态映射方式中，当端口块分配失败时，系统会输出日志信息。

NAT444端口块动态映射方式中，当端口块中的端口资源都用尽但还是无法满足用户的地址转换需求时，系统会输出日志信息。

2. 配置限制和指导

只有开启NAT日志功能（通过nat log enable命令）之后，NAT告警信息日志功能才能生效。

3. 配置准备

在配置NAT告警信息日志功能前，必须先配置将用户定制日志发送到日志主机的功能，否则无法产生NAT告警信息日志。详细配置请参见“网络管理和监控配置指导”中的“信息中心”。

4. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启NAT日志功能。

nat log enable [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，NAT日志功能处于关闭状态。

ACL参数对NAT告警信息日志功能无效。

(3) 开启NAT告警信息的日志功能。

nat log alarm

缺省情况下，NAT告警信息日志功能处于关闭状态。

NAT资源用尽时，系统会输出告警日志。

(4) （可选）配置动态NAT444端口块使用率的阈值。

nat log port-block usage threshold threshold-value

缺省情况下，动态NAT444的端口块使用率的阈值为90%。

创建动态端口块表项时，若端口块的使用率大于阈值，系统会输出告警日志。

2.13.4 开启NO-PAT方式下NAT地址组中地址成员使用率的日志信息功能

1. 功能简介

创建NO-PAT表项时，若NO-PAT方式下NAT地址组中地址成员的使用率超过设定的百分比时，系统将会输出日志信息。

2. 配置限制和指导

只有开启NAT日志功能（通过nat log enable命令）之后，NAT地址组中地址成员使用率的日志信息功能才能生效。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启NAT日志功能。

nat log enable [ acl { ipv4-acl-number | name ipv4-acl-name } ]

缺省情况下，NAT日志功能处于关闭状态。

ACL参数对NO-PAT方式下NAT地址组中地址成员使用率的日志信息功能无效。

(3) 开启NO-PAT方式下NAT地址组中地址成员使用率的日志信息功能，并设置NAT地址组中地址成员使用率的阈值。

nat log no-pat ip-usage [ threshold value ]

缺省情况下，NAT地址组中地址成员使用率的日志信息功能处于关闭状态。

2.14 特定条件下的NAT配置

2.14.1 开启反向报文的重定向功能

1. 功能简介

在入方向动态地址转换功能与隧道功能配合使用的组网环境中，若多个隧道接口引用同一个NAT地址组，则设备会将来自不同隧道的报文的源IP地址转换为相同的NAT地址，并从设备的出接口转发出去。缺省情况下，设备出接口收到反向报文后，不会查询NAT会话表项，这将导致反向报文不能正确转发。为解决此问题，可在设备的出接口开启反向报文的重定向功能，使出接口收到反向报文后查询NAT会话表项，根据NAT会话表项记录的信息将反向报文的目的IP地址进行NAT地址转换，从而使反向报文通过接收正向报文的隧道发送出去。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 开启反向报文的重定向功能。

nat redirect reply-route enable

缺省情况下，反向报文的重定向功能处于关闭状态。

2.14.2 开启对TCP SYN和SYN ACK报文中时间戳的删除功能

1. 功能简介

在PAT方式的动态地址转换（即接口上配置了nat inbound或nat outbound命令）组网环境中，若服务器上同时开启了tcp_timestams和tcp_tw_recycle功能，则Client与Server之间可能会出现无法建立TCP连接的现象。

为了解决以上问题，可在服务器上关闭tcp_tw_recycle功能或在设备上开启对TCP SYN和SYN ACK报文中时间戳的删除功能。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启对TCP SYN和SYN ACK报文中时间戳的删除功能。

nat timestamp delete [ vpn-instance vpn-instance-name ]

缺省情况下，不对TCP SYN和SYN ACK报文中的时间戳进行删除。

多次执行本命令，可为不同VPN中的报文开启此功能。

2.14.3 开启主备链路切换后的NAT会话重建功能

1. 功能简介

广域网双出口组网环境中，分别在NAT设备的出接口（假设为Interface A和Interface B）下配置出方向动态地址转换（引用不同的地址组），基于出接口所属安全域的不同情况，NAT设备的处理机制有所不同：

· 如果两个出接口属于不同的安全域，当Interface A的链路发生故障切换到Interface B的链路时，NAT设备会删除原来的会话表项，由流量触发重新建立NAT会话，保证用户访问外网的业务不受影响。

· 如果两个出接口属于相同的安全域，当Interface A的链路发生故障切换到Interface B的链路时，NAT设备不会删除原来的会话表项，流量与原来的会话表项匹配，导致用户无法访问外网。为了避免该问题的发生，请开启本功能，保证用户业务的可用性。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启主备链路切换后的NAT会话重建功能。

nat link-switch recreate-session

缺省情况下，主备链路切换后的NAT会话重建功能处于关闭状态。

2.15 配置NAT基于VPN限制会话数

1. 功能简介

NAT可支持的会话数是NAT模块的重要指标。单个用户很难占满NAT设备的出口带宽，但却可以轻易将NAT的会话资源全部消耗掉，从而导致其他用户无法访问外网。虽然连接数限制功能可以限制会话数量，但是无法精准限制允许建立的NAT会话数量。

本功能用于对私网侧VPN中允许用户建立的NAT会话数量进行精准限制，防止某个或某些VPN中的用户将NAT会话资源耗尽，导致其他VPN中的用户无法访问外网。

开启本功能后，用户可以限制指定VPN的会话数量，以避免某个VPN消耗过多资源。当设备统计到该VPN实际建立的NAT会话数已经超过配置的限制数，将不会再建立新的NAT会话，从而限制该用户的访问。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 限制指定VPN中允许建立的NAT会话数。

nat session-limit vpn-instance vpn-instance-name max-count max-count

缺省情况下，不会限制VPN中允许建立的NAT会话数。

2.16 接口NAT显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示NAT配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除NAT表项。

表2-1 NAT显示和维护

操作	命令
显示NAT ALG功能的开启状态	display nat alg
显示所有的NAT配置信息	display nat all
显示NAT地址组的配置信息	display nat address-group [ group-id ]
显示NAT DNS mapping的配置信息	display nat dns-map
显示NAT EIM表项信息	（独立运行模式） display nat eim （IRF模式） display nat eim [ slot slot-number ]
显示NAT入接口动态地址转换关系的配置信息	display nat inbound
显示NAT日志功能的配置信息	display nat log
显示NAT NO-PAT表项信息	（独立运行模式） display nat no-pat { ipv4 \| ipv6 } （IRF模式） display nat no-pat { ipv4 \| ipv6 } [ slot slot-number ]
显示NO-PAT方式下NAT地址组中地址成员的使用率	（独立运行模式） display nat no-pat ip-usage [ address-group { group-id \| name group-name } \| object-group object-group-name ] （IRF模式） display nat no-pat ip-usage [ address-group { group-id \| name group-name } \| object-group object-group-name ] [ slot slot-number ]
显示NAT出接口动态地址转换关系的配置信息	display nat outbound
显示NAT内部服务器的配置信息	display nat server
显示NAT内部服务器组的配置信息	display nat server-group [ group-id ]
显示NAT会话	（独立运行模式） display nat session [ [ responder ] { source-ip source-ip \| destination-ip destination-ip } * [ vpn-instance vpn-instance-name ] ] [ verbose ] （IRF模式） display nat session [ [ responder ] { source-ip source-ip \| destination-ip destination-ip } * [ vpn-instance vpn -instance-name ] ] [ slot slot-number ] [ verbose ]
显示NAT会话数限制统计节点信息	（独立运行模式） display nat session-limit stat-nodes { all-vpn-instance \| vpn-instance vpn-instance-name } （IRF模式） display nat session-limit stat-nodes { all-vpn-instance \| vpn-instance vpn-instance-name } [ slot slot-number ]
显示NAT静态地址转换的配置信息	display nat static
显示NAT统计信息	（独立运行模式） display nat statistics [ summary ] （IRF模式） display nat statistics [ summary ] [ slot slot-number ]
显示NAT444端口块静态映射的配置信息	display nat outbound port-block-group
显示NAT端口块组配置信息	display nat port-block-group [ group-id ]
显示端口块表项	（独立运行模式） display nat port-block { dynamic [ address-group { group-id \| name group-name } ] \| static [ port-block-group group-id ] } （IRF模式） display nat port-block { dynamic [ address-group { group-id \| name group-name } ] \| static [ port-block-group group-id ] } [ slot slot-number ]
显示动态NAT444地址组中端口块的使用率	（独立运行模式） display nat port-block-usage [ address-group group-id ] （IRF模式） display nat port-block-usage [ address-group group-id ] [ slot slot-number ]
清除NAT转换计数信息	reset nat count statistics { all \| dynamic \| policy \| server \| static \| static-port-block }
删除NAT会话	（独立运行模式） reset nat session （IRF模式） reset nat session [ slot slot-number ]

2.17 接口NAT典型配置举例

2.17.1 内网用户通过NAT地址访问外网配置举例（静态地址转换）

1. 组网需求

内部网络用户10.110.10.8/24使用外网地址202.38.1.100访问Internet。

2. 组网图

图2-3 静态地址转换典型配置组网图

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置内网IP地址10.110.10.8到外网地址202.38.1.100之间的一对一静态地址转换映射。

<Router> system-view

[Router] nat static outbound 10.110.10.8 202.38.1.100

# 使配置的静态地址转换在接口GigabitEthernet1/0/2上生效。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat static enable

4. 验证配置

# 以上配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat static

Static NAT mappings:

Totally 1 outbound static NAT mappings.

IP-to-IP:

Local IP : 10.110.10.8

Global IP : 202.38.1.100

Config status: Active

Interfaces enabled with static NAT:

Totally 1 interfaces enabled with static NAT.

Interface: GigabitEthernet1/0/2

Config status: Active

# 通过以下显示命令，可以看到Host访问某外网服务器时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 10.110.10.8/42496

Destination IP/port: 202.38.1.111/2048

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 202.38.1.111/42496

Destination IP/port: 202.38.1.100/0

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/2

State: ICMP_REPLY

Application: INVALID

Rule ID: -/-/-

Rule name:

Start time: 2012-08-16 09:30:49 TTL: 27s

Initiator->Responder: 5 packets 420 bytes

Responder->Initiator: 5 packets 420 bytes

Total sessions found: 1

2.17.2 内网用户通过NAT地址访问外网配置举例（地址不重叠）

1. 组网需求

· 某公司内网使用的IP地址为192.168.0.0/16。

· 该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。

· 需要实现，内部网络中192.168.1.0/24网段的用户可以访问Internet，其它网段的用户不能访问Internet。使用的外网地址为202.38.1.2和202.38.1.3。

2. 组网图

图2-4 内网用户通过NAT访问外网配置组网图（地址不重叠）

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置地址组0，包含两个外网地址202.38.1.2和202.38.1.3。

<Router> system-view

[Router] nat address-group 0

[Router-address-group-0] address 202.38.1.2 202.38.1.3

[Router-address-group-0] quit

# 配置ACL 2000，仅允许对内部网络中192.168.1.0/24网段的用户报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 0

4. 验证配置

以上配置完成后，Host A能够访问WWW server，Host B和Host C无法访问WWW server。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT address group information:

Totally 1 NAT address groups.

Address group ID: 0:

Port range: 1-65535

Address information:

Start address End address

202.38.1.2 202.38.1.3

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 0

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host A访问WWW server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.10/52992

Destination IP/port: 200.1.1.10/2048

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 200.1.1.10/4

Destination IP/port: 202.38.1.3/0

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/2

State: ICMP_REPLY

Application: INVALID

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 12s

Initiator->Responder: 1 packets 84 bytes

Responder->Initiator: 1 packets 84 bytes

Total sessions found: 1

2.17.3 内网用户通过NAT地址访问外网配置举例（地址重叠）

1. 组网需求

· 某公司内网网段地址为192.168.1.0/24，该网段与要访问的外网Web服务器所在网段地址重叠。

· 该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。

· 需要实现，内网用户可以通过域名访问外网的Web服务器。

2. 组网图

图2-5 内网用户通过NAT访问外网配置组网图（地址重叠）

‌

3. 配置思路

这是一个典型的双向NAT应用，具体配置思路如下。

· 内网主机通过域名访问外网Web服务器时，首先需要向外网的DNS服务器发起DNS查询请求。由于外网DNS服务器回复给内网主机的DNS应答报文载荷中的携带的Web服务器地址与内网主机地址重叠，因此NAT设备需要将载荷中的Web服务器地址转换为动态分配的一个NAT地址。动态地址分配可以通过入方向动态地址转换实现，载荷中的地址转换需要通过DNS ALG功能实现。

· 内网主机得到外网Web服务器的IP地址之后（该地址为临时分配的NAT地址），通过该地址访问外网Web服务器。由于内网主机的地址与外网Web服务器的真实地址重叠，因此也需要为其动态分配一个NAT地址，可以通过出方向动态地址转换实现。

· 外网Web服务器对应的NAT地址在NAT设备上没有路由，因此需要手工添加静态路由，使得目的地址为外网服务器NAT地址的报文出接口为GigabitEthernet1/0/2。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 开启DNS的NAT ALG功能。

<Router> system-view

[Router] nat alg dns

# 配置ACL 2000，仅允许对192.168.1.0/24网段的用户报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 创建地址组1。

[Router] nat address-group 1

# 添加地址组成员202.38.1.2。

[Router-address-group-1] address 202.38.1.2 202.38.1.2

[Router-address-group-1] quit

# 创建地址组2。

[Router] nat address-group 2

# 添加地址组成员202.38.1.3。

[Router-address-group-2] address 202.38.1.3 202.38.1.3

[Router-address-group-2] quit

# 在接口GigabitEthernet1/0/2上配置入方向动态地址转换，允许使用地址组1中的地址对DNS应答报文载荷中的外网地址进行转换，并在转换过程中不使用端口信息，以及允许反向地址转换。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat inbound 2000 address-group 1 no-pat reversible

# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组2中的地址对内网访问外网的报文进行源地址转换，并在转换过程中使用端口信息。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 2

# 配置静态路由，目的地址为外网服务器NAT地址202.38.1.2，出接口为GigabitEthernet1/0/2，下一跳地址为20.2.2.2（20.2.2.2为本例中的直连下一跳地址，实际使用中请以具体组网情况为准）。

[Router] ip route-static 202.38.1.2 32 gigabitethernet 1/0/2 20.2.2.2

5. 验证配置

以上配置完成后，Host A能够通过域名访问Web server。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT address group information:

Totally 2 NAT address groups.

Address group ID: 1

Port range: 1-65535

Address information:

Start address End address

202.38.1.2 202.38.1.2

Address group ID: 2

Port range: 1-65535

Address information:

Start address End address

202.38.1.3 202.38.1.3

NAT inbound information:

Totally 1 NAT inbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 1

Add route: N NO-PAT: Y Reversible: Y

Config status: Active

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 2

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host A访问WWW server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.10/1694

Destination IP/port: 202.38.1.2/8080

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 192.168.1.10/8080

Destination IP/port: 202.38.1.3/1025

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytes

Total sessions found: 1

2.17.4 外网用户通过外网地址访问内网服务器配置举例

1. 组网需求

某公司内部对外提供Web、FTP和SMTP服务，而且提供两台Web服务器。公司内部网址为10.110.0.0/16。其中，内部FTP服务器地址为10.110.10.3/16，内部Web服务器1的IP地址为10.110.10.1/16，内部Web服务器2的IP地址为10.110.10.2/16，内部SMTP服务器IP地址为10.110.10.4/16。公司拥有202.38.1.1至202.38.1.3三个公网IP地址。需要实现如下功能：

· 外部的主机可以访问内部的服务器。

· 选用202.38.1.1作为公司对外提供服务的IP地址，Web服务器2对外采用8080端口。

2. 组网图

图2-6 外网用户通过外网地址访问内网服务器配置组网图

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 进入接口GigabitEthernet1/0/2。

<Router> system-view

[Router] interface gigabitethernet 1/0/2

# 配置内部FTP服务器，允许外网主机使用地址202.38.1.1、端口号21访问内网FTP服务器。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 21 inside 10.110.10.3 ftp

# 配置内部Web服务器1，允许外网主机使用地址202.38.1.1、端口号80访问内网Web服务器1。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 80 inside 10.110.10.1 http

# 配置内部Web服务器2，允许外网主机使用地址202.38.1.1、端口号8080访问内网Web服务器2。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 8080 inside 10.110.10.2 http

# 配置内部SMTP服务器，允许外网主机使用地址202.38.1.1以及SMTP协议定义的端口访问内网SMTP服务器。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 smtp inside 10.110.10.4 smtp

4. 验证配置

# 以上配置完成后，外网Host能够通过NAT地址访问各内网服务器。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT internal server information:

Totally 4 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.1/21

Local IP/port : 10.110.10.3/21

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.1/25

Local IP/port : 10.110.10.4/25

Rule name : ServerRule_4

NAT counting : 0

Config status : Active

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.1/80

Local IP/port : 10.110.10.1/80

Rule name : ServerRule_2

NAT counting : 0

Config status : Active

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.1/8080

Local IP/port : 10.110.10.2/80

Rule name : ServerRule_3

NAT counting : 0

Config status : Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host访问FTP server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 202.38.1.10/1694

Destination IP/port: 202.38.1.1/21

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

Responder:

Source IP/port: 10.110.10.3/21

Destination IP/port: 202.38.1.10/1694

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: FTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytes

Total sessions found: 1

2.17.5 外网用户通过域名访问内网服务器配置举例（地址不重叠）

1. 组网需求

· 某公司内部对外提供Web服务，Web服务器地址为10.110.10.2/24。

· 该公司在内网有一台DNS服务器，IP地址为10.110.10.3/24，用于解析Web服务器的域名。

· 该公司拥有两个外网IP地址：202.38.1.2和202.38.1.3。

需要实现，外网主机可以通过域名访问内网的Web服务器。

2. 组网图

图2-7 外网用户通过域名访问内网服务器配置组网图（地址不重叠）

‌

3. 配置思路

· 外网主机通过域名访问Web服务器，首先需要通过访问内网DNS服务器获取Web服务器的IP地址，因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址和DNS服务端口映射为一个外网地址和端口。

· DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址，因此需要将DNS报文载荷中的内网IP地址转换为一个外网IP地址。外网地址分配可以通过出方向动态地址转换功能实现，转换载荷信息可以通过DNS ALG功能实现。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 开启DNS协议的ALG功能。

<Router> system-view

[Router] nat alg dns

# 配置ACL 2000，允许对内部网络中10.110.10.2的报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 10.110.10.2 0

[Router-acl-ipv4-basic-2000] quit

# 创建地址组1。

[Router] nat address-group 1

# 添加地址组成员202.38.1.3。

[Router-address-group-1] address 202.38.1.3 202.38.1.3

[Router-address-group-1] quit

# 在接口GigabitEthernet1/0/2上配置NAT内部服务器，允许外网主机使用地址202.38.1.2访问内网DNS服务器。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.2 inside 10.110.10.3 dns

# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换，并在转换过程中不使用端口信息，以及允许反向地址转换。

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible

5. 验证配置

以上配置完成后，外网Host能够通过域名访问内网Web server。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT address group information:

Totally 1 NAT address groups.

Address group ID: 1

Port range: 1-65535

Address information:

Start address End address

202.38.1.3 202.38.1.3

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: Y

Config status: Active

NAT internal server information:

Totally 1 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 17(UDP)

Global IP/port: 202.38.1.2/53

Local IP/port : 10.110.10.3/53

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host访问Web server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 200.1.1.2/1694

Destination IP/port: 202.38.1.3/8080

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

Responder:

Source IP/port: 10.110.10.2/8080

Destination IP/port: 200.1.1.2/1694

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytes

Total sessions found: 1

2.17.6 外网用户通过域名访问内网服务器配置举例（地址重叠）

1. 组网需求

· 某公司内网使用的IP地址为192.168.1.0/24。

· 该公司内部对外提供Web服务，Web服务器地址为192.168.1.2/24。

· 该公司在内网有一台DNS服务器，IP地址为192.168.1.3/24，用于解析Web服务器的域名。

· 该公司拥有三个外网IP地址：202.38.1.2、202.38.1.3和202.38.1.4。

需要实现，外网主机可以通过域名访问与其地址重叠的内网Web服务器。

2. 组网图

图2-8 外网用户通过域名访问内网服务器配置组网图（地址重叠）

‌

3. 配置思路

这是一个典型的双向NAT应用，具体配置思路如下。

· 外网主机通过域名访问Web服务器，首先需要访问内部的DNS服务器获取Web服务器的IP地址，因此需要通过配置NAT内部服务器将DNS服务器的内网IP地址和DNS服务端口映射为一个外网地址和端口。

· DNS服务器回应给外网主机的DNS报文载荷中携带了Web服务器的内网IP地址，该地址与外网主机地址重叠，因此在出方向上需要为内网Web服务器动态分配一个NAT地址，并将载荷中的地址转换为该地址。NAT地址分配可以通过出方向动态地址转换功能实现，转换载荷信息可以通过DNS ALG功能实现。

· 外网主机得到内网Web服务器的IP地址之后（该地址为NAT地址），使用该地址访问内网Web服务器，因为外网主机的地址与内网Web服务器的真实地址重叠，因此在入方向上也需要为外网主机动态分配一个NAT地址，可以通过入方向动态地址转换实现。

· NAT设备上没有目的地址为外网主机对应NAT地址的路由，因此需要手工添加静态路由，使得目的地址为外网主机NAT地址的报文的出接口为GigabitEthernet1/0/2。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 开启DNS协议的ALG功能。

<Router> system-view

[Router] nat alg dns

# 配置ACL 2000，允许对内部网络中192.168.1.0/24网段的报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 创建地址组1。

[Router] nat address-group 1

# 添加地址组成员202.38.1.2。

[Router-address-group-1] address 202.38.1.2 202.38.1.2

[Router-address-group-1] quit

# 创建地址组2。

[Router] nat address-group 2

# 添加地址组成员202.38.1.3。

[Router-address-group-2] address 202.38.1.3 202.38.1.3

[Router-address-group-2] quit

# 在接口GigabitEthernet1/0/2上配置NAT内部服务器，允许外网主机使用地址202.38.1.4访问内网DNS服务器。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat server protocol udp global 202.38.1.4 inside 192.168.1.3 dns

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 1 no-pat reversible

# 在接口GigabitEthernet1/0/2上配置入方向动态地址转换，允许使用地址组2中的地址对外网访问内网的报文进行源地址转换，并在转换过程中使用端口信息。

[Router-GigabitEthernet1/0/2] nat inbound 2000 address-group 2

# 配置到达202.38.1.3地址的静态路由，出接口为GigabitEthernet1/0/2，下一跳地址为20.2.2.2（20.2.2.2为本例中的直连下一跳地址，实际使用中请以具体组网情况为准）。

[Router] ip route-static 202.38.1.3 32 gigabitethernet 1/0/2 20.2.2.2

5. 验证配置

# 以上配置完成后，外网Host能够通过域名访问内网相同IP地址的Web server。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT address group information:

Totally 2 NAT address groups.

Address group ID: 1

Port range: 1-65535

Address information:

Start address End address

202.38.1.2 202.38.1.2

Address group ID: 2

Port range: 1-65535

Address information:

Start address End address

202.38.1.3 202.38.1.3

NAT inbound information:

Totally 1 NAT inbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 2

Add route: N NO-PAT: N Reversible: N

Config status: Active

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 1

Port-preserved: N NO-PAT: Y Reversible: Y

Config status: Active

NAT internal server information:

Totally 1 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 17(UDP)

Global IP/port: 202.38.1.4/53

Local IP/port : 200.1.1.3/53

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host访问Web server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.2/1694

Destination IP/port: 202.38.1.2/8080

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

Responder:

Source IP/port: 192.168.1.2/8080

Destination IP/port: 202.38.1.3/1025

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytes

Total sessions found: 1

2.17.7 内网用户通过NAT地址访问内网服务器配置举例

1. 组网需求

· 某公司内部网络中有一台FTP服务器，地址为192.168.1.4/24。

· 该公司拥有两个外网IP地址：202.38.1.1和202.38.1.2。

需要实现如下功能：

· 外网主机可以通过202.38.1.2访问内网中的FTP服务器。

· 内网主机也可以通过202.38.1.2访问内网中的FTP服务器。

2. 组网图

图2-9 内网用户通过NAT地址访问内网服务器配置组网图

‌

3. 配置思路

该需求为典型的C-S模式的NAT hairpin应用，具体配置思路如下。

· 为使外网主机可以通过外网地址访问内网FTP服务器，需要在外网侧接口配置NAT内部服务器。

· 为使内网主机通过外网地址访问内网FTP服务器，需要在内网侧接口开启NAT hairpin功能。其中，目的IP地址转换通过匹配外网侧接口上的内部服务器配置来完成，源地址转换通过匹配内部服务器配置所在接口上的出方向动态地址转换或出方向静态地址转换来完成，本例中采用出方向动态地址转换配置。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置ACL 2000，允许对内部网络中192.168.1.0/24网段的报文进行地址转换。

<Router> system-view

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 在接口GigabitEthernet1/0/2上配置NAT内部服务器，允许外网主机使用地址202.38.1.2访问内网FTP服务器，同时使得内网主机访问内网FTP服务器的报文可以进行目的地址转换。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.2 inside 192.168.1.4 ftp

# 在接口GigabitEthernet1/0/2上配置Easy IP方式的出方向动态地址转换，使得内网主机访问内网FTP服务器的报文可以使用接口GigabitEthernet1/0/2的IP地址进行源地址转换。

[Router-GigabitEthernet1/0/2] nat outbound 2000

# 在接口GigabitEthernet1/0/1上开启NAT hairpin功能。

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] nat hairpin enable

5. 验证配置

# 以上配置完成后，内网主机和外网主机均能够通过外网地址访问内网FTP Server。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: ---

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT internal server information:

Totally 1 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.2/21

Local IP/port : 192.168.1.4/21

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT hairpinning:

Totally 1 interfaces enabled with NAT hairpinning.

Interface: GigabitEthernet1/0/1

Config status: Active

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host A访问FTP server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.2/1694

Destination IP/port: 202.38.1.2/21

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 192.168.1.4/21

Destination IP/port: 202.38.1.1/1025

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: FTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 14:53:29 TTL: 3597s

Initiator->Responder: 7 packets 308 bytes

Responder->Initiator: 5 packets 312 bytes

Total sessions found: 1

2.17.8 内网用户通过NAT地址互访配置举例

1. 组网需求

某P2P应用环境中，内网中的客户端首先需要向外网服务器进行注册，外网服务器会记录客户端的IP地址和端口号。如果内网的一个客户端要访问内网的另一个客户端，首先需要向服务器获取对方的IP地址和端口号。

需要实现如下功能：

· 内网客户端可以向外网中的服务器注册，且注册为一个相同的外网地址。

· 内网客户端能够通过从服务器获得的IP地址和端口进行互访。

2. 组网图

图2-10 内网用户通过NAT地址互访配置组网图

‌

3. 配置思路

该需求为典型的P2P模式的NAT hairpin应用，具体配置思路如下。

· 内网中的客户端需要向外网中的服务器注册，因此需要进行源地址转换，可以通过在外网侧接口配置出方向动态地址转换实现。

· 服务器记录客户端的IP地址和端口号，且该地址和端口号是NAT转换后的。由于服务器记录的客户端IP地址和端口号需要供任意源地址访问，因此客户端地址的转换关系必须不关心对端地址，这可以通过配置EIM模式的动态地址转换实现。

· 内部主机通过外网地址进行互访，需要在内网侧接口开启NAT hairpin功能。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置ACL 2000，允许对内部网络中192.168.1.0/24网段的报文进行地址转换。

<Router> system-view

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 在外网侧接口GigabitEthernet1/0/2上配置Easy IP方式的出方向动态地址转换，允许使用接口GigabitEthernet1/0/2的IP地址对内网访问外网的报文进行源地址转换，因为多个内部主机共用一个外网地址，因此需要配置为PAT方式，即转换过程中使用端口信息。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat outbound 2000

# 配置PAT方式下的地址转换模式为EIM，即只要是来自相同源地址和源端口号的且匹配ACL 2000的报文，不论其目的地址是否相同，通过PAT转换后，其源地址和源端口号都被转换为同一个外部地址和端口号。

[Router] nat mapping-behavior endpoint-independent acl 2000

# 在内网侧接口GigabitEthernet1/0/1上开启NAT hairpin功能。

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] nat hairpin enable

5. 验证配置

# 以上配置完成后，Host A、Host B和Host C 分别向外网服务器注册之后，它们之间可以相互访问。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: ---

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT hairpinning:

Totally 1 interfaces enabled with NAT hairpinning.

Interface: GigabitEthernet1/0/1

Config status: Active

NAT mapping behavior:

Mapping mode : Endpoint-Independent

ACL : 2000

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Client A访问Client B时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.3/44929

Destination IP/port: 202.38.1.3/1

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 192.168.1.2/69

Destination IP/port: 202.38.1.3/1024

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/1

State: UDP_READY

Application: TFTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-15 15:53:36 TTL: 46s

Initiator->Responder: 1 packets 56 bytes

Responder->Initiator: 1 packets 72 bytes

Total sessions found: 1

2.17.9 地址重叠的两个VPN之间互访配置举例

1. 组网需求

某公司两个部门由于需要业务隔而分属不同的VPN实例，且两个部门内部使用了相同的子网地址空间。现在要求这两个部门的主机Host A 和Host B之间能够通过NAT地址互相访问。

2. 组网图

图2-11 地址重叠的两个VPN之间互访配置组网图

‌

3. 配置思路

这是一个典型的两次NAT应用：两个VPN之间主机交互的报文的源IP地址和目的IP地址都需要转换，即需要在连接两个VPN的接口上先后进行两次NAT，这可以通过在NAT设备的两侧接口上分别配置静态地址转换实现。

4. 配置步骤

# 按照组网图配置各接口的VPN实例和IP地址，具体配置过程略。

# 配置VPN 1内的IP地址192.168.1.2到VPN 2内的IP地址172.16.1.2之间的静态地址转换映射。

<Router> system-view

[Router] nat static outbound 192.168.1.2 vpn-instance vpn1 172.16.1.2 vpn-instance vpn2

# 配置VPN 2内的IP地址192.168.1.2到VPN 1内的IP地址172.16.2.2之间的静态地址转换映射。

[Router] nat static outbound 192.168.1.2 vpn-instance vpn2 172.16.2.2 vpn-instance vpn1

# 在接口GigabitEthernet1/0/2上配置静态地址转换。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat static enable

# 在接口GigabitEthernet1/0/1上配置静态地址转换。

[Router] interface gigabitethernet 1/0/1

[Router-GigabitEthernet1/0/1] nat static enable

5. 验证配置

# 以上配置完成后，Host A和Host B可以互通，且Host A的对外地址为172.16.1.2，Host B的对外地址为172.16.2.2。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

Static NAT mappings:

Totally 2 outbound static NAT mappings.

IP-to-IP:

Local IP : 192.168.1.2

Global IP : 172.16.1.2

Local VPN : vpn1

Global VPN : vpn2

Config status: Active

IP-to-IP:

Local IP : 192.168.1.2

Global IP : 172.16.2.2

Local VPN : vpn2

Global VPN : vpn1

Config status: Active

Interfaces enabled with static NAT:

Totally 2 interfaces enabled with static NAT.

Interface: GigabitEthernet1/0/1

Config status: Active

Interface: GigabitEthernet1/0/2

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到Host A访问Host B时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.2/42496

Destination IP/port: 172.16.2.2/2048

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: vpn1/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 192.168.1.2/42496

Destination IP/port: 172.16.1.2/0

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: vpn2/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet1/0/2

State: ICMP_REPLY

Application: INVALID

Rule ID: -/-/-

Rule name:

Start time: 2012-08-16 09:30:49 TTL: 27s

Initiator->Responder: 5 packets 420 bytes

Responder->Initiator: 5 packets 420 bytes

Total sessions found: 1

2.17.10 负载分担内部服务器配置举例

1. 组网需求

某公司内部拥有3台FTP服务器对外提供FTP服务。

需要实现如下功能：

· 使用IP地址为202.38.1.1作为公司对外提供服务的IP地址。

· 3台FTP服务器可以同时对外提供服务，并进行负载分担。

2. 组网图

图2-12 负载分担内部服务器配置组网图

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置内部服务器组0及其成员10.110.10.1、10.110.10.2和10.110.10.3。

<Router> system-view

[Router] nat server-group 0

[Router-nat-server-group-0] inside ip 10.110.10.1 port 21

[Router-nat-server-group-0] inside ip 10.110.10.2 port 21

[Router-nat-server-group-0] inside ip 10.110.10.3 port 21

[Router-nat-server-group-0] quit

# 在接口Gigabitethernet1/0/2上配置负载分担内部服务器，引用内部服务器组0，该组内的主机共同对外提供FTP服务。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.1 ftp inside server-group 0

4. 验证配置

# 以上配置完成后，外网主机可以访问内网FTP服务器组。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT server group information:

Totally 1 NAT server groups.

Group Number Inside IP Port Weight

0 10.110.10.1 21 100

10.110.10.2 21 100

10.110.10.3 21 100

NAT internal server information:

Totally 1 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.1/21

Local IP/port : server group 0

10.110.10.1/21 (Connections: 1)

10.110.10.2/21 (Connections: 2)

10.110.10.3/21 (Connections: 2)

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到外网主机访问内网FTP server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 202.38.1.25/53957

Destination IP/port: 202.38.1.1/21

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

Responder:

Source IP/port: 10.110.10.3/21

Destination IP/port: 202.38.1.25/53957

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: FTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-16 11:06:07 TTL: 26s

Initiator->Responder: 1 packets 60 bytes

Responder->Initiator: 2 packets 120 bytes

Total sessions found: 1

2.17.11 NAT DNS mapping配置举例

1. 组网需求

某公司内部对外提供Web和FTP服务。公司内部网址为10.110.0.0/16。其中，Web服务器地址为10.110.10.1/16，FTP服务器地址为10.110.10.2/16。公司具有202.38.1.1至202.38.1.3三个公网IP地址。另外公司在外网有一台DNS服务器，IP地址为202.38.1.4。

需要实现如下功能：

· 选用202.38.1.2作为公司对外提供服务的IP地址。

· 外网用户可以通过域名或IP地址访问内部服务器。

· 内网用户可以通过域名访问内部服务器。

2. 组网图

图2-13 NAT DNS mapping配置组网图

‌

3. 配置思路

· 内网服务器对外提供服务，需要配置NAT内部服务器将各服务器的内网IP地址和端口映射为一个外网地址和端口。

· 内网主机通过域名访问内网服务器时，首先需要通过出接口地址转换分配的外网地址访问外网的DNS服务器，并获取内网服务器的内网IP地址。由于DNS服务器向内网主机发送的响应报文中包含的是内网服务器的外网地址，因此NAT设备需要将DNS报文载荷内的外网地址转换为内网地址，这可以通过查找DNS mapping映射表配合DNS ALG功能实现。DNS mapping映射表用于实现根据“域名+外网IP地址+外网端口号+协议类型”查找到对应的“内网IP+内网端口号”。

4. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 开启DNS的NAT ALG功能。

<Router> system-view

[Router] nat alg dns

# 进入接口GigabitEthernet1/0/2。

[Router] interface gigabitethernet 1/0/2

# 配置NAT内部Web服务器，允许外网主机使用地址202.38.1.2访问内网Web服务器。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.2 inside 10.110.10.1 http

# 配置NAT内部FTP服务器，允许外网主机使用地址202.38.1.2访问内网FTP服务器。

[Router-GigabitEthernet1/0/2] nat server protocol tcp global 202.38.1.2 inside 10.110.10.2 ftp

# 在接口GigabitEthernet1/0/2上配置Easy IP方式的出方向动态地址转换。

[Router-GigabitEthernet1/0/2] nat outbound

# 配置两条DNS mapping表项：Web服务器的域名www.example.com对应IP地址202.38.1.2；FTP服务器的域名ftp.example.com对应IP地址202.38.1.2。

[Router] nat dns-map domain www.example.com protocol tcp ip 202.38.1.2 port https

[Router] nat dns-map domain ftp.example.com protocol tcp ip 202.38.1.2 port ftp

[Router] quit

5. 验证配置

# 以上配置完成后，内网主机和外网主机均可以通过域名访问内网服务器。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: ---

Address group ID: ---

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT internal server information:

Totally 2 internal servers.

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.2/21

Local IP/port : 10.110.10.2/21

Rule name : ServerRule_2

NAT counting : 0

Config status : Active

Interface: GigabitEthernet1/0/2

Protocol: 6(TCP)

Global IP/port: 202.38.1.2/80

Local IP/port : 10.110.10.1/80

Rule name : ServerRule_1

NAT counting : 0

Config status : Active

NAT DNS mapping information:

Totally 2 NAT DNS mappings.

Domain name: ftp.example.com

Global IP : 202.38.1.2

Global port: 21

Protocol : TCP(6)

Config status: Active

Domain name: www.example.com

Global IP : 202.38.1.2

Global port: 443

Protocol : TCP(6)

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到外网主机访问内网Web Server时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 202.38.1.10/63593

Destination IP/port: 202.38.1.2/80

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

Responder:

Source IP/port: 10.110.10.1/80

Destination IP/port: 202.38.1.10/63593

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: -/-/-

Rule name:

Start time: 2012-08-26 14:53:29 TTL: 11s

Initiator->Responder: 5 packets 1145 bytes

Responder->Initiator: 3 packets 1664 bytes

Total sessions found: 1

2.17.12 NAT444端口块静态映射配置举例

1. 组网需求

内部网络用户10.110.10.1～10.110.10.10使用外网地址202.38.1.100访问Internet。内网用户地址基于NAT444端口块静态映射方式复用外网地址202.38.1.100，外网地址的端口范围为10001～15000，端口块大小为500。

2. 组网图

图2-14 NAT444端口块静态映射配置组网图

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 创建NAT端口块组1。

<Router> system-view

[Router] nat port-block-group 1

# 添加私网地址成员10.110.10.1～10.110.10.10。

[Router-port-block-group-1] local-ip-address 10.110.10.1 10.110.10.10

# 添加公网地址成员为202.38.1.100。

[Router-port-block-group-1] global-ip-pool 202.38.1.100 202.38.1.100

# 配置端口块大小为500，公网地址的端口范围为10001～15000。

[Router-port-block-group-1] block-size 500

[Router-port-block-group-1] port-range 10001 15000

[Router-port-block-group-1] quit

# 在接口GigabitEthernet1/0/2上配置NAT444端口块静态映射，引用端口块组1。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat outbound port-block-group 1

[Router-GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

NAT port block group information:

Totally 1 NAT port block groups.

Port block group 1:

Port range: 10001-15000

Block size: 500

Local IP address information:

Start address End address VPN instance

10.110.10.1 10.110.10.10 ---

Global IP pool information:

Start address End address

202.38.1.100 202.38.1.100

NAT outbound port block group information:

Totally 1 outbound port block group items.

Interface: GigabitEthernet1/0/2

port-block-group: 1

Config status : Active

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到系统生成的静态端口块表项信息。

[Router] display nat port-block static

Slot 1:

Local VPN Local IP Global IP Port block Connections

--- 10.110.10.1 202.38.1.100 10001-10500 2

--- 10.110.10.2 202.38.1.100 10501-11000 0

--- 10.110.10.3 202.38.1.100 11001-11500 0

--- 10.110.10.4 202.38.1.100 11501-12000 0

--- 10.110.10.5 202.38.1.100 12001-12500 1

--- 10.110.10.6 202.38.1.100 12501-13000 0

--- 10.110.10.7 202.38.1.100 13001-13500 0

--- 10.110.10.8 202.38.1.100 13501-14000 0

--- 10.110.10.9 202.38.1.100 14001-14500 0

--- 10.110.10.10 202.38.1.100 14501-15000 0

Total mappings found: 10

2.17.13 NAT444端口块动态映射配置举例

1. 组网需求

· 某公司内网使用的IP地址为192.168.0.0/16。

· 该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。

需要实现，内部网络中的192.168.1.0/24网段的用户可以访问Internet，其它网段的用户不能访问Internet。基于NAT444端口块动态映射方式复用两个外网地址202.38.1.2和202.38.1.3，外网地址的端口范围为1024～65535，端口块大小为300。当为某用户分配的端口块资源耗尽时，再为其增量分配1个端口块。

2. 组网图

图2-15 NAT444端口块动态映射配置组网图

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置地址组0，包含两个外网地址202.38.1.2和202.38.1.3，外网地址的端口范围为1024～65535，端口块大小为300，增量端口块数为1。

<Router> system-view

[Router] nat address-group 0

[Router-address-group-0] address 202.38.1.2 202.38.1.3

[Router-address-group-0] port-range 1024 65535

[Router-address-group-0] port-block block-size 300 extended-block-number 1

[Router-address-group-0] quit

# 配置ACL 2000，仅允许对内部网络中192.168.1.0/24网段的用户报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 0

4. 验证配置

# 以上配置完成后，Host A能够访问外网服务器，Host B和Host C无法访问外网服务器。通过查看如下显示信息，可以验证以上配置成功。

[Router] display nat all

NAT address group information:

Totally 1 NAT address groups.

Address group ID: 0

Port range: 1024-65535

Port block size: 300

Extended block number: 1

Address information:

Start address End address

202.38.1.2 202.38.1.3

NAT outbound information:

Totally 1 NAT outbound rules.

Interface: GigabitEthernet1/0/2

ACL: 2000

Address group ID: 0

Port-preserved: N NO-PAT: N Reversible: N

Config status: Active

NAT logging:

Log enable : Disabled

Flow-begin : Disabled

Flow-end : Disabled

Flow-active : Disabled

Port-block-assign : Disabled

Port-block-withdraw : Disabled

Alarm : Disabled

NO-PAT IP usage : Disabled

NAT mapping behavior:

Mapping mode : Address and Port-Dependent

ACL : ---

Config status: Active

NAT ALG:

DNS : Enabled

FTP : Enabled

H323 : Enabled

ICMP-ERROR : Enabled

ILS : Enabled

MGCP : Enabled

NBT : Enabled

PPTP : Enabled

RTSP : Enabled

RSH : Enabled

SCCP : Enabled

SIP : Enabled

SQLNET : Enabled

TFTP : Enabled

XDMCP : Enabled

Static NAT load balancing: Disabled

# 通过以下显示命令，可以看到NAT会话数、当前可分配的动态端口块总数和已分配的动态端口块个数。

[Router] display nat statistics

Total session entries: 1

Session creation rate: 0

Total EIM entries: 0

Total inbound NO-PAT entries: 0

Total outbound NO-PAT entries: 0

Total static port block entries: 0

Total dynamic port block entries: 430

Active static port block entries: 0

Active dynamic port block entries: 1

# 通过以下显示命令，可以看到生成的动态端口块表项信息。

[Router] display nat port-block dynamic

Slot 0:

Local VPN Local IP Global IP Port block Connections

Total mappings found: 0

Slot 2:

Local VPN Local IP Global IP Port block Connections

--- 192.168.1.10 202.38.1.2 65224-65523 1

Total mappings found: 1

2.17.14 双出口组网中的SIP应用配置举例

1. 组网需求

· 某公司内部的SIP用户User使用的IP地址为192.168.0.0/16。

· 该公司拥有202.38.1.2和202.38.2.2两个外网IP地址。

· Router作为NAT网关连接企业内部和Internet。User能够通过Router上连接不同运营商的出接口访问不同的SIP服务器。User访问SIP Server A时，Router将报文的源IP地址转换为202.38.1.2；User访问SIP Server B时，Router将报文的源IP地址转换为202.38.2.2。

· User访问SIP Server A后，Router会生成关联表，用于记录对SIP协议报文载荷中的地址进行转换的映射关系。后续User访问SIP Server B时，Router首先查找关联表对SIP协议报文进行地址转换。这种情况下，Router可能会将User访问SIP Server B的报文载荷中的IP地址转换为202.38.1.2。SIP Server B收到User发送的报文后，向User发送目的IP为202.38.1.2的数据报文。由于ISP 2没有去往202.38.1.2的路由，导致SIP Server B发送的数据报文无法正常转发。为了避免上述问题的产生，需要在Router上开启SIP协议关联表项匹配目的地址功能。开启此功能后，当数据报文匹配关联表项时，需要同时匹配目的地址，避免仅匹配关联表项的源IP和源端口号可能导致的地址转换出错的问题。

2. 组网图

图2-16 内网用户通过NAT访问外网SIP服务器配置组网图

‌

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置地址组0，包含外网地址202.38.1.2。

<Router> system-view

[Router] nat address-group 0

[Router-address-group-0] address 202.38.1.2 202.38.1.2

[Router-address-group-0] quit

# 配置地址组1，包含外网地址202.38.2.2。

[Router] nat address-group 1

[Router-address-group-1] address 202.38.2.2 202.38.2.2

[Router-address-group-1] quit

# 配置ACL 2000，仅允许对内部网络中192.168.1.0/24网段的用户报文进行地址转换。

[Router] acl basic 2000

[Router-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Router-acl-ipv4-basic-2000] quit

# 在接口GigabitEthernet1/0/2上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。

[Router] interface gigabitethernet 1/0/2

[Router-GigabitEthernet1/0/2] nat outbound 2000 address-group 0

[Router-GigabitEthernet1/0/2] quit

# 在接口GigabitEthernet1/0/3上配置出方向动态地址转换，允许使用地址组1中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。

[Router] interface gigabitethernet 1/0/3

[Router-GigabitEthernet1/0/3] nat outbound 2000 address-group 1

[Router-GigabitEthernet1/0/3] quit

# 开启SIP的NAT ALG功能。

[Router] nat alg sip

# 开启SIP协议会话关联表项匹配目的地址功能。

[Router] session relation-table match destination-ip sip enable

4. 验证配置

# 通过以下显示命令，可以看到Host访问SIP server A时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.10/5060

Destination IP/port: 200.1.1.10/5060

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 200.1.1.10/5060

Destination IP/port: 202.38.1.2/1024

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: SIP

Rule ID: -/-/-

Rule name:

Start time: 2022-07-08 14:53:29 TTL: 12s

Initiator->Responder: 1 packets 84 bytes

Responder->Initiator: 1 packets 84 bytes

Initiator:

Source IP/port: 192.168.1.10/1026

Destination IP/port: 200.1.1.10/1026

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 200.1.1.10/1026

Destination IP/port: 202.38.1.2/1027

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/2

State: UDP_READY

Application: RTP

Rule ID: -/-/-

Rule name:

Start time: 2022-07-08 14:53:29 TTL: 12s

Initiator->Responder: 1 packets 84 bytes

Responder->Initiator: 1 packets 84 bytes

Total sessions found: 2

# 通过以下显示命令，可以看到Host访问SIP server B时生成NAT会话信息。

[Router] display nat session verbose

Slot 0:

Total sessions found: 0

Slot 2:

Initiator:

Source IP/port: 192.168.1.10/5060

Destination IP/port: 200.2.1.10/5060

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 200.2.1.10/5060

Destination IP/port: 202.38.2.2/1024

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet1/0/2

State: TCP_ESTABLISHED

Application: SIP

Rule ID: -/-/-

Rule name:

Start time: 2022-07-08 14:53:29 TTL: 12s

Initiator->Responder: 1 packets 84 bytes

Responder->Initiator: 1 packets 84 bytes

Initiator:

Source IP/port: 192.168.1.10/1026

Destination IP/port: 200.2.1.10/1026

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/1

Responder:

Source IP/port: 200.2.1.10/1026

Destination IP/port: 202.38.2.2/1027

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: UDP(17)

Inbound interface: GigabitEthernet1/0/2

State: UDP_READY

Application: RTP

Rule ID: -/-/-

Rule name:

Start time: 2022-07-08 14:53:29 TTL: 12s

Initiator->Responder: 1 packets 84 bytes

Responder->Initiator: 1 packets 84 bytes

Total sessions found: 2

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

07-三层技术-IP业务配置指导

目录

05-NAT配置

1 NAT概述

1.1 NAT配置限制和指导

1.2 NAT基本概念

1.3 NAT工作机制

1.4 NAT转换控制

1.5 NAT转换方式

1.5.1 静态IP地址转换

1.5.2 源IP地址转换

1. NO-PAT模式

2. 基于端口的PAT模式

3. 基于端口块的PAT模式

1.5.3 目的IP地址转换

1.6 NAT表项

1.6.1 NAT会话表项

1.6.2 EIM表项

1.6.3 NO-PAT表项

1.7 NAT支持多VPN实例

1.9 NAT支持ALG

1.11.1 NAT444简介

1.11.2 NAT444集中部署

1.11.3 NAT444分布部署

1.12.1 地址重叠的两个VPN之间互访

1.13 NAT支持基于VPN限制会话数

2.1 接口NAT配置限制和指导

2.2 接口NAT配置任务简介

2.3 配置接口上的静态地址转换

1. 功能简介

2. 配置限制和指导

3. 配置步骤

1. 功能简介

2. 配置限制和指导

3. 配置步骤

1. 功能简介

2. 配置限制和指导

3. 配置步骤

1. 功能简介