目  录

1 NAT66

1.1 NAT66配置命令

1.1.1 display nat66 all

1.1.2 display nat66 session

1.1.3 display nat66 statistics

1.1.4 nat66 prefix destination

1.1.5 nat66 prefix source

1.1.6 nat66 source easy-ip

1.1.7 reset nat66 session

 

1 NAT66

1.1  NAT66配置命令

1.1.1  display nat66 all

display nat66 all命令用来显示所有的NAT66配置信息。

【命令】

display nat66 all

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示所有的NAT66配置信息。

<Sysname> display nat66 all

NAT66 source information:

  Totally 2 source rules.

  Interface(outbound): GigabitEthernet1/0/1

    Original prefix/prefix-length: 11::/64

    Original VPN-instance: vpn1

    Translated prefix/prefix-length: 22::/64 PAT

    Translated VPN-instance: vpn1

 

  Interface(outbound): GigabitEthernet1/0/2

    Type: Easy-IP

    ACL: 2100

    Config status: Active

 

NAT66 destination information:

  Totally 1 destination rules.

  Interface(inbound): GigabitEthernet1/0/2

    Original prefix/prefix-length: FD01:203:405::/48 Protocol TCP 6000

    Translated prefix/prefix-length: 1::/48 4000

表1-1 display nat66 all命令显示信息描述表

字段	描述
NAT66 source information	NAT66源地址转换的配置信息
NAT66 destination information	NAT66目的地址转换的配置信息
Totally n source rules	当前存在n条NAT66源地址转换规则
Totally n destination rules	当前存在n条NAT66目的地址转换规则
Interface(outbound)	配置了NAT66源地址转换的接口
Interface(inbound)	配置了NAT66目的地址转换的接口
Type	NAT66源地址转换配置的类型。仅配置Easy IP方式的NAT66源地址转换后，才会显示该字段 ·     Easy-IP：Easy IP方式的NAT66源地址转换
ACL	Easy IP方式的NAT66源地址转换配置引用的ACL编号或名称。如果未引用ACL，则显示为“---”
Config status	Easy IP方式的NAT66源地址转换配置的状态： ·     Active：表示配置生效 ·     Inactive：表示配置不生效
Reasons for inactive status	当Config status字段为Inactive时，显示Easy IP方式的NAT66源地址转换配置不生效的原因。取值包括： ·     The following items don't exist or aren't effective: ACL：引用的ACL不存在
Original prefix/prefix-length: xxx Protocol yyy zzz	转换前的前缀信息： ·     xxx：表示转换前的前缀和前缀长度 ·     Protocol：表示传输层协议类型，yyy的取值包括IPv6-ICMP、UDP和TCP。如果未指定协议类型，则不显示Protocol字段 ·     zzz：表示内网服务器向外提供服务时对外公布的外网端口号。如果未指定端口号，则不显示端口信息
Original VPN instance	转换前的前缀所属的MPLS L3VPN的VPN实例名称。如果转换前的前缀属于公网，则不显示该字段
Translated prefix/prefix-length: xxx yyy PAT	转换后的前缀信息： ·     xxx：表示转换后的前缀和前缀长度 ·     yyy：表示内部服务器在内网中的端口号。如果未指定端口号，则不显示端口号信息 ·     PAT：表示使用PAT方式进行转换。如果不使用PAT方式进行转换，则不显示PAT字段
Translated VPN instance	转换后的前缀所属的MPLS L3VPN的VPN实例名称。如果转换后的前缀属于公网，则不显示该字段

 

【相关命令】

·     nat66 prefix destination

·     nat66 prefix source

1.1.2  display nat66 session

display nat66 session命令用来显示NAT66会话，即经过NAT66地址转换处理的会话。

【命令】

display nat66 session [ verbose ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

verbose：显示NAT66会话的详细信息。如果不配置则显示会话的概要信息。

【使用指导】

如果不指定任何参数，则显示所有的NAT66会话的概要信息。

【举例】

# 显示NAT66会话的概要信息。

<Sysname> display nat66 session

Slot 0:

Initiator:

  Source      IP/port: FD01:203:405::1/4048

  Destination IP/port: 2001:DB8:1::100/21

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

 

Total sessions found: 1

表1-2 display nat66 session命令显示信息描述表

字段	描述
Initiator	发起方的会话信息
Responder	响应方的会话信息
Source IP/port	源IPv6地址/端口号
Destination IP/port	目的IPv6地址/端口号
VPN instance/VLAN ID/Inline ID	（暂不支持）会话所属的MPLS L3VPN/二层转发时会话所属的VLAN ID/二层转发时会话所属的INLINE。如果未指定则显示“-/-/-”
Protocol	传输层协议类型，取值包括：DCCP、ICMPv6、Raw IP、SCTP、TCP、UDP、UDP-Lite 括号中的数字表示协议号
Inbound interface	报文的入接口
Source security zone	源安全域，即入接口所属的安全域。若接口不属于任何安全域，则显示为“-”
State	会话状态
Application	应用层协议类型，取值包括：FTP、DNS等，OTHER表示未知协议类型，其对应的端口为非知名端口
Rule ID	安全策略规则的ID
Rule name	安全策略规则的名称
Start time	会话创建时间
TTL	会话剩余存活时间，单位为秒
Initiator->Responder	发起方到响应方的报文数、报文字节数
Responder->Initiator	响应方到发起方的报文数、报文字节数
Total sessions found	当前查找到的会话的总数

 

【相关命令】

·     reset nat66 session

1.1.3  display nat66 statistics

display nat66 statistics命令用来显示NAT66统计信息。

【命令】

display nat66 statistics [ summary ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

summary：显示NAT66统计信息的摘要信息。不指定该参数时，显示NAT66统计信息的详细信息。

【举例】

# 显示所有NAT66统计信息的详细信息。

<Sysname> display nat66 statistics

Slot 0:

  Total session entries: 100

  Total outbound NO-PAT entries: 100

表1-3 display nat66 statistics命令显示信息描述表

字段	描述
Total session entries	NAT66会话表项个数
Total outbound NO-PAT entries	出方向的NAT66 NO-PAT表项个数

 

# 显示所有NAT66统计信息的概要信息。

<Sysname> display nat66 statistics summary

Slot Sessions

0    100

表1-4 display nat66 statistics summary命令显示信息描述表

字段	描述
Sessions	NAT66会话表项个数

 

1.1.4  nat66 prefix destination

nat66 prefix destination命令用来配置IPv6目的地址转换的前缀映射关系。

undo nat66 prefix destination命令用来删除IPv6目的地址转换前缀映射关系的配置。

【命令】

nat66 prefix destination [ protocol pro-type ] original-ipv6-prefix original-prefix-length [ global-port ] [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ local-port ] [ vpn-instance translated-vpn-instance-name ]

undo nat66 prefix destination [ protocol pro-type ] original-ipv6-prefix original-prefix-length [ global-port ] [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ local-port ] [ vpn-instance translated-vpn-instance-name ]

【缺省情况】

不存在IPv6目的地址转换的配置。

【视图】

接口视图

【缺省用户角色】

network-admin

【参数】

protocol pro-type：指定协议类型。如果不指定该参数，则表示对所有协议类型的报文都生效。pro-type取值包括以下形式：

·     数字：取值范围为1～255（不支持50和51，分别对应ESP协议和AH协议）。

·     协议名称：取值包括ipv6-icmp、tcp和udp。

original-ipv6-prefix：表示转换前的目的IPv6地址的前缀，即内部服务器向外提供服务时对外公布的外网IPv6地址前缀。

original-prefix-length：表示转换前的目的IPv6地址的前缀的长度，取值范围为1～128。

global-port：表示内网服务器向外提供服务时对外公布的外网端口号，取值范围为1～65535。如果未指定本参数，则表示不关心报文的目的端口号。本参数仅在指定的协议类型是TCP、UDP时可配。

vpn-instance original-vpn-instance-name：表示转换前的目的IPv6地址的前缀所属的VPN实例。original-vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示转换前的目的IPv6地址的前缀属于公网。

translated-ipv6-prefix：表示转换后的目的IPv6地址前缀，即内部服务器在内网中的IPv6地址前缀。

translated-prefix-length：表示转换后的目的IPv6地址前缀的长度，取值范围为1～128。

local-port：表示内部服务器在内网中的端口号，取值范围为1～65535。如果未指定本参数，则本参数的取值和global-port的取值相同。如果未指定本参数和global-port参数，则表示不转换端口号。本参数仅在指定的协议类型是TCP、UDP时可配。

vpn-instance translated-vpn-instance-name：表示转换后的目的IPv6地址的前缀所属的VPN实例。translated-vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示转换后的目的IPv6地址的前缀属于公网。

【使用指导】

本命令用于内网中的服务器对外部网络提供服务的场景中时，例如给外部网络提供Web服务，或是FTP服务。通过在NAT66设备外网侧接口上配置内部服务器地址和外网地址的映射关系，外部网络用户能够通过指定的外网地址来访问内网服务器。

本命令用在NAT66设备的外网侧接口上，配置时需注意以下几点：

·     需要保证转换前后的目的IPv6地址前缀长度一致。

·     在同一个接口下，公网或同一VPN内一个内网地址前缀和一个外网地址前缀必须是一对一的唯一映射关系。即：

¡     在同一个接口下，已经存在IPv6目的地址转换的前缀映射关系配置的情况下，如果尝试下发新的IPv6目的地址转换的前缀映射关系配置，并且该配置中original-ipv6-prefix original-prefix-length和translated-ipv6-prefix translated-prefix-length与现有配置相同，但其他参数不同（如protocol或vpn-instance），则不允许该配置下发。

¡     在同一个接口下，如需修改已经存在的IPv6目的地址转换的前缀映射关系配置中original-ipv6-prefix original-prefix-length和translated-ipv6-prefix translated-prefix-length外的其他参数，请先通过undo nat66 prefix destination命令删除已经存在的转换关系的配置，再执行nat66 prefix destination命令。

·     不同接口下，公网或同一VPN内同一个外网地址前缀不能映射为不同的内网地址前缀。

·     内部服务器向外提供服务时对外公布的外网IPv6地址前缀不能与NAT66设备的外网地址前缀以及访问内部服务器的外网主机地址前缀相同。

不支持对AH和ESP协议的报文进行NAT66目的地址转换。

【举例】

# 在接口GigabitEthernet1/0/1上配置IPv6目的地址转换的前缀映射关系，将IPv6地址前缀2001::/64转换为2101::/64。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] nat66 prefix destination 2001:: 64 2101:: 64

# 在接口GigabitEthernet1/0/1上配置IPv6目的地址转换的前缀映射关系，内部服务器向外提供FTP服务时对外公布的外网IPv6地址前缀为2001::/64，端口号为64；PAT转换后内部服务器在内网中的IPv6地址前缀为2101::/64，端口号为200。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] nat66 prefix destination 2001:: 64 protocol tcp 64 2101:: 64 200

【相关命令】

·     display nat66 all

1.1.5  nat66 prefix source

nat66 prefix source命令用来配置IPv6源地址转换的前缀映射关系。

undo nat66 prefix source命令用来删除IPv6源地址转换前缀映射关系的配置。

【命令】

nat66 prefix source original-ipv6-prefix original-prefix-length [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ vpn-instance translated-vpn-instance-name ] [ pat ]

undo nat66 prefix source original-ipv6-prefix original-prefix-length [ vpn-instance original-vpn-instance-name ] translated-ipv6-prefix translated-prefix-length [ vpn-instance translated-vpn-instance-name ] [ pat ]

【缺省情况】

不存在IPv6源地址转换前缀映射关系的配置。

【视图】      

接口视图

【缺省用户角色】

network-admin

【参数】

original-ipv6-prefix：表示转换前的源IPv6地址前缀。

original-prefix-length：表示转换前的源IPv6地址前缀的长度，取值范围为1～128。

vpn-instance original-vpn-instance-name：表示转换前的源IPv6地址前缀所属的VPN实例。original-vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示转换前的源IPv6地址前缀属于公网。

translated-ipv6-prefix：表示转换后的源IPv6地址前缀。

translated-prefix-length：表示转换后的源IPv6地址前缀的长度，取值范围为1～128。

vpn-instance translated-vpn-instance-name：表示转换后的源IPv6地址前缀所属的VPN实例。translated-vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。如果未指定本参数，则表示转换后的源IPv6地址前缀属于公网。

pat：表示使用PAT方式进行转换，即转换时同时进行端口转换。如果未指定本参数，则表示转换时不进行端口转换。

【使用指导】

NAT66源地址转换功能主要应用在如下场景中：

·     单个内部网络和外部网络。使NAT66设备连接单个内部网络和外部网络，内部网络中的主机使用仅支持在本地范围内路由的IPv6地址前缀。当内部网络中的主机访问外部网络时，报文中的源IPv6地址前缀将被NAT66设备转换为全球单播IPv6地址前缀。

·     冗余和负载分担。一个IPv6网络去往另外一个IPv6网络的边缘位置存在多个NAT66设备，通过NAT66设备去往另一个IPv6网络的路径形成了等价路由，流量可以在这些NAT66设备上进行负载分担。这种情况下，可以在这些NAT66设备上配置相同的源地址转换规则，使得任意一台NAT66设备都可以处理不同站点间的IPv6流量。

·     多宿主。在多宿主的网络环境中，NAT66设备连接一个内部网络，同时连接到不同的外部网络。可以在NAT66设备的各个外网侧接口上配置地址转换，将同一个内网地址转换成不同的外网地址，实现同一个内部地址到多个外部地址的映射。

本命令用在NAT66设备的外网侧接口上，配置时需注意以下几点：

·     如果不进行端口转换（即不指定pat参数），则需要保证转换前后的源IPv6地址前缀长度一致。

·     在同一个接口下，公网或同一VPN内一个内网地址前缀和一个外网地址前缀必须是一对一的唯一映射关系。即：

¡     在同一个接口下，已经存在IPv6源地址转换的前缀映射关系配置的情况下，如果尝试下发新的IPv6源地址转换的前缀映射关系配置，并且该配置中original-ipv6-prefix original-prefix-length和translated-ipv6-prefix translated-prefix-length与现有配置相同，但其他参数不同（如vpn-instance或pat），则不允许该配置下发。

¡     在同一个接口下，如需修改已经存在的IPv6源地址转换的前缀映射关系配置中original-ipv6-prefix original-prefix-length和translated-ipv6-prefix translated-prefix-length外的其他参数，请先通过undo nat66 prefix source命令删除已经存在的转换关系的配置，再执行nat66 prefix source命令。

·     不同接口下，公网或同一VPN内不同的内网地址前缀不能映射到同一个外网地址前缀。

·     转换后的源IPv6地址前缀不能与NAT66设备的外网地址前缀以及目的外网地址前缀相同。

不支持对AH和ESP协议的报文进行NAT66源地址转换。

【举例】

# 在接口GigabitEthernet1/0/1上配置IPv6源地址转换，将IPv6地址前缀FD9C:58ED:7D73:2::/64转换为2101::/64。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] nat66 prefix source fd9C:58ed:7d73:2:: 64 2101:: 64

# 在接口GigabitEthernet1/0/1上配置IPv6源地址转换，转换时同时进行地址和端口转换，将IPv6地址前缀FD9C:58ED:7D73:2::/64转换为2101::/64。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] nat66 prefix source fd9C:58ed:7d73:2:: 64 2101:: 64 pat

【相关命令】

·     display nat66 all

1.1.6  nat66 source easy-ip

nat66 source easy-ip命令用来配置Easy IP方式的IPv6源地址转换。

undo nat66 source easy-ip命令用来删除Easy IP方式的IPv6源地址转换配置。

【命令】

nat66 source [ acl { ipv6-acl-number | name ipv6-acl-name } ] easy-ip

undo nat66 source [ acl { ipv6-acl-number | name ipv6-acl-name } ] easy-ip

【缺省情况】

不存在Easy IP方式的IPv6源地址转换配置。

【视图】

接口视图

【缺省用户角色】

network-admin

【参数】

ipv6-acl-number：ACL的编号，取值范围为2000～3999。

name ipv6-acl-name：ACL的名称，为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。

【使用指导】

应用场景

Easy IP NAT66允许设备在进行地址转换时，使用其出接口上的IPv6地址作为地址转换后的IPv6地址。同时还会转换私网侧报文的源端口号。

在接口的IP地址是动态分配的情况下，Easy IP NAT66也能够正常工作。例如，当设备通过拨号方式接入网络并动态获取其公网IPv6地址时，如果用户只希望使用动态获取的公网IPv6地址进行地址转换，则可以采用Easy IP NAT66的方法。通过这种方式，即便出口接口的公网IPv6地址发生了变动，设备依然能根据最新的地址进行有效的地址转换。

注意事项

本命令用在NAT66设备的外网侧接口上，配置时需注意：

·     接口下存在多个IPv6地址时，Easy IP NAT66会自动比较报文下一跳的IPv6地址与该接口上所有IPv6地址的匹配程度，然后通过最长前缀匹配原则选择一个IPv6地址，并将此地址作为转换后的源IPv6地址。

·     接口下不存在IPv6地址时，设备会丢弃经过该接口的报文。

·     如果Easy IP NAT66转换配置关联的ACL规则未生效，则Easy IP NAT66转换配置不生效。

【举例】

# 创建编号为2100的IPv6基本ACL，仅允许来自2000::/64网段的报文通过。

<Sysname> system-view

[Sysname] acl ipv6 basic 2100

[Sysname-acl-ipv6-basic-2100] rule permit source 2000::/64

[Sysname-acl-ipv6-basic-2100] quit

# 指定接口GigabitEthernet1/0/1接口的IPv6全球单播地址为3000::1，前缀长度为64。

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] ipv6 address 3000::1 64

# 在GigabitEthernet1/0/1接口下配置Easy IP方式的IPv6源地址转换，仅允许对匹配编号为2100的IPv6 ACL的报文使用当前接口的IPv6地址进行地址转换。

[Sysname-GigabitEthernet1/0/1] nat66 source acl 2100 easy-ip

【相关命令】

·     display nat66 all

1.1.7  reset nat66 session

reset nat66 session命令用来删除NAT66会话。

【命令】

reset nat66 session

【视图】

用户视图

【缺省用户角色】

network-admin

【举例】

# 删除NAT66会话。

<Sysname> reset nat66 session

【相关命令】

·     display nat66 session