1. 初识NAT为什么我们需要地址转换第一次接触NAT技术时我盯着路由器配置界面满屏的命令行直发懵——不就是让内网设备上网吗为什么搞得这么复杂直到亲眼看到公司机房那台承载200人办公网络的设备公网IP居然只有5个才明白NAT简直是网络工程师的魔术手。简单来说NAT网络地址转换就像小区物业的前台代收服务。想象你住在某栋1802室私有地址192.168.1.100外卖小哥要把奶茶送到科技园3号楼1802这个地址是找不到的。这时物业前台NAT设备会告诉你把收货地址写成科技园西门公网IP 202.96.128.10我们帮你转交。这个过程中前台还会用不同颜色的便签纸端口号区分1801、1802等不同住户的快递。在eNSP模拟环境中我们主要配置五种NAT类型静态NAT给1802室分配专属快递柜动态NAT物业前台随机分配可用的代收编号动态NAPT前台用不同颜色便签管理所有住户快递Easy IP直接拿小区大门当收货地址静态NAPT指定1802室的奶茶必须用粉色便签提示华为设备默认关闭NAT日志功能建议实验时先执行undo terminal monitor和undo terminal logging避免刷屏2. 实验环境搭建从零开始构建NAT沙盒去年带新人实训时有个常见误区很多人直接复制现成拓扑结果连接口IP都没配通。这里分享我的标准实验搭建流程跟着做能避开90%的基础坑。2.1 设备选型与连线推荐使用以下eNSP设备组合路由器AR2220性能适中支持完整NAT命令交换机S5700创建多VLAN环境终端PC和Cloud模拟公网服务器关键连线技巧路由器AR1的G0/0/0接交换机S1的G0/0/1内网侧AR1的G0/0/1接AR2的G0/0/1模拟ISP上行链路AR2添加Loopback0接口114.114.114.114/32模拟公网DNS# AR2基础配置示例 [Huawei]interface LoopBack0 [Huawei-LoopBack0]ip address 114.114.114.114 255.255.255.2552.2 IP地址规划表这是我反复验证过的地址方案能覆盖所有实验场景设备接口IP地址说明AR1G0/0/0192.168.1.1/30内网网关G0/0/11.1.1.1/30公网出口S1Vlanif10192.168.10.1/24市场部VLANVlanif20192.168.20.1/24研发部VLANPC1Ethernet0192.168.10.2/24市场部主机注意实际配置时要先关闭信息中心undo info-center enable否则会有大量日志干扰3. 静态NAT实战发布企业官网服务器上个月给某制造企业部署官网时就用到静态NAT。他们的需求很简单让公网用户通过202.96.128.100访问内网192.168.100.8的Web服务器。3.1 两种配置方式对比方法一全局模式适合集中管理[Huawei]nat static global 202.96.128.100 inside 192.168.100.8 [Huawei]interface GigabitEthernet0/0/1 [Huawei-GigabitEthernet0/0/1]nat static enable方法二接口模式推荐用于多出口[Huawei-GigabitEthernet0/0/1]nat static global 202.96.128.100 inside 192.168.100.8实测发现个小技巧在接口模式下添加netmask 255.255.255.255能避免地址混淆特别当你有连续IP需要映射时。3.2 故障排查三板斧基础连通性测试# 在内网服务器ping公网地址 ping 114.114.114.114查看NAT会话表display nat session抓包定位# 在出口接口抓包 tcpdump -i GigabitEthernet0/0/1 host 202.96.128.100 -v常见翻车点忘记配置回程路由必须在ISP路由器上加ip route-static 202.96.128.100 255.255.255.255 1.1.1.14. 动态NAT与NAPT解决移动办公上网难题去年优化某证券公司VPN方案时发现他们200个营业部用动态NAT经常地址耗尽。后来改用NAPT同样地址池承载量提升8倍。4.1 动态NAT配置步骤创建ACL定义允许转换的内网范围acl number 2000 rule permit source 192.168.10.0 0.0.0.255 rule permit source 192.168.20.0 0.0.0.255配置地址池假设有5个公网IPnat address-group 1 1.2.3.10 1.2.3.14在出口应用interface GigabitEthernet0/0/1 nat outbound 2000 address-group 1 no-pat关键参数no-pat表示只转换IP不转换端口这正是动态NAT与NAPT的本质区别4.2 动态NAPT优化方案把上述配置最后的no-pat去掉就是NAPTnat outbound 2000 address-group 1测试时可开两个终端同时ping公网用display nat session查看会发现相同公网IP但端口号不同[NAT] Info: Init NAT success. [NAT] Create session: 192.168.10.2:2056 - 1.2.3.10:1024 - 114.114.114.114:2048 [NAT] Create session: 192.168.20.3:3098 - 1.2.3.10:1025 - 114.114.114.114:20485. Easy IP与静态NAPT小型办公室的绝配帮朋友配置他的咖啡厅网络时发现运营商只给了一个动态公网IP。这种场景下Easy IP就是救命稻草。5.1 Easy IP配置如此简单acl number 2000 rule permit source 192.168.88.0 0.0.0.255 interface Dialer1 nat outbound 2000惊喜发现不需要地址池系统自动使用拨号接口获取的公网IP。查看转换结果display nat session protocol icmp输出会显示内网地址被转换为类似218.56.22.15:6043这样的形式。5.2 静态NAPT发布多服务咖啡厅既要提供WiFi又要运行点餐系统。通过静态NAPT实现interface Dialer1 nat server protocol tcp global current-interface 8080 inside 192.168.88.10 80 nat server protocol tcp global current-interface 2121 inside 192.168.88.11 21这里current-interface是点睛之笔能自动适应拨号IP变化。实测即使公网IP每天更换外网用户始终通过域名端口访问服务。