华为验证NAPT，Easy IP，NATServer，以及Easy IP，NATServer混合使用

时间：2018-07-01 00:29:34 阅读：319 评论：0 收藏：0 [点我收藏+]

标签：控制 group shadow lob 可以登录 nat process 另一个 ffffff

一、网络拓扑图

二、实验步骤：
1、搭建拓扑图，规划好内网和外网的IP，以及PC机的IP地址和网关。
技术分享图片

2、按照上图配置好路由器上的IP，以及PC机的IP和路由，并在内网路由上配置一条通往外网的默认路由条目。
3、验证PC1与PC2能否互通
技术分享图片

由上图可知，外网没有配置去往192.168.1.0网段的路由，所以是ping不通的
4、配置NAPT，实现内网与外网的通信。配置命令如下：
[neiwang]acl 2000 //配置ACL 2000
[neiwang-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255 //配置属于192.168.1.0网段的流量允许通过
[neiwang-acl-basic-2000]quit //退回系统视图
[neiwang]nat address-group 1 192.168.2.3 192.168.2.3 //配置NAT地址组
[neiwang]interface GigabitEthernet 0/0/1 //进入内网数据出端口 GigabitEthernet 0/0/1
[neiwang-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 //匹配acl 2000规则的流量允许转换成NAT地址组的地址
验证外网PC机能否ping通外网PC机，外网PC机能否ping通内网
技术分享图片

由上图可知NAPT可以实现内网上网，但外网无论直接访问内网地址，还是访问NAT转换的地址，都无法访问到内网。
5、清除以上NAT配置信息，配置Easy IP，命令如下：
[neiwang]acl 2000 //配置ACL 2000
[neiwang-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255 //配置属于192.168.1.0网段的流量允许通过
[neiwang]interface GigabitEthernet 0/0/1 //进入内网数据出端口 GigabitEthernet 0/0/1
[neiwang-GigabitEthernet0/0/1]nat outbound 2000 //配置符合ACL 2000的流量NAT转换成端口的IP
验证：内网能否ping同外网，并抓包查看内网通过哪个地址访问外网
技术分享图片

由上图可知，无论内网哪台PC机访问外网，都是通过内网数据出端口的IP访问外网。
验证外网可否ping通内网，并在内网入端口进行抓包
技术分享图片

通过以上结果，得出外网不能ping通内网，只能访问内网出端口的IP
6、清除以上NAT配置，配置NAT Server，命令如下：
[neiwang]interface GigabitEthernet 0/0/1 //进入内网数据出端口 GigabitEthernet 0/0/1
[neiwang-GigabitEthernet0/0/1]nat server global 192.168.2.3 inside 192.168.1.1
[neiwang-GigabitEthernet0/0/1]nat server global 192.168.2.4 inside 192.168.1.2
[neiwang-GigabitEthernet0/0/1]nat server global 192.168.2.5 inside 192.168.1.3
以上3条命令是将公网地址转换成对应的内网地址，而且是每个内网配置一个公网地址
验证内网与外网能否实现互通，外网ping内网的时候在内网路由GigabitEthernet0/0/0处抓包

技术分享图片

通过以上数据分析，NATServer可以实现上网，同时外网同NAT转换的对应公网地址，可以访问内网，在经过内网路由时，自动按照NAT地址转换列表，转换成内网地址。
7、清除以上NAT配置命令，在交换机上添加一台server，外网路由器上添加一台client
通过NAT Server和Easy IP实现内网可以上网，外网仅可以登录内网服务器。
server和client配置如下：
技术分享图片

配置命令如下：
[waiwang]interface GigabitEthernet 0/0/2 //进入外网路由GigabitEthernet 0/0/2
[waiwang-GigabitEthernet0/0/2]ip address 192.168.4.254 24 //配置client网关
[neiwang-GigabitEthernet0/0/1]nat outbound 2000 //配置符合ACL 2000的流量NAT转换成端口IP
[neiwang-GigabitEthernet0/0/1]nat server protocol tcp global 192.168.2.3 8080 in
side 192.168.1.4 80 //配置访问公网192.168.2.3 8080端口时，NAT转换成192.168.1.4 80端口
技术分享图片
验证：内网PC机访问外网能否ping通，外网访问内网能否ping通，外网client能否访问内网server http

外网访问内网服务器的时候，在内网路由GigabitEthernet0/0/0处抓包

综合以上数据，可知内网都可以访问公网，公网不能访问内网，但是可以通过另一个公网地址的访问内网的http服务器。