外部NAT转换－Outside NAT-网络通信专区

外部NAT转换－Outside NAT

作者：互联网编辑：王炯 2007-06-25 00:00

从PIX 6.2 开始，NAT 和PAT 能够被应用到来自外部的流量和从低安全级接口到高安全级接口的流量。该功能有时也被称为“双向NAT（bi-directional NAT）”。外部NAT/PAT 和内部NAT/PAT 相同，不过是被应用到PIX 外部或低安全级接口罢了。可以配置动态外部NAT：在低安全级接口上配置地址转换，在高安全级接口上配置全局地址或地址池。也可以使用static 命令指定一对一的映射。外部NAT 配置完成后，当一个数据包抵达PIX 的外部或低安全级接口时，PIX 将试图在连接信息数据库中定位已经存在的xlate（地址转换条目）。如果没有xlate，PIX 将在配置中搜索NAT 策略。找到了NAT 策略后，一个xlate 将被建立并插入连接信息数据库。然后PIX 使用静态映射或全局地址池内的地址重写这个数据包的源地址，将其转发到内部接口。一旦xlate 建立，后续数据包将使用该条目迅速被转发。
下面我们将进行外部NAT 的示例配置。
9.1 网络拓扑图
本例中，我们将实现如下意图：
l 10.100.1.2 外出转换为209.165.202.135
l 209.165.202.129 进入时转换为10.100.1.3
l 10.100.1.0/24 外出时转换为209.165.202.140-209.165.202.141
l 从209.165.202.129 到10.100.1.2 的连接在209.165.202.129 看来是连接到了209.165.202.135，同时10.100.1.2 将实际上来自209.165.202.129 的数据看作来自于10.100.1.3（因为进行了外部NAT 转换）。
我们将用ACL 或conduit 允许访问209.165.202.0/24 内的所有设备。
9.2 外部NAT 配置
以下是PIX 中Outside NAT 部分的配置。
- 10 -
ip address outside 209.165.202.130 255.255.255.224
ip address inside 10.100.1.1 255.255.255.0
global (outside) 5 209.165.202.140-209.165.202.141 netmask 255.255.255.224
nat (inside) 5 10.100.1.0 255.255.255.0 0 0
static (inside,outside) 209.165.202.135 10.100.1.2 netmask 255.255.255.255 0 0
static (outside,inside) 10.100.1.3 209.165.202.129 netmask 255.255.255.255 0 0
conduit permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0
! --- 或者用ACL 代替conduit，但是记住static 命令是必须的。
access-list 101 permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0
access-group 101 in interface outside

Outside NAT

Starting with PIX 6.2, NAT and PAT can be applied to traffic from an outside, or less secure, interface to an inside (more secure) interface. This is sometimes referred to as "bi-directional NAT."

Outside NAT/PAT is similar to inside NAT/PAT, but the address translation is applied to addresses of hosts residing on the outer (less secure) interfaces of the PIX. To configure dynamic outside NAT, specify the addresses to be translated on the less secure interface and specify the global address or addresses on the inside (more secure) interface. To configure static outside NAT, use the static command to specify the one-to-one mapping.

After outside NAT is configured, when a packet arrives at the outer (less secure) interface of the PIX, the PIX attempts to locate an existing xlate (address translation entry) in the connections database. If no xlate exists, it searches the NAT policy from the running configuration. If a NAT policy is located, an xlate is created and inserted into the database. The PIX then rewrites the source address to the mapped or global address and transmits the packet on the inside interface. Once the xlate is established, the addresses of any subsequent packets can be quickly translated by consulting the entries in the connections database.

Network Diagram - Outside NAT

In the example, we wanted the following.

Device 10.100.1.2 to NAT to 209.165.202.135 when going out
Device 209.165.202.129 to NAT to 10.100.1.3 when coming in
Other devices on the 10.100.1.x network to NAT to addresses in the 209.165.202.140-209.165.202.141 pool when going out
Connectivity from device 209.165.202.129 to device 10.100.1.2 with device 209.165.202.129 seeing the inside device as 209.165.202.135 and device 10.100.1.2 seeing traffic from 209.165.202.129 as coming from 10.100.1.3 (because of the outside NAT)

We are permitting access to all 209.165.202.x devices using ACLs or conduits.

Partial PIX Configuration - Outside NAT

Partial PIX Configuration - Outside NAT
ip address outside 209.165.202.130 255.255.255.224 ip address inside 10.100.1.1 255.255.255.0 global (outside) 5 209.165.202.140-209.165.202.141 netmask 255.255.255.224 nat (inside) 5 10.100.1.0 255.255.255.0 0 0 static (inside,outside) 209.165.202.135 10.100.1.2 netmask 255.255.255.255 0 0 static (outside,inside) 10.100.1.3 209.165.202.129 netmask 255.255.255.255 0 0 conduit permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0 !--- Or in lieu of conduits, we leave the static statements but have the following. access-list 101 permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0 access-group 101 in interface outside

ip address outside 209.165.202.130 255.255.255.224
ip address inside 10.100.1.1 255.255.255.0
global (outside) 5 209.165.202.140-209.165.202.141 netmask 255.255.255.224
nat (inside) 5 10.100.1.0 255.255.255.0 0 0
static (inside,outside) 209.165.202.135 10.100.1.2 netmask 255.255.255.255 0 0
static (outside,inside) 10.100.1.3 209.165.202.129 netmask 255.255.255.255 0 0
conduit permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0

!--- Or in lieu of conduits, we leave the static statements but have the following.
 
access-list 101 permit ip 209.165.202.0 255.255.255.0 209.165.202.0 255.255.255.0
access-group 101 in interface outside

转载地址：http://www.net130.com/CMS/Pub/Tech/tech_zh/2006_04_22_95963.htm

路由器接口

路由器具有非常强大的网络连接和路由功能，它可以与各种各样的不同网络进行物理连接，这就决定了路由器的接口技术非常复杂，越是高档的路由器其接口种类也就越多，因为它所能连接的网络类型越多。路由器的端口主要分局域网端口、广域网端口和配置端口三类，下面分别介绍。
1. 局域网接口

常见的以太网接口主要有AUI、BNC和RJ-45接口，还有FDDI、ATM、千兆以太网等都有相应的网络接口，下面分别介绍主要的几种局域网接口。

（1）. AUI端口
AUI端口它就是用来与粗同轴电缆连接的接口，它是一种“D”型15针接口，这在令牌环网或总线型网络中是一种比较常见的端口之一。路由器可通过粗同轴电缆收发器实现与10Base-5网络的连接。但更多的则是借助于外接的收发转发器（AUI-to-RJ-45），实现与10Base-T以太网络的连接。当然，也可借助于其他类型的收发转发器实现与细同轴电缆（10Base-2）或光缆（10Base-F）的连接。AUI接口示意图如图1所示。

（2）．RJ-45端口
RJ-45端口是我们最常见的端口了，它是我们常见的双绞线以太网端口。因为在快速以太网中也主要采用双绞线作为传输介质，所以根据端口的通信速率不同RJ-45端口又可分为10Base-T网RJ-45端口和100Base-TX网RJ-45端口两类。其中，10Base-T网的RJ-45 端口在路由器中通常是标识为“ETH”，而100Base-TX 网的RJ-45端口则通常标识为“10/100bTX”。

如图2所示为10Base-T 网RJ-45端口，而图3所示的为10/100Base-TX网RJ-45端口。其实这两种RJ-45端口仅就端口本身而言是完全一样的，但端口中对应的网络电路结构是不同的，所以也不能随便接。

（3）．SC端口
SC端口也就是我们常说的光纤端口，它是用于与光纤的连接。光纤端口通常是不直接用光纤连接至工作站，而是通过光纤连接到快速以太网或千兆以太网等具有光纤端口的交换机。这种端口一般在高档路由器才具有，都以“100b FX”标注，如图4所示。

2. 广域网接口

在上面就讲过，路由器不仅能实现局域网之间连接，更重要的应用还是在于局域网与广域网、广域网与广域网之间的连接。但是因为广域网规模大，网络环境复杂，所以也就决定了路由器用于连接广域网的端口的速率要求非常高，在以太网中一般都要求在100Mbps快速以太网以上。下面介绍几种常见的广域网接口。

（1）．RJ-45端口
利用RJ-45端口也可以建立广域网与局域网VLAN（虚拟局域网）之间，以及与远程网络或Internet的连接。如果使用路由器为不同VLAN提供路由时，可以直接利用双绞线连接至不同的VLAN端口。但要注意这里的RJ-45端口所连接的网络一般就不太可有是10Base-T这种了，一般都是100Mbps快速以太网以上。如果必须通过光纤连接至远程网络，或连接的是其他类型的端口时，则需要借助于收发转发器才能实现彼此之间的连接。如图5所示为快速以太网（Fast Ethernet）端口。

2）．AUI端口
AUI端口我们在局域网中也讲过，它是用于与粗同轴电缆连接的网络接口，其实AUI端口也被常用于与广域网的连接，但是这种接口类型在广域网应用得比较少。在Cisco 2600系列路由器上，提供了AUI与RJ-45两个广域网连接端口（如图6所示），用户可以根据自己的需要选择适当的类型。

3）．高速同步串口
在路由器的广域网连接中，应用最多的端口还要算“高速同步串口”（SERIAL）了，如图7所示。

这种端口主要是用于连接目前应用非常广泛的DDN、帧中继（Frame Relay）、X.25、PSTN（模拟电话线路）等网络连接模式。在企业网之间有时也通过DDN或X.25等广域网连接技术进行专线连接。这种同步端口一般要求速率非常高，因为一般来说通过这种端口所连接的网络的两端都要求实时同步。
4）．异步串口
异步串口（ASYNC）主要是应用于Modem或Modem池的连接，如图8所示。它主要用于实现远程计算机通过公用电话网拨入网络。这种异步端口相对于上面介绍的同步端口来说

在速率上要求就松许多，因为它并不要求网络的两端保持实时同步，只要求能连续即可，主要是因为这种接口所连接的通信方式速率较低。

（5）．ISDN BRI端口
因ISDN这种互联网接入方式连接速度上有它独特的一面，所以在当时ISDN刚兴起时在互联网的连接方式上还得到了充分的应用。ISDN BRI端口用于ISDN线路通过路由器实现与Internet或其他远程网络的连接，可实现128Kbps的通信速率。ISDN有两种速率连接端口，一种是ISDN BRI（基本速率接口）；另一种是ISDN PRI（基群速率接口）。ISDN BRI端口是采用RJ-45标准，与ISDN NT1的连接使用RJ-45-to-RJ-45直通线。如图9所示的BRI为ISDN BRI端口。

3. 路由器配置接口

路由器的配置端口有两个，分别是“Console”和“AUX”，“Console”通常是用来进行路由器的基本配置时通过专用连线与计算机连用的，而“AUX”是用于路由器的远程配置连接用的。

1．Console端口
Console端口使用配置专用连线直接连接至计算机的串口，利用终端仿真程序（如Windows下的“超级终端”）进行路由器本地配置。路由器的Console端口多为RJ-45端口。如下图10所示就包含了一个Console配置端口。

2．AUX端口
AUX端口为异步端口，主要用于远程配置，也可用于拔号连接，还可通过收发器与MODEM进行连接。AUX端口与Console端口通常同时提供，因为它们各自的用途不一样。接口图示仍参见上述图10。

路由器的硬件连接
从上面的介绍或知，路由器的接口类型非常多，它们各自用于不同的网络连接，如果不能明白各自端口的作用，就很可能进行错误的连接，导致网络连接不正确，网络不通。下面我们通过对路由器的几种网络连接形式来进一步理解各种端口的连接应用环境。路由器的硬件连接因端口类型，也主要分与局域网设备之间的连接、与广域网设备之间的连接以及与配置设备之间的连接三类。

1. 路由器与局域网接入设备之间的连接

局域网设备主要是指集线器与交换机，交换机通常使用的端口只有RJ-45和SC，而集线器使用的端口则通常为AUI、BNC和RJ-45。下面，我们简单介绍一下路由器和集线设备各种端口之间如何进行连接。

（1）. RJ-45-to-RJ-45
这种连接方式就是路由器所连接的两端都是RJ-45接口的，如果路由器和集线设备均提供RJ-45端口，那么，可以使用双绞线将集线设备和路由器的两个端口连接在一起。需要注意的是，与集线设备之间的连接不同，路由器和集线设备之间的连接不使用交叉线，而是使用直通线，也就是说，跳线两端的线序完全相同，但也不是说只要线序相同就行，但最好不要采用一一对应法。再一个要注意的是集线器设备之间的级联通常是通过级联端口进行的，而路由器与集线器或交换机之间的互联是通过普通端口进行的。

另外，路由器和集线设备端口通信速率应当尽量匹配，否则，宁可使集线设备的端口速率高于路由器的速率，并且最好将路由器直接连接至交换机。

（2）．AUI-to-RJ-45
这种情况主要出现在路由器与集线器相连。如果路由器仅拥有AUI端口，而集线设备提供的是RJ-45端口，那么，必须借助于AUI-to-RJ-45收发器才可实现两者之间的连接。当然，收发器与集线设备之间的双绞线跳线也必须使用直通线，连接示意图如图11所示。

3）．SC-to-RJ-45或SC-to-AUI
这种情况一般是路由器与交换机之间的连接，如交换机只拥有光纤端口，而路由设备提供的是RJ-45端口或AUI端口，那么必须借助于SC-to-RJ-45或SC-to-AUI收发器才可实现两者之间的连接。收发器与交换机设备之间的双绞线跳线同样必须使用直通线。但是实际上出现交换机为纯光纤接口的情况非常少见。
2. 路由器与Internet接入设备的连接

路由器的主要应用互联网的连接，路由器与互联网接入设备的连接情况主要有以下几种：

（1）．通过异步串行口连接
异步串口主要是用来与Modem设连接，用于实现远程计算机通过公用电话网拨入局域网络。除此之外，也可用于连接其他终端。当路由器通过电缆与Modem连接时，必须使用AYSNC-to-DB25或AYSNC-to-DB9适配器来连接。路由器与Modem或终端的连接如图12所示。

（2）．同步串行口
在路由器中所能支持的同步串行端口类型比较多，如Cisco系统就可以支持5种不同类型的同步串行端口，分别是：EIA/TIA-232接口、EIA/TIA-449接口、V.35接口、X.21串行电缆总成和EIA-530接口，所对应的适配器图示分别如图13、图14、图15、图16、图17所示。但是在这里要注意的一点就是，因为一般来说适配器连线的两端是采用不同的外形（一般称带插针之类推适配器头一端称之为“公头”，而带有孔的适配器一端通常称之为“母头”，注意“EIA-530”接口两端都是一样的接口类型），这主要是考虑到连接的紧密。图中的“公头”为DTE（数据终端设备，Data Terminal Equipment）连接适配器，下方“母头”为DCE（数据通信设备，Data Communications Equipment）连接适配器。如图18所示为同步串行口与Internet接入设备连接的示意图，在连接时只需要对应看一下连接用线与设备端接口类型就可以知道正确选择了。

转载地址：http://www.net130.com/CMS/Pub/Tech/tech_zh/2006_04_16_29426_3.htm

关注我们