document/ccna60d
2
0
Fork 0
mirror of https://github.com/gnu4cn/ccna60d.git synced 2024-05-21 04:55:00 +08:00
Code Issues Packages Projects Releases Wiki Activity

Daily update. 2018-06-22 09:10:58

Browse Source
This commit is contained in:
gnu4cn
2018-06-22 09:10:58 +08:00
parent bf8119fe31
commit 8b3a8a365a
1 changed files with 25 additions and 25 deletions
Download Patch File Download Diff File Expand all files Collapse all files

50
d06-NAT.md
View File

@@ -56,14 +56,14 @@
| 内部地址 | 外部地址 |
| -- | -- |
| 192.168.1.1 | 200.100.1.5 |
| 192.168.1.3 | 200.100.1.7 |
| `192.168.1.1` | `200.100.1.5` |
| `192.168.1.3` | `200.100.1.7` |
根据特定的需求，**在路由器上配置NAT有三种方式**。CCNA考试要求你掌握所有三种方式。
为了配置NAT，要先告诉路由器，有哪些内部和外部接口。这是因为事实上可以将众多内部地址替换成某个NAT地址池中的地址（a pool of NAT addresses），或者最起码替换成单一的NAT地址, 并在路由器上的两个以太网接口之间完成NAT。
正如前面说的，对于考试和现实需求来说，通常都会将私有互联网地址转换成互联网上的可路由的地址（routable addresses on the Internet）。这在家庭宽带路由器上就能见到，其通常会给笔记本电脑一个192.168.1范围的IP，而在连接到ISP的接口上有着一个可路由的地址。
正如前面说的，对于考试和现实需求来说，通常都会将私有互联网地址转换成互联网上的可路由的地址（routable addresses on the Internet）。这在家庭宽带路由器上就能见到，其通常会给笔记本电脑一个`192.168.1`范围的IP，而在连接到ISP的接口上有着一个可路由的地址。
NAT令到私有网络上的主机可以访问互联网上的资源，或是可以访问到其它公共网络。NAT是一个IETF标准，其让局域网的内部流量使用一个IP地址集合，这些地址通常就是RFC 1918中所定义的私有地址空间，对于外部流量，又使用另一个地址集合，这些地址通常是公开注册的IP地址空间。
@@ -78,7 +78,7 @@ NAT为进入和发出的流量去改装数据包的头部，并对每个会话
上面NAT术语中的**内部接口，是指由该组织所控制的管理域的边界接口（the border interface of the administrative domain controlled by the organization）。而并不非得要是内部网络上的主机所使用的默认网关**。
而**内部本地地址则是某台内部网络上的主机的IP地址**。在**多数情况下，内部本地地址都是一个RFC 1918地址**（也就是不可路由地址，比如192.168.x.x或172.16.x.x等等）。该地址被转换成外部全局地址，那么**外部全局地址通常就是来自一个公开分配的或是经注册的地址池了**。要记住的是，尽管如此，**内部本地地址也可以是一个公网地址**。
而**内部本地地址则是某台内部网络上的主机的IP地址**。在**多数情况下，内部本地地址都是一个`RFC 1918`地址**（也就是不可路由地址，比如`192.168.x.x`或`172.16.x.x`等等）。该地址被转换成外部全局地址，那么**外部全局地址通常就是来自一个公开分配的或是经注册的地址池了**。要记住的是，尽管如此，**内部本地地址也可以是一个公网地址**。
**内部全局地址，则是内部主机在其呈现在外部世界时的地址**。一旦内部IP地址被转换过后，对公网或是其它任何外部网络及主机来说，它就成为了一个内部全局地址了。
@@ -95,7 +95,7 @@ NAT为进入和发出的流量去改装数据包的头部，并对每个会话
NAT内部和外部的分址，是一个经典的考试问题，所以还需在回头看几次这里的内容。
##配置并验证NAT，Configuring and Verifying NAT
在思科IOS上对网络地址转换的配置和验证是一个简单的事情。在配置NAT时，要执行下面这些操作。
- 使用接口配置命令`ip nat inside`将一个或多个的接口指定为内部接口。
@@ -160,8 +160,8 @@ tcp 150.1.1.5:159 10.5.5.3:159 200.1.1.1:23 200.1.1.1:23
| 内部地址 | 外部NAT地址 |
| -- | -- |
| 192.168.1.1 | 200.1.1.1 |
| 192.168.2.1 | 200.1.1.2 |
| `192.168.1.1` | `200.1.1.1` |
| `192.168.2.1` | `200.1.1.2` |
对上面的网络，配置应像下面这样。
@@ -196,10 +196,10 @@ Router(config)#ip nat inside source static 192.168.2.1 200.1.1.2
| 内侧地址 | 外侧NAT地址 |
| -- | -- |
| 192.168.1.3 | 200.1.1.11 |
| 192.168.1.2 | 200.1.1.14 |
| `192.168.1.3` | `200.1.1.11` |
| `192.168.1.2` | `200.1.1.14` |
在上面的图6.5中，让内部地址使用的是一个从200.1.1.1到200.1.1.16的地址池。下面是要实现该目的的配置文件。这里就不再给出路由器接口地址了。
在上面的图6.5中，让内部地址使用的是一个从`200.1.1.1`到`200.1.1.16`的地址池。下面是要实现该目的的配置文件。这里就不再给出路由器接口地址了。
```
Router(config)#interface f0/0
@@ -219,7 +219,7 @@ Router(config)#access-list 1 permit 192.168.1.0 0.0.0.255
IP地址处于紧缺之中，在有着成千上万的地址需要路由时，将花一大笔钱（**静态NAT、动态NAT都无法解决此问题**）。在此情况下，可以使用**NAT overload方案**（如图6.6）, 该方案又被思科叫做**端口地址转换（Port Address Translation, PAT）**或**单向NAT**。PAT巧妙地允许将某端口号加到某个IP地址，作为与另一个使用该IP地址的转换区分开来的方式。每个IP地址有多达65000个可以的端口号。
尽管**这是超出CCNA考试范围的，但了解PAT如何处理端口号，会是有用的**。在每个思科文档中，都将每个公网IP地址的可用端口号分为3个范围，分别是0-511、512-1023和1024-65535。PAT给每个UDP和TCP会话都分配一个独特的端口号。它会尝试给原始请求分配同样的端口值，但如果原始的源端口号已被使用，它就会开始从某个特别端口范围的开头进行扫描，找出第一个可用的端口号，分配给那个会话。
尽管**这是超出CCNA考试范围的，但了解PAT如何处理端口号，会是有用的**。在每个思科文档中，都将每个公网IP地址的可用端口号分为`3`个范围，分别是`0-511`、`512-1023`和`1024-65535`。PAT给每个UDP和TCP会话都分配一个独特的端口号。它会尝试给原始请求分配同样的端口值，但如果原始的源端口号已被使用，它就会开始从某个特别端口范围的开头进行扫描，找出第一个可用的端口号，分配给那个会话。
![NAT Overload](images/0606.png)
@@ -229,8 +229,8 @@ IP地址处于紧缺之中，在有着成千上万的地址需要路由时，将
| 内侧地址 | 外侧NAT地址（带有端口号） |
| -- | -- |
| 192.168.1.1 | 200.1.1.1:30922 |
| 192.168.2.1 | 200.1.1.2:30975 |
| `192.168.1.1` | `200.1.1.1:30922` |
| `192.168.2.1` | `200.1.1.2:30975` |
而要配置PAT，需要进行如同动态NAT的那些同样配置，还要在地址池后面加上关键字“overload”。
@@ -298,9 +298,9 @@ NAT故障中十次有九次，都是由于路由器管理员忘记了把`ip nat
**实验步骤**
1. 将IP地址192.168.1.1 255.255.255.0加入到路由器A，并修改hostname为Router A。把IP地址192.168.1.2 255.255.255.0加入到路由器B。在正确的一侧加上时钟速度(clock rate)，然后分别自A往B和自B往A进行ping测试。如需提示，请回顾先前的那些实验。
1. 将IP地址`192.168.1.1 255.255.255.0`加入到路由器`A`，并修改`hostname`为`Router A`。把IP地址`192.168.1.2 255.255.255.0`加入到路由器`B`。在正确的一侧加上时钟速度(`clock rate`)，然后分别自`A`往`B`和自`B`往`A`进行`ping`测试。如需提示，请回顾先前的那些实验。
2. 在路由器A上需要加入一个IP地址，以模拟LAN上的一台主机。**通过一个环回接口，可以实现这个目的**。
2. 在路由器`A`上需要加入一个IP地址，以模拟LAN上的一台主机。**通过一个环回接口，可以实现这个目的**。
```
RouterA#conf t
@@ -310,7 +310,7 @@ RouterA(config-if)#ip add 10.1.1.1 255.0.0.0
RouterA(config-if)#
```
3. 为进行测试，需要告诉Router B将发往任何网络的任何流量，都发往Router A。通过一条静态路由完成这个。
3. 为进行测试，需要告诉`Router B`将发往任何网络的任何流量，都发往`Router A`。通过一条静态路由完成这个。
```
RouterB#conf t
@@ -319,7 +319,7 @@ RouterB(config)#ip route 0.0.0.0 0.0.0.0 Serial0/1/0
RouterB(config)#
```
4. 要测试该条静态路由是否工作，通过从Router A上的环回接口对Router B进行ping操作。
4. 要测试该条静态路由是否工作，通过从`Router A`上的环回接口对`Router B`进行`ping`操作。
```
RouterA#ping
@@ -344,7 +344,7 @@ Success rate is 100 percent (5/5), round-trip min/avg/max = 31/31/32 ms
RouterA#
```
5. 在Router A上配置一个静态NAT条目。使用NAT，将地址10.1.1.1, 在其离开该路由器时，转换成172.16.1.1。同样需要告诉路由器哪个是NAT的内部接口，哪个是外部接口。
5. 在`Router A`上配置一个静态NAT条目。使用NAT，将地址`10.1.1.1`, 在其离开该路由器时，转换成`172.16.1.1`。同样需要告诉路由器哪个是NAT的内部接口，哪个是外部接口。
```
RouterA#conf t
@@ -358,7 +358,7 @@ RouterA(config-if)#ip nat inside source static 10.1.1.1 172.16.1.1
RouterA(config)#
```
6. 打开NAT调试，如此就可以看到转换的进行。此时再执行另一个扩展ping操作（自L0接口的），并查看NAT表。因为IOS的不同，你的输出可能与我的不一样。
6. 打开NAT调试，如此就可以看到转换的进行。此时再执行另一个扩展`ping`操作（自`L0`接口的），并查看NAT表。因为IOS的不同，你的输出可能与我的不一样。
```
RouterA#debug ip nat
@@ -433,9 +433,9 @@ NAT: expiring 172.16.1.1 (10.1.1.1) icmp 7 (7)
**实验步骤**
1. 将IP地址192.168.1.1 255.255.255.0加入到路由器A，并修改hostname为Router A。把IP地址192.168.1.2 255.255.255.0加入到路由器B。在正确的一侧加上时钟速度(clock rate)，然后分别自A往B和自B往A进行ping测试。如需提示，请回顾先前的那些实验。
1. 将IP地址`192.168.1.1 255.255.255.0`加入到路由器`A`，并修改`hostname`为`Router A`。把IP地址`192.168.1.2 255.255.255.0`加入到路由器`B`。在正确的一侧加上时钟速度(`clock rate`)，然后分别自`A`往`B`和自`B`往`A`进行`ping`测试。如需提示，请回顾先前的那些实验。
2. 需要给RouterA添加两个IP地址来模拟LAN上的主机。通过两个环回接口，可以达到这个目的。这两个IP地址将位处不同子网，但都一10地址开头。
2. 需要给`RouterA`添加两个IP地址来模拟LAN上的主机。通过两个环回接口，可以达到这个目的。这两个IP地址将位处不同子网，但都以`10`地址开头。
```
RouterA#conf t
@@ -447,7 +447,7 @@ RouterA(config-if)#ip address 10.2.2.2 255.255.255.0
RouterA(config-if)#
```
3. 为了进行测试，需要告诉RouterB将到任何网络的任何流量，都发往RouterA。用一条静态路由完成这点。
3. 为了进行测试，需要告诉`RouterB`将到任何网络的任何流量，都发往`RouterA`。用一条静态路由完成这点。
```
RouterB#conf t
@@ -456,7 +456,7 @@ RouterB(config)#ip route 0.0.0.0 0.0.0.0 Serial0/1/0
RouterB(config)#
```
4. 在RouterA上，从环回接口向RouterB发出ping操作，以此来测试该静态路由是否工作。
4. 在`RouterA`上，从环回接口向`RouterB`发出`ping`操作，以此来测试该静态路由是否工作。
```
RouterA#ping
@@ -481,7 +481,7 @@ Success rate is 100 percent (5/5), round-trip min/avg/max = 31/31/32 ms
RouterA#
```
5. 在RouterA上配置一个NAT地址池。在本实验中，使用地址池172.16.1.1到172.16.1.10。任何以10开头的地址，都将成为一个NAT。记住你**必须**指定NAT的内部和外部接口，否则NAT就不会工作。
5. 在`RouterA`上配置一个NAT地址池。在本实验中，使用地址池`172.16.1.1`到`172.16.1.10`。任何以`10`开头的地址，都将成为一个NAT。记住你**必须**指定NAT的内部和外部接口，否则NAT就不会工作。
```
RouterA#conf t
@@ -504,7 +504,7 @@ RouterA(config)#
**命令`source list`告诉路由器查看的ACL。该条ACL告诉路由器哪些网络将与NAT地址池进行匹配和转换**。
6. 打开NAT调试，如此才可以看到转换的发生。接着执行扩展ping（自L0和L1发出的），并查看NAT表。因为IOS平台的不同，你的输出可能和下面的不一样。将会看到NAT地址池中的两个地址正在用到。
6. 打开NAT调试，如此才可以看到转换的发生。接着执行扩展`ping`（自`L0`和`L1`发出的），并查看NAT表。因为IOS平台的不同，你的输出可能和下面的不一样。将会看到NAT地址池中的两个地址正在用到。
```
RouterA#debug ip nat