华为NAT配置案例

图表 1模拟拓扑图

1、在华为设备上部署静态NAT技术，实现公司员工（私网）访问internet（公网）

静态一对一： AR1#

interface GigabitEthernet0/0/1

ip address 202.106.1.2 255.255.255.0

nat static global 202.1.1.1 inside 192.168.1.2 netmask 255.255.255.255

AR2#

[AR2]ip route-static 202.1.1.1 255.255.255.255 202.106.1.2 [AR2]

结果测试：

查看静态转换表

[AR1]display nat static Static Nat Information:

Interface : GigabitEthernet0/0/1

Global IP/Port : 202.1.1.1/---- Inside IP/Port : 192.168.1.2/---- Protocol : ----

VPN instance-name : ---- Acl number : ---- Netmask : 255.255.255.255 Description : ----

Total : 1 [AR1]

在没有做静态NAT条目的PC2上不能访问公网，可以得出结论：静态NAT是静态一对一的关系

2、在华为设备上部署动态NAT技术，实现公司员工（私网）访问internet（公网） 动态NAT

[AR1]nat address-group 1 202.1.1.1 202.1.1.1（定义一个地址池存放一个可用公网地址202.1.1.1）

[AR1]dis cu | begin acl

acl number 2000 （定义转换的源IP）

rule 5 permit source 192.168.1.0 0.0.0.255 interface GigabitEthernet0/0/1（接口调用） ip address 202.106.1.2 255.255.255.0 nat outbound 2000 address-group 1 结果测试：

在出接口下将ACL和地址池关联起来，需要注意华为设备上如果地支持中有不止一个IP地址，后面需加no-pat,本例中只有一个地址可以不加；PC1和PC2都可以访问公网

[AR1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 ? no-pat Not use PAT

Please press ENTER to execute command

3、在华为设备上部署PAT技术实现公司员工（私网）访问internet（公网）

AR1#

acl number 2000

rule 5 permit source 192.168.1.0 0.0.0.255 interface GigabitEthernet0/0/1

ip address 202.106.1.2 255.255.255.0

nat outbound 2000 (定义复用接口g0/0/1用于PAT转换)

结果测试

[AR1]dis nat outbound

NAT Outbound Information:

--------------------------------------------------------------------------

Interface Acl Address-group/IP/Interface Type

--------------------------------------------------------------------------

GigabitEthernet0/0/1 2000 202.106.1.2 easyip

-------------------------------------------------------------------------- Total : 1 [AR1]

4、在华为设备上部署静态端口映射技术实现公网用户访问私网服务器 静态端口映射

-------------------------------------------------------------------------- AR1#

acl number 2000

rule 5 permit source 192.168.1.0 0.0.0.255

interface GigabitEthernet0/0/1

ip address 202.106.1.2 255.255.255.0

nat static protocol tcp global 202.1.1.1 23 inside 192.168.1.4 23 nat outbound 2000 #

return

[AR1-GigabitEthernet0/0/1]

--------------------------------------------------------------------------

AR3#

[AR3]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

[AR3]dis cu | begin vty user-interface vty 0 4

authentication-mode password

set authentication password cipher **** user-interface vty 16 20 [AR3]