Cisco NAT 技术概述

关注

原创最新推荐文章于 2026-04-06 20:20:16 发布 1.1k 阅读 AI 写同款· GEO 优化 ›

锐捷NAT+ACL理论讲解与实验配置如果映射为于出接口IP同网段的其它IP地址，会由于设备不对该IP地址的ARP请求进行回应而导致映射失效（设备会认为这是一台与本出口在同一网段的其它设备地址，而不是自身的地址，不会对该IP地址的ARP请求进行回应）ACL的匹配顺序为从上往下（ACE序号从小到大）匹配ACE条目，若匹配对应的ACE条目后，就执行该ACE条目的行为（允许/拒绝），不会再往下匹配其他ACE条目。：外部本地地址（外部主机由NAT设备转换后的地址，一般为私有地址，内部主机访问该外部主机时，认为它是一个内部的主机而非外部主机）阅读详情

网络地址转换（NAT）是一种将内部私有IP地址转换为公共IP地址的技术，广泛用于解决IPv4地址短缺问题，提高网络的安全性和灵活性。Cisco设备支持多种NAT技术，包括静态NAT、动态NAT和PAT（端口地址转换）。以下将详细介绍每种技术及其配置方法。

静态NAT

静态NAT是将内部私有IP地址映射到特定的公共IP地址，用于使内部网络中的服务器可被外部访问。

配置命令

# 配置内部和外部接口
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip nat inside
Router(config-if)# exit

Router(config)# interface GigabitEthernet0/1
Router(config-if)# ip nat outside
Router(config-if)# exit

# 配置静态NAT映射
Router(config)# ip nat inside source static 192.168.1.10 203.0.113.10

ip nat inside 和 ip nat outside：定义内部和外部接口。
ip nat inside source static：将内部IP地址192.168.1.10映射到外部IP地址203.0.113.10。

动态NAT

动态NAT使用预定义的公共IP地址池，将内部私有IP地址动态转换为公共IP地址。

配置命令

# 配置内部和外部接口
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip nat inside
Router(config-if)# exit

Router(config)# interface GigabitEthernet0/1
Router(config-if)# ip nat outside
Router(config-if)# exit

# 配置地址池
Router(config)# ip nat pool mypool 203.0.113.10 203.0.113.20 netmask 255.255.255.0

# 配置访问控制列表（ACL）
Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255

# 配置动态NAT
Router(config)# ip nat inside source list 1 pool mypool

ip nat pool：定义一个公共IP地址池。
access-list：定义允许NAT的内部IP地址范围。
ip nat inside source list：将匹配ACL的内部IP地址转换为地址池中的公共IP地址。

PAT（端口地址转换）

PAT，也称为NAT过载，将多个内部私有IP地址转换为单个公共IP地址，但使用不同的端口号。

配置命令

# 配置内部和外部接口
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip nat inside
Router(config-if)# exit

Router(config)# interface GigabitEthernet0/1
Router(config-if)# ip nat outside
Router(config-if)# exit

# 配置访问控制列表（ACL）
Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255

# 配置PAT
Router(config)# ip nat inside source list 1 interface GigabitEthernet0/1 overload

ip nat inside source list ... overload：将匹配ACL的内部IP地址转换为外部接口的公共IP地址，同时使用不同的端口号实现过载。

NAT 配置验证

配置完成后，可以使用以下命令验证NAT配置：

# 显示NAT转换条目
Router# show ip nat translations

# 显示NAT统计信息
Router# show ip nat statistics

show ip nat translations：显示当前的NAT转换条目。
show ip nat statistics：显示NAT的统计信息，如已使用的转换条目数量等。

以下是对比静态NAT、动态NAT和PAT（端口地址转换）几种NAT技术方式的优劣，以表格方式呈现：

特性	静态NAT	动态NAT	PAT（端口地址转换）
映射方式	1:1 映射	多:多映射	多:1 映射
IP地址利用效率	低	中	高
配置复杂度	低	中	高
安全性	高（专用映射）	中（基于地址池）	低（使用单一外部IP）
适用场景	内部服务器对外公开，固定外部IP	内部主机对外访问，有限的外部IP资源	大量内部主机对外访问，外部IP资源有限
性能开销	低	中	高
优点	简单配置，适合需要固定外部IP的服务器	动态分配公共IP，提高资源利用率	极高的IP地址利用率，适合大量内网主机上网
缺点	需要大量公共IP，利用率低	配置较复杂，需要配置地址池和ACL	需要管理大量端口转换，配置复杂，性能开销大
地址池配置	不需要	需要	不需要
适用网络规模	小型网络或特定服务	中型网络	大型网络
示例命令	`ip nat inside source static`	`ip nat pool` + `ip nat inside source list`	`ip nat inside source list ... overload`

具体来看

静态NAT：
- 优点：配置简单，适用于需要固定外部IP的服务器，如邮件服务器、Web服务器等。每个内部设备都有专属的公共IP。
- 缺点：需要大量的公共IP地址，利用效率低。
动态NAT：
- 优点：提高了公共IP地址的利用率，通过动态分配公共IP，适用于内部主机对外访问的场景。
- 缺点：配置相对复杂，需要维护地址池和访问控制列表。
PAT（端口地址转换）：
- 优点：极高的IP地址利用率，允许大量内部主机使用一个公共IP地址对外访问，非常适合家庭网络或中小型企业网络。
- 缺点：需要管理大量端口转换，配置复杂，性能开销较大，在处理大量并发连接时可能会有瓶颈。