新华三H3CNE网络工程师认证—NAT Server

NAT Server 就是“给内网服务器办一个公司统一对外的公共工牌”，让外网用户能直接访问你藏在公司内网的服务器！好比快递员不知道你工位在哪，但把快递交给前台，前台一定能转交给你！
NAT Server指定[公有地址:端口]与[私有地址:端口]的一对一映射关系，将内网服务器映射到公网，当私有网络主机主动访问[公有地址:端口]实现对内网服务器的访问。

一、为什么需要NAT Server？

1、举例

想象一下

你家公司内网有一台财务服务器（IP: 192.168.1.100），但用的是私网地址（像内部工位号）。

外网用户（比如在家办公的同事）想访问它，但私网地址在外网根本找不到路（就像快递员不知道“财务部小王”在哪栋楼）。

2、解决方法

在路由器上设置NAT Server，把服务器“映射”出去：

对外宣称：“访问公司公共IP的8080端口，就是访问财务服务器！”

外网用户只需找公共IP+端口，路由器自动转发到内网服务器！

二、工作原理——前台小妹的转接神功

假设公司公共IP是 202.100.1.1，内网服务器IP是 192.168.1.100：

1、发公告

路由器对外宣布：“凡是要访问 202.100.1.1:80 的，全部转给内网的 192.168.1.100:80！”

2、外网用户访问

用户浏览器输入 http://202.100.1.1:80（像快递寄到公司前台）。

3、路由器转发

路由器一看：“哦，这是找财务服务器的！” → 把数据包转发给 192.168.1.100。

4、服务器回复

服务器回复数据包经过路由器时，路由器再把源地址改成公司公共IP（像前台用公司电话回拨给快递员）。

✅ 关键点：

外网用户完全不知道内网服务器的真实IP（安全！）。

无需在内网服务器做任何配置（它根本不知道自己被映射了！）。

三、配置示例（H3C设备）

1、场景

把内网Web服务器（192.168.1.100）映射到公司公网IP的80端口。

# 一行命令搞定！  
nat server protocol tcp global 202.100.1.1 80 inside 192.168.1.100 80  

• protocol tcp：指定协议（TCP/UDP）
• global：对外公布的公网IP和端口
• inside：内部服务器的真实IP和端口

2、高级用法

映射多个服务：比如再把 FTP 21端口映射出去 → 加一行命令即可！

隐藏端口：对外用非常用端口（比如8080），隐藏真实端口（80）→ 防扫描！

四、NAT Server 的三大特点

1、精准映射：

一个公网端口对应一个内网服务（像前台分机号：拨8080转财务，拨8090转人事）。

2、安全性高：

隐藏内网结构，外网只能看到公网IP（黑客不知道服务器真实IP）。

3、灵活配置：

可以映射Web、FTP、远程桌面等各种服务。

五、和普通NAT的区别

普通NAT	NAT Server
内网主动访问外网（上网）	外网主动访问内网（发布服务）
多人共享一个公网IP	一个服务独占一个公网端口
像“员工出去逛街”	像“邀请客户来公司参观”

六、适用场景

1、发布网站：把内网Web服务器映射到公网。

2、远程办公：映射远程桌面（RDP）或VPN服务。

3、视频监控：让手机APP能查看内网摄像头。

4、游戏联机：主机游戏开服映射端口。

注意：

映射后记得配置防火墙（只放行必要端口，防止被黑！）。

如果公网IP是动态的（家庭宽带），需搭配DDNS（动态域名解析）。

七、总结

1、NAT Server = 端口转发大师

把内网服务“曝光”到公网，同时隐藏真实身份！

2、配置口诀

一条命令定映射，公网端口转内网。
外网用户轻松访，内部服务器藏得深！

3、记住这个公式

NAT Server = 公网IP:端口 + 私网IP:端口 + 协议
—— 从此内网服务也能安全“出道”！