华为路由NAT配置管理(3)

三、具体配置

一、动态NAT配置

1、基本配置

配置思路主要有三步：

1、通过acl指定使用需要进行NAT转换的内网IP地址范围 2、创建用于动态NAT转换的公网地址池 3、在出接口把acl和公网地址池进行关联 4、根据需求使用后面的扩展应用 具体配置：

1、通过acl指定需要转换的内部地址、范围、协议

[Huawei-acl-basic-2000]rule 1 permit source 10.1.1.0 0.0.0.255 #允许10.1.1.0/24网段的用户进行NAT转换 [Huawei-acl-basic-2000]rule 1 permit source 10.10.10.10 0 # 允许10.10.10.10用户进行NAT转换

[Huawei-acl-adv-3000]rule 1 permit tcp source 10.1.1.0 0.0.0.255 #允许10.1.1.0/24网段的用户TCP通信时进行NAT转换

2、设置公网映射地址池IP地址（可选）

[Huawei]nat address-group 1 100.100.100.1 100.100.100.10

3、设置出接口与acl和地址池直接的关联

Huawei-GigabitEthernet0/0/2]nat outbound 2000 address-group 1 ?

no-pat Not use PAT #表示一对一转换，只转换地址不转换端口信息

interface #指定某个接口（一般为NAT的出接口）的IP作为转换后的公网IP地址 Please press ENTER to execute command 或（easy IP地址转换）

[Huawei-GigabitEthernet0/0/2]nat outbound 2000 # 直接使用出接口的IP地址进行转换（可静态可动态）

如果需要在Router上执行ping -a source-ip-address命令通过指定发送ICMP ECHO-REQUEST报文的源IP地址来验证内网用户可以访问因特网，需要配置命令ip soft-forward enhance enable使能设备产生的控制报文的增强转发功能，这样，私网的源地址才能通过NAT转换为公网地址。缺省情况下，设备产生的控制报文的增强转发功能处于使能状态。

2、可选配置 1、NAT ALG

NAT ALG（application level gateway，应用层网关）

一般情况下，NAT只能对IP报文头的IP地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如DNS、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，从而无法正确完成通信。

使能ALG（Application Level Gateway）功能可以使NAT设备识别被封装在报文数据部分的IP地址或端口信息，并根据映射表项进行替换，实现报文正常穿越NAT。

目前设备的ALG功能所支持的协议包括：DNS、FTP、SIP、PPTP和RTSP。 具体配置：

[Huawei]nat alg ? all All protocol dns Dns protocol ftp Ftp protocol rtsp Rtsp protocol sip Sip protocol

2、配置NAT设备上的SIP呼叫带宽限制功能

针对SIP Server在公网侧，私网的SIP Phone和公网的SIP Phone互通的场景，如果NAT设备上的带宽不够，就会影响通话质量。我们可以在NAT设备上使能呼叫会话控制CAC（Call Admission Control）功能并配置总带宽，对SIP呼叫进行带宽限制，超过指定带宽的SIP呼叫将被拒绝，无法呼叫成功。 具体配置

[Huawei]nat sip cac enable bandwidth ? #模拟器暂无法模拟

3、配置NAT过滤方式和映射模式

由于IPv4地址的短缺以及出于安全考虑等因素，在因特网中广泛采用了NAT技术。由于不同厂商实现的NAT功能不同，可能会导致使用STUN（通过NAT的UDP简单穿越）、TURN（中继NAT穿越）、ICE（交互式连通建立）技术的应用软件无法穿越NAT，因为这些技术广泛依赖于SIP（会话初始协议）代理等软件。

SIP属于多通道应用，在功能实现时需要创建多个数据通道链接。为了保障多个通道的链接，必须配置NAT映射模式和过滤方式，只允许符合映射关系、过滤条件的报文通过。

设备支持的NAT映射包含如下两种类型：

1、外部地址和端口无关的映射：对相同的内部IP地址和端口重用相同的地址端口映射。

2、外部地址和端口相关的映射：对相同的内部IP地址和端口号访问相同的外部IP地址和端口号重用相同的地址端口映射（如果此映射项还处在活动状态）。

设备支持的NAT过滤方式包含如下三种类型： 1、与外部地址和端口无关的NAT过滤方式。 2、与外部地址相关，端口无关的NAT过滤方式。 3、与外部地址和端口都相关的NAT过滤方式。 具体配置

1、NAT映射模式

[Huawei]nat mapping-mode endpoint-independent ? dest-port 8090

tcp Transmission Control Protocol # 指定应用于TCP通信 udp User Datagram Protocol

Please press ENTER to execute command 2、NAT过滤方式

[Huawei]nat filter-mode ?

endpoint-and-port-dependent Endpoint and port dependent # 与外部地址和端口同时相关 endpoint-dependent Endpoint dependent # 与外部地址相关 endpoint-independent Endpoint independent # 与外部地址不相关

4、配置两次NAT

内外网地址重叠的主机可以根据重叠地址池和临时地址池的映射关系，将重叠地址替换为临时地址同时做NAT，实现内外网的互访。

重叠地址池用来指定内网哪些IP允许和外网重叠，只有属于重叠地址池的地址才会做两次NAT。 临时地址池指定了用哪些临时IP地址来替换重叠地址池里的地址。 具体配置

[Huawei]nat overlap-address 0（索引号） 10.1.1.1（重叠地址） 20.20.20.1（临时地址） pool-length 200（临时地址池个数）

5、设置NAT日志功能

[Huawei]firewall log session enable # 打开防火墙日志功能 默认未打开 [Huawei]firewall log session nat enable # 打开NAT日志功能 默认未打开 [Huawei]info-center enable # 打开信息中心功能

[Huawei]info-center logfile channel channel6 # 设置输入日志通道，详情见信息中心配置

6、设置NAT映射老化时间 [Huawei]firewall-nat session ? dns DNS protocol

ftp File Transfer Protocol

ftp-data Data packet of FTP protocol http HTTP protocol icmp ICMP protocol

rtsp Real Time Streaming protocol rtsp-media Media packet of RTSP protocol sip Session Initiated Protocol sip-media Media packet of SIP protocol tcp TCP protocol tcp-proxy TCP SYN packet udp UDP protocol

[Huawei]firewall-nat session dns aging-time ?

INTEGER<1-65535> Aging-time value in seconds

二、静态NAT配置

静态NAT配置的主要思路：

设置静态地址映射就是设置私网IP与公网IP地址的一对一映射表项，可以在系统视图下为所有NAT出口全局配置，也可以在NAT出接口下仅为该接口配置。

在undo nat static时，设备上的静态映射表项不会立刻消失，如果需要立刻清除，需要手动执行reset nat session来清除。

当配置借用接口接口地址的静态1:1NAT时（不指定端口号）时，可能造成该接口的其他业务无法使用，请谨慎选择。 具体配置：

1、设置静态NAT类型

[Huawei]nat static global 10.10.10.10 inside 192.168.10.1 netmask 255.255.255.1.0 # 基于全局的静态NAT #这里的掩码仅用来指定可建 …… 此处隐藏：4304字，全部文档内容请下载后查看。喜欢就下载吧 ……