*第1頁第7章NAT與VPN*第2頁學習目標理解：網絡地址轉換的工作原理掌握：網絡地址轉換的配置及應用理解：VPN的工作原理掌握：VPN的配置及應用

學習完本次課程，您應該能夠：*第3頁課程內容

網絡地址轉換（NAT）

虛擬專用網（VPN）*第4頁1網絡地址轉換（NAT）學習內容網絡地址轉換概述靜態網絡地址轉換及案例動態網絡地址轉換及案例基于端口的網絡地址轉換及案例網絡地址轉換狀態信息的查看*第5頁1.1網絡地址轉換（NAT）1）網絡地址轉換（NetworkAddressTranslation，NAT）網絡地址轉換是一種用于實現私用IP地址與公用IP地址之間的映射轉換的技術。網絡地址轉換是在1994年提出的，主要是為了緩解IPv4的IP地址不足問題。2011年2月，IPv4的地址已經耗盡，ISP已經不能申請到新的IP地址塊了，但直到今天IPv6仍還沒有完全普及開來。所以，網絡地址轉換技術的使用非常廣泛，幾乎所有的單位中的網絡都用到了NAT技術。*第6頁2）NAT的一些術語（1）內部本地地址(InsideLocalAddress)指本網絡內部主機的IP地址。該地址通常是未注冊的私有IP地址。（2）內部全局地址(InsideGlobalAddress)指內部本地地址在外部網絡表現出的IP地址。它通常是注冊的合法IP地址，是NAT對內部本地地址轉換后的結果。（3）外部本地地址(OutsideLocalAddress)指外部網絡的主機在內部網絡中表現的IP地址。（4）外部全局地址(OutsideGlobalAddress)指外部網絡主機的IP地址。（5）內部源地址NAT把InsideLocalAddress轉換為InsideGlobalAddress。這也是我們通常所說的NAT。在數據報送往外網時，它把內部主機的私有IP地址轉換為注冊的合法IP地址，在數據報送入內網時，把地址轉換為內部的私有IP地址。（6）外部源地址NAT把OutsideGlobalAddress轉換為OutsideLocalAddress。這種轉換只是在內部地址和外部地址發生重疊時使用。（7）NAPTNAPT又稱portNAT或PAT，它是通過端口復用技術，讓一個全局地址對應多個本地地址，以節省對合法地址的使用量。第7頁*第8頁3）NAT的類型（1）按照私有IP地址與公用IP地址的對應關系，可以分為：靜態NAT動態NAT（2）根據NAT轉換的內容及層次，可分為：基于IP的NAT基于端口的NAT（3）根據ipnat的命令組合方式，可分為：ipnatinsidesourceipnatinsidedestationipnatoutsidesourceipnatoutsidedestation本節主要進行對于本地源IP地址的NAT實驗。1.2靜態NAT的配置及案例這里指的是內部源地址的靜態NAT的配置。它有以下特征：內部本地地址和內部全局地址是一對一映射。靜態NAT是永久有效的。通常我們為那些需要固定公用IP地址的主機建立靜態NAT，比如一個位于內部網絡中，但卻需要被外部主機訪問的服務器。第9頁*第10頁1.2靜態NAT的配置及案例1）靜態NAT的配置（1）靜態NAT的配置命令格式Router(config)#ipnatinsidesourcestatic

local-addressglobal-address

說明這個命令用于指定內部本地地址和內部全局地址的對應關系。如果加上permit-inside關鍵字，則內網的主機既能用本地地址訪問，也能用全局地址訪問該主機，否則只能用本地地址訪問。*第11頁（2）指定路由器進行NAT的內部網絡接口與外部網絡接口：命令格式Router(config)#interfaceinterface-id

Router(config-if)#ipnatinside說明以上命令指定了在路由器上進行NAT轉換的內部接口。命令格式Router(config-if)#interfaceinterface-id

Router(config-if)#ipnatoutside說明此命令指定了路由器進行NAT轉換的外部接口。*第12頁（3）刪除配置的靜態NAT：命令格式Router(config)#noipnatinsidesourcestaticlocal-addressglobal-address

說明該命令可刪除NAT表中指定的項目，不影響其它NAT的應用。如果在接口上使用noipnatinside或noipnatoutside命令，則可停止該接口的NAT檢查和轉換，會影響各種NAT的應用。（4）配置舉例：某單位網絡使用/24的私有網段，其中有一臺服務器，希望以公網地址的身份，對外部公網提供訪問服務。網絡拓撲以及各設備的IP地址，如下圖所示：第13頁I．配置與之間的靜態NAT；Router>enableRouter#configureterminalRouter(config)#ipnatinsidesourcestatic第14頁II．指明NAT的內部接口與外部接口Router(config)#interfacef0/0Router(config-if)#ipnatinsideRouter(config-if)#exitRouter(config)#interfacef0/1Router(config-if)#ipnatoutsideRouter(config-if)#endRouter#第15頁III．驗證i．在PC1（00）上ping，可以ping通；ii．將模擬器轉換到模擬狀態下，再一次地在PC1（00）上ping，查看IP包的傳送路徑，并在當包傳到路由器時，單擊打開數據包，查看包進出路由器時的IP地址變化。從下圖中，可以發現，當此IP包進入路由器的目的IP地址為，而此IP包從路由器出去時，目的IP地址變成為；源IP地址沒有變化，都是00。第16頁第17頁*第18頁2）靜態NAPT的配置靜態NAPT可以使一個內部全局地址和多個內部本地地址相對應，從而可以節省合法IP地址的使用量。它有以下特征：一個內部全局地址可以和多個內部本地地址建立映射，用IP地址+端口號區分各個內部地址。從外部網絡訪問靜態NAPT映射的內部主機時，應該給出端口號。靜態NAPT是永久有效的。*第19頁（1）靜態NAPT的配置：命令格式Router(config)#ipnatinsidesourcestatic{tcp|udp}local-addressportglobal-addressport

說明

這個命令用于指定內部本地地址和內部全局地址的對應關系，其中包括IP地址、端口號，使用的協議等信息。（2）指定路由器進行NAT的內部網絡接口與外部網絡接口：命令格式Router(config)#interfaceinterface-id

Router(config-if)#ipnatinside以上命令指定了網絡的內部接口。Router(config-if)#interfaceinterface-id

Router(config-if)#ipnatoutside以上命令指定了網絡的外部接口。你可以配置多個Inside和Outside接口。*第20頁*第21頁（3）刪除配置的靜態NAPT：命令格式Router(config)#noipnatinsidesourcestatic{tcp|udp}local-addressportglobal-addressport

該命令可刪除NAT表中指定的項目，不影響其它NAT的應用。如果在接口上使用noipnatinside或noipnatoutside命令，則可停止該接口的NAT檢查和轉換，會影響各種NAT的應用。（4）配置舉例：某單位網絡使用/24的私有網段，其中有兩臺WWW服務器、2；一臺FTP服務器2，這三臺服務器，都希望以公網地址的身份，對外部公網提供訪問服務。其中，二臺WWW服務器、2，對外的網絡端口分別為80、8080。網絡拓撲以及各設備的IP地址，如下圖所示：I．配置靜態NAPT；Router>enableRouter#configureterminalRouter(config)#ipnatinsidesourcestatictcp8080Router(config)#ipnatinsidesourcestatictcp2808080Router(config)#ipnatinsidesourcestatictcp22121Router(config)#ipnatinsidesourcestatictcp22020第23頁II．指明NAT的內部接口與外部接口Router(config)#interfacef0/0Router(config-if)#ipnatinsideRouter(config-if)#exitRouter(config)#interfacef0/1Router(config-if)#ipnatoutsideRouter(config-if)#endRouter#第24頁III．驗證i．對Server0、Server1上的WWW服務器頁面進行設置，即在網頁中添加上紅線部分，用于區分訪問的WWW服務器；第25頁上圖為Server0上的WWW服務器配置，下圖為Server1上的WWW服務器配置ii．在PC1（00）上通過瀏覽器可以訪問和:8080，查看訪問結果。iii．將模擬器轉換到模擬狀態下，再一次在PC1（00）的瀏覽器上訪問：8080，查看IP包的傳送路徑，并在當包傳到路由器時，單擊打開數據包，查看包進出路由器時的IP地址變化。進入路由器的包的詳細參數如圖7.1.6所示，請注意紅色標注的目的IP與端口號：第27頁從路由器出去的包，即經過靜態NAPT后，包的詳細參數如圖7.1.7所示，請注意紅色標注的目的IP與端口號：1.3動態NAT的配置及案例這里指的是內部源地址的動態NAT的配置。它有以下特征：內部本地地址和內部全局地址是一對一映射。動態NAT是臨時的，如果過了一段時間沒有使用，映射關系就會刪除。動態映射需要把合法地址組建成一個地址池，當內網的客戶機訪問外網時，從地址池中取出一個地址為它建立NAT映射，這個映射關系會一直保持到會話結束。第30頁1）定義動態NAT的地址池命令格式Router(config)#ipnatpool

pool-namestart-addressend-addressnetmask

subnet-mask

說明這個命令用于定義一個IP地址池，pool-name是地址池的名字，start-address是起始地址，end-address是結束地址，subnet-mask是子網掩碼。地址池中的地址是供轉換的內部全局地址，通常是注冊的合法地址。第31頁2）定義動態NAT的訪問控制列表命令格式Router(config)#access-listaccess-list-numberpermit

addresswildcard-mask

說明這個命令定義了一個訪問控制列表，access-list-number是表號，address是地址，wildcard-mask是通配符掩碼。它的作用是限定內部本地地址的格式，只有和這個列表匹配的地址才會進行NAT轉換。第32頁3）啟動內部源地址動態NAT命令格式Router(config)#ipnatinsidesourcelist

access-list-numberpool

pool-name

說明這個命令定義了動態NAT，access-list-number是訪問列表的表號，pool-name是地址池的名字。它表示把和列表匹配的內部本地地址，用地址池中的地址建立NAT映射。第33頁4）指定網絡的內部接口與外部接口命令格式Router(config)#interfaceinterface-id

Router(config-if)#ipnatinside以上命令指定了網絡的內部接口。Router(config-if)#interfaceinterface-id

Router(config-if)#ipnatoutside以上命令指定了網絡的外部接口。可以配置多個Inside和Outside接口。第34頁5）配置舉例：某辦公室通過路由器與外網相連，辦公室有4臺電腦，但平時只有2人會同時上網，辦公室內網使用/24網段，辦公室分得二個公用IP地址：、，現要求使用動態NAT轉換實現辦公室內網訪問Internet。網絡結構與IP分配如下圖所示。第35頁I．配置地址池、訪問控制列表，啟動內部源地址的動態NAT轉換；Router>enableRouter#configureterminalRouter(config)#ipnatpoolnpnetmaskRouter(config)#access-list1permit55Router(config)#ipnatinsidesourcelist1poolnp說明：訪問列表的定義不要太寬，應盡量準確，否則可能會出現不可預知的結果。第36頁II．指明NAT的內部接口與外部接口Router(config)#interfacef0/0Router(config-if)#ipnatinsideRouter(config-if)#interfacef0/1Router(config-if)#ipnatoutsideRouter(config-if)#endRouter#第37頁III．驗證i．PC0—PC3的默認網關都配置為，PC4不配置默認網關。此時從PC4上ping內網中的PC0、PC1、PC2、PC3，都是ping不通的。ii．從PC0上ping外網的PC4，可以發現能夠ping通。請切換到模擬狀態下，重新從PC0上ping外網的PC4，查看其IP包通過路由器時的變化情況。第38頁1.4動態NAPT的配置及案例動態NAPT可以使一個內部全局地址和多個內部本地地址相對應，從而可以節省合法IP地址的使用量。它有以下特征：一個內部全局地址可以和多個內部本地地址建立映射，用IP地址+端口號區分各個內部地址。（銳捷路由器中每個全局地址最多可提供64512個NAT地址轉換）動態NAPT是臨時的，如果過了一段時間沒有使用，映射關系就會刪除。動態NAPT可以只使用一個合法地址為所有內部本地地址建立映射，但映射數量是有限的，如果用多個合法地址組建成一個地址池，每個地址都能映射多個內部本地地址，則可減少因地址耗盡導致的網絡擁塞。第39頁動態NAPT的配置與動態NAT基本上相同，只是在NAT定義中，需要加上overload關鍵字：Router(config)#ipnatinsidesourcelist

access-list-numberpool

pool-nameoverload

這個命令定義了動態NAPT，access-list-number是訪問列表的表號，pool-name是地址池的名字。它表示把和列表匹配的內部本地地址，用地址池中的地址建立NAPT映射。overload關鍵字表示啟用端口復用。加上overload關鍵字后，系統首先會使用地址池中的第一個地址為多個內部本地地址建立映射，當映射數量達到極限時，再使用第二個地址。配置舉例：某辦公室通過路由器與外網相連，辦公室有4臺電腦，內網使用/24網段，辦公室分得一個公用IP地址：，現要求使用NAPT轉換實現辦公室內網所有電腦都能同時訪問Internet。網絡結構與IP分配如下圖所示。I．配置地址池、訪問控制列表，啟動內部源地址的動態NAT轉換；Router>enableRouter#configureterminalRouter(config)#ipnatpoolnpnetmaskRouter(config)#access-list1permit55Router(config)#ipnatinsidesourcelist1poolnpoverload說明：overload關鍵字表示啟用端口復用。II．指明NAT的內部接口與外部接口Router(config)#interfacef0/0Router(config-if)#ipnatinsideRouter(config-if)#interfacef0/1Router(config-if)#ipnatoutsideRouter(config-if)#endRouter#III．驗證i．PC0、PC1、PC2、PC3可以同時ping通PC4，說明配置成功。ii．切換到模擬狀態下，查看IP包通過路由器時的TCP/IP參數（源/目的IP地址、源/目的端口號）的變化情況。1.5NAT信息的查看1）顯示NAT轉換記錄：命令格式Router#showipnattranslations[verbose]說明這個命令顯示NAT轉換記錄，加上verbose關鍵字時，可顯示更詳細的轉換信息。如：Router>enableRouter#showipnattranslationsPro

Insideglobal

Insidelocal

Outsidelocal

Outsideglobaltcp

13:1815

:1815

:80

:80這里顯示的是一次NAT的轉換記錄，內容依次為：協議類型(Pro)、內部全局地址及端口(Insideglobal)、內部本地地址及端口(Insidelocal)、外部本地地址及端口(Outsidelocal)、外部全局地址及端口(Outsideglobal)。2）顯示NAT規則和統計數據：命令格式Router#show

ipnatstatistics如：Router>enableRouter#showipnatstatisticsTotalactivetranslations:372,maxentriespermitted:30000Outsideinterfaces:Serial1/0Insideinterfaces:FastEthernet0/0Rulestatistics:[ID:1]insidesourcedynamichit:24737match(afterrouting):

ippacketwithsource-ipmatchaccess-list1action:

translateippacket'ssource-ipusepoolabc包括：當前活動的會話數(Totalactivetranslations)、允許的最大活動會話數(maxentriespermitted)、連接外網的接口(Outsideinterfaces)、連接內網的接口(Insideinterfaces)、NAT規則(Rule，允許存在多個規則，用ID標識)。規則1(ID:1)：NAT類型(本例為內部源地址動態NAT)、此規則被命中次數(hit值)、路由前還是路由后(match值，本例為路由前)、地址限制(本例受access-list1限制)、轉換行為(action值，本例用地址池abc轉換源地址)。3）清除NAT轉換記錄：命令格式Router#clear

ipnattranslation*

說明該命令會清除NAT轉換表中的所有轉換記錄，它可能會影響當前的會話，造成一些連接丟失。*第49頁課程內容

網絡地址轉換（NAT）

虛擬專用網（VPN）*第50頁2虛擬專用網（VPN）主要內容虛擬專用網及其工作機制VPN的配置命令及步驟VPN應用案例*第51頁2.1虛擬專用網（VPN）1）虛擬專用網及其工作機制虛擬專用網（VirtualPrivateNetwork，VPN），是一種連網技術，主要用于利用開放的公眾網絡（比如Internet）建立專用數據傳輸通道，將分處兩地的機構網絡連接起來，好象使用一條專線將分處兩地的機構網絡直接連接起來一樣，并可實現保密通信。 圖7.2.1以一個機構分處兩地的兩個部門網絡之間的互連說明使用隧道技術實現虛擬專用的原理。*第52頁*第53頁假定某機構在兩個相隔較遠的部門建立了專用網A和B，其網絡地址分別為專用地址和。現在這二個部門需要通過Internet構成一個VPN，讓這兩個部門之間可以像有一條專線直接相連一樣進行通信。 每個部門的專用網與Internet相連的路由器至少要有一個合法的全局IP地址，如圖7-2-1中的路由器R1和R2與Internet相連接口的全局地址分別為和。這兩個路由器與內部網絡的接口地址則是使用專用網的本地地址。在每個部門A或B內部的通信量都不需要經過Interent。但如果部門A的主機X要與部門B的主機Y通信，主機X發給主機Y的IP數據報的源地址是，目的地址是。路由器R1收到數據報后，發現其目的網絡必須通過Internet才能到達，就把整個數據報用事先約定好的加密算法與加密密鑰進行加密，這樣做是為了保證內部數據報的安全，然后重新加上數據報的頭部，封裝成為在Interent上傳輸的外部網絡數據報，新頭部中的源IP地址是路由器R1的全局地址，目的地址是路由器R2的全局地址。路由器R2收到數據報后，將其數據報進行解密，恢復出原來的內部數據報，交付給主機Y。從上可見，雖然主機X向主機Y發送的數據報通過了公用網Internet傳輸，但在效果上就好像是在本部門的專用網上傳送一樣。如果主機Y要向主機X發送數據報，那么所經過的步驟也是類似的。2）虛擬專用網的類型按照連接對象的類型，虛擬專用網可分為兩種類型：站點到站點的VPN和遠程訪問VPN。站點到站點的VPN，也即站點間的VPN，就是在二個站點間建立一個隧道，讓二個站點間好象有一條專線直接連接一樣，以實現二個站點間的安全通信。站點到站點VPN可用來在公司總部和其分支機構、辦公室之間建立的VPN；替代了傳統的專線或分組交換WAN連接；它們形成了一個企業的內部互聯網絡。遠程訪問VPN，主要用于遠程或移動用戶的遠程訪問連接。比如，單位員工在家里通過遠程訪問VPN接入到單位的內部網，以便訪問內部服務器上的相關資源。按照虛擬專用網實現的協議，虛擬專用網可分為三種類型：IPSecVPN、SSLVPN和MPLSVPN。本節只討論使用IPSec實現的站點間的VPN。3）使用IPSec的站點到站點間VPN建立步驟使用IPSec的站點到站點間的VPN的配置步驟可以由以下四大步驟組成（1）配置IPSec前的準備工作，確保網絡是通的；（2）配置ISAKMP/IKE參數（創建IKE策略，配置身份認證的方式、加密算法、摘要算法等）（3）配置IPSEC（變換集、確定VPN的變換流量、加密映射、應用到端口）；（4）測試、驗證與排錯；*第58頁2.2虛擬專用網的配置命令與步驟站點間的VPN具體的配置步驟及命令如下：1）啟動ISAKMP/IKE命令格式：Router(config)#cryptoisakmpenable說明：此命令用于啟動ISAKMP/IKE。ISAKMP，即InternetSecuriityAssocationandKeyManagementProtocol，Internet安全關聯和密鑰管理協議，主要定義了消息格式、密鑰交換協議機制，并且為IPSec建立一個SA的協商過程。IKE，即InternetKeyExchange，Internet密鑰交換，IKE完善了ISAKMP協議，補上了ISAKMP所沒有的密鑰管理，以及在兩個IPSec對等體之間共享密鑰。*第59頁2）建立并配置IKE協商策略命令格式：Router(config)#cryptoisakmppolicy

priority_number

//建立IKE協商策略Router(config-isakmp)#authentication{pre-share|rsa-encr|rsa-sig}//指定身份認證類型Router(config-isakmp)#encryption｛des|3des|aes｝

//配置加密算法Router(config-isakmp)#hash｛md5|sha1｝

//配置摘要算法Router(config-isakmp)#lifetimeseconds

//SA的活動時間*第60頁說明：建立一個策略，并為建立的策略指定一個策略編號priority_number，該編號范圍是1到10000。數字越低，策略的優先級越高。Authentication命令VPN的雙方用來指定身份認證的類型，有預共享密鑰（pre-share）、RSA加密的nonce（rsa-encr）和數字證書（rsa-sig）三種方式。本節只使用預共享密鑰，對于后兩種方式暫不說明。Encryption命令用來指定為管理連接加密信息的加密算法。默認是des。Hash命令用來指定摘要算法。*第61頁3）設置預共享密鑰和對端地址命令格式：Router(config)#cryptoisakmpkey

keystring

address

peer-address或者：Router(config)#cryptoisakmpkeykeystringhostnamepeer-hostname說明：Keystring：共享密鑰，最長不超過128個字符。認證時，對端必須使用該密鑰。peer-address：VPN對端的IP地址。peer-hostname：對端的名稱，一般不建議使用。*第62頁4）建立傳輸變換集命令格式：Router(config)#

cryptoipsectransform-set

transform-set-nametransform1[transform2[transform3]

[transform4]]Router(config-crytpo-trans)#mode{tunnel|transport}說明：數據包在VPN傳輸過程中，當從內部網絡到外部網絡時，需要對數據包進行變換處理。變換處理根據事先定義好的傳輸變換集進行，每個傳輸變換集都需要設置一個唯一的名稱transform-set-name。傳輸變換集定義變換規則，主要是指要使用變換協議和采用的相關算法。表7-2-1列出了變換集中可以使用的有效變換規則。*第63頁變換集的連接模式有二種，隧道模式（tunnel）和傳輸模式（transport）。默認為隧道模式。傳輸模式使用相對較少，主要用于使用較少的點到點被保護連接。隧道模式可以更好地保護二個網絡之間的流量。*第64頁5）創建并配置加密映射命令格式：Router(config)#cryptomap

map-nameseq-num

ipsec-isakmp//創建加密映射Router(config-crypto-map)#matchaddress

access-list-number

//指定由ACL確定的需要進行VPN轉換的流量Router(config-crypto-map)#setpeer

ip_address

//設置對端的IP地址Router(config-crypto-map)#settransform-set

name

//指定傳輸模式集的名稱*第65頁說明：cryptomap命令建立加密映射，并給此加密映射指定一個唯一的名稱，在加密映射名稱后面，給它分配一個序列號，這個號用于指定加密映射的條目，每個加密映射中，可以有多個條目在里面。路由器會根據序列號從小到大的順序處理這些映射。ipsec-isakmp參數是用來說明使用ISAKMP/IKE來協商安全參數。matchaddress命令后面跟的ACL，用來指定需要進行VPN變換的流量。setpeer命令用來指定對端路由器的IP地址或名稱。settransform-set命令指定用來進行VPN傳輸變換的傳輸變換集的名稱。*第66頁6）應用加密映射到需要進行VPN的接口命令格式：Router(config)#interfacetype[slot_num/]interface_numRouter(config-if)#cryptomap

map-name說明：當在路由器的一個接口上激活了加密映射后，路由器使用該接口上的IP地址作為IPSec數據包的源IP地址。*第67頁7）與VPN相關的參數查詢查看IKE策略Router#showcryptoisakmppolicy查看IPsce策略Router#showcryptoipsectransform-set查看SA信息Router#showcryptoipsecsa查看加密映射Router#showcryptomap*第68頁2.3虛擬專用網案例某企業總部與分部網絡的示意圖，如圖7.2.2所示，左邊Router0及以下為總部網絡，右邊Router1及以下為分部網絡。中間的路由器Router2表示是Internet上的某個路由器。各路由器的接口的IP地址如圖所示。現在要求在總部與分部之間建立一個站點到站點間的VPN。*第69頁（1）各設備的IP地址按圖7.2.2所示配置。（具體命令略）（2）在Router0、Router1上配置默認路由.Router0(config)#iprouteRouter1(config)#iproute配置完成后，從Router0上可以ping通PC0、Router1（）。從Router1上可以ping通PC1、Router0（）。*第70頁（3）在Router0上進行VPN配置//指定要進行VPN的流量Router0(config)#access-list111permitip5555Router0(config)#cryptoisakmppolicy10//創建IKE協商策略，并指定優先級Router0(config-isakmp)#encryption3des//配置加密算法Router0(config-isakmp)#hashmd5//配置摘要算法Router0(config-isakmp)#authenticationpre-share//指定使用預定義密鑰//設置口令為ABCD，對端IP為Router0(config)#cryptoisakmpkeyABCDaddress

*第71頁//設置轉換模式集的名稱（此處命名為tf），以及VPN采用的方式及算法Router0(config)#crypto