深度解析NAT和DHCP的原理以及配置

一、認(rèn)識(shí)DHCP和NAT

說明：NAT的實(shí)現(xiàn)方式中Easy IP和地址池NAT類似，配置參考其中一個(gè)即可！其中，地址池NAT中有以下兩種選擇方式：

①選擇帶地址池的NAT outbound，要求就是需要有空閑或者多余的公網(wǎng)IP地址來完成對私網(wǎng)IP地址的動(dòng)態(tài)NAT；

②選擇Easy IP不帶地址池，此時(shí)只需要一個(gè)公網(wǎng)地址即可，因?yàn)镋asy IP可以借助NAT設(shè)備的出接口完成對私網(wǎng)IP地址的動(dòng)態(tài)NAT。

二、組網(wǎng)需求

1、訪問需求

兩個(gè)區(qū)域內(nèi)的 PC 和 Client 可以互相訪問并且兩個(gè)區(qū)域內(nèi)的 Client 都可以訪問 FTP 服務(wù)器和 WWW 服務(wù)器。

2、地址轉(zhuǎn)換需求

兩個(gè)區(qū)域內(nèi)的終端內(nèi)網(wǎng)地址為保密數(shù)據(jù)，對外發(fā)布時(shí)都采用公網(wǎng)地址發(fā)布，所以互訪時(shí)需要采用公網(wǎng)訪問。

3、地址分配需求

兩個(gè)區(qū)域內(nèi)的DHCP服務(wù)器分配地址時(shí)只對辦公接入?yún)^(qū)域的終端分配地址，Client/Sever 的 IP 地址采用手工配置，并且在 DHCP 地址池中對 Client/Server 的 MAC 地址和手工 IP 地址進(jìn)行靜態(tài)綁定。

三、建立拓?fù)?/p>

四、設(shè)備互聯(lián)地址規(guī)劃

五、設(shè)備配置

1、基礎(chǔ)配置

R1：

配置接口：
interface?GigabitEthernet0/0/0
?ip?address?13.1.1.1?255.255.255.0?
interface?GigabitEthernet0/0/1
?ip?address?12.1.1.1?255.255.255.0?

配置路由：
ip?route-static?10.1.1.0?255.255.255.0?12.1.1.2
ip?route-static?20.1.1.0?255.255.255.0?13.1.1.2

查看路由表：

R2：

配置接口：
interface?GigabitEthernet0/0/0
?ip?address?10.1.1.254?255.255.255.0?
interface?GigabitEthernet0/0/1
?ip?address?12.1.1.2?255.255.255.0?

配置路由：
ip?route-static?0.0.0.0?0.0.0.0?12.1.1.1

R3：

配置接口：
interface?GigabitEthernet0/0/0
?ip?address?13.1.1.2?255.255.255.0?
interface?GigabitEthernet0/0/1
?ip?address?34.1.1.1?255.255.255.0?

配置路由：
ip?route-static?10.1.1.0?255.255.255.0?13.1.1.1
ip?route-static?20.1.1.0?255.255.255.0?34.1.1.2

查看路由表：

R4：

接口配置：
interface?GigabitEthernet0/0/0
?ip?address?20.1.1.254?255.255.255.0?
interface?GigabitEthernet0/0/1
?ip?address?34.1.1.2?255.255.255.0?

配置路由：
ip?route-static?0.0.0.0?0.0.0.0?34.1.1.1

各終端地址配置參考地址互聯(lián)表。

2、DHCP配置

R2:

開啟dhcp功能：
dhcp?enable

配置dhcp資源池：
ip?pool?A
?gateway-list?10.1.1.254????//網(wǎng)關(guān)地址
?network?10.1.1.0?mask?255.255.255.0????//可分配地址池
?static-bind?ip-address?10.1.1.10?mac-address?5489-9846-6fd1????//靜態(tài)綁定Client/Server
?static-bind?ip-address?10.1.1.20?mac-address?5489-9845-0193?
?excluded-ip-address?10.1.1.101?10.1.1.253?//排除分配此地址段ip地址
?lease?day?6?hour?23?minute?59????//租期為7天
?dns-list?8.8.8.8???//配置DNS

接口下使能dhcp：
interface?GigabitEthernet0/0/0
?dhcp?select?global

查看DHCP分配情況：

R4：

開啟dhcp功能：
dhcp?enable

創(chuàng)建dhcp地址池：
ip?pool?B
?gateway-list?20.1.1.254?
?network?20.1.1.0?mask?255.255.255.0?
?static-bind?ip-address?20.1.1.10?mac-address?5489-98c2-745b?
?lease?day?6?hour?23?minute?59?
?dns-list?8.8.8.8?

接口下使能dhcp：
interface?GigabitEthernet0/0/0
?dhcp?select?global

查看DHCP地址池分配情況：

3、NAT配置

R1:

使能FTP的NAT?ALG功能：
nat?alg?ftp?enable

配置NAT：
interface?GigabitEthernet0/0/0
?nat?server?protocol?tcp?global?13.1.1.20?8080?inside?10.1.1.20?www???//將10.1.1.20的www業(yè)務(wù)端口轉(zhuǎn)換為8080端口
?nat?static?global?13.1.1.100?inside?10.1.1.100?netmask?255.255.255.255???//將固定終端以公網(wǎng)對外發(fā)布
?nat?server?protocol?tcp?global?13.1.1.10?8443?inside?10.1.1.20?ftp???//將10.1.1.10的FTP業(yè)務(wù)端口轉(zhuǎn)換為8080端口

查看NAT情況：

R3：

創(chuàng)建ACL:
acl?number?2000??
?rule?5?permit?source?20.1.1.0?0.0.0.255?
?rule?10?deny?

創(chuàng)建NAT地址池：
?nat?address-group?1?13.1.1.30?13.1.1.40

接口下調(diào)用NAT：
interface?GigabitEthernet0/0/0
?nat?outbound?2000?address-group?1?no-pat???//只轉(zhuǎn)換地址，不轉(zhuǎn)換端口

查看NAT情況：

六、結(jié)果驗(yàn)證

1、DHCP驗(yàn)證

通過查看PC是否獲取到地址來驗(yàn)證DHCP是否有效：

?

PC可以獲取到地址，表示DHCP正常。

2、NAT驗(yàn)證

①驗(yàn)證靜態(tài)NAT：在PC1上訪問PC2，在PC2上抓取數(shù)據(jù)分析ICMP數(shù)據(jù)包源地址是否是PC1的真實(shí)地址。

PC1的真實(shí)源地址為10.1.1.100，訪問其他區(qū)域終端時(shí)源地址被NAT為13.1.1.100（公網(wǎng)地址） ，說明靜態(tài)NAT命中。

②驗(yàn)證Easy IP：在PC2上訪問PC1，在PC1上抓取數(shù)據(jù)分析ICMP數(shù)據(jù)包源地址是否是PC2的真實(shí)地址。

由于DHCP的原因，當(dāng)PC2訪問PC1時(shí)，源地址會(huì)隨機(jī)被Easy IP地址池里的公網(wǎng)地址替換，表示NAT成功命中。

③NAT Server驗(yàn)證：一般情況下，內(nèi)網(wǎng)的IP地址不會(huì)對外發(fā)布，一方面是為了保密，另外一方面是為了防止被攻擊，保證內(nèi)網(wǎng)安全性。但是某些事內(nèi)網(wǎng)中服務(wù)器需要對外發(fā)布業(yè)務(wù)，在保證內(nèi)網(wǎng)數(shù)據(jù)機(jī)密和安全的情況下，使用NAT Server就可以實(shí)現(xiàn)這個(gè)需求。驗(yàn)證時(shí)只需要使用內(nèi)網(wǎng)對外提供的IP地址（一般是公網(wǎng)地址）和端口號(hào)對內(nèi)網(wǎng)服務(wù)器進(jìn)行連接，成功訪問到服務(wù)器即標(biāo)識(shí)NAT Server成功命中。驗(yàn)證步驟如下;

第一步：開啟Server上的FTP服務(wù)和HTTP服務(wù)，如下圖：

?

第二步、在Client2上使用對外發(fā)布的IP地址和端口號(hào)連接FTP/WWW服務(wù)器，如下圖：

?

Client2使用內(nèi)網(wǎng)服務(wù)器對外發(fā)布的IP地址和端口號(hào)成功連接到服務(wù)器，說明NAT Server成功命中。

附：NAT Server對應(yīng)表

轉(zhuǎn)換后的地址和端口號(hào)為對外發(fā)布服務(wù)時(shí)使用，一般用于實(shí)現(xiàn)遠(yuǎn)程辦公或者遠(yuǎn)程配置的功能。

七、總結(jié)

NAT和DHCP都是工作中常用的協(xié)議，對于小型園區(qū)網(wǎng)，這兩個(gè)協(xié)議更是必不可少，通過本實(shí)驗(yàn)希望大家可以幫助大家更加充分的理解NAT和DHCP的原理以及配置。

編輯：黃飛

?