一、認識DHCP和NAT
說明:NAT的實現(xiàn)方式中Easy IP和地址池NAT類似,配置參考其中一個即可!其中,地址池NAT中有以下兩種選擇方式:
①選擇帶地址池的NAT outbound,要求就是需要有空閑或者多余的公網(wǎng)IP地址來完成對私網(wǎng)IP地址的動態(tài)NAT;
②選擇Easy IP不帶地址池,此時只需要一個公網(wǎng)地址即可,因為Easy IP可以借助NAT設備的出接口完成對私網(wǎng)IP地址的動態(tài)NAT。
二、組網(wǎng)需求
1、訪問需求
兩個區(qū)域內(nèi)的 PC 和 Client 可以互相訪問并且兩個區(qū)域內(nèi)的 Client 都可以訪問 FTP 服務器和 WWW 服務器。
2、地址轉(zhuǎn)換需求
兩個區(qū)域內(nèi)的終端內(nèi)網(wǎng)地址為保密數(shù)據(jù),對外發(fā)布時都采用公網(wǎng)地址發(fā)布,所以互訪時需要采用公網(wǎng)訪問。
3、地址分配需求
兩個區(qū)域內(nèi)的DHCP服務器分配地址時只對辦公接入?yún)^(qū)域的終端分配地址,Client/Sever 的 IP 地址采用手工配置,并且在 DHCP 地址池中對 Client/Server 的 MAC 地址和手工 IP 地址進行靜態(tài)綁定。
三、建立拓撲
四、設備互聯(lián)地址規(guī)劃
本端設備 | 接口 | IP地址/掩碼 | 對端設備 | 接口 | IP地址/掩碼 |
R1 | GE0/0/0 | 13.1.1.1/24 | R2 | GE0/0/0 | 13.1.1.2/24 |
GE0/0/1 | 12.1.1.1/24 | R3 | GE0/0/1 | 12.1.1.2/24 | |
R2 | GE0/0/0 | 10.1.1.254/24 | 內(nèi)網(wǎng)終端 | ||
GE0/0/1 | 12.1.1.2/24 | R1 | GE0/0/1 | 12.1.1.2/24 | |
R3 | GE0/0/0 | 13.1.1.2/24 | R1 | GE0/0/0 | 13.1.1.1/24 |
GE0/0/1 | 34.1.1.1/24 | R4 | GE0/0/1 | 34.1.1.2/24 | |
R4 | GE0/0/0 | 20.1.1.254/24 | 內(nèi)網(wǎng)終端 | ||
GE0/0/1 | 34.1.1.2/24 | R3 | GE0/0/1 | 34.1.1.1/24 | |
PC 1 | Eth0/0/1 | DHCP | GW:10.1.1.254 | ||
PC 2 | Eth0/0/1 | DHCP | GW:20.1.1.254 | ||
Client 1 | Eth0/0/0 | 10.1.1.10/24 | GW:10.1.1.254 | ||
Client 2 | Eth0/0/0 | 20.1.1.20/24 | GW:20.1.1.254 | ||
Server 1 | Eth0/0/0 | 10.1.1.20/24 | GW:10.1.1.254,F(xiàn)TP端口:21,www端口:80 |
五、設備配置
1、基礎配置
R1:
?
配置接口: interface?GigabitEthernet0/0/0 ?ip?address?13.1.1.1?255.255.255.0? interface?GigabitEthernet0/0/1 ?ip?address?12.1.1.1?255.255.255.0? 配置路由: ip?route-static?10.1.1.0?255.255.255.0?12.1.1.2 ip?route-static?20.1.1.0?255.255.255.0?13.1.1.2
?
查看路由表:
R2:
?
配置接口: interface?GigabitEthernet0/0/0 ?ip?address?10.1.1.254?255.255.255.0? interface?GigabitEthernet0/0/1 ?ip?address?12.1.1.2?255.255.255.0? 配置路由: ip?route-static?0.0.0.0?0.0.0.0?12.1.1.1
?
R3:
?
配置接口: interface?GigabitEthernet0/0/0 ?ip?address?13.1.1.2?255.255.255.0? interface?GigabitEthernet0/0/1 ?ip?address?34.1.1.1?255.255.255.0? 配置路由: ip?route-static?10.1.1.0?255.255.255.0?13.1.1.1 ip?route-static?20.1.1.0?255.255.255.0?34.1.1.2
?
查看路由表:
R4:
?
接口配置: interface?GigabitEthernet0/0/0 ?ip?address?20.1.1.254?255.255.255.0? interface?GigabitEthernet0/0/1 ?ip?address?34.1.1.2?255.255.255.0? 配置路由: ip?route-static?0.0.0.0?0.0.0.0?34.1.1.1
?
各終端地址配置參考地址互聯(lián)表。
2、DHCP配置
R2:
?
開啟dhcp功能: dhcp?enable 配置dhcp資源池: ip?pool?A ?gateway-list?10.1.1.254????//網(wǎng)關地址 ?network?10.1.1.0?mask?255.255.255.0????//可分配地址池 ?static-bind?ip-address?10.1.1.10?mac-address?5489-9846-6fd1????//靜態(tài)綁定Client/Server ?static-bind?ip-address?10.1.1.20?mac-address?5489-9845-0193? ?excluded-ip-address?10.1.1.101?10.1.1.253?//排除分配此地址段ip地址 ?lease?day?6?hour?23?minute?59????//租期為7天 ?dns-list?8.8.8.8???//配置DNS 接口下使能dhcp: interface?GigabitEthernet0/0/0 ?dhcp?select?global
?
查看DHCP分配情況:
R4:
?
開啟dhcp功能: dhcp?enable 創(chuàng)建dhcp地址池: ip?pool?B ?gateway-list?20.1.1.254? ?network?20.1.1.0?mask?255.255.255.0? ?static-bind?ip-address?20.1.1.10?mac-address?5489-98c2-745b? ?lease?day?6?hour?23?minute?59? ?dns-list?8.8.8.8? 接口下使能dhcp: interface?GigabitEthernet0/0/0 ?dhcp?select?global
?
查看DHCP地址池分配情況:
3、NAT配置
R1:
?
使能FTP的NAT?ALG功能: nat?alg?ftp?enable 配置NAT: interface?GigabitEthernet0/0/0 ?nat?server?protocol?tcp?global?13.1.1.20?8080?inside?10.1.1.20?www???//將10.1.1.20的www業(yè)務端口轉(zhuǎn)換為8080端口 ?nat?static?global?13.1.1.100?inside?10.1.1.100?netmask?255.255.255.255???//將固定終端以公網(wǎng)對外發(fā)布 ?nat?server?protocol?tcp?global?13.1.1.10?8443?inside?10.1.1.20?ftp???//將10.1.1.10的FTP業(yè)務端口轉(zhuǎn)換為8080端口
?
查看NAT情況:
R3:
?
創(chuàng)建ACL: acl?number?2000?? ?rule?5?permit?source?20.1.1.0?0.0.0.255? ?rule?10?deny? 創(chuàng)建NAT地址池: ?nat?address-group?1?13.1.1.30?13.1.1.40 接口下調(diào)用NAT: interface?GigabitEthernet0/0/0 ?nat?outbound?2000?address-group?1?no-pat???//只轉(zhuǎn)換地址,不轉(zhuǎn)換端口
?
查看NAT情況:
六、結(jié)果驗證
1、DHCP驗證
通過查看PC是否獲取到地址來驗證DHCP是否有效:
PC可以獲取到地址,表示DHCP正常。
2、NAT驗證
①驗證靜態(tài)NAT:在PC1上訪問PC2,在PC2上抓取數(shù)據(jù)分析ICMP數(shù)據(jù)包源地址是否是PC1的真實地址。
PC1的真實源地址為10.1.1.100,訪問其他區(qū)域終端時源地址被NAT為13.1.1.100(公網(wǎng)地址) ,說明靜態(tài)NAT命中。
②驗證Easy IP:在PC2上訪問PC1,在PC1上抓取數(shù)據(jù)分析ICMP數(shù)據(jù)包源地址是否是PC2的真實地址。
由于DHCP的原因,當PC2訪問PC1時,源地址會隨機被Easy IP地址池里的公網(wǎng)地址替換,表示NAT成功命中。
③NAT Server驗證:一般情況下,內(nèi)網(wǎng)的IP地址不會對外發(fā)布,一方面是為了保密,另外一方面是為了防止被攻擊,保證內(nèi)網(wǎng)安全性。但是某些事內(nèi)網(wǎng)中服務器需要對外發(fā)布業(yè)務,在保證內(nèi)網(wǎng)數(shù)據(jù)機密和安全的情況下,使用NAT Server就可以實現(xiàn)這個需求。驗證時只需要使用內(nèi)網(wǎng)對外提供的IP地址(一般是公網(wǎng)地址)和端口號對內(nèi)網(wǎng)服務器進行連接,成功訪問到服務器即標識NAT Server成功命中。驗證步驟如下;
第一步:開啟Server上的FTP服務和HTTP服務,如下圖:
第二步、在Client2上使用對外發(fā)布的IP地址和端口號連接FTP/WWW服務器,如下圖:
Client2使用內(nèi)網(wǎng)服務器對外發(fā)布的IP地址和端口號成功連接到服務器,說明NAT Server成功命中。
附:NAT Server對應表
設備 | 服務 | 真實IP地址 | 真實端口號 | 轉(zhuǎn)換后IP地址 | 轉(zhuǎn)換后端口號 |
Server1 | FTP | 10.1.1.20 | 21 | 13.1.1.10 | 8443 |
WWW | 10.1.1.20 | 80 | 13.1.1.20 | 8080 |
轉(zhuǎn)換后的地址和端口號為對外發(fā)布服務時使用,一般用于實現(xiàn)遠程辦公或者遠程配置的功能。
七、總結(jié)
NAT和DHCP都是工作中常用的協(xié)議,對于小型園區(qū)網(wǎng),這兩個協(xié)議更是必不可少,通過本實驗希望大家可以幫助大家更加充分的理解NAT和DHCP的原理以及配置。
審核編輯:劉清
評論
查看更多