华为路由器 动态NAT地址转换配置

admin

一、组网需求：
某公司平台和办公网的私网用户和互联网相连，路由器上接口GigabitEthernet0/0/0的公网地址为202.169.10.1/24，对端运营商侧地址为202.169.10.2/24。
允许使用公网IP地址比较少（222.249.230.1），所以使用no-pat转换方式（只转换数据包的IP地址，并不使用端口号）平台的NAT方式替换A部门内部的主机地址{网段为192.168.(100-110).0/24}，访问因特网。
9 ?& V* K' T: J) ]允许使用公网IP地址比较少（222.249.230.1），所以使用pat转换方式（同时转换数据包中的IP地址和端口号）办公网的NAT替换内部的主机地址（网段为192.168.0.0/22），访问因特网。
1、网络拓扑
$ ]9 {+ o6 Y. H) S0 q: z, f1 m略
$ u2 q  x* t6 l: F' b" U
* P6 Q8 h+ D) ], U4 m2、配置思路
配置接口IP地址、缺省路由和在WAN侧接口下配置NAT Outbound，实现内部主机访问外网服务功能。
9 q) C; L+ f" \二、操作步骤
7 H; \1 p: q% i3 A  ?1、配置云平台、办公网主机IP地址，网关分别是192.168.(100-110).254、192.168.0.1
2、在SWA上配置vlan
1 _& Q4 K  [; }" M' H1 `<Huawei>system-view
8 G: C) w' ~( Y3 L' e  \[Huawei]sysname SW
[SW]vlan （100-110）
[SW-vlan（100-110）]q
[SW]interface  Ethernet0/0/1
2 x2 V' G! [: `% c) F[SW-Ethernet0/0/1]port link-type access
: Y! L: ~' N; W- [* D[SW-Ethernet0/0/1]port default vlan 100
[SW-Ethernet0/0/1]q
[SW]interface  Ethernet 0/0/2
4 }8 l& S% l# U9 j2 R" P[SW-Ethernet0/0/2]port link-type trunk
[SW-Ethernet0/0/2]port trunk allow-pass vlan all
$ w. {6 |, b; L: t2 e2 N[SW-Ethernet0/0/2]q
3、在SWB上配置vlan
; K% O, M: a8 O: @; X" K( j[Huawei]sysname SW1
% n' ^0 B) g" q. `% Y. D( g; E  ^[SW1]vlan 200
; O1 J0 g& _6 W( K! d[SW1-vlan200]q
/ V( c+ D' Z$ S[SW1]interface Ethernet0/0/1
[SW1-Ethernet0/0/1]port link-type access
( O- ?9 r2 c( Q2 a[SW1-Ethernet0/0/1]port default vlan 200
* j  N$ b! B: Y3 C, l' ?! R[SW1-Ethernet0/0/1]q
$ |/ T+ E/ ?0 e[SW1]interface Ethernet 0/0/2
[SW1-Ethernet0/0/2]port link-type trunk
& Z4 ?  i2 M9 G6 V. z$ ][SW1-Ethernet0/0/2]port trunk allow-pass vlan all
[SW1-Ethernet0/0/2]q
2 y7 r' T! \/ }, V1 |4、在Router上配置接口IP地址
<Huawei>system-view
[Huawei]sysname Router
$ ^0 m# A; \% [! p[Router]vlan batch 100 200
[Router]interface Vlanif 100
" E; w7 T2 w2 A7 q+ ], f% B' x& J[Router-Vlanif100]ip address 192.168.20.1 24
[Router-Vlanif100]q
[Router]interface Vlanif 200
5 R" ~: E$ |! P# {0 K* @[Router-Vlanif200]ip address  10.0.0.1 24
[Router-Vlanif200]q
[Router]interface Ethernet 0/0/0
4 P. U0 I6 I# x: p" u[Router-Ethernet0/0/0]port link-type trunk
[Router-Ethernet0/0/0]port trunk  allow-pass vlan all
# ^4 O7 q  D& N* Z. C' D[Router-Ethernet0/0/0]q
[Router]interface Ethernet 0/0/1
3 d0 |* i* ?; Z0 r/ k[Router-Ethernet0/0/1]port link-type trunk
. f( D5 b7 R( p[Router-Ethernet0/0/1]port trunk allow-pass  vlan all
[Router-Ethernet0/0/1]q
3 o$ n7 A4 O: F* h. ~2 x6 P[Router]interface  GigabitEthernet  0/0/0
0 L# p% a  D8 R/ P' @5 X8 c/ T[Router-GigabitEthernet0/0/0]ip address  202.169.10.1 24
[Router-GigabitEthernet0/0/0]q
这时候主机就可以ping通网关了
; R3 a' x  ^6 W& }/ _# W% t  f5、在Router上配置缺省路由，指定下一跳为202.169.10.2
[Router]ip route-static 0.0.0.0 0.0.0.0 202.169.10.2
+ @" q" G" N+ K1 s7 Z6、在Router上配置NAT Outbound（记住在出接口上应用）
[Router]nat address-group 1 202.169.10.100 202.169.10.200
) @2 b2 V7 w& R9 _[Router]nat address-group 2 202.169.10.201 202.169.10.202
[Router]acl number 3001
1 V5 K) A2 s0 X! C6 E[Router-acl-adv-3001]rule 5 permit  ip source  192.168.20.0 0.0.0.255
[Router-acl-adv-3001]q
[Router]acl number 3002
[Router-acl-adv-3002]rule  5 permit  ip source  10.0.0.0 0.0.0.255
+ Y- B+ z6 x; F' ]7 c[Router-acl-adv-3002]q
[Router]interface  GigabitEthernet 0/0/0
[Router-GigabitEthernet0/0/0]nat outbound 3001 address-group 1 no-pat
$ A( z7 v/ L8 }' ]& u  B[Router-GigabitEthernet0/0/0]nat outbound 3002 address-group 2
[Router-GigabitEthernet0/0/0]q
[Router]ip soft-forward enhance enable
/ k5 u. g! |/ s. f/ A. P' j* P如果需要在Router上执行ping -a source-ip-address命令通过指定发送ICMP ECHO-REQUEST报文的源IP地址来验证内网用户可以访问因特网，需要配置命令ip soft-forward enhance enable使能设备产生的控制报文的增强转发功能，这样，私网的源地址才能通过NAT转换为公网地址。
7、查看结果
[Router]display  nat outbound
1 R: o1 Y" ^% p+ l NAT Outbound Information:
4 P: y& Q. r5 v6 B/ J$ {4 b" M --------------------------------------------------------------------------
Interface                     Acl     Address-group/IP/Interface      Type
& q& j% _1 i  p1 `& n% n --------------------------------------------------------------------------
. h9 X, i9 p- Z+ O' n5 J GigabitEthernet0/0/0         3001                              1    no-pat
3 t7 C4 L  c7 i( C GigabitEthernet0/0/0         3002                              2       pat
--------------------------------------------------------------------------
1 R+ o% w1 Q& J  Total : 2
[Router]ping -a 192.168.20.1 202.169.10.2
  PING 202.169.10.2: 56  data bytes, press CTRL_C to break
    Reply from 202.169.10.2: bytes=56 Sequence=1 ttl=255 time=10 ms
$ W5 w8 J* k4 X7 O2 ^" t    Reply from 202.169.10.2: bytes=56 Sequence=2 ttl=255 time=10 ms
( U" O* L, c" U; P0 }. k4 Y; G    Reply from 202.169.10.2: bytes=56 Sequence=3 ttl=255 time=10 ms
    Reply from 202.169.10.2: bytes=56 Sequence=4 ttl=255 time=10 ms
. J8 M+ g; |( N+ C    Reply from 202.169.10.2: bytes=56 Sequence=5 ttl=255 time=10 ms

1 u/ r5 O6 V, d2 j" d5 N$ q  P  --- 202.169.10.2 ping statistics ---
    5 packet(s) transmitted
    5 packet(s) received
    0.00% packet loss
    round-trip min/avg/max = 10/10/10 ms
! n5 _$ i0 y: Y0 N8 c; W9 |
[Router]ping -a 10.0.0.1 202.169.10.2
; O) b' `! B2 Y, _+ Z5 s# n  PING 202.169.10.2: 56  data bytes, press CTRL_C to break
    Reply from 202.169.10.2: bytes=56 Sequence=1 ttl=255 time=10 ms
( A! L0 }% z1 l) \5 |6 a& {    Reply from 202.169.10.2: bytes=56 Sequence=2 ttl=255 time=10 ms
+ C- J! p/ P2 T. Z2 R! Y/ B    Reply from 202.169.10.2: bytes=56 Sequence=3 ttl=255 time=10 ms
3 q/ u- h6 b6 J5 O4 P    Reply from 202.169.10.2: bytes=56 Sequence=4 ttl=255 time=10 ms
1 w/ ?1 O. ~1 E3 o5 l' k" m    Reply from 202.169.10.2: bytes=56 Sequence=5 ttl=255 time=10 ms

  --- 202.169.10.2 ping statistics ---
1 \! g8 ]: Y" O& z5 H! _9 P    5 packet(s) transmitted
. ]. j/ g6 \5 a: o# T1 C- z    5 packet(s) received
    0.00% packet loss
! K; v+ _9 a$ a$ S: n% W" h/ n8 P9 g    round-trip min/avg/max = 10/10/10 ms
8 S# T$ x: e) M& O  q& r5 S8、查看NAT映射表项
( `0 C+ P1 a1 Y& B. h1 u1 [0 H[Router]display nat session all verbose
$ B; g* x8 E" M* L————————————————
" j7 l/ r  \2 U' ^% C% z* Z5 q; K版权声明：本文为CSDN博主「友人a笔记」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/tladagio/article/details/80725043