NAT常见问题及处理选编.ppt

NAT常见问题及处理 固网技术支持北京分部 2002.9 ;NAT基本概念 为什么作NAT NAT基本原理 转换转换的优缺点 NAT的分类 NAT性能指标 NAT应用实例 为什么无法登录邮箱 分片IP报文的处理 NAT的负荷分担 配置不当造成的路由环路 DNS在外部的访问 DNS在内部的访问;缓解IP地址匮乏的问题 RFC1918规定的3个私网地址网段： - 55 (10/8 prefix) - 55 (172.16/12 prefix) - 55 (192.168/16 prefix);NAT基本原理;优点： 1、内部网络的主机可以通过该功能访问网外资源。 2、为内部主机提供了“隐私”保护。 缺点： ?1、由于需要对数据报文进行IP地址的转换，涉及IP地址的数据报的报头不能被加密。在应用协议中，不能使用加密的FTP连接。否则FTP的port命令不能被正确转换。 2、 网络调试变得更加困难。比如，某一台内部网络的主机试图攻击其它网络，则很难指出究竟是哪一台机器是恶意的，因为主机的IP地址被屏蔽了。 ;NAT的分类;配置步骤： 1、配置访问列表 2、配置直接使用接口的IP作地址转换 例：允许/24网段的主机进行地址转换，选用接口Serial1/0/0 的地址作为转换后的地址。假设Serial1/0/0是NAT的出口。 Quidway(config)# access-list 1 permit 55 Quidway(config)# access-list 1 deny any Quidway(config-if-Serial1/0/0)# nat inside list 1 ;配置步骤： 1、配置访问列表 2、配置地址池 3、配置访问控制列表和地址池的关联 例：允许/24网段的主机进行地址转换，选用0 到2之间的地址作为转换后的地址。假设Serial1/0/0是NAT的出口。 Quidway(config)# access-list 1 permit 55 Quidway(config)# access-list 1 deny any Quidway(config)# nat pool pool1 0 2 Quidway(config-if-Serial1/0/0)# nat inside list 1 pool pool1 ;配置步骤： 定义一个内部服务器的外部地址和内部地址的映射表， 例：指定局域网内部的www服务器的IP地址是0，希望外部通过http:// 0:8080可以访问WEB， Quidway(config-if-Serial1/0/0)# nat server protocol tcp global 0 8080 inside 0 www ;1、吞吐量 吞吐量是指系统在不丢包的条件下的包处理能力，属3层性能指标。NAT的引入需要CPU额外的处理，使路由器的吞吐量大幅降低。当用户连接数加大时NAT 地址转换表项增多，吞吐量还会持续下降。 2、丢包率 丢包率是指在恒定的负载下，由于资源缺乏而不能转发的报文的比例，属3层性能指标。NAT的引入增加了处理的复杂度，使得同等条件下比配置NAT之前丢包几率增加。 用户连接数越大复杂度越高，丢包也越多。 3、最大连接数 在NAT应用中被测设备所能允许建立的最大TCP或UDP连接数，每个连接相应占用一块内存，通过内存占用情况可以得到已建立连接数。不同的网络产品能支持的网络连接数是不同的。 R002版本的NAT能支持5万连接，而R005版本支持NAT的连接数是10万（甚至是25万），对于每个私网地址的可同时建立的最大连接个数，我们现在给定为(2^6)*4 + 255 = 511个，;NAT基本概念 为什么作NAT NAT基本原理 转换转换的优缺点 NAT的分类 NAT性能指标 NAT应用实例 为什么无法登录邮箱 分片IP报文的处理 NAT的负荷分担 配置不当造成的路由环路 DNS在外部的访问 DNS在内部的访问;实例1：为什么无法登录邮箱？;现象：内网的用户反映可以访问A网站的WWW页面，但无法成功登录访问A网站的WEB EMAIL服务。 分析：通过跟踪NAT转换后的报文发现，在第1次登录A网站WWW首页时，新建了1个TCP连接，