路由器配置静态的NAT地址转换

　　如何配置nat （网络地址转换），从而使得互联网上的计算机通过其思科路由器访问其内部的web和电子邮件服务器。这需要在专门公用的ip地址和专门私用的ip地址之间配置一个静态的nat转换。下面笔者谈一下解决这个问题的一些具体做法。
　　近来，绝大多数人都使用nat来连接到互联网。nat将私有的ip地址转换为公有的ip地址，从而使得用户能够访问公共的互联网。我们中的多数人都使用这样一种形式的nat，称为端口地址转换（port address translation （pat）），思科称之为nat overload.

　　要开始这项工作，让我们先看一下我们需要操作的对象是什么。请看下图：

　　这就是我们的目标：我们想通过处于外部的网络（也就是internet）与内部的网络（也就是私有网络）之间的路由器配置一个静态的ip转换。

　　在一个拥有基本的web接口的linksys路由器上，这并不难做。然而，在一个使用命令行界面（即cli）的路由器上，如果你并不知道正确的命令或者在什么地方运用它们，你就会面临着困难。

　　在开始之前，收集你需要的数据是一个不错的主意。下面是我们这个例子中所需要的信息：

　　路由器内部接口e0/0： ip 10.1.1.1

　　路由器外部接口s0/0： ip 63.63.63.1

　　web/邮件服务器私有ip地址：10.1.1.2

　　web/邮件服务器公有ip地址：63.63.63.2

　　要获取你网络内部和到达你的web/邮件服务器的数据通信，你可以采用两个重要的措施：

　　1.nat配置

　　2.防火墙配置

　　在本文中，笔者将提供基本的nat配置。然而，一定要确保不管你为你的防火墙采用了什么配置，一定要允许这些数据通信通过。

　　不管你正运用基本的访问控制列表（acl）或者是正使用思科的ios防火墙属性集（详细信息见：cisco ios firewall feature set），一定要确信你理解了思科ios的操作顺序，这样才能为适当的ip地址（不管是公有的还是私有的）配置你的防火墙。换句话说，哪一个先发生呢？是 nat转换，还是防火墙过滤？例如，在使用acl时，一个输入的acl检查要先于nat转换。因此，你需要在头脑中牢牢记住拥有公有ip地址的acl.

　　既然我们已经清楚了这些背景信息，下面就开始我们的静态nat配置之旅吧。对我们例子来说，我们要从如下的这个基本配置开始：

interface serial0/0
ip address 63.63.63.1 255.255.255.0
ip nat outside
interface ethernet0/0
ip address 10.1.1.1 255.255.255.0
ip nat inside


　　我们需要nat转换将web/电子邮件服务器的外部ip地址从63.63.63.2 转换为 10.1.1.2 （从 10.1.1.2 转换为 63.63.63.2）。下面就是在外部和内部nat配置之间缺少的环节中的操作：

router(config)#ip nat inside source static tcp 10.1.1.2 25 63.63.63.2 25
router(config)#ip nat inside source static tcp 10.1.1.2 443 63.63.63.2 443
router(config)#ip nat inside source static tcp 10.1.1.2 80 63.63.63.2 80
router(config)#ip nat inside source static tcp 10.1.1.2 110 63.63.63.2 110


　　我们使用了上述的端口数字，因为它们适合我们想要执行操作的描述。但是需要记住，你的端口数字可能会有所不同。笔者关闭了用于smtp（发送邮件）的 25号端口、用于https（安全web）的443号端口，用于http（web通信）的80号端口，还关闭了用于pop3（从邮件服务器接收邮件）的 110号端口。

　　这个配置需要假定你有一组ip地址。如果你没有，你可以使用路由器（此例中就是serial 0/0）上的外部ip地址，你可以进行如下配置：

router(config)#ip nat inside source static tcp 10.1.1.2 25 interface serial 0/0 25


　　如果你有一个从isp那里得到的动态的dhcp ip地址，你甚至也可以使用这个命令。

　　我们还需要在公网internet dns服务器中注册这个邮件和web服务器的ip地址。因此，当用户在其web浏览器中键入www.mywebserver.com时，浏览器就会将其转化为63.63.63.2，路由器将会把它转换为10.1.1.2.web服务器会接收这个请求，并通过路由器给予回应，路由器会再将其转换回公网ip地址。

　　除了配置静态的nat，你可能想到在这同时使用动态的nat.有鉴于此，你内部的pc可以使用动态的nat为访问互联网（即nat过载或pat）。不过，这样就有点儿更加复杂。如果大家感兴趣，可以参考思科的configuring static and dynamic nat simultaneously文档。