搞网络的人迟早都会撞上NAT这个词。不管是刚入门的学生还是在机房摸爬滚打多年的老手只要你的网络需要上网、需要对外开放服务、需要做地址规划就一定绕不开网络地址转换这个基础技术。数据通信课程里NAT通常作为核心章节出现但说实话很多教材把原理写得很清楚真正落到设备上配置、排查故障时很多人还是容易犯迷糊。这篇文章我打算抛开教科书式的术语堆砌从实战出发把NAT的来龙去脉、四种常见类型、配置方法和踩坑经验一次性讲透。这篇文章适合谁看如果你正在准备网络相关的认证考试或者刚接手公司网络想要搞懂出口设备上的那些转换规则又或者你明明照着教程配好了NAT却总是上不了网那你来对地方了。我会把关键参数的计算逻辑、配置命令的意图、排错时的思考路径都讲清楚让你看完之后不仅会配还能理解为什么这么配出了问题也知道从哪里入手查。1. 内容整体设计与思路拆解1.1 为什么我们需要NATIPv4地址不够用了NAT全称是Network Address Translation中文叫网络地址转换。它诞生的根本原因很简单IPv4地址空间只有43亿个左右而全球联网设备早就远远超过了这个数目。如果把每台设备都分配一个全球唯一的公网IPv4地址地址池早就枯竭了。你可能会问那IPv6不是已经出来了吗确实IPv6提供了几乎用不完的地址空间但IPv4的存量设备和应用实在太多迁移不可能一蹴而就。在过渡期里NAT是最务实的解决方案。它的核心思想是内部网络使用私有地址只在网络出口设备通常是路由器或防火墙上做一次地址转换把私有地址映射成公网地址从而实现多个内网用户共享少数几个公网IP上网。打个比方这就好比一个小区只有一个快递收发室小区里的每栋楼都有自己的编号快递员不需要跑到每家每户只要把包裹送到收发室收发室再按楼栋编号分发给住户。NAT设备就是这个收发室内网地址是楼栋编号公网地址是快递员的联系地址。1.2 NAT要解决的核心矛盾私网地址不能直接在公网路由记住一个原则公网互联网上不会路由私网地址。根据RFC 1918的定义以下三个网段属于私有地址范围10.0.0.0/8也就是从10.0.0.1到10.255.255.254172.16.0.0/12也就是从172.16.0.1到172.31.255.254192.168.0.0/16也就是从192.168.0.1到192.168.255.254这些地址可以在任何组织的内部网络里随便使用但不能直接出现在公网报文里。当内网设备访问互联网时报文源地址是私网地址如果设备直接把这个包发出去了运营商的路由器看到目的地址是私有网段会直接丢弃因为运营商路由器上根本没有去往这些私网网段的路由。NAT设备做的事情就是改写报文的地址字段。对于出方向的流量把源IP地址从私网地址改成公网地址对于入方向的回应流量把目的IP地址从公网地址改回私网地址。同时NAT设备会维护一张状态表NAT表记录内网地址和公网地址的映射关系这样回应流量到达设备时设备才知道该把包转给内部的哪台主机。从组网思路上看NAT不是单一的技术而是一族技术的统称。根据转换方式的不同可以分为静态NAT、动态NAT、PAT端口地址转换等等。很多人在这里就分不清了后面我会逐个拆开讲也会告诉大家实际项目中该优先选用哪一种。2. 核心细节解析与实操要点2.1 静态NAT一对一映射主要用于服务器发布静态NAT也叫一对一NAT指的是内网地址和公网地址之间建立固定的映射关系。比如内网有一台服务器地址是192.168.1.10对外提供一个网站服务希望外网用户通过公网地址203.0.113.5来访问。这时候就可以在出口设备上配置一条静态NAT规则把192.168.1.10映射到203.0.113.5。静态NAT的特点是双向的既允许内网主机访问外网时源地址变为公网地址也允许外网主机主动访问内网服务器时目的地址被转换为私网地址。因为映射关系是固定写死的所以这个公网地址不能被其他设备使用。实操中有一个必须注意的点静态NAT需要消耗一个公网IPv4地址。如果你的公网地址本来就稀缺就尽量不要为每台内部服务器都分配独立的公网IP。那有没有办法让多台服务器共用一个公网IP同时对外提供服务呢有这就是基于端口的映射通常叫PAT或端口映射。我后面会详细说。2.2 动态NAT从地址池里动态分配适用性有限动态NAT配置一个公网地址池当内网主机发起访问时NAT设备从地址池中取一个未被占用的公网地址临时建立映射关系。当会话结束时公网地址被释放回池中可以被其他主机使用。听起来不错对吧但动态NAT有一个硬伤地址池的数量仍然有限。如果同时上网的内网主机数量超过地址池中的公网IP数量后面的主机就会因为没有可用公网地址而无法上网。所以动态NAT在现实项目中用得其实不多它只能解决“部分内网主机偶尔需要上网”的场景无法支撑大规模并发。动态NAT还有一个特点它只转换IP地址不转换端口。也就是说一条公网地址在同一时刻只能被一台内网主机占用。这和PAT有着本质区别理解这一点很关键你就能明白为什么办公网络几乎清一色都用PAT而不是动态NAT。2.3 PAT端口地址转换一个公网IP带几百人上网的秘诀PAT端口地址转换也常被称为NAPTNetwork Address Port Translation。它是最常见、最实用的NAT形式。核心原理是多个内网主机可以共用一个公网IPNAT设备依靠传输层端口号来区分不同的内网主机。具体来说当内网主机192.168.1.100访问某网站时源端口是56789同时内网主机192.168.1.101也访问同一个网站源端口是45678。两台主机经过同一台NAT设备出去时源IP都被替换成同一个公网IP但NAT设备会把前者的源端口映射为公网侧的10001后者的源端口映射为10002。当回应流量到达NAT设备时设备查看目的端口10001就知道这个包应该转给192.168.1.100。PAT能支撑的并发量很大理论上一个公网IP可以承载六万多个并发连接因为端口范围是1到65535但0到1023多为知名端口一般不用于动态映射。实际部署中受设备性能、会话表容量等因素影响一般建议一个公网IP承载几百到上千个普通办公用户是没问题的。这就是为什么很多中小企业的出口带宽虽然不高但只需要一个公网IP就能让整个办公室几十上百人都能正常上网。核心秘密就是PAT在起作用。2.4 端口映射和端口触发主动对外提供服务的方式还有一个概念容易被混淆——端口映射Port Forwarding和端口触发Port Triggering。端口映射本质上是静态PAT也就是上面提到的“多台服务器共用一个公网IP”。比如你内网有三台服务器192.168.1.10提供Web服务监听80端口192.168.1.20提供SSH管理监听22端口192.168.1.30提供文件传输监听21端口出口公网IP只有一个比如203.0.113.5。外网用户访问203.0.113.5:80时NAT设备把目的地址转换为192.168.1.10目的端口保持80不变访问203.0.113.5:22时转换为192.168.1.20:22。这样一来一个公网IP就能向公网提供三种不同服务。端口触发则是一种按需开放的机制。当内网某个主机主动向外部访问了某个特定端口触发端口之后NAT设备才临时开放一个对应的端口范围开放端口用于接收入方向的流量。这种机制多见于家用路由器企业级设备用得少但在一些游戏主机、视频监控场景里仍有应用场景。2.5 双向NAT和NAT的边界问题实际项目中还有一个很容易让人困惑的点双向NAT。简单理解双向NAT就是同时配置了源NAT和目的NAT也就是流量进来时做目的地址转换出去时做源地址转换。常见场景是内网用户通过公网地址访问自己公司内部服务器时流量先到出口设备出口设备识别到目的地址是自身映射的公网IP然后转换为内部服务器的私网地址同时把源地址从内网主机的私网地址转换为出口设备的公网地址因为服务器返回的流量需要经过NAT设备才能回到内网主机如果不转换源地址服务器可能直接把响应包发给内网主机的私网地址导致流量绕过NAT设备造成连接失败。这里要强调的是NAT不是防火墙它和防火墙的工作层级不同。但实际部署中很多NAT功能都集成在防火墙上。配置NAT规则时必须同时考虑安全策略的放行否则流量即使转换成功也会被安全策略拦下来。这条经验对新手特别重要因为很多人配了半天NAT发现不通结果罪魁祸首是防火墙策略没放行。3. 实操过程与核心环节实现3.1 基础配置前需要梳理哪些信息动手配置NAT之前先花五分钟梳理清楚以下信息能省掉后面大量排错时间内网接口和公网接口分别是什么通常是内网口属于trust区域公网口属于untrust区域不同厂商设备命名风格不同但逻辑一致。内网需要上网的网段有哪些如果网段多可以考虑用ACL来匹配哪些源地址允许做NAT转换。公网IP地址有几个是单个地址还是多个地址池决定用PAT还是动态NAT。是否需要对服务器做发布如果内网有对外服务的服务器需要提前规划公网端口和私网服务的对应关系。是否需要保留部分地址不做转换比如内网访问总部内网段时不需要NAT直接走路由这种场景往往需要配置NAT豁免NAT Exempt否则会导致内网互访走公网地址而出现回程路由问题。这些信息理清之后配置思路就水到渠成了。最忌拿到设备就开始敲命令敲到一半发现网段规划不对又推倒重来。3.2 配置一个标准的上网PAT完整步骤拆解下面以常见的网络设备命令行风格为例展示一个最简单的PAT配置流程。无论你用的是哪家的设备核心步骤不外乎三步配置ACL匹配内网地址、配置地址池或公网接口、将两者绑定到NAT规则中。第一步配置ACL匹配允许上网的内网网段。假设内网网段是192.168.1.0/24。acl basic 2000 rule 5 permit source 192.168.1.0 0.0.0.255这里0.0.0.255是通配符掩码表示只匹配192.168.1.x这一段。第二步配置出接口的公网地址。假设公网接口是GigabitEthernet0/1公网IP是203.0.113.5/30网关是203.0.113.6。interface GigabitEthernet0/1 ip address 203.0.113.5 255.255.255.252第三步配置NAT出方向转换将匹配ACL 2000的内网流量在出接口上转换为该接口的公网地址。nat outbound 2000 address-group 1或者是直接使用接口地址的写法nat outbound 2000这里需要特别注意某些厂商设备默认nat outbound不指定地址池时会使用报文出接口的主IP地址做PAT转换。这在单公网出口环境下非常够用。如果你的出口不止一个公网IP而是运营商给你分配了一个地址段比如203.0.113.16/28那就可以把可用地址配置成地址池让NAT从中分配。例如nat address-group 1 203.0.113.17 203.0.113.30然后绑定nat outbound 2000 address-group 1到这里内网主机访问互联网的源地址转换就已经完成。关键点在于ACL匹配的是内网源地址地址池是转换后的公网源地址出口接口是流量实际出去的物理路径。这三者之间是串联关系哪一环配置错了都会导致NAT不生效。3.3 配置端口映射发布内部服务器如果需要对外发布内网的Web服务器端口映射配置思路又不一样。假设内网服务器IP是192.168.1.10监听TCP 80端口公网地址是203.0.113.5希望外网用户用http://203.0.113.5访问。在多数设备上可以配置一条目的NAT规则nat server protocol tcp global 203.0.113.5 80 inside 192.168.1.10 80这条命令的意思很直白访问公网地址203.0.113.5的TCP 80端口将目的IP和端口转换成192.168.1.10:80。如果内网服务器使用非标准端口比如内网端口是8080希望外网用公网IP的8080端口访问那就配置nat server protocol tcp global 203.0.113.5 8080 inside 192.168.1.10 8080这样外部用户访问http://203.0.113.5:8080时请求会被转发给内网192.168.1.10:8080。这时候有一个非常容易踩的坑内网用户直接通过公网IP访问发布的服务时流量虽然到了出口设备但出口设备发现目的地址是自己映射的公网地址会做目的地址转换同时源地址是内网主机自己的私网地址如果不做双向NAT处理服务器的响应流量会直接发给内网主机而不经过NAT设备导致连接失败。解决方式就是上面提到的双向NATNAT Hairpin或NAT Loopback。部分设备默认开启部分设备需要额外配置。遇到“内网用公网IP访问自己发布的网站打不开手机用4G流量却能打开”的诡异现象时十有八九就是这个原因。3.4 NAT与路由的联动关系配置NAT时千万别忘了路由。NAT只是改写了报文的地址但报文往哪个方向转发、从哪个接口出去还是依靠路由表来决策。举个例子你做了源NAT但没配置默认路由指向运营商网关那内网流量到了出口设备后查路由表发现没有默认路由直接把包丢弃了NAT配置再正确也是白搭。同理你配置了端口映射但出口设备本身没有把公网IP段宣告到内部网络那外部流量到达运营商网关后运营商不知道该把包路由到哪里自然也无法到达你的设备。所以配置NAT后请按以下顺序检查出口设备上有没有指向运营商网关的默认路由内部网络的核心交换机/路由器上有没有去向公网的默认路由指向出口设备如果有多条出口链路考虑是否要做策略路由与NAT联动确保报文的入接口和出接口匹配3.5 从抄配置到理解参数的进阶思路很多人学NAT时喜欢直接背命令其实更高效的方式是理解每个参数背后的含义。我见过不少人在A厂商设备上配置NAT没问题换到B厂商设备就一头雾水原因就是只记了特定命令没理解NAT的本质逻辑。不管哪个厂商NAT配置都可以抽象为回答以下四个问题哪些流量需要转换对应ACL或地址对象转换成什么地址对应地址池或出接口地址在哪个接口上转换对应出接口/入接口配置是源转换还是目的转换对应源NAT/目的NAT或者一对多/多对一的不同类型把这四个问题回答了换任何设备都能顺利上手。这是看家本领也是应对厂商认证考试中NAT配置题的通用方法论。4. 常见问题与排查技巧实录4.1 NAT配置了却上不了网该怎么查这是最常遇到的问题。配置检查顺序建议如下先看流量是否到达了NAT设备。可以在出口设备上做流量统计观察内网ping外网时出口接口是否有报文计数增长。如果接口计数都没有增加说明流量根本没到出口问题出在前面链路或路由上。再看NAT规则是否命中。传统做法是开启debug但操作不够直观。更推荐的方式是在NAT设备上查看NAT会话表。如果内网主机发起访问后会话表里出现了对应的转换记录说明NAT规则是命中的如果会话表为空但接口有流量进来说明ACL匹配的范围可能写错了或者NAT规则绑定的接口方向不对。还有一个隐蔽问题内网用户使用了代理上网所有流量目的地址都是代理服务器的IPNAT规则却只允许匹配目标端口80/443导致代理流量往往走8080等端口没有被匹配到。这种情况在办公网里特别多排查时记得问一句用户是不是开了代理。4.2 NAT表项满导致新连接失败NAT会为每一个会话维护一条表项设备的NAT会话表容量是有限的。如果业务流量特别大或者遭受了攻击导致大量半连接占满会话表就会出现“有些网页打不开、有些却正常”的现象。查看会话表容量和当前占用率的命令各厂商略有不同但思路一致如果发现会话表使用率接近100%优先排查是否有异常流量大量发起连接比如内网终端中了木马后疯狂向外发包或者服务器被扫描攻击。在设备上配置合适的会话超时时间和连接数限制可以有效缓解这个问题。经验值参考一般办公网每用户并发连接数在几百到一千左右如果一个公网IP下面带300个用户会话表容量不低于10万比较稳妥。如果发现会话表经常跑满优先考虑优化应用或者增加公网IP做负载分摊单纯调大会话表上限只是治标不治本。4.3 服务器发布出去了但外网访问时断时续端口映射配置正确从外网测试端口通畅但实际使用时总是偶发超时。这种情况多半是三个原因之一第一NAT设备上开启了应用层网关ALG功能但对某些协议支持不好。ALG的作用是让NAT感知FTP、SIP等协议内部的IP地址信息。很多协议会把IP地址封装在应用层报文里比如FTP的PORT命令、SIP的Contact头域纯NAT转换只能改IP头改不了载荷里的地址所以需要ALG协同处理。如果ALG配置不完整FTP传大文件时就会经常中断。解决方案是明确业务使用的协议类型按需开启对应的ALG不要无脑全部开启因为ALG过多反而会影响NAT转发性能。第二公网出口带宽被占满。外网用户访问服务器时如果整个出口带宽已经被内网下载流量打满即使NAT转换正确丢包和延迟也会让人感觉服务不稳定。排查时观察出口接口的流量统计最好错峰测试。第三运营商封了某些端口。很多宽带服务商默认封锁了80、25等常见端口这属于外部限制NAT设备上做任何调整都无法解决。遇到这种情况要么换端口要么联系运营商确认是否可以在该端口提供服务。4.4 内网访问公网服务正常但内网互访走NAT导致断连这个问题多出现在多网段的环境中。比如内网有192.168.1.0/24和192.168.2.0/24两个网段出口NAT配置时没有针对互访流量豁免。当192.168.1.0网段的主机访问192.168.2.0网段的主机时流量发到出口设备出口设备如果错误地对这部分流量也做了源NAT转换那么192.168.2.0网段的主机看到的源地址是公网IP而不是真实的私网IP响应流量会绕到公网路径返回于是产生了环路或连接失败。解决方案通常是在NAT规则中加入地址豁免或者调整路由让网段间互访流量不要经过NAT设备。这个问题的表象很像路由配置错误排查时如果发现路由正确却仍然不通一定要回头检查NAT规则是否存在误匹配。4.5 排查NAT问题的几个独门技巧很多年前我带一个新人排查故障他花了一个下午也没搞定最后发现只是NAT设备上把内网网段写错了掩码导致一半用户在做NAT另一半用户直连外网。这个教训让我养成了习惯排查NAT问题永远先确认配置里的IP地址和掩码是否与实际规划完全一致哪怕是一个字符都不放过。第二个技巧先简化问题域。内网用户访问外网不通时先把NAT规则临时放通所有源地址测试完再收紧看能否通信。如果可以说明问题在ACL匹配范围如果还不行就去检查路由和安全策略。这种二分排查法至少能省一半时间。第三个技巧善用抓包和NAT调试日志。很多设备都支持debug nat打开调试后可以在控制台实时看到NAT处理的每个报文转换前后地址变化。虽然生产环境不能长期开debug但短时间定位问题非常有效。第四个技巧记住NAT只能转换IP头和传输层端口改不了应用层内容。凡是遇到“FTP传大文件传到一半失败”“SIP电话注册成功但通话单通”这类问题优先怀疑ALG配置而不是NAT本身没生效。4.6 常见问题速查表现象可能原因检查要点内网全部无法上外网默认路由缺失或NAT未配置查看出口设备路由表和NAT规则命中计数部分网段无法上网ACL匹配范围错误核对ACL中的源地址和掩码共享带宽公网IP上网时快时慢PAT端口耗尽或连接数超限查看会话表占用率统计新建连接速率外网访问服务器不通端口映射配置错误或防火墙未放行检查映射关系、安全策略、运营商端口封锁内网用公网IP访问自己服务器失败缺少NAT回环Hairpin配置确认设备是否支持NAT Hairpin并正确配置FTP传文件中断ALG未开启或FTP被动模式端口范围配置过小开启FTP ALG同时放行被动模式端口范围视频会议单通SIP ALG未开启或拓扑中UPnP干扰开启SIP ALG关闭无用的UPnP5. 经验心得NAT用得好网络稳定一半聊了这么多最后说点心里话。NAT这个技术平时存在感不强你配好之后它就在那里默默工作用户根本感知不到它的存在。但一旦出问题就是大面积断网而且故障现象千奇百怪有时候能把人折腾到怀疑人生。做了这么多年网络运维我的体会是NAT方案没有绝对的对错关键是适合网络规模和业务场景。小企业办公网一个公网IP做PAT就够了成本低维护也简单如果对外的服务器比较多端口映射能让你省下公网IP的钱网络规模如果大到几千上万用户可能就需要考虑专门的网关设备甚至用NAT和负载均衡、应用识别配合起来做精细化分流。方案不在多高级能稳定支撑业务让用户无感知就是好方案。另外真心建议刚入行的朋友别只盯着命令背多花点时间理解NAT的工作原理和报文流转过程。遇到问题时能脑补出报文是怎么进来、怎么转换、怎么出去、怎么回来你的排错速度会快上一大截。技术在不断演进但数据通信里这些基础能力永远是看家本领。
搞网络的人迟早都会撞上NAT这个词。不管是刚入门的学生还是在机房摸爬滚打多年的老手只要你的网络需要上网、需要对外开放服务、需要做地址规划就一定绕不开网络地址转换这个基础技术。数据通信课程里NAT通常作为核心章节出现但说实话很多教材把原理写得很清楚真正落到设备上配置、排查故障时很多人还是容易犯迷糊。这篇文章我打算抛开教科书式的术语堆砌从实战出发把NAT的来龙去脉、四种常见类型、配置方法和踩坑经验一次性讲透。这篇文章适合谁看如果你正在准备网络相关的认证考试或者刚接手公司网络想要搞懂出口设备上的那些转换规则又或者你明明照着教程配好了NAT却总是上不了网那你来对地方了。我会把关键参数的计算逻辑、配置命令的意图、排错时的思考路径都讲清楚让你看完之后不仅会配还能理解为什么这么配出了问题也知道从哪里入手查。1. 内容整体设计与思路拆解1.1 为什么我们需要NATIPv4地址不够用了NAT全称是Network Address Translation中文叫网络地址转换。它诞生的根本原因很简单IPv4地址空间只有43亿个左右而全球联网设备早就远远超过了这个数目。如果把每台设备都分配一个全球唯一的公网IPv4地址地址池早就枯竭了。你可能会问那IPv6不是已经出来了吗确实IPv6提供了几乎用不完的地址空间但IPv4的存量设备和应用实在太多迁移不可能一蹴而就。在过渡期里NAT是最务实的解决方案。它的核心思想是内部网络使用私有地址只在网络出口设备通常是路由器或防火墙上做一次地址转换把私有地址映射成公网地址从而实现多个内网用户共享少数几个公网IP上网。打个比方这就好比一个小区只有一个快递收发室小区里的每栋楼都有自己的编号快递员不需要跑到每家每户只要把包裹送到收发室收发室再按楼栋编号分发给住户。NAT设备就是这个收发室内网地址是楼栋编号公网地址是快递员的联系地址。1.2 NAT要解决的核心矛盾私网地址不能直接在公网路由记住一个原则公网互联网上不会路由私网地址。根据RFC 1918的定义以下三个网段属于私有地址范围10.0.0.0/8也就是从10.0.0.1到10.255.255.254172.16.0.0/12也就是从172.16.0.1到172.31.255.254192.168.0.0/16也就是从192.168.0.1到192.168.255.254这些地址可以在任何组织的内部网络里随便使用但不能直接出现在公网报文里。当内网设备访问互联网时报文源地址是私网地址如果设备直接把这个包发出去了运营商的路由器看到目的地址是私有网段会直接丢弃因为运营商路由器上根本没有去往这些私网网段的路由。NAT设备做的事情就是改写报文的地址字段。对于出方向的流量把源IP地址从私网地址改成公网地址对于入方向的回应流量把目的IP地址从公网地址改回私网地址。同时NAT设备会维护一张状态表NAT表记录内网地址和公网地址的映射关系这样回应流量到达设备时设备才知道该把包转给内部的哪台主机。从组网思路上看NAT不是单一的技术而是一族技术的统称。根据转换方式的不同可以分为静态NAT、动态NAT、PAT端口地址转换等等。很多人在这里就分不清了后面我会逐个拆开讲也会告诉大家实际项目中该优先选用哪一种。2. 核心细节解析与实操要点2.1 静态NAT一对一映射主要用于服务器发布静态NAT也叫一对一NAT指的是内网地址和公网地址之间建立固定的映射关系。比如内网有一台服务器地址是192.168.1.10对外提供一个网站服务希望外网用户通过公网地址203.0.113.5来访问。这时候就可以在出口设备上配置一条静态NAT规则把192.168.1.10映射到203.0.113.5。静态NAT的特点是双向的既允许内网主机访问外网时源地址变为公网地址也允许外网主机主动访问内网服务器时目的地址被转换为私网地址。因为映射关系是固定写死的所以这个公网地址不能被其他设备使用。实操中有一个必须注意的点静态NAT需要消耗一个公网IPv4地址。如果你的公网地址本来就稀缺就尽量不要为每台内部服务器都分配独立的公网IP。那有没有办法让多台服务器共用一个公网IP同时对外提供服务呢有这就是基于端口的映射通常叫PAT或端口映射。我后面会详细说。2.2 动态NAT从地址池里动态分配适用性有限动态NAT配置一个公网地址池当内网主机发起访问时NAT设备从地址池中取一个未被占用的公网地址临时建立映射关系。当会话结束时公网地址被释放回池中可以被其他主机使用。听起来不错对吧但动态NAT有一个硬伤地址池的数量仍然有限。如果同时上网的内网主机数量超过地址池中的公网IP数量后面的主机就会因为没有可用公网地址而无法上网。所以动态NAT在现实项目中用得其实不多它只能解决“部分内网主机偶尔需要上网”的场景无法支撑大规模并发。动态NAT还有一个特点它只转换IP地址不转换端口。也就是说一条公网地址在同一时刻只能被一台内网主机占用。这和PAT有着本质区别理解这一点很关键你就能明白为什么办公网络几乎清一色都用PAT而不是动态NAT。2.3 PAT端口地址转换一个公网IP带几百人上网的秘诀PAT端口地址转换也常被称为NAPTNetwork Address Port Translation。它是最常见、最实用的NAT形式。核心原理是多个内网主机可以共用一个公网IPNAT设备依靠传输层端口号来区分不同的内网主机。具体来说当内网主机192.168.1.100访问某网站时源端口是56789同时内网主机192.168.1.101也访问同一个网站源端口是45678。两台主机经过同一台NAT设备出去时源IP都被替换成同一个公网IP但NAT设备会把前者的源端口映射为公网侧的10001后者的源端口映射为10002。当回应流量到达NAT设备时设备查看目的端口10001就知道这个包应该转给192.168.1.100。PAT能支撑的并发量很大理论上一个公网IP可以承载六万多个并发连接因为端口范围是1到65535但0到1023多为知名端口一般不用于动态映射。实际部署中受设备性能、会话表容量等因素影响一般建议一个公网IP承载几百到上千个普通办公用户是没问题的。这就是为什么很多中小企业的出口带宽虽然不高但只需要一个公网IP就能让整个办公室几十上百人都能正常上网。核心秘密就是PAT在起作用。2.4 端口映射和端口触发主动对外提供服务的方式还有一个概念容易被混淆——端口映射Port Forwarding和端口触发Port Triggering。端口映射本质上是静态PAT也就是上面提到的“多台服务器共用一个公网IP”。比如你内网有三台服务器192.168.1.10提供Web服务监听80端口192.168.1.20提供SSH管理监听22端口192.168.1.30提供文件传输监听21端口出口公网IP只有一个比如203.0.113.5。外网用户访问203.0.113.5:80时NAT设备把目的地址转换为192.168.1.10目的端口保持80不变访问203.0.113.5:22时转换为192.168.1.20:22。这样一来一个公网IP就能向公网提供三种不同服务。端口触发则是一种按需开放的机制。当内网某个主机主动向外部访问了某个特定端口触发端口之后NAT设备才临时开放一个对应的端口范围开放端口用于接收入方向的流量。这种机制多见于家用路由器企业级设备用得少但在一些游戏主机、视频监控场景里仍有应用场景。2.5 双向NAT和NAT的边界问题实际项目中还有一个很容易让人困惑的点双向NAT。简单理解双向NAT就是同时配置了源NAT和目的NAT也就是流量进来时做目的地址转换出去时做源地址转换。常见场景是内网用户通过公网地址访问自己公司内部服务器时流量先到出口设备出口设备识别到目的地址是自身映射的公网IP然后转换为内部服务器的私网地址同时把源地址从内网主机的私网地址转换为出口设备的公网地址因为服务器返回的流量需要经过NAT设备才能回到内网主机如果不转换源地址服务器可能直接把响应包发给内网主机的私网地址导致流量绕过NAT设备造成连接失败。这里要强调的是NAT不是防火墙它和防火墙的工作层级不同。但实际部署中很多NAT功能都集成在防火墙上。配置NAT规则时必须同时考虑安全策略的放行否则流量即使转换成功也会被安全策略拦下来。这条经验对新手特别重要因为很多人配了半天NAT发现不通结果罪魁祸首是防火墙策略没放行。3. 实操过程与核心环节实现3.1 基础配置前需要梳理哪些信息动手配置NAT之前先花五分钟梳理清楚以下信息能省掉后面大量排错时间内网接口和公网接口分别是什么通常是内网口属于trust区域公网口属于untrust区域不同厂商设备命名风格不同但逻辑一致。内网需要上网的网段有哪些如果网段多可以考虑用ACL来匹配哪些源地址允许做NAT转换。公网IP地址有几个是单个地址还是多个地址池决定用PAT还是动态NAT。是否需要对服务器做发布如果内网有对外服务的服务器需要提前规划公网端口和私网服务的对应关系。是否需要保留部分地址不做转换比如内网访问总部内网段时不需要NAT直接走路由这种场景往往需要配置NAT豁免NAT Exempt否则会导致内网互访走公网地址而出现回程路由问题。这些信息理清之后配置思路就水到渠成了。最忌拿到设备就开始敲命令敲到一半发现网段规划不对又推倒重来。3.2 配置一个标准的上网PAT完整步骤拆解下面以常见的网络设备命令行风格为例展示一个最简单的PAT配置流程。无论你用的是哪家的设备核心步骤不外乎三步配置ACL匹配内网地址、配置地址池或公网接口、将两者绑定到NAT规则中。第一步配置ACL匹配允许上网的内网网段。假设内网网段是192.168.1.0/24。acl basic 2000 rule 5 permit source 192.168.1.0 0.0.0.255这里0.0.0.255是通配符掩码表示只匹配192.168.1.x这一段。第二步配置出接口的公网地址。假设公网接口是GigabitEthernet0/1公网IP是203.0.113.5/30网关是203.0.113.6。interface GigabitEthernet0/1 ip address 203.0.113.5 255.255.255.252第三步配置NAT出方向转换将匹配ACL 2000的内网流量在出接口上转换为该接口的公网地址。nat outbound 2000 address-group 1或者是直接使用接口地址的写法nat outbound 2000这里需要特别注意某些厂商设备默认nat outbound不指定地址池时会使用报文出接口的主IP地址做PAT转换。这在单公网出口环境下非常够用。如果你的出口不止一个公网IP而是运营商给你分配了一个地址段比如203.0.113.16/28那就可以把可用地址配置成地址池让NAT从中分配。例如nat address-group 1 203.0.113.17 203.0.113.30然后绑定nat outbound 2000 address-group 1到这里内网主机访问互联网的源地址转换就已经完成。关键点在于ACL匹配的是内网源地址地址池是转换后的公网源地址出口接口是流量实际出去的物理路径。这三者之间是串联关系哪一环配置错了都会导致NAT不生效。3.3 配置端口映射发布内部服务器如果需要对外发布内网的Web服务器端口映射配置思路又不一样。假设内网服务器IP是192.168.1.10监听TCP 80端口公网地址是203.0.113.5希望外网用户用http://203.0.113.5访问。在多数设备上可以配置一条目的NAT规则nat server protocol tcp global 203.0.113.5 80 inside 192.168.1.10 80这条命令的意思很直白访问公网地址203.0.113.5的TCP 80端口将目的IP和端口转换成192.168.1.10:80。如果内网服务器使用非标准端口比如内网端口是8080希望外网用公网IP的8080端口访问那就配置nat server protocol tcp global 203.0.113.5 8080 inside 192.168.1.10 8080这样外部用户访问http://203.0.113.5:8080时请求会被转发给内网192.168.1.10:8080。这时候有一个非常容易踩的坑内网用户直接通过公网IP访问发布的服务时流量虽然到了出口设备但出口设备发现目的地址是自己映射的公网地址会做目的地址转换同时源地址是内网主机自己的私网地址如果不做双向NAT处理服务器的响应流量会直接发给内网主机而不经过NAT设备导致连接失败。解决方式就是上面提到的双向NATNAT Hairpin或NAT Loopback。部分设备默认开启部分设备需要额外配置。遇到“内网用公网IP访问自己发布的网站打不开手机用4G流量却能打开”的诡异现象时十有八九就是这个原因。3.4 NAT与路由的联动关系配置NAT时千万别忘了路由。NAT只是改写了报文的地址但报文往哪个方向转发、从哪个接口出去还是依靠路由表来决策。举个例子你做了源NAT但没配置默认路由指向运营商网关那内网流量到了出口设备后查路由表发现没有默认路由直接把包丢弃了NAT配置再正确也是白搭。同理你配置了端口映射但出口设备本身没有把公网IP段宣告到内部网络那外部流量到达运营商网关后运营商不知道该把包路由到哪里自然也无法到达你的设备。所以配置NAT后请按以下顺序检查出口设备上有没有指向运营商网关的默认路由内部网络的核心交换机/路由器上有没有去向公网的默认路由指向出口设备如果有多条出口链路考虑是否要做策略路由与NAT联动确保报文的入接口和出接口匹配3.5 从抄配置到理解参数的进阶思路很多人学NAT时喜欢直接背命令其实更高效的方式是理解每个参数背后的含义。我见过不少人在A厂商设备上配置NAT没问题换到B厂商设备就一头雾水原因就是只记了特定命令没理解NAT的本质逻辑。不管哪个厂商NAT配置都可以抽象为回答以下四个问题哪些流量需要转换对应ACL或地址对象转换成什么地址对应地址池或出接口地址在哪个接口上转换对应出接口/入接口配置是源转换还是目的转换对应源NAT/目的NAT或者一对多/多对一的不同类型把这四个问题回答了换任何设备都能顺利上手。这是看家本领也是应对厂商认证考试中NAT配置题的通用方法论。4. 常见问题与排查技巧实录4.1 NAT配置了却上不了网该怎么查这是最常遇到的问题。配置检查顺序建议如下先看流量是否到达了NAT设备。可以在出口设备上做流量统计观察内网ping外网时出口接口是否有报文计数增长。如果接口计数都没有增加说明流量根本没到出口问题出在前面链路或路由上。再看NAT规则是否命中。传统做法是开启debug但操作不够直观。更推荐的方式是在NAT设备上查看NAT会话表。如果内网主机发起访问后会话表里出现了对应的转换记录说明NAT规则是命中的如果会话表为空但接口有流量进来说明ACL匹配的范围可能写错了或者NAT规则绑定的接口方向不对。还有一个隐蔽问题内网用户使用了代理上网所有流量目的地址都是代理服务器的IPNAT规则却只允许匹配目标端口80/443导致代理流量往往走8080等端口没有被匹配到。这种情况在办公网里特别多排查时记得问一句用户是不是开了代理。4.2 NAT表项满导致新连接失败NAT会为每一个会话维护一条表项设备的NAT会话表容量是有限的。如果业务流量特别大或者遭受了攻击导致大量半连接占满会话表就会出现“有些网页打不开、有些却正常”的现象。查看会话表容量和当前占用率的命令各厂商略有不同但思路一致如果发现会话表使用率接近100%优先排查是否有异常流量大量发起连接比如内网终端中了木马后疯狂向外发包或者服务器被扫描攻击。在设备上配置合适的会话超时时间和连接数限制可以有效缓解这个问题。经验值参考一般办公网每用户并发连接数在几百到一千左右如果一个公网IP下面带300个用户会话表容量不低于10万比较稳妥。如果发现会话表经常跑满优先考虑优化应用或者增加公网IP做负载分摊单纯调大会话表上限只是治标不治本。4.3 服务器发布出去了但外网访问时断时续端口映射配置正确从外网测试端口通畅但实际使用时总是偶发超时。这种情况多半是三个原因之一第一NAT设备上开启了应用层网关ALG功能但对某些协议支持不好。ALG的作用是让NAT感知FTP、SIP等协议内部的IP地址信息。很多协议会把IP地址封装在应用层报文里比如FTP的PORT命令、SIP的Contact头域纯NAT转换只能改IP头改不了载荷里的地址所以需要ALG协同处理。如果ALG配置不完整FTP传大文件时就会经常中断。解决方案是明确业务使用的协议类型按需开启对应的ALG不要无脑全部开启因为ALG过多反而会影响NAT转发性能。第二公网出口带宽被占满。外网用户访问服务器时如果整个出口带宽已经被内网下载流量打满即使NAT转换正确丢包和延迟也会让人感觉服务不稳定。排查时观察出口接口的流量统计最好错峰测试。第三运营商封了某些端口。很多宽带服务商默认封锁了80、25等常见端口这属于外部限制NAT设备上做任何调整都无法解决。遇到这种情况要么换端口要么联系运营商确认是否可以在该端口提供服务。4.4 内网访问公网服务正常但内网互访走NAT导致断连这个问题多出现在多网段的环境中。比如内网有192.168.1.0/24和192.168.2.0/24两个网段出口NAT配置时没有针对互访流量豁免。当192.168.1.0网段的主机访问192.168.2.0网段的主机时流量发到出口设备出口设备如果错误地对这部分流量也做了源NAT转换那么192.168.2.0网段的主机看到的源地址是公网IP而不是真实的私网IP响应流量会绕到公网路径返回于是产生了环路或连接失败。解决方案通常是在NAT规则中加入地址豁免或者调整路由让网段间互访流量不要经过NAT设备。这个问题的表象很像路由配置错误排查时如果发现路由正确却仍然不通一定要回头检查NAT规则是否存在误匹配。4.5 排查NAT问题的几个独门技巧很多年前我带一个新人排查故障他花了一个下午也没搞定最后发现只是NAT设备上把内网网段写错了掩码导致一半用户在做NAT另一半用户直连外网。这个教训让我养成了习惯排查NAT问题永远先确认配置里的IP地址和掩码是否与实际规划完全一致哪怕是一个字符都不放过。第二个技巧先简化问题域。内网用户访问外网不通时先把NAT规则临时放通所有源地址测试完再收紧看能否通信。如果可以说明问题在ACL匹配范围如果还不行就去检查路由和安全策略。这种二分排查法至少能省一半时间。第三个技巧善用抓包和NAT调试日志。很多设备都支持debug nat打开调试后可以在控制台实时看到NAT处理的每个报文转换前后地址变化。虽然生产环境不能长期开debug但短时间定位问题非常有效。第四个技巧记住NAT只能转换IP头和传输层端口改不了应用层内容。凡是遇到“FTP传大文件传到一半失败”“SIP电话注册成功但通话单通”这类问题优先怀疑ALG配置而不是NAT本身没生效。4.6 常见问题速查表现象可能原因检查要点内网全部无法上外网默认路由缺失或NAT未配置查看出口设备路由表和NAT规则命中计数部分网段无法上网ACL匹配范围错误核对ACL中的源地址和掩码共享带宽公网IP上网时快时慢PAT端口耗尽或连接数超限查看会话表占用率统计新建连接速率外网访问服务器不通端口映射配置错误或防火墙未放行检查映射关系、安全策略、运营商端口封锁内网用公网IP访问自己服务器失败缺少NAT回环Hairpin配置确认设备是否支持NAT Hairpin并正确配置FTP传文件中断ALG未开启或FTP被动模式端口范围配置过小开启FTP ALG同时放行被动模式端口范围视频会议单通SIP ALG未开启或拓扑中UPnP干扰开启SIP ALG关闭无用的UPnP5. 经验心得NAT用得好网络稳定一半聊了这么多最后说点心里话。NAT这个技术平时存在感不强你配好之后它就在那里默默工作用户根本感知不到它的存在。但一旦出问题就是大面积断网而且故障现象千奇百怪有时候能把人折腾到怀疑人生。做了这么多年网络运维我的体会是NAT方案没有绝对的对错关键是适合网络规模和业务场景。小企业办公网一个公网IP做PAT就够了成本低维护也简单如果对外的服务器比较多端口映射能让你省下公网IP的钱网络规模如果大到几千上万用户可能就需要考虑专门的网关设备甚至用NAT和负载均衡、应用识别配合起来做精细化分流。方案不在多高级能稳定支撑业务让用户无感知就是好方案。另外真心建议刚入行的朋友别只盯着命令背多花点时间理解NAT的工作原理和报文流转过程。遇到问题时能脑补出报文是怎么进来、怎么转换、怎么出去、怎么回来你的排错速度会快上一大截。技术在不断演进但数据通信里这些基础能力永远是看家本领。
