NAT.png

实验需求

  1. 按照图示配置 IP 地址
  2. 私网 A 通过 R1 接入到互联网，私网 B 通过 R3 接入到互联网
  3. 私网 A 内部存在 Vlan10 和 Vlan20，通过 R1 上单臂路由访问外部网络
  4. 私网 A 通过 NAPT 使 Vlan10 和 Vlan20 都能够使用 R1 的公网地址访问互联网
  5. 私网 B 通过在 R3 上配置 EASY IP 访问互联网

  6. 私网 A 配置 NAT SERVER 把 FTPA 的 FTP 服务发布到公网，使 PCB 可以访问

    实验解法

  7. 配置 IP 地址部分略，所有路由器端口都配，因为图的问题，vlan不配IP，IP配在端口

  8. R1 和 R3 上配置默认路由指向公网，配置步骤

R1：

  1. <--! 添加静态路由，0.0.0.0 标准网络号 0.0.0.0 表示子网掩码， 这样下来 0.0.0.0 0.0.0.0 就表示了公网上面所有的IP地址， 10.65.1.2 表示下一跳地址意思就是说路由该指向什么地方!-->
  2. [H3C]ip route 0.0.0.0 0 100.1.1.2
  3. R3:[H3C]ip route 0.0.0.0 0 100.2.2.1
  1. 私网 A 内部单臂路由配置部分略

SWA：

  1. <H3C>SYS
  2. [H3C]vlan 10
  3. [H3C-vlan10]port g1/0/1
  4. [H3C-vlan10]vlan 20
  5. [H3C-vlan20]port g1/0/2     #把端口g1/0/2加入vlan 20
  6. [H3C-vlan10]quit
  7. [H3C]in g1/0/3
  8. [H3C-GigabitEthernet1/0/3]port list-type trunk
  9. [H3C-GigabitEthernet1/0/3]port trunk permit vlan 10 20      # 放行指定vlan

FTP-A:

  1. <H3C>sys
  2. <--! 因为指向的路由器是单臂路由，有多个子接口，不指定默认路由会找不到对应的子接口 !-->
  3. [H3C]ip route 0.0.0.0 0 192.168.1.1
  4. [h3c]int g 0/0
  5. [h3c]ip ad 192.168.1.2 24
  6. /* FTP配置 */
  7. [H3C]ftp server enable      #开启ftp服务
  8. [H3C]local-user liqiantao class manage      #设置本地用户，类型为设备管理用户
  9. [H3C-luser-manage-liqiantao]authorization-attribute user-role level-15
  10. [H3C-luser-manage-liqiantao]password simple 123456  # 设置密码，为明文
  11. [H3C-luser-manage-liqiantao]service-type ftp    # 设置用户服务类型为ftp

PCA

  1. <H3C>sys
  2. [H3C]ip route 0.0.0.0 0 192.168.2.1
  3. [h3c]int g 0/0
  4. [h3c]ip ad 192.168.2.2 24

R1:

  1. [H3C-GigabitEthernet0/0]in g0/0.1
  2. [H3C-GigabitEthernet0/0.1]ip address 192.168.1.1 24
  3. [H3C-GigabitEthernet0/0.1]vlan-type dot1q vid 10    # 该接口会对vlan 10的数据帧添加或剥离dot1q（802.1Q）格式的标签
  4. <--! 单臂路由是路由器使用一个物理接口划分为多个逻辑子接口，给每个逻辑子接口配置IP，对应到不同的vlan，从而实现多个vlan间通信的方法。上面的语句就是用于指定某个逻辑子接口对应某个vlan的方法。 !-->
  5. [H3C-GigabitEthernet0/0.1]in g0/0.2
  6. [H3C-GigabitEthernet0/0.2]ip ad 192.168.2.1 24
  7. [H3C-GigabitEthernet0/0.2]vlan-type dot1q vid 20    # 该接口会对vlan 20的数据帧添加或剥离dot1q（802.1Q）格式的标签
  1. 私网 A 通过 NAPT 使 Vlan10 和 Vlan20 都能够使用 R1 的公网地址访问互联网

分析：根据需求得知，ACL 需要配置允许 192.168.1.0/24 和 192.168.2.0/24 网段；私网 A 只有 1 个公网地址可用，意味着创建的 NAT 地址池起始和结束地址就都是 100.1.1.1
步骤 1：R1 上创建基本 ACL，允许 192.168.1.0/24 和 192.168.2.0/24 网段

  1. [R1]acl basic 2000
  2. [R1-acl-ipv4-basic-2000]rule permit source 192.168.1.0 0.0.0.255
  3. [R1-acl-ipv4-basic-2000]rule permit source 192.168.2.0 0.0.0.255

步骤 2：R1 上创建 NAT 地址池，设置公网地址

  1. [R1]nat address-group 1
  2. [R1-address-group-1]address 100.1.1.1 100.1.1.1

步骤 3：在 R1 的公网接口上配置 NAPT

  1. [R1]interface g0/1
  2. [R1-GigabitEthernet0/1]nat outbound 2000 address-group 1

步骤 4：在 PCA 上 Ping R3 的公网地址，测试是否可以访问互联网

  1. <PCA>ping 100.2.2.2
  2. Ping 100.2.2.3 (192.168.2.10): 56 data bytes, press CTRL_C to break
  3. 56 bytes from 100.2.2.3: icmp_seq=0 ttl=254 time=22.000 ms
  4. 56 bytes from 100.2.2.3: icmp_seq=1 ttl=254 time=51.000 ms
  5. 56 bytes from 100.2.2.3: icmp_seq=2 ttl=254 time=21.000 ms
  6. 56 bytes from 100.2.2.3: icmp_seq=3 ttl=254 time=43.000 ms
  7. 56 bytes from 100.2.2.3: icmp_seq=4 ttl=254 time=34.000 ms
  1. 私网 B 通过在 R3 上配置 EASY IP 访问互联网

分析：根据需求得知，ACL 需要配置允许 192.168.1.0/24 网段；使用 EASY IP，就无需配置 NAT 地址池，直接在公网接口上配置即可，EASY IP 会自动识别公网接口的 IP 地址
步骤 1：R3 上创建基本 ACL，允许 192.168.1.0/24 网段

  1. [R3]acl basic 2000
  2. [R3-acl-ipv4-basic-2000]rule permit source 192.168.1.0 0.0.0.255

步骤 2：在 R3 的公网接口上配置

  1. EASY IP[R3]interface g0/0
  2. [R3-GigabitEthernet0/1]nat outbound 2000

步骤 3：在R3上配置默认路由

  1. ip route 0.0.0.0 0 192.168.1.4

步骤 4：在 PCB 上 Ping R1 的公网地址，测试是否可以访问互联网

  1. <PCB>ping 100.1.1.1
  2. Ping 100.1.1.1 (192.168.1.10): 56 data bytes, press CTRL_C to break
  3. 56 bytes from 100.1.1.1: icmp_seq=0 ttl=254 time=32.000 ms
  4. 56 bytes from 100.1.1.1: icmp_seq=1 ttl=254 time=29.000 ms
  5. 56 bytes from 100.1.1.1: icmp_seq=2 ttl=254 time=41.000 ms
  6. 56 bytes from 100.1.1.1: icmp_seq=3 ttl=254 time=33.000 ms
  7. 56 bytes from 100.1.1.1: icmp_seq=4 ttl=254 time=34.000 ms
  1. 私网 A 配置 NAT SERVER 把 FTPA 的 FTP 服务发布到公网，使 PCB 可以访问

分析：根据需求得知，需要发布 FTPA 的 FTP 服务，也就是把 R1 的公网地址的 20 和 21 端口映射到 FTPA 的私网地址 配置 FTP 服务步骤略
步骤 1：在 R1 的公网接口上配置 NAT SERVER，映射端口 20 和 21

  1. [R1-GigabitEthernet0/1]nat server protocol tcp global current-interface 20 21 inside 192.168.1.2 20 21 # 把192.168.1.2的20 21端口映射到当前端口的20 21上

步骤 2：在 PCB 上测试是否能够通过 R1 的公网地址访问 FTPA 的 FTP 服务

  1. <PCB>ftp 100.1.1.1
  2. Press CTRL+C to abort.
  3. Connected to 100.1.1.1 (100.1.1.1).
  4. 220 FTP service ready.
  5. User (100.1.1.1:(none)):