本文提供回答关于网络地址转换(NAT)常见问题。

A.网络地址转换(NAT)为IP地址保存设计。 这使得采用未注册 IP 地址的专用 IP 网络可以连接到 Internet。 NAT 在路由器上运行，通常将两个网络连接在一起，并在数据包转发到另一个网络之前，将内部网络中的专用（非全局唯一）地址转换为合法地址。

作为此功能的一部分，NAT 可以配置为只向外界通告整个网络的一个地址。 这样可以将整个内部网络有效地隐藏在该地址后面，使其更加安全。 NAT在远程访问环境提供安全和地址保存的双重功能和典型地实现。

答：在下列情况下，可以察觉由 NAT 创建的 IP 地址的路由：

• 内部全局地址池源自下一跳路由器的子网。

• 静态路由条目在下一跳路由器中配置，并在路由网络中重新分配。

当内部全局地址匹配与本地接口时， NAT安装IP别名和ARP条目，在路由器这些地址的情况下proxy-arp。 如果此行为没有希望，请使用NO-别名关键字。

当NAT池配置时， add-route选项可以为自动路由射入使用。

A. NAT会话限制由相当数量是限定在路由器的联机DRAM。 每个NAT转换消耗大约在DRAM的312个字节。 结果， 10,000个转换(更多比通常处理在单个路由器)消耗关于3 MB。 所以，典型的路由硬件足够有支持的内存千位NAT转换。

答：Cisco IOS NAT 支持 Cisco 快速转发交换、快速交换以及进程交换。 对于12.4T版本和以后，快速交换路径不再支持的。 对于Cat6k平台，交换顺序是NetFlow (HW交换路径)， CEF，进程路径。

性能取决于以下几个因素：

• 应用类型及其数据流类型

• IP 地址是否为嵌入式

• 多条消息的交换与检查

• 要求的源端口

• 转换次数

• 当时运行的其他应用程序

• 硬件和处理器的类型

A. 是。 源 NAT 和/或目标 NAT 之间的转换可以应用于任何具有 IP 地址的接口或子接口（包括拨号器接口）。 NAT不可能配置与无线虚拟接口。 无线虚拟接口不在文字时存在对NVRAM。 因此，在重新启动以后，路由器疏松在无线虚拟接口的NAT配置。

答：PAT（过载）将每个全局 IP 地址的可用端口分成三个范围： 0-511、512-1023 和 1024-65535。 PAT 为每个 UDP 或 TCP 会话分配唯一的源端口。 它尝试分配原始请求的相同端口值，但是，如果初始源端口已经使用，开始扫描从最初特定的端口范围查找第一个可用端口并且分配它到会话。 有12.2S代码基址的一例外。 12.2S代码基址使用另外端口逻辑，并且没有端口预约。

A. PAT与一个全局IP地址或多个地址一起使用。

PAT用一个IP地址

条件	说明
1	NAT/PAT 检查数据流并将其与转换规则进行匹配。
2	规则与 PAT 配置相匹配。
3	如果PAT知道关于流量类型，并且，如果该流量类型有“一套特定端口或端口它协商”该它将使用， PAT把他们放一边和不分配他们作为唯一标识符。
4	如果某个没有特殊端口要求的会话尝试连接到外部网络上，则 PAT 将转换 IP 源地址并检查初始源端口（例如 433）的可用性。 注意： 对于传输控制协议 (TCP) 和用户数据报协议 (UDP)，范围为： 1-511， 512-1023， 1024-65535。 对于 Internet 控制消息协议 (ICMP)，第一组范围从 0 开始。
5	如果请求的源端口可用，则 PAT 将分配该源端口，然后会话继续。
6	如果请求的源端口不是可用的， PAT开始搜索从最初相关组(开始在1 TCP或UDP申请的和从0对ICMP)。
7	如果有端口可用，则分配该端口，然后会话继续。
8	如果没有端口可用，则丢弃数据包。

　

　

PAT用多个IP地址

条件	说明
1-7	前七个条件与处理单个 IP 地址的情况相同。
8	如果端口在第一个IP地址的相关组中不是可用的， NAT继续前进向在池的下个IP地址并且设法分配初始源端口请求的。
9	如果请求的源端口可用，则 NAT 将分配该源端口，然后会话继续。
10	如果请求的源端口不可用，则 NAT 将从相关组的起始处开始搜索（对于 TCP 或 UDP 应用程序，从 1 开始；对于 ICMP，从 0 开始）。
11	如果端口是可用的，已分配，并且会话继续。
12	如果没有端口可用，除非池中的另一个 IP 地址可用，否则丢弃数据包。

　

　

答：NAT IP 池是根据需要为 NAT 转换所分配的 IP 地址范围。 要定义池，配置命令使用：

ip nat pool <name> <start-ip> <end-ip> 
     {netmask <netmask> | prefix-length <prefix-length>}
     [type {rotary}]

示例 1

以下示例翻译在从192.168.1.0或192.168.2.0网络寻址的内部主机之间对全局唯一10.69.233.208/28网络：

ip nat pool net-208 10.69.233.208 10.69.233.223 prefix-length 28 
ip nat inside source list 1 pool net-208
!
interface ethernet 0
ip address 10.69.232.182 255.255.255.240
ip nat outside
!
interface ethernet 1
ip address 192.168.1.94 255.255.255.0
ip nat inside
!
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 192.168.2.0 0.0.0.255

示例 2

在以下示例中，目标是定义虚拟地址的连接在一套是分布式实时主机中。 池定义了实时主机的地址。 访问列表定义了虚拟地址。 如果转换已经不存在，从serial interfaces 0 (外部接口)的TCP信息包目的地匹配访问列表翻译对从池的一个地址。

ip nat pool real-hosts 192.168.15.2 192.168.15.15 prefix-length 28 type rotary
ip nat inside destination list 2 pool real-hosts
!
interface serial 0
ip address 192.168.15.129 255.255.255.240
ip nat outside
!
interface ethernet 0
ip address 192.168.15.17 255.255.255.240
ip nat inside
!
access-list 2 permit 192.168.15.1

A. 在实用的使用，可配置IP池最大是由相当数量在特定路由器的联机DRAM限制了。 (Cisco建议您配置库容量255。) 每个池应该是不大于16个位。 在12.4(11)T中和以后， IOS介绍CCE (常见分类引擎)。 这有限制NAT只有最多255个池。 在12.2S代码基址，没有最大数量池限制。

答：静态 NAT 转换在本地地址和全局地址之间具有一对一的映射关系。 用户也可以将静态地址转换配置为端口级，并将剩余的 IP 地址用于其他转换。 这通常发生在执行端口地址转换 (PAT) 的位置。

以下示例显示如何配置routemap允许外部到内部转换静态NAT ：

ip nat inside source static 1.1.1.1 2.2.2.2 route-map R1 reversible
!
ip access-list extended ACL-A
permit ip any 30.1.10.128 0.0.0.127'
route-map R1 permit 10
match ip address ACL-A

A. 是。 NAT超载是PAT，介入使用池以范围一个或更多地址或使用接口IP地址与端口的组合。 当您超载，您创建充分扩展转换。 这是包含IP地址和源或目的地端口信息的转换表条目，通常称PAT或超载。

PAT (或超载)是使用转换对一个或更多的内部Cisco IOS NAT的功能(Inside local)专用地址外部(Inside Global，通常注册) IP地址。 每次转换的唯一源端口号用于区分不同的会话。

A. 在动态 NAT 转换中，用户可以建立本地地址和全局地址之间的动态映射。 动态映射通过定义分配全局地址和关联二的本地地址将翻译的和地址池或接口IP地址完成。

A. Traceroute从外面应该总是返回全局地址。

A. NAT支持仅故障中IP段由于ip虚拟重组。

A. NAT使用IP分段和TCP分段的同样debug CLI ： debug ip nat frag。

答：不能。 那里在没有支持的NAT MIB。

A. 如果三方握手没有完成，并且NAT看到TCP数据包，则NAT将启动60秒钟计时器。 当三方握手完成时，默认情况下NAT使用NAT条目的24小时计时器。 如果终端主机发送RESET， NAT更换从24个小时的默认计时器到60秒。 一旦FIN，当接收FIN和FIN-ACK时， NAT更换从24个小时的默认计时器到60秒。

A. LDAP设置添加额外的字节(LDAP搜索发生)，当处理类型搜索RES条目时消息。 LDAP附加10字节的搜索结果对其中每一LDAP应答数据包。 在此10额外的字节的数据导致超出在网络情况下的数据包最大传输单元(MTU)，数据包已丢失。 在这种情况下， Cisco建议您关闭此LDAP行为使用CLI no ip nat服务追加LDAP搜索RES命令为了数据包能发送和接收。

A. 路由在Inside Global IP地址的NAT配置的方框必须指定功能的例如NAT-NVI。 同样地，在外部本地IP地址的NAT方框应该也指定路由。 在这种情况下，从的所有数据包在对方向使用外部静态规则将要求这种路由。 在这样方案中，当提供路由为IG/OL，应该也配置时下一跳IP地址。 如果下一跳配置未命中，这认为配置错误，并且导致未确定行为。

NVI-NAT是存在仅输出功能路径。 如果直接地有与NAT-NVI的连接的子网或在方框配置的外部NAT转换规则，则在那些方案，您需要为下一跳提供一个假的下一跳IP地址并且相关的ARP。 这是需要的为了基础结构能递交数据包到转换的NAT。

A.默认电话负载的CUCM 7和全部CUCM 7支持的SCCPv17。 当电话注册时，使用的SCCP版本取决于在CUCM和电话之间的最高的普通的版本。

NAT不支持SCCP v17。 直到SCCP的v17 NAT支持实现，必须降级固件到版本8-3-5或以下，以便SCCP v16协商。 只要使用SCCP v16， CUCM6不会遇到与任何电话负载的NAT问题。 Cisco IOS当前不支持SCCP版本17。

A. 已处理呼叫编号由NAT路由器的是偶发的内存数量在方框和CPU的处理功率的联机。

A. IOS-NAT H323的支持TCP分段12.4主线和TCP SKINNY的分段支持从向前12.4(6)T。

A. 是。 当您有NAT超载配置和一语音部署时，您需要注册消息通过NAT和创建out->in的一个关联能到达此内部设备。 内部设备在一个定期方式发送此注册，并且NAT更新此针孔或关联从信息正如在信令消息。

A. 在语音部署，当您isssue清楚ip nat trans *请发出命令或一清楚ip nat trans被强制的命令并且有动态NAT，您将消除针孔或关联，并且必须等待从内部设备的下个注册周期到再estabilish这。 Cisco建议您不使用这些清楚in命令语音部署。

答：不能。 并行定位解决方案当前不支持的。 与NAT的下列的部署(在同一个方框)认为一并行定位解决方案： CME/DSP-Farm/SCCP/H323.

答：不能。 注意UDP SIP ALG (使用由多数部署)没有被影响。

72UUT(config)#ip nat inside
	 source static 1.1.1.1 22.2.2.2 72UUT(config)#ip nat inside source static
	 1.1.1.1 22.2.2.2 vrf RED 

A. overloapping地址的传统NAT支持在不同的VRF配置。 您会必须配置重叠在与匹配在VRF选项的规则和设置ip nat inside或外部在同样VRF流量的在该特定VRF。 重叠支持不包括全球路由表。

您必须添加交迭的VRF静态NAT条目的匹配在VRF关键字不同的VRF的。 然而，交迭全局和VRF NAT地址是不可能的。

72UUT(config)#ip nat inside source static 1.1.1.1 22.2.2.2 vrf RED match-in-vrf
72UUT(config)#ip nat inside source static 1.1.1.1 22.2.2.2 vrf BLUE match-in-vrf

a. Cisco建议您使用VRF的传统NAT对全局NAT (ip nat inside或)和在同样VRF的接口之间。 NVI为区别VRF之间的NAT使用。

A. 没有TCP分段的支持NAT-NVI的。

答：不能。 注意UDP SIP ALG (使用由多数部署)没有被影响。

A. SNAT不支持任何TCP ALGs (例如， SIP、SKINNY、H323或者DNS)。 所以， TCP分段不支持的。 然而， UDP SIP和DNS支持的。

A. SNAT不支持任何TCP ALGs (例如， SIP、SKINNY、H323或者DNS)。 所以， TCP分段不支持的。 然而， UDP SIP和DNS支持的。

a. Asymetric路由支持NAT通过启用作为队列。 默认情况下，和队列是enable (event)。 然而，从向前12.4(24)T，和队列不再支持的。 客户必须确保数据包适当地已路由，并且适当的延迟是已添加为了不对称路由能正确地运作。

A. NAT-PT不是支持的在CEF路径。

A. NAT-PT支持TFTP/FTP和DNS。 没有语音和SNAT的支持在NAT-PT。

A. SNAT不是可用的在SX系列的Catalyst 6500。

A. VRF感知NAT不是支持的在此平台的硬件方面。

A. 在65xx/76xx平台上， VRF感知NAT不支持的，并且CLIs阻塞。

注意： 您能通过在虚拟上下文透明模式运行的有效利用FWSM实现设计。

答：不能。 没有skinny NAT ALG的支持在850系列的12.4T。

A. 是。 这些是NAT最佳实践：

1. 当曾经动态和静态NAT，设置动态NAT的时规则的ACL应该如此屏蔽静态本地主机没有重叠。

2. 当心使用ACL NAT与permit ip any any，您能取得不可预知的结果。 在12.4(20)T NAT将转换本地生成的HSRP和路由协议信息包后，如果被派出外部接口，以及本地加密的信息包匹配NAT规则的他们。

3. 当您有NAT的时重叠网络，请使用匹配在VRF关键字。

   您必须添加交迭的VRF静态NAT条目的匹配在VRF关键字不同的VRF的，但是交迭全局和VRF NAT地址是不可能的。

   Router(config)#ip nat inside source static 1.1.1.1 22.2.2.2 vrf RED match-in-vrf
   

   Router(config)#ip nat inside source static 1.1.1.1 22.2.2.2 vrf BLUE match-in-vrf
   

4. 除非匹配在VRF关键字使用，有同样地址范围的NAT池不可能使用用不同的VRF。

   例如：

     ip nat pool poolA 171.1.1.1 171.1.1.10 prefix-length 24
     ip nat pool poolB 171.1.1.1 171.1.1.10 prefix-length 24
     ip nat inside source list 1 poolA vrf A match-in-vrf
     ip nat inside source list 2 poolB vrf B match-in-vrf 
   

   注意： Wven，虽然CLI配置有效，没有匹配在VRF关键字配置不支持的。

5. 当部署ISP负载平衡与NAT接口超载时，最佳实践是使用与接口匹配的路由映射在ACL匹配。

6. 当曾经池映射时，您不应该使用二不同的映射(ACL或路由映射)共享同一个NAT池地址。

7. 当部署同样NAT在故障切换方案时的二个不同的路由器规定，您应该使用HSRP冗余。