防火墙的双向nat

3.18.3  内网用户通过NAT地址访问外网配置举例（地址重叠）

1. 组网需求

·     某公司内网网段地址为192.168.1.0/24，该网段与要访问的外网Web服务器所在网段地址重叠。

·     该公司拥有202.38.1.2和202.38.1.3两个外网IP地址。

·     需要实现，内网用户可以通过域名访问外网的Web服务器。

2. 组网图

图3-5 内网用户通过NAT访问外网配置组网图（地址重叠）

‌

3. 配置思路

这是一个典型的双向NAT应用，具体配置思路如下。

·     内网主机通过域名访问外网Web服务器时，首先需要向外网的DNS服务器发起DNS查询请求。由于外网DNS服务器回复给内网主机的DNS应答报文载荷中的携带的Web服务器地址与内网主机地址重叠，因此NAT设备需要将载荷中的Web服务器地址转换为动态分配的一个NAT地址。动态地址分配可以通过入方向动态地址转换实现，载荷中的地址转换需要通过DNS ALG功能实现。

·     内网主机得到外网Web服务器的IP地址之后（该地址为临时分配的NAT地址），通过该地址访问外网Web服务器。由于内网主机的地址与外网Web服务器的真实地址重叠，因此也需要为其动态分配一个NAT地址，可以通过出方向动态地址转换实现。

·     外网Web服务器对应的NAT地址在NAT设备上没有路由，因此需要手工添加静态路由，使得目的地址为外网服务器NAT地址的报文出接口为GigabitEthernet1/0/2。

1.3 NAT应用

1.3.1 传统NAT

1.3.2 两次NAT

1.3.3 双向NAT