H3C S9500产品NAT地址转换功能的配置

S9500交换机NAT地址转换功能的配置

一、组网需求：

如下组网中，作为NAT设备的交换机处于私网(192.168.1.0/24网段)和公网(202.120.10.0/24网段)的连接处。私网拥有202.120.10.4~202.120.10.6等三个公网IP地址。当HOST1(IP地址为192.168.1.3）向HOST2(IP地址为202.120.10.3）发送的数据报1通过NAT设备时，经过地址转换，将数据报1的源地址字段的IP地址192.168.1.3转换成VLAN 10网段IP地址202.120.10.4，然后将数据报1按要求转发出去。整个过程对HOST1和HOST2终端来说是透明的。

二、组网图

三、配置步骤：

软件版本：S9500交换机1250之后软件版本

硬件版本：支持NAT的单板LSB1NATB1

1)  创建vlan 2 和vlan 10，配置其vlan 接口IP地址，并将HOST1和HOST2所在端口加入相应VLAN

[S9500]vlan 2

[S9500-vlan2]port GigabitEthernet 2/1/1

[S9500-vlan2]interface Vlan-interface 2

[S9500-Vlan-interface2]ip address 192.168.1.1 24

[S9500]vlan 10

[S9500-vlan10]port GigabitEthernet 2/1/2

[S9500-vlan10]interface Vlan-interface 10

[S9500-Vlan-interface10]ip address 202.120.10.1 24

2)  配置ACL规则

[S9500]acl number 2000

[S9500-acl-basic-2000]rule 0 permit

3)  配置NAT地址池

[S9500]nat address-group 0 202.120.10.4 202.120.10.6

4)  在vlan 10接口视图下选择地址转换方式

（1）一对一网络地址转换

[S9500-Vlan-interface10]nat outbound 2000 address-group 0 no-pat slot 4

（2）NAPT转换（当启用NAPT方式转换时，地址池中的地址个数不能超过3个）

[S9500-Vlan-interface10]nat outbound 2000 address-group 0 slot 4

（3）Easy IP方式转换

[S9500-Vlan-interface10]nat outbound 2000 slot 4

5)  配置地址转换老化时间，缺省情况下，软件中转换表项ALG的老化时间为120秒，FTP的老化时间为7200秒，H.323和ILS的老化时间是600秒，NP FAST的值为 300秒， SLOW的值为3600秒

[S9500]nat aging-time alg 200

[S9500]nat aging-time np slow

6）配置HOST1和HOST2的IP地址分别为192.168.1.3/24和202.120.10.3/24，并设各自网关为192.168.1.1和202.120.10.1

四、配置关键点：

1）NAT必须建立在三层路由之上；

2）LSB1NATB0板支持三条等价路由，多余的路由不予转发报文；

3）如果报文里有IP地址或端口需要进行转换，则报文不能被加密；

4）在接口上配置nat outbound命令之后，ACL中新增的rule规则不会生效，只有那些在配置nat outbound命令之前的配置的rule规则才会起作用，因此需要先配置rule规则，再配置nat outbound命令；

5）同一个VLAN下只能配置到同一块LSB1NATB0板；

6）若需要重新配置网络地址转换，建议执行reset nat session slot slotNo命令。