什麼是兩次NAT（Twice NAT）技術？華為和思科裝置如何配置？

在網絡通信中，NAT（Network Address Translation）是一種常見的網絡轉換技術，用于在内部網絡和外部網絡之間進行位址轉換。一般情況下，NAT主要涉及源IP位址的轉換，将内部網絡主機的私有IP位址轉換為外部網絡的公共IP位址。然而，當内部網絡主機位址與外部網絡上的主機位址重疊時，單純的NAT技術無法有效實作位址轉換。這時候，就需要使用兩次NAT（Twice NAT）技術。

兩次NAT技術允許同時對源IP位址和目的IP位址進行轉換。它适用于内部網絡中的主機位址與外部網絡上的主機位址重疊的情況。在本文中，我們将詳細探讨兩次NAT技術的原理和應用。

兩次NAT的原理

假設有一個内部網絡中的主機A（Host A），它需要通路外部網絡中位址重疊的主機B（Host B）。

拓撲示意圖如下：

+------------------+
          | External Network |
          +------------------+
                   |
                   |
                   | 1.1.1.1
          +------------------+
          |   DNS Server     |
          +------------------+
                   |
                   |
                   | 3.3.3.1
          +------------------+
          |     Router       |
          +------------------+
                   |
                   |
                   | 1.1.1.1
          +------------------+
          |   Host B         |
          +------------------+
                   |
                   |
                   | Internal Network
          +------------------+
          |   Host A         |
          +------------------+
           

在這個拓撲中，有一個内部網絡和一個外部網絡。主機A（Host A）位于内部網絡中，主機B（Host B）位于外部網絡中。中間有一台路由器（Router）和一個DNS伺服器。路由器上進行了兩次NAT轉換，将内部網絡和外部網絡的位址進行轉換，以實作主機A與主機B之間的通信。主機A通過DNS伺服器擷取主機B的IP位址，并與主機B進行通信。

請注意，這隻是一個簡化的示意圖，實際網絡拓撲可能更加複雜。您可以根據這個示意圖進行繪制，以更好地了解兩次NAT的工作原理。

下面是兩次NAT技術的詳細過程：

1. 主機A向位于外部網絡的DNS伺服器發送通路外部主機B的DNS請求。
2. DNS伺服器響應主機B的IP位址為1.1.1.1。這個IP位址與主機A所在的内部網絡位址重疊。
3. DNS應答封包經過路由器（Router）時，進行DNS ALG（Application Layer Gateway）處理。路由器将DNS應答封包中的重疊位址1.1.1.1轉換為唯一的臨時位址3.3.3.1，并将封包轉發給主機A。
4. 主機A發起與主機B的通信，目的IP位址設定為臨時位址3.3.3.1。封包經過路由器時，路由器檢查到目的IP位址是一個臨時位址，進行目的位址轉換。路由器将封包的目的IP位址轉換為主機B的真實位址1.1.1.1，并同時進行正常的NAT出口轉換，将封包的源IP位址轉換為源NAT位址池中的一個位址。
5. 路由器将轉換後的封包轉發到主機B。
6. 主機B回應主機A的請求，目的IP位址設定為主機A的NAT出口位址池中的一個位址，源IP位址為主機B的真實位址1.1.1.1。封包經過路由器時，路由器檢查到源IP位址是一個重疊位址，進行源位址轉換。路由器将封包的源IP位址轉換為對應的臨時位址3.3.3.1，并同時進行正常的目的位址轉換，将封包的目的IP位址從源NAT位址池位址轉換為主機A的内部網絡位址1.1.1.1。
7. 路由器将轉換後的封包轉發到主機A。

通過以上步驟，兩次NAT技術成功地解決了内部網絡位址與外部網絡位址重疊的問題，實作了主機A和主機B之間的通信。

兩次NAT的應用

兩次NAT技術在以下情況下得到廣泛應用：

1. 内部網絡位址與外部網絡位址重疊：當内部網絡中的主機使用的IP位址範圍與外部網絡上的主機位址發生重疊時，使用兩次NAT技術可以解決位址沖突的問題，實作通信。
2. 避免IP位址洩露：使用兩次NAT技術可以隐藏内部網絡的真實IP位址，使外部網絡無法直接通路内部網絡中的主機，提高網絡安全性。
3. IP位址映射和轉換：通過兩次NAT技術，可以實作不同的IP位址之間的映射和轉換，友善進行網絡位址管理和路由控制。
4. 多重位址轉換：兩次NAT技術可以進行多次位址轉換，将封包經過多個轉換節點，增加了網絡的靈活性和擴充性。
5. 跨網段通信：當内部網絡和外部網絡處于不同的網段時，兩次NAT技術可以解決網段間的通信問題，使不同網段的主機能夠互相通路。

兩次NAT的配置

瑞哥将從華為和思科兩個廠商分别介紹，涉及的拓撲圖也是簡易的示意圖，大家可以根據了解自行組網。

華為 簡易拓撲示意圖

在這個拓撲中，仍然有一個外部網絡和一個内部網絡。華為路由器作為連接配接兩個網絡的裝置。路由器的GigabitEthernet0/0/0接口連接配接到外部網絡，IP位址為1.1.1.2/24。路由器的GigabitEthernet0/0/1接口連接配接到内部網絡，IP位址為192.168.1.1/24。主機A（Host A）和主機B（Host B）分别連接配接到内部網絡。

配置過程

sysname Router
interface GigabitEthernet0/0/0
 description External Network Interface
 ip address 1.1.1.2 255.255.255.0

interface GigabitEthernet0/0/1
 description Internal Network Interface
 ip address 192.168.1.1 255.255.255.0

nat address-group 1 3.3.3.1 3.3.3.1

acl number 1000
 rule 5 permit ip source 192.168.1.0 0.0.0.255

nat policy 1 source address-group 1
nat policy 1 destination network 192.168.1.1 mask 255.255.255.255 global unicast 1.1.1.1

acl number 2000
 rule 5 permit ip destination 3.3.3.1 0.0.0.0

nat policy 2 destination address-group 1
nat policy 2 source network 1.1.1.1 mask 255.255.255.255 global unicast 192.168.1.1

ip route-static 0.0.0.0 0.0.0.0 1.1.1.1
           

配置案例中使用了華為路由器的NAT功能。通過nat address-group指令建立了一個位址組，其中包含了一個位址3.3.3.1。然後，通過ACL和NAT政策實作了源NAT和目的NAT的轉換。源NAT政策将主機A的内部IP位址192.168.1.1轉換為外部IP位址1.1.1.1。目的NAT政策将外部IP位址為3.3.3.1的流量轉換為内部IP位址192.168.1.1。

最後，配置了預設靜态路由，将所有流量通過1.1.1.1進行轉發。

思科

簡易拓撲示意圖

在該拓撲中，有一個外部網絡和一個内部網絡。路由器作為兩個網絡之間的連接配接點。路由器的GigabitEthernet0/0接口連接配接到外部網絡，IP位址為1.1.1.2/24。路由器的GigabitEthernet0/1接口連接配接到内部網絡，IP位址為192.168.1.1/24。主機A（Host A）和主機B（Host B）分别連接配接到内部網絡。

配置過程

假設路由器的外部網絡接口為GigabitEthernet0/0，IP位址為1.1.1.2，子網路遮罩為255.255.255.0。内部網絡接口為GigabitEthernet0/1，IP位址為192.168.1.1，子網路遮罩為255.255.255.0

配置指令（大概）：

interface GigabitEthernet0/0
 description External Network Interface
 ip address 1.1.1.2 255.255.255.0

interface GigabitEthernet0/1
 description Internal Network Interface
 ip address 192.168.1.1 255.255.255.0

ip nat pool SourceNATPool 10.0.0.1 10.0.0.10 prefix-length 24
ip nat inside source list 100 pool SourceNATPool overload
ip nat inside source static 192.168.1.1 1.1.1.1

access-list 100 permit ip 192.168.1.0 0.0.0.255 any

ip nat inside destination list 200 pool DestinationNATPool
ip nat pool DestinationNATPool 3.3.3.1 3.3.3.1 prefix-length 24
ip nat inside destination list 200 pool DestinationNATPool

access-list 200 permit ip host 3.3.3.1 any

ip route 0.0.0.0 0.0.0.0 1.1.1.1
           

指令說明

首先，建立了一個源NAT位址池SourceNATPool，其中包含了10個位址，範圍為10.0.0.1到10.0.0.10，子網路遮罩為24位。然後，使用ACL 100将内部網絡192.168.1.0/24中的所有流量映射到源NAT位址池SourceNATPool中。

接下來，使用靜态NAT将主機A的内部IP位址192.168.1.1映射到外部IP位址1.1.1.1。

然後，建立了一個目的NAT位址池DestinationNATPool，其中包含了一個位址3.3.3.1，子網路遮罩為24位。使用ACL 200允許對外部IP位址為3.3.3.1的流量進行目的NAT轉換。

最後，配置了預設路由，将所有流量通過1.1.1.1進行轉發。

通過以上配置，路由器實作了兩次NAT轉換。内部網絡主機A的源IP位址會被轉換為源NAT位址池中的一個位址，同時主機B的目的IP位址會被轉換為目的NAT位址池中的位址，實作了内部主機A與外部主機B之間的通信。

請注意，實際的配置可能因裝置型号、作業系統版本和網絡需求而有所不同。此配置僅為示例，具體的配置步驟和指令可能會因您使用的裝置而異。

總結

兩次NAT技術是一種解決内部網絡位址與外部網絡位址重疊問題的有效手段。通過對源IP位址和目的IP位址同時進行轉換，實作了内部主機和外部主機之間的通信。它廣泛應用于網絡環境中，特别是在内部網絡位址與外部網絡位址重疊、IP位址映射和轉換、IP位址保護等方面起到了重要作用。

随着網絡的不斷發展，兩次NAT技術也在不斷演進和改進，為網絡通信提供了更多的選擇和靈活性。對于網絡管理者和工程師來說，了解和掌握兩次NAT技術的原理和應用，對于建構高效、安全和可靠的網絡架構具有重要意義。