通過(guò)路由器NAT來(lái)實(shí)現IP地址綁定多臺應用服務(wù)器

假設現在企業(yè)內部有文件服務(wù)器、OA服務(wù)器、郵件服務(wù)器等等。而企業(yè)還希望這些服務(wù)器能夠被外部網(wǎng)絡(luò )的用戶(hù)訪(fǎng)問(wèn)。如企業(yè)可能在異地有一個(gè)銷(xiāo)售辦事處，或者有些員工經(jīng)常需要出差。為了方便他們的工作，就需要允許這些員工來(lái)訪(fǎng)問(wèn)企業(yè)內部的這些應用服務(wù)器。但是現實(shí)情況是，大部分企業(yè)可能僅僅擁有一個(gè)到連個(gè)合法的IP地址。而需要讓外部用戶(hù)能夠訪(fǎng)問(wèn)企業(yè)內部的應用服務(wù)器，首要的一個(gè)條件就是企業(yè)有足夠多數量的合法IP地址。筆者這里要給大家介紹的是，如何通過(guò)路由器自帶NAT功能，來(lái)實(shí)現一個(gè)合法IP地址同時(shí)綁定多臺應用服務(wù)器。
一、選擇合適的NAT類(lèi)型
NAT，又叫做網(wǎng)絡(luò )地址類(lèi)型轉換，其主要有三種類(lèi)型，分別為靜態(tài)NAT、動(dòng)態(tài)NAT與端口地址映射。這里需要注意，這三種類(lèi)型之間有很大的差異。網(wǎng)絡(luò )管理員在使用這個(gè)技術(shù)的時(shí)候，必須要了解它們之間的差異，然后結合企業(yè)的實(shí)際情況，選擇合適的實(shí)現手段。
第一種類(lèi)型是靜態(tài)網(wǎng)絡(luò )地址轉換。其主要的特點(diǎn)是一對一。也就是說(shuō)，這種類(lèi)型的網(wǎng)絡(luò )地址轉換是為了在本地和全球地址之間進(jìn)行一對一的映射而設計的。這就要求網(wǎng)絡(luò )中的每一臺主機都有用一個(gè)真實(shí)的合法的IP地址。結合上面這個(gè)案例，如果企業(yè)內部三臺服務(wù)器都需要被外部用戶(hù)訪(fǎng)問(wèn)的話(huà)，那么就需要至少三個(gè)IP地址。顯然這種方式并不能夠達到節省IP地址的目的。一般來(lái)說(shuō)，靜態(tài)NAT主要的目的是為了隱藏企業(yè)內部服務(wù)器的IP地址，以達到保護服務(wù)器的目的。
第二種類(lèi)型是動(dòng)態(tài)NAT。這種類(lèi)型的網(wǎng)絡(luò )地址轉換是將一個(gè)企業(yè)內部的IP地址與一個(gè)合法的IP地址進(jìn)行映射。雖然這也是一對一的關(guān)系，但是與靜態(tài)NAT有很大的差別。前者要求企業(yè)內部服務(wù)器也必須有一個(gè)公網(wǎng)IP地址。而動(dòng)態(tài)NAT則沒(méi)有這個(gè)要求，即企業(yè)內部的服務(wù)器可以采用內部地址。不過(guò)此時(shí)一個(gè)公網(wǎng)IP地址也只能夠解決一臺內部服務(wù)器的訪(fǎng)問(wèn)問(wèn)題。這與我們上面提到的需求還是有一定的差異。
第三種類(lèi)型是端口地址映射。端口地址映射在動(dòng)態(tài)NAT上又進(jìn)了一步。簡(jiǎn)單的說(shuō)，其工作模式就是多對對一?？梢詫⒍鄠€(gè)內部IP地址(內網(wǎng)地址)對應到一個(gè)公網(wǎng)IP地址。具體的說(shuō)，就是內網(wǎng)地址+端口號與公網(wǎng)地址進(jìn)行對應。采用這個(gè)端口地址映射，那么企業(yè)網(wǎng)絡(luò )管理員就可以將企業(yè)內部的應用服務(wù)器(即使其不具有合法的公網(wǎng)地址)放置到外網(wǎng)上，供外網(wǎng)用戶(hù)訪(fǎng)問(wèn)。
可見(jiàn)在實(shí)現NAT網(wǎng)絡(luò )地址轉換的過(guò)程中，了解這三種不同的工作模式，然后結合企業(yè)的實(shí)際情況，來(lái)選擇合適的實(shí)現方式，這是最關(guān)鍵的內容。一般來(lái)說(shuō)，如果企業(yè)有足夠多的公網(wǎng)地址，而只是出于安全考慮，要隱藏內部服務(wù)其，則采用靜態(tài)的NAT為好。相反，如果企業(yè)有多臺服務(wù)器，而合法的IP地址又不夠用。在這種情況下，就需要采用端口地址映射，將多個(gè)內部IP地址通過(guò)端口這個(gè)參數對應到公網(wǎng)IP地址。
二、端口NAT的配置
對于NAT技術(shù)來(lái)說(shuō)，其實(shí)配置是其中最簡(jiǎn)單的一個(gè)環(huán)節。筆者一般將NAT分為四個(gè)部分，分別是設計、配置、驗證和排錯。其中設計的關(guān)鍵就是上面提到的“選擇合適的NAT類(lèi)型”。而配置就是具體實(shí)現的配置。這里主要用的命令是IP NAT 相關(guān)的命令。其主要的工作就是將內部服務(wù)器所采用的地址與端口號與公網(wǎng)地址進(jìn)行映射。由于配置相對來(lái)說(shuō)比較簡(jiǎn)單，為此筆者不做過(guò)多說(shuō)明。筆者要將重點(diǎn)放在后續的驗證和排錯環(huán)節上。

三、NAT配置的驗證
NAT網(wǎng)絡(luò )地址轉換配置好之后，需要對相關(guān)的配置進(jìn)行驗證。而不是等到用戶(hù)來(lái)反映問(wèn)題，無(wú)法正常訪(fǎng)問(wèn)時(shí)，你再去驗證。在思科網(wǎng)絡(luò )環(huán)境中，要驗證NAT配置的有效性，主要用到了兩個(gè)命令。
一是查看相關(guān)的配置信息。在查看消息的時(shí)候，重要是弄清楚方向。即哪些是內部主機，哪些是外部主機。有時(shí)候可能一組內部IP地址會(huì )對應一個(gè)公網(wǎng)IP地址，此時(shí)網(wǎng)絡(luò )管理員就會(huì )看到許多轉換是從不同的主機到相同目的主機之間的轉換。在端口地址轉換的模式下，可以根據IP地址的類(lèi)型來(lái)判斷。一般情況下，企業(yè)內部服務(wù)器采用的IP地址都是私網(wǎng)IP地址，如192開(kāi)頭的。如果要查看具體的配置信息，可以使用下面這個(gè)命令。
Show ip nat translation
二是判斷其連通性。也就是說(shuō)，這個(gè)配置是否真的有效。此時(shí)網(wǎng)絡(luò )管理員可以采用debug ip nat命令來(lái)驗證NAT的配置。使用這個(gè)命令后，在輸出結果中會(huì )顯示發(fā)送端的IP地址、轉換目的地址、端口信息等內容。
通過(guò)這兩個(gè)命令，可以基本判斷NAT的配置是否有問(wèn)題。不過(guò)需要注意的是，這只能夠判斷出其配置是否有問(wèn)題。而對于這個(gè)配置是否合理、在性能上是否需要優(yōu)化等等不能夠提供有效的信息。
四、NAT故障的分析與排除
在這一塊內容中筆者又將其分為兩部分。一部份是NAT本身的配置問(wèn)題，另外一部分是NAT技術(shù)以外的問(wèn)題導致的NAT應用故障。在實(shí)際工作中，我們可能更加的關(guān)注與后者。因為只要一開(kāi)始NAT設計與配置合適，那么NAT本身不會(huì )出現多大的問(wèn)題。
對于NAT本身的配置問(wèn)題，筆者認為網(wǎng)絡(luò )管理員只要注意以下五個(gè)規則。只要這個(gè)五個(gè)規則沒(méi)有問(wèn)題，那么NAT本身的配置就是OK的。這個(gè)五個(gè)規則如下：
一是訪(fǎng)問(wèn)列表相關(guān)。在配置時(shí)需要確保訪(fǎng)問(wèn)列表指定了正確的轉換地址。注意這個(gè)非常的重要。因為這個(gè)錯誤在后續排查中比較難發(fā)現。所以在設置時(shí)就需要采取相關(guān)的控制措施，來(lái)確保其能夠被合理的配置。
二是檢查內部和外部的接口是否被正確的定義。其實(shí)NAT技術(shù)說(shuō)到底，就是接口與接口之間的對接。如果接口對接時(shí)出現錯誤，那么信息流就無(wú)法正常流程。此時(shí)用戶(hù)就會(huì )無(wú)法正常訪(fǎng)問(wèn)。這個(gè)接口定義中，關(guān)鍵的是端口參數是否有問(wèn)題。如內部服務(wù)器使用的端口是5150端口，而配置時(shí)不小心輸入了515端口。此時(shí)就會(huì )有問(wèn)題。另外一個(gè)需要注意的是，一般某個(gè)協(xié)議都會(huì )有默認端口，如FTP協(xié)議采用的是20與21端口。但是有時(shí)候出于安全考慮，網(wǎng)絡(luò )管理員往往會(huì )更改這個(gè)默認端口。此時(shí)就需要額外的檢查這個(gè)端口信息是否設置正確。
三是地址池。在檢查這個(gè)地址池的時(shí)候，網(wǎng)絡(luò )管理員主要要關(guān)注兩方面的內容。一是動(dòng)態(tài)地址池采用的IP第四行是否是由正確的地址范圍所構成的。二是需要檢查動(dòng)態(tài)地址池中的地址是否有重復。只要以上兩條規則中一條規則出現問(wèn)題，那么就有可能出現訪(fǎng)問(wèn)故障。
四是需要注意不同類(lèi)型之間是否有沖突。如企業(yè)可能出于某種考慮，要同時(shí)啟用動(dòng)態(tài)端口地址映射和靜態(tài)映射。此時(shí)就需要特別注意，被用來(lái)靜態(tài)映射的地址與動(dòng)態(tài)地址池中的地址不能夠有重復。否則的話(huà)，就會(huì )導致比較嚴重的沖突。
五是需要注意確認列表中該出現的地址沒(méi)有遺漏，不該出現大地址沒(méi)有被加入。這個(gè)原則可以說(shuō)是對以上四個(gè)原則的一個(gè)總結。簡(jiǎn)單的說(shuō)，就是要保證相關(guān)IP地址的完整性與準確性。少一個(gè)不行，多一個(gè)更不行。
通常情況下，在NAT配置中只要不違背以上任何一個(gè)規則，那么NAT本身的配置就沒(méi)有問(wèn)題。此時(shí)如果用戶(hù)還無(wú)法正常訪(fǎng)問(wèn)企業(yè)內部的應用服務(wù)器，那么就需要考慮其他的原因。如路由問(wèn)題等等。