什么是两次NAT（Twice NAT）技术？华为和思科设备如何配置？本文给您解惑）

来源：网络技术联盟站 

在网络通信中，NAT（Network Address Translation）是一种常见的网络转换技术，用于在内部网络和外部网络之间进行地址转换。一般情况下，NAT主要涉及源IP地址的转换，将内部网络主机的私有IP地址转换为外部网络的公共IP地址。然而，当内部网络主机地址与外部网络上的主机地址重叠时，单纯的NAT技术无法有效实现地址转换。这时候，就需要使用两次NAT（Twice NAT）技术。

两次NAT技术允许同时对源IP地址和目的IP地址进行转换。它适用于内部网络中的主机地址与外部网络上的主机地址重叠的情况。在本文中，我们将详细探讨两次NAT技术的原理和应用。

两次NAT的原理

假设有一个内部网络中的主机A（Host A），它需要访问外部网络中地址重叠的主机B（Host B）。

拓扑示意图如下：

          +------------------+
          | External Network |
          +------------------+
                   |
                   |
                   | 1.1.1.1
          +------------------+
          |   DNS Server     |
          +------------------+
                   |
                   |
                   | 3.3.3.1
          +------------------+
          |     Router       |
          +------------------+
                   |
                   |
                   | 1.1.1.1
          +------------------+
          |   Host B         |
          +------------------+
                   |
                   |
                   | Internal Network
          +------------------+
          |   Host A         |
          +------------------+

在这个拓扑中，有一个内部网络和一个外部网络。主机A（Host A）位于内部网络中，主机B（Host B）位于外部网络中。中间有一台路由器（Router）和一个DNS服务器。路由器上进行了两次NAT转换，将内部网络和外部网络的地址进行转换，以实现主机A与主机B之间的通信。主机A通过DNS服务器获取主机B的IP地址，并与主机B进行通信。

请注意，这只是一个简化的示意图，实际网络拓扑可能更加复杂。您可以根据这个示意图进行绘制，以更好地理解两次NAT的工作原理。

下面是两次NAT技术的详细过程：

1. 主机A向位于外部网络的DNS服务器发送访问外部主机B的DNS请求。

2. DNS服务器响应主机B的IP地址为1.1.1.1。这个IP地址与主机A所在的内部网络地址重叠。

3. DNS应答报文经过路由器（Router）时，进行DNS ALG（Application Layer Gateway）处理。路由器将DNS应答报文中的重叠地址1.1.1.1转换为唯一的临时地址3.3.3.1，并将报文转发给主机A。

4. 主机A发起与主机B的通信，目的IP地址设置为临时地址3.3.3.1。报文经过路由器时，路由器检查到目的IP地址是一个临时地址，进行目的地址转换。路由器将报文的目的IP地址转换为主机B的真实地址1.1.1.1，并同时进行正常的NAT出口转换，将报文的源IP地址转换为源NAT地址池中的一个地址。

5. 路由器将转换后的报文转发到主机B。

6. 主机B回应主机A的请求，目的IP地址设置为主机A的NAT出口地址池中的一个地址，源IP地址为主机B的真实地址1.1.1.1。报文经过路由器时，路由器检查到源IP地址是一个重叠地址，进行源地址转换。路由器将报文的源IP地址转换为对应的临时地址3.3.3.1，并同时进行正常的目的地址转换，将报文的目的IP地址从源NAT地址池地址转换为主机A的内部网络地址1.1.1.1。

7. 路由器将转换后的报文转发到主机A。

通过以上步骤，两次NAT技术成功地解决了内部网络地址与外部网络地址重叠的问题，实现了主机A和主机B之间的通信。

两次NAT的应用

两次NAT技术在以下情况下得到广泛应用：

1. 内部网络地址与外部网络地址重叠：当内部网络中的主机使用的IP地址范围与外部网络上的主机地址发生重叠时，使用两次NAT技术可以解决地址冲突的问题，实现通信。

2. 避免IP地址泄露：使用两次NAT技术可以隐藏内部网络的真实IP地址，使外部网络无法直接访问内部网络中的主机，提高网络安全性。

3. IP地址映射和转换：通过两次NAT技术，可以实现不同的IP地址之间的映射和转换，方便进行网络地址管理和路由控制。

4. 多重地址转换：两次NAT技术可以进行多次地址转换，将报文经过多个转换节点，增加了网络的灵活性和扩展性。

5. 跨网段通信：当内部网络和外部网络处于不同的网段时，两次NAT技术可以解决网段间的通信问题，使不同网段的主机能够互相访问。

两次NAT的配置

瑞哥将从华为和思科两个厂商分别介绍，涉及的拓扑图也是简易的示意图，大家可以根据理解自行组网。

华为

简易拓扑示意图

在这个拓扑中，仍然有一个外部网络和一个内部网络。华为路由器作为连接两个网络的设备。路由器的GigabitEthernet0/0/0接口连接到外部网络，IP地址为1.1.1.2/24。路由器的GigabitEthernet0/0/1接口连接到内部网络，IP地址为192.168.1.1/24。主机A（Host A）和主机B（Host B）分别连接到内部网络。

配置过程

sysname Router
interface GigabitEthernet0/0/0
 description External Network Interface
 ip address 1.1.1.2 255.255.255.0

interface GigabitEthernet0/0/1
 description Internal Network Interface
 ip address 192.168.1.1 255.255.255.0

nat address-group 1 3.3.3.1 3.3.3.1

acl number 1000
 rule 5 permit ip source 192.168.1.0 0.0.0.255

nat policy 1 source address-group 1
nat policy 1 destination network 192.168.1.1 mask 255.255.255.255 global unicast 1.1.1.1

acl number 2000
 rule 5 permit ip destination 3.3.3.1 0.0.0.0

nat policy 2 destination address-group 1
nat policy 2 source network 1.1.1.1 mask 255.255.255.255 global unicast 192.168.1.1

ip route-static 0.0.0.0 0.0.0.0 1.1.1.1

配置案例中使用了华为路由器的NAT功能。通过nat address-group命令创建了一个地址组，其中包含了一个地址3.3.3.1。然后，通过ACL和NAT策略实现了源NAT和目的NAT的转换。源NAT策略将主机A的内部IP地址192.168.1.1转换为外部IP地址1.1.1.1。目的NAT策略将外部IP地址为3.3.3.1的流量转换为内部IP地址192.168.1.1。

最后，配置了默认静态路由，将所有流量通过1.1.1.1进行转发。

思科

简易拓扑示意图

在该拓扑中，有一个外部网络和一个内部网络。路由器作为两个网络之间的连接点。路由器的GigabitEthernet0/0接口连接到外部网络，IP地址为1.1.1.2/24。路由器的GigabitEthernet0/1接口连接到内部网络，IP地址为192.168.1.1/24。主机A（Host A）和主机B（Host B）分别连接到内部网络。

配置过程

假设路由器的外部网络接口为GigabitEthernet0/0，IP地址为1.1.1.2，子网掩码为255.255.255.0。内部网络接口为GigabitEthernet0/1，IP地址为192.168.1.1，子网掩码为255.255.255.0

配置命令（大概）：

interface GigabitEthernet0/0
 description External Network Interface
 ip address 1.1.1.2 255.255.255.0

interface GigabitEthernet0/1
 description Internal Network Interface
 ip address 192.168.1.1 255.255.255.0

ip nat pool SourceNATPool 10.0.0.1 10.0.0.10 prefix-length 24
ip nat inside source list 100 pool SourceNATPool overload
ip nat inside source static 192.168.1.1 1.1.1.1

access-list 100 permit ip 192.168.1.0 0.0.0.255 any

ip nat inside destination list 200 pool DestinationNATPool
ip nat pool DestinationNATPool 3.3.3.1 3.3.3.1 prefix-length 24
ip nat inside destination list 200 pool DestinationNATPool

access-list 200 permit ip host 3.3.3.1 any

ip route 0.0.0.0 0.0.0.0 1.1.1.1

命令说明

首先，创建了一个源NAT地址池SourceNATPool，其中包含了10个地址，范围为10.0.0.1到10.0.0.10，子网掩码为24位。然后，使用ACL 100将内部网络192.168.1.0/24中的所有流量映射到源NAT地址池SourceNATPool中。

接下来，使用静态NAT将主机A的内部IP地址192.168.1.1映射到外部IP地址1.1.1.1。

然后，创建了一个目的NAT地址池DestinationNATPool，其中包含了一个地址3.3.3.1，子网掩码为24位。使用ACL 200允许对外部IP地址为3.3.3.1的流量进行目的NAT转换。

最后，配置了默认路由，将所有流量通过1.1.1.1进行转发。

通过以上配置，路由器实现了两次NAT转换。内部网络主机A的源IP地址会被转换为源NAT地址池中的一个地址，同时主机B的目的IP地址会被转换为目的NAT地址池中的地址，实现了内部主机A与外部主机B之间的通信。

请注意，实际的配置可能因设备型号、操作系统版本和网络需求而有所不同。此配置仅为示例，具体的配置步骤和命令可能会因您使用的设备而异。

总结

两次NAT技术是一种解决内部网络地址与外部网络地址重叠问题的有效手段。通过对源IP地址和目的IP地址同时进行转换，实现了内部主机和外部主机之间的通信。它广泛应用于网络环境中，特别是在内部网络地址与外部网络地址重叠、IP地址映射和转换、IP地址保护等方面起到了重要作用。

随着网络的不断发展，两次NAT技术也在不断演进和改进，为网络通信提供了更多的选择和灵活性。对于网络管理员和工程师来说，了解和掌握两次NAT技术的原理和应用，对于构建高效、安全和可靠的网络架构具有重要意义。