静态NAT与动态NAT的具体区别？

静态NAT与动态NAT的具体区别如下：

1、静态NAT是指在NAT转换时，为某一个或者某一组内局地址总是转换为固定的外局地址。一般情况下，常用企业小型办公网这种结构最常见，NAT服务器上只有一个外局地址，即公网地址。

2、动态NAT是指外部IP有多个，比如1.1.1.1-10，客户端向外访问时，是轮询使用这10个IP地址的。当然，这种结构下仍然可以根据需求实现静态NAT。比如某个网管必须使用一个固定IP去访问远端防火墙及后面的应用。

3、静态的把10.1.1.20映射到202.100.1.20上，或者静态的把10.1.1.20的80端口映射到202.100.1.20的80端口上。

4、动态NAT就是动的，不完全可控的，可能ip不太确定也可能端口号不太确定，但都是在一个设定的范围内的。

一、NAT是什么

    Network Address Translator，网络地址转换，将内部私网地址转换成外部公网地址，可以让整个公司使用一个公网地址上网。解决了IP地址不足的问题，同时可以避免外部的攻击。

二、NAT的工作原理

    内部地址发送数据包给NAT路由器，路由器检查源IP地址，查询NAT映射表，将内部私网地址转换为内部全局地址，并转发数据包。

三、NAT术语

    1）Simple translation entry ：简单转换条目，把一个 IP 地址映射到另外一个IP地址

    2）Extended translation entry ：扩展转换条目，把 IP 地址和端口的组合映射成另外一个IP地址和端口的组合

    3）Local address：内部地址

    4）Inside local address：内部局部地址（我方私网地址）

    5）Inside global address：内部全局地址（我方公网地址）

    6）Global address：外部全局地址（对方公网地址）

    7）Outside local address：外部局部地址（对方私网地址）

四、NAT类型

    1）静态NAT：内网地址永久映射成一个外网地址，公网和私网IP地址是1比1的关系，不能节省公网IP，适合对外提供服务的服务器使用。

    2）动态NAT：内网地址随机转换成外网地址池当中的某个地址，也是一对一的转换，也不能节省公网IP。

    3）PAT：基于端口的地址转换，也叫端口多路复用，内部所有主机使用同一个公网地址的不同端口。

五、配置NAT的步骤

    1）第一步：定义私网地址池

    2）第二步：定义公网地址池

    3）第三步：将私网地址池转换为公网地址池

    4）第四步：在私网和公网接口上分别启用NAT

六、静态NAT配置举例

   ip nat inside source static 192.168.100.2 61.159.62.131（指定私网地址和自己的公网地址）

ip nat inside source static 192.168.100.3 61.159.62.132

int g0/0

ip nat inside（指定内网接口启用NAT）

int g0/1

ip nat outside（指定外网接口启用NAT）

七、动态NAT配置举例

access-list 1 permit 192.168.100.0 0.0.0.255（使用ACL，定义私网地址池）

ip nat pool test 61.159.62.131 61.159.62.190 netmask 255.255.255.0

ip nat pool test1 61.159.62.190 netmask 255.255.255.192（定义公网地址池）

ip nat inside source list 1 pool test

ip nat inside source list 1 pool test1（将ACL当中的私网地址，转换为公网地址池中的IP）

int g0/0

ip nat inside

int g0/1

ip nat outside

八、PAT 配置举例

1）方法一：直接使用外网接口IP地址

access-list 1 permit 10.1.1.0

0.0.0.255（定义私网地址池）

ip nat inside

source list 1 int g0/1 overload(使用g0/1口的IP地址作为公网地址)

int g0/0

ip nat inside

int g0/1

ip nat outside

2）方法二：定义外网地址池

access-list 1 permit 10.1.1.0

0.0.0.255（定义私网地址池）

ip nat pool test

61.159.60.131 61.159.60.131 netmask 255.255.255.0（定义公网地址池，只有一个地址，开始和结束地址一样）

ip nat inside source list 1

pool test overload（将ACL当中的私网地址，转换为公网地址池）

int g0/0

ip nat inside

int g0/1

ip nat outside

注意：overload意思是复用，重复使用一个地址,不加overload参数时，只有一台能上外网。

九、配置静态NAT端口映射： （内部端口和外部端口号可以不相同）

ip nat inside source statictcp 192.168.10.2 25 65.52.21.10 25 extendable

ip nat inside source statictcp 192.168.10.3 80 65.52.21.10 8888 extendable

（多个私网地址对应一个公网地址，同一个公网地址对外提供不同的服务）

ip nat inside source static192.168.100.2 61.159.62.133 extendable

ip nat inside source static192.168.100.2 61.159.62.134 extendable

（一个私网地址可以对应多个公网地址，多个公网地址对外提供相同的服务）

注意：NAT的 extendable参数，可以使一个内部地址在不同接口上，映射多个公网地址，否则一个内部地址只能配一次静态NAT

十、删除NAT配置

no ip nat inside source list 1 int g0/1 overload(删除地址映射关系)

no access-list 1 permit 10.1.1.0 0.0.0.255（删除地址池）

十一、NAT超时时间

UDP：5分钟

DNS：1分钟

TCP：24小时

ip nat translation tcp-timeout 12000(设置tcp超时时间为200分钟)

ip nat translation tcp-timeout never 设置tcp永不超时

一、静态NAT

静态NAT：即端口映射（一对一映射）

1)静态NAT实现了私有地址和公有地址的一对一映射

2)一个公网ip只会分配给唯一且固定的内网主机

例如将内网web服务器映射到公网，让公网用户可以直接访问内网web服务

如果想让连接在 Internet 上的计算机能够使用某个私有 网络 上的 服务器 （如网站 服务器 ）以及应用 程序 （如游戏），那么静态映射是必需的。静态映射不会从 NAT 转换表中删除。

在静态NAT方式中， 内部的IP地址与公有IP地址是一种一一对应的映射关系 ，所以，采用这种方式的前提是，机构能够申请到足够多的公网IP地址。

二、动态NAT

动态NAT基于地址池来实现私有地址和公有地址的转换

动态地址NAT只是转换IP地址，它为每一个内部的IP地址分配一个临时的外部IP地址，主要应用于拨号，对于频繁的远程联接也可以采用动态NAT。当远程用户联接上之后，动态地址NAT就会分配给他一个IP地址，用户断开时，这个IP地址就会被释放而留待以后使用。

动态NAT方式适合于 当机构申请到的全局IP地址较少，而内部网络主机较多的情况。内网主机IP与全局IP地址是多对一的关系。 当数据包进出内网时，具有NAT功能的设备对IP数据包的处理与静态NAT的一样， 只是NAT table表中的记录是动态的，若内网主机在一定时间内没有和外部网络通信，有关它的IP地址映射关系将会被删除，并且会把该全局IP地址分配给新的IP数据包使用，形成新的NAT table映射记录。

三、网络地址端口转换

网络地址端口转换NAPT允许多个内部地址映射到同一个公有地址的不同端口

网络地址端口转换分为两种：SNAT + DNAT

1、SNAT

SNAT 即我自己转换成公网地址，访问外网（我在内网），主动访问公网，主动

SNAT： 我们平时在局域网中有好多内网服务器或者终端，要访问公网，这种NAT实现方式就叫做SNAT，也叫作PAT

通过修改IP地址和端口的方法就可以使内网中所有的主机都能访问外网，此类NAT适用于组织或机构内只有一个合法的IP地址的情况

2、DNAT

DNAT 即别人从外网访问我（我在内网），被别人访问，被动

DNAT： 这种方式适用于内网的某些服务器需要为外网提供某些服务的情况。例如 内网web服务器集群（ip地址分别为：10.1.1.1,10.1.1.2,10.1.1.3等）需要为外网提供WEB 服务，当外网主机HostB访问内网时，所发送的数据包的目的IP地址为10.1.1.20，端口号为：80，当该数据包到达内网连接的路由器时，路由器查找NAT table，路由器通过修改目的IP地址和端口号，将外网的数据包请求平均分发到不同的主机上（10.1.1.1,10.1.1.2,10.1.1.3等），这样就实现了负载均衡。

四、Easy IP

Easy IP允许将多个内部地址映射到网关出接口地址上的不同端口

五、图解NAT

图解可以参考：https://www.idcbest.com/idcnews/11003641.html

---