原文作者: Mansur
原文链接: http://nbma.info/cisco-nat-nvi-back/
困扰已久的路由器映射的回流问题终于解决了。
回流，简单的说就是内网终端通过映射后的公网地址访问内网服务。
通常配置的inside-outside模式的nat是无法实现回流的，
Cisco的domainless NAT
Domainless就是说不再区分inside和outside，只是单纯地做NAT，用一个叫做NAT Virtual Interface的虚拟接口来实现，这样有什么好处呢？说实话，从界面上看不出来，但是从其实现角度，就可以通过路由的方式将带有ip nat enable配置的接口进来的包全部导入这个虚拟接口NVI0中。然后用数据包的源地址和目标地址分别查询SNAT表和DNAT表，根据结果进行NAT操作，随后进入真正的路由查询。
不管方向，不管路由，只要数据包进入了一块带有ip nat enable配置的物理网卡，就会进行NAT匹配以及匹配成功后的操作，不管是SNAT和DNAT都在这里进行。这个实现虽然很豪放，但是却解决了所有问题。
数据包在进入真正的路由查询前，NAT就已经完成了，在路由器看来，NAT操作被藏起来了，就好像数据包本来就是那个样子一样。当然Domainless的NAT也不再和任何其它操作关联，ACL，VPN感兴趣流匹配，policy routing等都和NAT无关。
如以上拓扑，
将R3的80端口映射到外网，那么R2将无法使用公网地址访问R3
该方式的传统的端口映射为：
| 1 2 3 4 5 6 7 | ip nat inside source static tcp 10.1.12.2 80 61.128.1.1 8000 ip nat inside source static tcp 10.1.12.2 80 61.128.1.3 80 ip nat inside source list NAT interface e0/0 overload interface e0/0 ip nat outside interface e0/1 ip nat inside |
更改为NVI NAT：
| 1 2 3 4 5 6 7 | ip nat source static tcp 10.1.12.2 80 61.128.1.1 8000 ip nat source static tcp 10.1.12.2 80 61.128.1.3 80 ip nat source list NAT interface e0/0 overload interface e0/0 ip nat enable interface e0/1 ip nat enable |
更改为NVI NAT可能内网还是无法通过公网地址访问内网服务器，此时有个重要的一点是要关闭端口的重定向功能：
| 1 2 3 4 | interface e0/0 no ip redirects interface e0/1 no ip redirects |
这样配置即可完成，检查状态命令为：show ip nat nvi translations
| 1 2 3 4 | sh ip nat nvi translations Pro Source global Source local Destin local Destin global tcp 61.128.1.1:28909 10.1.11.2:28909 61.128.1.3:80 10.1.12.2:80 tcp 61.128.1.1:8000 10.1.12.2:80 — — |
访问测试OK。同时也能看到，现在内部终端R2通过公网地址访问R3的时候，源地址也被nat为出口路由器的公网地址。
评论