Question

关于防火墙或路由器的NAT

什么样的路由器跨接口（比如从LAN到WAN）会做NTA,什么样的路由器跨接口不会做NAT? 比如 我们公司防火墙有多个物理接口，从LAN到WAN做了NAT，从LAN到DB没做NAT，从DB到LAN没做NAT,从LAN到其他接口也没做NAT,什么样的情况下需要做NAT，什么样的情况下不用？

Answer 1

1. 第一做不做NAT与端口无关（我指的是企业级的路由器，比如CISCO，而不是家用设备）而是取决于用途

  2.  在需要上网，共享路由器端口上网的情况下，需要使用NAT,比如 E1端口是连接的互联网，其他电脑需要通过它来上网，那么这个情况下就需要NAT

  3. 在连接局域分支交换机等情况下，仅作路由使用的情况下，不需要启用NAT，比如E2端口连接子级交换机。

 

追问

对于你说的第三点
3. 在连接局域分支交换机等情况下，仅作路由使用的情况下，不需要启用NAT，比如E2端口连接子级交换机。

如果E2连的是路由器呢，那需要做NAT吗，还是可做可不做？

追答

如果连接路由器，取决于网络用途。我解释下2种模式，你可以更好的理解

1. NAT模式，NAT中文意思为地址转换，为什么要转换呢？  因为你办理上网之后，通常电信都会给你账号密码（拨号方式）或者固定IP方式，当设置OK后，就可以上网，哪台电脑设置，就哪台电脑上网。那如何让其他电脑可以同时上网呢，那就要用NAT（路由器在这个应用下，作NAT模式，其他共享上网方式也都是NAT模式），就是将内部的地址转换成电信的IP。
   

 2。路由模式，当2个或更多的网络连接在一起的时候，不同网络之间是不通的，举个例子，192.168.1.0/24 段的网络跟192.168.2.0/24的网络是不通的，这种情况下将路由器设置为路由模式，就可以打通2个网络的路径。

不知道这样你能否理解？

追问

我传了一张手会图，比如router1下面192.168.1.0/24网络里有一主机（如192.168.1.3）要访问router3下面192.168.3.0/24网络下面的某台主机（如192.168.3.4）,在做NAT和不做NAT的情况下分别怎么实现？－－－假设在做NAT的时候每个路由器都做NAT，不做NAT的时候每个路由器都不做NAT

追答

做了NAT的端口，不做路由，做了路由的端口不做NAT，没办法同时做的，只能二选一。

如果192.168.1.3,要访问192.168.3.4,取决于你的网络构架，如果做了NAT，那么192.168.3.4的访问来源其实是192.168.3.0/24的访问（路由器端口的共享IP）然后再回传给192.168.1.3

如果是路由模式，那么访问来源直接是192.168.1.3，他们通过路由，直接互访。而没有地址转换。

2种模式在同一端口，只能运行一种，这2种方式不可能同时作用在同一端口的。

追问

明白了，是不是如果这三个路由器都是开启的路由模式，那么还要对每个路由器配置路由信息（静态还是动态？）
如果3个路由器是启用的NAT模式，那么就不用对路由器配置路由信息对吧？

追答

对的，一般这种简单的拓扑用静态路由，网络节点经常有更新，数量多，用动态路由。

内部网络一般不用NAT模式，NAT模式通常用于互联网共享访问

Answer 2

因为IPV4地址枯竭的问题，很多网络在内部使用了私网IP地址，当使用私网IP地址需要连接公网IP地址的时候，就需要做NAT，因为私网IP地址没有公网IP地址的唯一性，所以需要通过NAT转换为公网IP地址对其他的公网IP地址进行连接。
而私网地址到私网地址由于都是在私网IP地址唯一的情况下进行连接，故不需要NAT进行地址转换。

追问

你说的“而私网地址到私网地址由于都是在私网IP地址唯一的情况下进行连接，故不需要NAT进行地址转换”是可做可不做吗，还是一定不能做？

追答

可做可不做

Answer 3

这是一个三层网络关系~~

追问

能详细点吗？

追答

简单点来说,须要隐藏内部地址的须要做NAT,或同时只有一个合法IP但又须要多台设备联网的就须要做NAT,,NAT的同时如须要服务可以做DMZ或端口(或协议)映射.
其它的只须要走三层路由协议就可以了,NAT是进行地址转化的

Answer 4

79详解防火墙的NAT配置