NAT怎么配置？内网映射外网访问的详细步骤，NAT配置教程

NAT配置的核心是明确“内网-外网”映射关系，按场景选择静态、动态或端口复用策略

无论你是配置家用路由器还是企业防火墙，NAT（网络地址转换）的本质都是将私有IP地址映射为公网IP地址，让内网设备能够访问互联网，同时隐藏内网拓扑，配置NAT并没有统一命令，但存在普适的决策路径：先确认网络架构，再选择NAT类型，最后配置映射规则与访问控制，下面按最常见的三种场景拆解配置方法,并附上基于酷番云产品的实战经验。

配置NAT前必须明确的三个参数

内网接口（Inside）：连接局域网侧，通常为私有网段，如 168.1.0/24。
外网接口（Outside）：连接公网侧,可能是固定公网IP或动态拨号获取的IP。
映射方式：一对一（静态）、多对一（动态/端口复用）、端口转发（服务发布）。

常见的错误是把NAT和路由混为一谈，路由是转发包，NAT是改写源或目标地址，配置前务必用 ping 和 tracert 验证内外网连通性,避免规则冲突。

三种主流NAT配置场景及具体操作

静态NAT：一对一映射，用于对外提供服务

适用场景：内网服务器需要被公网固定访问，例如Web、邮件服务器。
配置逻辑：将内网IP 0.0.5 永久绑定到公网IP 0.113.10。
命令行示例（Cisco/华为通用逻辑）：
```
interface GigabitEthernet0/0/0   # 外网口
 ip address 203.0.113.10 255.255.255.0
interface GigabitEthernet0/0/1   # 内网口
 ip address 10.0.0.1 255.255.255.0
ip nat inside source static 10.0.0.5 203.0.113.10
```
关键点：必须同时在内外网接口执行 ip nat inside 和 ip nat outside,否则规则不生效。

动态NAT / PAT（端口地址转换）：多内网IP共享一个公网IP

适用场景：办公网络所有终端上网,公网IP有限。
配置逻辑：建立一个ACL（访问控制列表）匹配内网网段,再绑定到外网接口的地址池或单一IP。

命令行示例：

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool public-pool 203.0.113.20 203.0.113.30 netmask 255.255.255.0
ip nat inside source list 1 pool public-pool overload

overload 是关键参数，它启用端口复用，让多个内网IP同时映射到一个公网IP,通过不同端口区分连接。

家用路由器一般只需在WAN口选择“动态IP”或“PPPoE拨号”，系统默认启用PAT,无需额外配置。

端口转发（DNAT）：把公网特定端口映射到内网服务器

适用场景：内网有NAS、摄像头或远程桌面,但不想暴露整个IP。
配置逻辑：将公网IP的 TCP 8080 端口转发到内网 168.1.10 的 80 端口。

命令行示例：

ip nat inside source static tcp 192.168.1.10 80 interface GigabitEthernet0/0/0 8080

企业防火墙（如华为USG、深信服） 通常在Web界面操作：选择“安全策略 → 目的NAT → 新建”，填写源区域为untrust，目的地址为公网IP，目的端口为8080，转换后地址为内网服务器IP，转换后端口为80,然后放行安全策略。

NAT怎么配置？内网映射外网访问的详细步骤，NAT配置教程

配置验证与排错三步法

第一步：查看NAT转换表，命令 show ip nat translations,确认内网IP是否正确映射到公网IP和端口。
第二步：检查ACL匹配计数，命令 show access-lists，如果匹配数持续增长，说明流量触发了规则；如果不增长,检查接口方向是否弄反。
第三步：抓包分析，在内外网口分别抓包，对比源/目的地址变化是否符合预期。最常见的故障原因是防火墙安全策略未放行，尤其是从外网访问内网服务时,忽略了入站规则。

酷番云实践：云上NAT网关配置的简化之道

如果你使用的是酷番云，配置NAT会更加直观，因为云厂商已经把底层网络虚拟化封装成“NAT网关”产品,以酷番云NAT网关为例：

创建网关：在控制台选择“NAT网关”，绑定一个弹性公网IP（EIP）,即完成外网侧配置。
添加SNAT规则：选择VPC子网（如 16.0.0/16），指定该子网访问外网时使用的EIP。无需手动写ACL，云平台自动实现端口复用,多个云服务器共享一个EIP。
添加DNAT规则：若要让公网访问某台云服务器的SSH或Web服务，只需填写公网端口、协议、云服务器私网IP和私网端口,平台自动生成端口转发。

经验案例：一位酷番云客户部署了20台无公网IP的Web服务器，同时需要对外提供统一的HTTPS服务，我们的方案是创建NAT网关，绑定一个EIP，添加SNAT规则让所有服务器出网；再添加一条DNAT规则，将EIP的443端口转发到负载均衡器的私网IP

16.0.10 的443端口，由于负载均衡器后端挂载了多台Web服务器，最终实现了单IP、多内网服务器的安全发布，且未暴露任何单台服务器的真实IP，客户还利用酷番云的“会话保持”选项,解决了HTTPS长连接频繁认证的问题。

实践要点：

云上NAT网关与安全组是两层概念：NAT管地址转换，安全组管流量过滤,必须同时配置才能生效。
建议为DNAT端口设置访问控制白名单,避免公网任意IP都能访问内网服务。
酷番云支持按流量计费，适合出网流量波动大的业务,比固定带宽更省钱。

NAT怎么配置？内网映射外网访问的详细步骤，NAT配置教程

NAT配置的核心是明确“内网-外网”映射关系，按场景选择静态、动态或端口复用策略

配置NAT前必须明确的三个参数