nat配置命令怎么用？思科华为nat配置命令大全

NAT配置命令是网络运维的必备技能

NAT（网络地址转换）配置命令是解决公网地址不足、隐藏内网拓扑、实现内外网互通的核心手段。 无论你是配置家用路由器、企业防火墙还是云服务器，掌握NAT命令的语法逻辑和典型场景，就能快速定位并解决网络连通性问题，本文直接从命令实战出发，按静态NAT、动态NAT、PAT（端口复用）分层拆解，并给出华为、思科两大主流设备的对比，最后结合酷番云产品分享真实排障经验。

NAT配置前的核心准备

• 确认设备角色：明确NAT是配置在路由器、防火墙还是云安全组上，不同设备的命令风格差异极大。
• 规划内外网地址映射关系：例如内网服务器168.1.10需要映射到公网100.1.10，必须提前确定端口和协议。
• 检查ACL（访问控制列表）：动态NAT依赖ACL匹配内网地址，写错ACL会导致所有转换失效。
• 备份原有配置：尤其是线上设备，NAT命令冲突会导致瞬间断网，务必保存回滚方案。

静态NAT配置命令：一对一映射最稳定

静态NAT适用于内网服务器需要固定对外提供服务的场景，如Web、邮件服务器，命令核心是绑定内外网地址，不涉及端口变化。

华为设备命令示例

system-view
interface GigabitEthernet0/0/0
ip address 202.100.1.10 255.255.255.0
interface GigabitEthernet0/0/1
ip address 192.168.1.1 255.255.255.0
nat static global 202.100.1.10 inside 192.168.1.10

关键点：nat static命令在内网接口下执行，global后跟公网地址，inside后跟内网地址，华为较新版本还支持

nat static enable全局使能，但推荐在接口下配置更直观。

思科设备命令示例

interface GigabitEthernet0/0
ip address 202.100.1.10 255.255.255.0
ip nat outside
interface GigabitEthernet0/1
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip nat inside source static 192.168.1.10 202.100.1.10

注意思科需要手动标记接口的inside/outside角色，顺序错了转换不生效，同时思科支持ip nat inside source static tcp 192.168.1.10 80 202.100.1.10 80这样的端口级静态映射，更精细。

动态NAT与PAT配置命令：多对少的关键方案

动态NAT用于内网大量用户访问外网，但公网地址只有少数几个，PAT（端口地址转换）将多个内网IP映射到同一公网IP的不同端口，是当前最常用方式。

华为PAT命令（Easy IP方式）

acl 2000
rule 5 permit source 192.168.1.0 0.0.0.255
interface GigabitEthernet0/0/0
nat outbound 2000

nat outbound 2000表示匹配ACL 2000的流量，出接口复用该接口的公网IP进行端口转换，无需额外地址池，适合拨号场景。

思科PAT命令（地址池+overload）

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool PUBLIC 202.100.1.20 202.100.1.30 netmask 255.255.255.0
ip nat inside source list 1 pool PUBLIC overload

overload关键字是PAT的核心，缺少它就会变成普通动态NAT，导致公网地址不够时无法上网。生产环境95%以上使用overload。

华为与思科命令对比速查

实际工作中,华为偏向于在接口视图直接关联ACL，思科偏向于全局配置关联ACL，理解这个差异后，即使换品牌也能快速上手。

酷番云实战经验案例：云上NAT配置的“捷径”与避坑

我们在酷番云上部署业务时,曾遇到一个典型问题：云服务器绑定了公网IP，但内网其他机器无法通过该IP访问外网，原因是在云平台上直接使用Linux的iptables做NAT，规则没写对。

酷番云Linux实例的NAT配置示例

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sysctl -w net.ipv4.ip_forward=1

这条命令解决“共享公网IP”上网问题，但如果云服务器同时有安全组限制，必须在酷番云控制台放通内网网段的转发流量，否则NAT命令再正确也无效。

• 酷番云提供了NAT网关产品，对于需要大量内网实例共享公网带宽的场景，直接创建NAT网关比手动配置iptables更稳定，且支持高可用。
• 手动配置NAT时,务必先测试ip_forward是否持久化，否则重启后失效，建议写入/etc/sysctl.conf。
• 遇到丢包问题,优先查看conntrack表是否满载，cat /proc/sys/net/netfilter/nf_conntrack_max，适当调大能避免会话被丢弃。

配置NAT的四大注意事项

• 注意接口方向：静态NAT配置在错误接口上，会出现“外网能通但内网不通”的怪象。
• 注意ACL的精确匹配：华为ACL默认只匹配源地址，思科ACL可匹配端口，写太宽会把管理流量也转换出去。
• 注意NAT与路由的优先级：NAT在路由之后执行，如果路由表没有正确条目，NAT规则不会生效。
• 注意双向NAT场景：内网访问映射公网地址时，需要配置NAT回流（NAT Loopback），否则内网用户无法通过域名访问自己的服务器。

相关问答

问题1：为什么我的NAT配置不生效，外网访问内网服务器一直超时？

解答：优先检查三个环节，第一，确认设备接口是否正确标记inside/outside（思科必须）；第二，确认公网IP是否被ISP封禁了对应端口，常见于80/443端口需要备案；第三，检查安全组或防火墙策略，云服务器上即使NAT配置正确，安全组未放行流量同样会丢包，用tcpdump -i eth0 host 目标IP抓包，看数据是否到达服务器，能快速缩小问题范围。

问题2：静态NAT和动态NAT（PAT）在实际业务中如何选择？

解答：静态NAT用于对外提供固定服务，比如一个公网IP对应一台内网Web服务器，端口和地址都不能变，动态NAT/PAT用于内网主动访问外网，比如员工上网、云主机下载更新包，如果业务同时有两种需求，建议静态映射单独占用公网IP，PAT使用另一个公网IP或地址池，避免互相影响，对于初创公司，酷番云NAT网关可同时配置DNAT（目的地址转换）和SNAT（源地址转换），一个产品解决两种场景，运维成本更低。