實驗?zāi)康模簩崿F(xiàn)兩個NAT內(nèi)網(wǎng)互相提供服務(wù)，比如兩個NAT內(nèi)網(wǎng)分別都有對外提供服務(wù)的Web服務(wù)器時，要求能互相訪問服務(wù)器。拓撲圖如下：
具體配置如下：
ROUTER1配置：
r1#sh run
Building configuration...
Current configuration : 1229 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r1
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
!
resource policy
!
memory-size iomem 5
ip subnet-zero
!
!
ip cef
no ip domain lookup
!
interface FastEthernet0/0
ip address 10.1.1.1 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface Serial1/0
ip address 1.1.1.1 255.255.255.0
ip nat outside
ip virtual-reassembly
serial restart-delay 0
!
interface Serial1/1
no ip address
shutdown
serial restart-delay 0
!
interface Serial1/2
no ip address
shutdown
serial restart-delay 0
!
interface Serial1/3
no ip address
shutdown
serial restart-delay 0
!
no ip http server
no ip http secure-server
!
ip classless
ip route 0.0.0.0 0.0.0.0 Serial1/0
!
ip nat pool in 1.1.1.4 1.1.1.130 prefix-length 24
ip nat inside source list 1 pool in
ip nat inside source static tcp 10.1.1.3 443 1.1.1.3 443 extendable （10.1.1.3為內(nèi)網(wǎng)https服務(wù)器IP，1.1.1.3為內(nèi)網(wǎng)https服務(wù)器映射的公網(wǎng)IP，域名假定為aaa.com）
!
access-list 1 permit 10.1.1.0 0.0.0.255
!
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
transport preferred none
!
!
end
ROUTER2配置：
r2#sh run
Building configuration...
Current configuration : 1291 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r2
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
!
resource policy
!
memory-size iomem 5
ip subnet-zero
!
!
ip cef
no ip domain lookup
!
interface FastEthernet0/0
ip address 10.1.2.1 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface Serial1/0
ip address 1.1.1.2 255.255.255.0
ip nat outside
ip virtual-reassembly
serial restart-delay 0
!
interface Serial1/1
no ip address
shutdown
serial restart-delay 0
!
interface Serial1/2
no ip address
shutdown
serial restart-delay 0
!
interface Serial1/3
no ip address
shutdown
serial restart-delay 0
!
no ip http server
no ip http secure-server
!
ip classless
ip route 0.0.0.0 0.0.0.0 Serial1/0
!
ip nat pool in 1.1.1.132 1.1.1.254 prefix-length 24
ip nat inside source list 1 pool in
ip nat inside source static tcp 10.1.2.3 80 1.1.1.131 80 extendable （10.1.2.3為內(nèi)網(wǎng)http服務(wù)器IP，1.1.1.131為內(nèi)網(wǎng)http服務(wù)器映射的公網(wǎng)IP，域名假定為bbb.com）
!
access-list 1 permit 10.1.2.0 0.0.0.255
!
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
transport preferred none
!
!
end
以上配置可實現(xiàn)：兩邊客戶機均采用公網(wǎng)DNS服務(wù)器來解析域名，通過域名來訪問對方服務(wù)器。
問題：兩邊客戶機在訪問自己內(nèi)網(wǎng)服務(wù)器時使用域名無法訪問，必須采用內(nèi)網(wǎng)IP來訪問。或者客戶機在自己的hosts文件內(nèi)設(shè)定內(nèi)網(wǎng)服務(wù)器域名定向為內(nèi)網(wǎng)服務(wù)器的內(nèi)網(wǎng)IP。
技術(shù)難點：假設(shè)NAT內(nèi)網(wǎng)使用的NAT地址池為A網(wǎng)段；內(nèi)網(wǎng)服務(wù)器使用的NAT地址池為B網(wǎng)段；做NAT轉(zhuǎn)換的路由器的出口IP所在網(wǎng)段為C網(wǎng)段；
NAT內(nèi)網(wǎng)用戶要想采用公網(wǎng)DNS來解析自己內(nèi)網(wǎng)服務(wù)器并通過域名來訪問內(nèi)網(wǎng)服務(wù)器，必須保障A不等于C同時B不等于C；A和B相同或者不同均可，否則訪問會出錯。
這也是為什么現(xiàn)在很多公司內(nèi)網(wǎng)客戶訪問自己服務(wù)器時不能直接通過域名訪問的原因所在。因為目前的IP地址稀缺造成公網(wǎng)IP價格居高不下，所以很多公司都是只用到一個ISP分配給自己的IP來既作為內(nèi)網(wǎng)PAT地址又作為服務(wù)器靜態(tài)端口NAT地址還作為外網(wǎng)出口地址，造成上面提到的A、B、C成為同一地址，當然也就是同網(wǎng)段了。
解決方法有以下幾種：
（1）多申請一段或者一個與自己NAT路由器出口IP不同網(wǎng)段的IP地址作為內(nèi)網(wǎng)PAT和服務(wù)器靜態(tài)端口NAT的共用或分用地址；
（2）內(nèi)網(wǎng)做DNS服務(wù)器，把內(nèi)網(wǎng)服務(wù)器的域名解析為內(nèi)網(wǎng)IP；
（3）內(nèi)網(wǎng)客戶端修改hosts文件，使內(nèi)網(wǎng)服務(wù)器域名指向內(nèi)網(wǎng)IP。
以上3種方法均可用，個人認為第3種成本最低，但如客戶機較多的情況下配置起來可能會比較麻煩。
另外有個問題，在用cisco packet tracer 5.2.1.1006版本做NAT實驗時抓包發(fā)現(xiàn)路由器對待NAT和路由有個優(yōu)先級的問題，路由器認為靜態(tài)NAT的優(yōu)先級 > 路由優(yōu)先級高 > 動態(tài)路由優(yōu)先級。
上述配置在小黃帽Dynampics里測試通過，但在tracer里會發(fā)現(xiàn)靜態(tài)指定的NAT測試正常，而動態(tài)NAT在互相ping的時候回包會在兩臺NAT路由器之間來回循環(huán)直到超時卻不經(jīng)過NAT轉(zhuǎn)換到達源端。
懷疑是模擬器自身問題，tracer在做別的實驗時也經(jīng)常出現(xiàn)一些莫名其妙的狀況。
知識點：內(nèi)網(wǎng)向外訪問時先查找路由，然后做NAT轉(zhuǎn)換；
外部訪問內(nèi)網(wǎng)時，先查找NAT轉(zhuǎn)換，然后才走路由。
