下面是小编收集整理的cisco路由器带端口映射的NAT配置实例(共含5篇），供大家参考借鉴，希望可以帮助到有需要的朋友。同时，但愿您也能像本文投稿人“小薯有薯片”一样，积极向本站投稿分享好文章。
如果ISP提供的IP地址比较多可以使用NAT为每一个服务器映射一个外部地址，但如果不是的时候(如就两个时),内网有四台服务器需要团对外提供服务，一个用于内网地址转换,另一个用于对外网提供服务
Interface fastethernet0/0（内网接口）
Ip address 192.168.1.1 255.255.255.0
Duplex auto
Speed auto
Ip nat inside
No shutdown
Interface fastethernet0/1（外网接口)
Ip address 211.82.220.129 255.255.255.248
Duplex auto
Speed auto
Ip nat outside
No shutdown
Access-list 1 permit 192.168.1.0 0.0.0.255（指定内网的地址范围）
Ip nat inside source list1 interface fastethernet0/1(外网接口） overload
ip route 0.0.0.0 0.0.0.0 211.82.220.132（做默认路由指向外网）
再加所需的ACL基本配置就完了，
如果公司有DDN要跑的话，再加下路由即可
如果有足够多的公网IP的话：
Ip nat inside source static tcp 192.168.1.2 80 202.99.220.130 80 (静态映射）
Ip nat inside source static tcp 192.168.1.3 21 202.99.220.130 21
Ip nat inside source static tcp 192.168.1.4 25 202.99.220.130 25
Ip nat inside source static tcp 192.168.1.5 110 202.99.220.130 110
如果ISP提供的IP地址比较多可以使用NAT为每一个服务器映射一个外部地址，但如果不是的时候（如就两个时），内网有四台服务器需要团对外提供服务，一个用于内网地址转换，另一个用于对外网提供服务
Interface fastethernet0/0
Ip address 192.168.1.1 255.255.255.0
Duplex auto
Speed auto
Ip nat inside
No shutdown
Interface fastethernet0/1
Ip address 211.82.220.129 255.255.255.248
Duplex auto
Speed auto
Ip nat outside
No shutdown
Access-list 1 permit 192.168.1.0 0.0.0.255
Ip nat inside source list1 interface fastethernet0/1 overload
Ip nat inside source static tcp 192.168.1.2 80 202.99.220.130 80
Ip nat inside source static tcp 192.168.1.3 21 202.99.220.130 21
Ip nat inside source static tcp 192.168.1.4 25 202.99.220.130 25
Ip nat inside source static tcp 192.168.1.5 110 202.99.220.130 110
INTERNET共享资源的方式越来越多，就大多数而言，DDN专线以其性能稳定、扩充性好的优势成为普遍采用的方式，DDN方式的连接在硬件的需求上是简单的，仅需要一台路由器（router）、代理服务器(proxyserver)即可，但在系统的配置上对许多的网络管理人员来讲是一个比较棘手的问题，下面以CISCO路由器为例，笔者就几种比较成功的配置方法作以介绍，以供同行借鉴：
一、直接通过路由器访问INTERNET资源的配置
1.总体思路和设备连接方法一般情况下，单位内部的局域网都使用INTERNET上的保留地址：
10.0.0.0/8：10.0.0.0～10.255.255.255
172.16.0.0/12：172.16.0.0～172.31.255.255
192.168.0.0/16：192.168.0.0～192.168.255.255在常规情况下，单位内部的工作站在直接利用路由对外访问时，会因工作站使用的是互联网上的保留地址，而被路由器过滤掉，从而导致无法访问互联网资源。解决这一问题的办法是利用路由操作系统提供的NAT（Network AddressTranslation）地址转换功能，将内部网的私有地址转换成互联网上的合法地址，使得不具有合法IP地址的用户可以通过NAT访问到外部Internet。这样做的好处是无需配备代理服务器，减少投资，还可以节约合法IP地址，并提高了内部网络的安全性。 NAT有两种类型：Single模式和global模式。
使用NAT的single模式，就像它的名字一样，可以将众多的本地局域网主机映射为一个Internet地址，
局域网内的所有主机对外部Internet网络而言，都被看做一个Internet用户。本地局域网内的主机继续使用本地地址。
使用NAT的global模式，路由器的接口将众多的本地局域网主机映射为一定的Internet地址范围（IP地址池）。当本地主机端口与Internet上的主机连接时，IP地址池中的某个IP地址被自动分配给该本地主机，连接中断后动态分配的IP地址将被释放，释放的IP地址可被其他本地主机使用。
下面以我单位的网络环境为例，将配置方法及过程列示出来，供大家参考。
我单位利用联通光缆（V.35）接入INTERNET的，路由器是CISCO2610，局域网采用的是INTEL550百兆交换机，联通向我们提供了下列四个IP地址：
211.90.137.25（255.255.255.252） 用于本地路由器的广域网端口
211.90.137.26（255.255.255.252） 用于对方（联通）的端口
211.90.139.41（255.255.255.252） 供自己支配
211.90.139.42（255.255.255.252） 供自己支配
2． 路由器的配置
（1） 网络连接示意图：
说明：校内所有的工作站都与交换机连接，路由器也通过以太口连接在内部交换机上，路由器上以太口使用内部私有地址，光纤的两端分别使用了联通分配的两个有效IP地址。在这种连接方式下，只要在路由器内部设置NAT，便可以使得单位内部的所有工作站访问INTERNTE了，在每台工作站上只需设置网关指向路由器的以太口（192.168.0.3）即可上网，无需设代理，并节省了两个有效IP地址可供自己自由支配（如建立单位自已的WEB和E-MAIL服务器）。但也存在缺点：不能享受代理服务器提供的CACHE服务来提高访问速度。所以本配置
本文讲述了Cisco 2950交换机基本配置和路由器Cisco 2611上单臂路由的配置以及IP地址划分这几个知识点，这两个设备是组网时经常用到的，所以本文专门为大家总结一下，
一、Cisco 2950交换机基本配置
switch>
switch>enable
switch#
switch#vlan database（进入vlan维护模式）
switch（vlan）#vlan 2 name vlan2（给vlan 2命名为vlan2）
switch（vlan）#vlan 4 name vlan4（给vlan 4命名为vlan4）
switch（vlan）#exit（这里要注意一下，要打入exit退出才有效，不能用ctrl+z或end直接退出，因为这么不能使配置生效！）
switch#show vlan（查看vlan的配置，默认有vlan1）
switch#configure terminal（进入全局配置模式）
switch（config）#interface f0/1（进入fastethernet0/1接口配置模式）
switch（config-if）#switchport mode access（这步可以省略）
switch（config-if）#switchport access vlan 2（把该接口划分到vlan2，记得vlan2之间有空格）
switch（config-if）#no shutdown（激活端口）
switch（config-if）#exit
switch（config）#interface f0/2
switch（config-if）#switchport mode access
switch（config-if）#switchport access vlan 4
switch（config-if）#no shutdown
switch（config-if）#exit
switch（config）#interface f0/3
switch（config-if）#switchport mode trunk（设置此口为中继模式）
switch（config-if）#no shutdown
witch（config-if）#exit（这里可以直接用ctrl+z或end直接退出到特权模式）
二。在路由器Cisco 2611上的配置（单臂路由）
router#configure terminal
router（config）#interface f0/0.1（进入子接口模式）
router（config-subif）#encapsulation dot1q 2（设置封装类型为dot1q，它是思科特有的。此外还有isl封装，要看该设备支不支持。数字2是vlan号）
router（config-subif）#ip address 192.168.1.1 255.255.255.0
router（config-subif）#exit
router（config）#interface f0/0.2
router（config-subif）#encapsulation dot1q 4
router（config-subif）#ip address 192.168.3.1 255.255.255.0
router（config-subif）#exit
router（config）#interface f0/0
router（config-if）#no shutdown
router（config-if）#^z
router#show running-config
router#copy running-config startup-config
三，
给PC1，PC2设置好IP地址，然后用ping命名令测试！
1、配置IP地址
交换机要能够被网管，必须给它标识一个管理IP地址，默认情况下CISCO交换机的VLAN 1为管理VLAN，为该VLAN配上IP 地址，交换机就可以被网管了。命令如下：
a、进入全局模式： Switch#configure terminal
b、进入VLAN 1接口模式：Switch（config）#interface vlan 1
c、配置管理IP地址：Switch（config-if） # ip address [A.B.C.D] [mask]
如果当前VLAN 不是管理VLAN ，只需要将上面第b处命令的vlan的号码换成管理VLAN的号码即可。
2、打开SNMP协议
a、进入全局模式： Switch#configure terminal
b、配置只读的Community，产品默认的只读Community名为public
Switch（config）#snmp-server community public ro
c、配置可写的Community，产品默认的可写Community名为private
Switch（config）#snmp-server community private rw
3、更改SNMP的Community密码
a、将设备分组，并使能支持的各种SNMP版本
Switch（config）#snmp-server group qycx123 v1
Switch（config）#snmp-server group qycx 123 v2c
Switch（config）#snmp-server group qycx123 v3 noauth
b、分别配置只读和可写community 如：
Switch（config）#snmp-server community qycx123 ro
Switch（config）#snmp-server community qycx123 rw
4、保存交换机配置
Switch#copy run start
交换机配置的常用命令读者如果不明白可以阅读：思科交换机常用命令总结
一、access-list 用于创建访问规则，
（1）创建标准访问列表
access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ]
（2）创建扩展访问列表
access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ]
（3）删除访问列表
no access-list { normal | special } { all | listnumber [ subitem ] }
【参数说明】
normal 指定规则加入普通时间段。
special 指定规则加入特殊时间段。
listnumber1 是1到99之间的一个数值，表示规则是标准访问列表规则。
listnumber2 是100到199之间的一个数值，表示规则是扩展访问列表规则。
permit 表明允许满足条件的报文通过。
deny 表明禁止满足条件的报文通过。
protocol 为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。
source-addr 为源地址。
source-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0.
dest-addr 为目的地址。
dest-mask 为目的地址通配位。
operator[可选] 端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有：等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）；如果操作符为range,则后面需要跟两个端口。
port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。
port2 在协议类型为TCP或UDP且操作类型为range时出现；可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。
icmp-type[可选] 在协议为ICMP时出现，代表ICMP报文类型；可以是关键字所设定的预设值（如echo-reply）或者是0~255之间的一个数值。
icmp-code在协议为ICMP且没有选择所设定的预设值时出现；代表ICMP码，是0~255之间的一个数值。
log [可选] 表示如果报文符合条件，需要做日志。
listnumber 为删除的规则序号，是1~199之间的一个数值。
subitem[可选] 指定删除序号为listnumber的访问列表中规则的序号。
【缺省情况】
系统缺省不配置任何访问规则。
【命令模式】
全局配置模式
【使用指南】
同一个序号的规则可以看作一类规则；所定义的规则不仅可以用来在接口上过滤报文，也可以被如DDR等用来判断一个报文是否是感兴趣的报文，此时，permit与deny表示是感兴趣的还是不感兴趣的。
使用协议域为IP的扩展访问列表来表示所有的IP协议。
同一个序号之间的规则按照一定的原则进行排列和选择，这个顺序可以通过 show access-list 命令看到。
【举例】
允许源地址为10.1.1.0 网络、目的地址为10.1.2.0网络的WWW访问，但不允许使用FTP.
Quidway（config）#access-list 100 permit tcp 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 eq www
Quidway（config）#access-list 100 deny tcp 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 eq ftp
【相关命令】
ip access-group
二、clear access-list counters 清除访问列表规则的统计信息，
clear access-list counters [ listnumber ]
【参数说明】
listnumber [可选] 要清除统计信息的规则的序号，如不指定，则清除所有的规则的统计信息。
【缺省情况】
任何时候都不清除统计信息。
【命令模式】
特权用户模式
【使用指南】
使用此命令来清除当前所用规则的统计信息，不指定规则编号则清除所有规则的统计信息。
【举例】
例1:清除当前所使用的序号为100的规则的统计信息。
Quidway#clear access-list counters 100
例2:清除当前所使用的所有规则的统计信息。
Quidway#clear access-list counters
【相关命令】
access-list
三、firewall 启用或禁止防火墙。
firewall { enable | disable }
【参数说明】
enable 表示启用防火墙。
disable 表示禁止防火墙。
【缺省情况】
系统缺省为禁止防火墙。
【命令模式】
全局配置模式
【使用指南】
使用此命令来启用或禁止防火墙，可以通过show firewall命令看到相应结果。如果采用了时间段包过滤，则在防火墙被关闭时也将被关闭；该命令控制防火墙的总开关。在使用 firewall disable 命令关闭防火墙时，防火墙本身的统计信息也将被清除。
【举例】
启用防火墙。
Quidway（config）#firewall enable
【相关命令】
access-list,ip access-group
四、firewall default 配置防火墙在没有相应的访问规则匹配时，缺省的过滤方式。
firewall default { permit | deny }
【参数说明】
permit 表示缺省过滤属性设置为“允许”.
deny 表示缺省过滤属性设置为“禁止”.
【缺省情况】
在防火墙开启的情况下，报文被缺省允许通过。
【命令模式】
全局配置模式
【使用指南】
当在接口应用的规则没有一个能够判断一个报文是否应该被允许还是禁止时，缺省的过滤属性将起作用；如果缺省过滤属性是“允许”,则报文可以通过，否则报文被丢弃。
【举例】
设置缺省过滤属性为“允许”.
Quidway（config）#firewall default permit
五、ip access-group 使用此命令将规则应用到接口上。使用此命令的no形式来删除相应的设置。
ip access-group listnumber { in | out }
[ no ] ip access-group listnumber { in | out }
【参数说明】
listnumber 为规则序号，是1~199之间的一个数值。
in 表示规则用于过滤从接口收上来的报文。
out 表示规则用于过滤从接口转发的报文。
【缺省情况】
没有规则应用于接口。
【命令模式】
接口配置模式。
【使用指南】
使用此命令来将规则应用到接口上；如果要过滤从接口收上来的报文，则使用 in 关键字；如果要过滤从接口转发的报文，使用out 关键字。一个接口的一个方向上最多可以应用20类不同的规则；这些规则之间按照规则序号的大小进行排列，序号大的排在前面，也就是优先级高。对报文进行过滤时，将采用发现符合的规则即得出过滤结果的方法来加快过滤速度。所以，建议在配置规则时，尽量将对同一个网络配置的规则放在同一个序号的访问列表中；在同一个序号的访问列表中，规则之间的排列和选择顺序可以用show access-list命令来查看。
