Cisco Packet Tracer校园网实战：单公网IP下的PAT与端口映射精解

在当今网络工程教学与实践中，仿真环境的价值日益凸显。Cisco Packet Tracer作为业界公认的网络模拟利器，为学习者提供了近乎真实的操作体验。本文将聚焦一个经典场景：如何仅凭单个公网IP地址（10.0.0.1），同时实现内网400台PC的互联网访问和对外Web服务发布。这个案例不仅常见于CCNA认证考试，更是许多高校网络工程课程的必修实验。

1. 实验环境与需求分析

我们的目标网络包含两栋教学楼，每栋楼部署200台PC（实验环境中可用3台PC模拟），所有设备使用255.255.255.0的子网掩码。核心需求可分解为：

• 上网需求：内网PC通过NAT访问互联网
• 服务发布：外网用户通过公网IP访问校内Web服务器
• 内网互通：不同教学楼PC间可相互通信

关键约束条件：

• 仅有一个公网IP地址（10.0.0.1）
• 外网用户设备不能配置网关
• 需保持各子网间路由可达

提示：在实际工程中，这种单IP多服务的场景非常普遍，特别是中小型机构的网络部署。

2. 网络拓扑设计与IP规划

我们采用三层架构设计，核心设备包括：

• 边界路由器（Router3）：连接公网与内网，负责NAT转换
• 汇聚路由器（Router2）：实现内网子网间路由
• 接入层交换机：按楼栋划分VLAN

IP地址分配表：

graph TD subgraph 外网 PC_Ext[外网PC] end subgraph 校园网 Router3[[Router3]] Router2[[Router2]] Server[Web服务器] subgraph 教学楼A SW_A[交换机] PC_A1[PC1] PC_A2[PC2] PC_A3[PC3] end subgraph 教学楼B SW_B[交换机] PC_B1[PC4] PC_B2[PC5] PC_B3[PC6] end Router3 -->|Fa0/1| Router2 Router2 -->|Fa0/1| SW_A Router2 -->|Fa0/2| SW_B Router3 -->|Fa0/0| PC_Ext Router3 --> Server end

3. 基础路由配置

首先确保内网路由可达，在Router2上配置RIP动态路由协议：

Router2> enable Router2# configure terminal Router2(config)# router rip Router2(config-router)# version 2 Router2(config-router)# network 192.168.0.0 Router2(config-router)# network 192.168.1.0 Router2(config-router)# network 192.168.2.0 Router2(config-router)# no auto-summary Router2(config-router)# exit

在Router3上配置静态路由指向内网：

Router3> enable Router3# configure terminal Router3(config)# ip route 192.168.1.0 255.255.255.0 192.168.0.2 Router3(config)# ip route 192.168.2.0 255.255.255.0 192.168.0.2

验证路由表是否完整：

Router3# show ip route Codes: C - connected, S - static, R - RIP * - candidate default Gateway of last resort is not set C 192.168.0.0/24 is directly connected, FastEthernet0/1 S 192.168.1.0/24 [1/0] via 192.168.0.2 S 192.168.2.0/24 [1/0] via 192.168.0.2 C 10.0.0.0/30 is directly connected, FastEthernet0/0

4. PAT配置实现内网访问互联网

Port Address Translation（PAT）是解决IP地址不足的关键技术。在Router3上配置：

Router3(config)# access-list 1 permit 192.168.0.0 0.0.255.255 Router3(config)# ip nat inside source list 1 interface FastEthernet0/0 overload Router3(config)# interface FastEthernet0/1 Router3(config-if)# ip nat inside Router3(config-if)# exit Router3(config)# interface FastEthernet0/0 Router3(config-if)# ip nat outside

关键参数解析：

• access-list 1：定义需要转换的内网地址范围
• overload：启用端口复用，这是PAT的核心
• ip nat inside/outside：指定NAT的内外接口

测试PAT是否生效：

1. 在内网PC上ping外网地址（如10.0.0.2）
2. 在Router3上查看NAT转换表：

Router3# show ip nat translations Pro Inside global Inside local Outside local Outside global icmp 10.0.0.1:1024 192.168.1.2:1024 10.0.0.2:1024 10.0.0.2:1024

5. 端口映射发布Web服务

将内网服务器（192.168.0.100）的80端口映射到公网IP：

Router3(config)# ip nat inside source static tcp 192.168.0.100 80 10.0.0.1 80

进阶配置：如需映射多个服务，可添加多条规则：

! 映射FTP服务 Router3(config)# ip nat inside source static tcp 192.168.0.100 21 10.0.0.1 21 ! 映射SSH服务 Router3(config)# ip nat inside source static tcp 192.168.0.100 22 10.0.0.1 2222

验证端口映射：

1. 在外网PC浏览器访问http://10.0.0.1
2. 检查NAT转换表应有如下条目：

Router3# show ip nat translations Pro Inside global Inside local Outside local Outside global tcp 10.0.0.1:80 192.168.0.100:80 10.0.0.2:1025 10.0.0.2:1025

6. 完整配置检查与排错

完成所有配置后，建议按以下顺序验证：

1. 内网连通性测试：

   PC_A1> ping 192.168.2.3 # 跨教学楼ping测试

2. 互联网访问测试：

   PC_B1> ping 8.8.8.8 # 模拟访问公网

3. 服务发布测试：

   • 外网PC访问Web服务
   • 检查服务器日志确认连接来源

常见问题排查命令：

# 查看NAT转换状态 show ip nat statistics # 检查接口状态 show interface FastEthernet0/0 show interface FastEthernet0/1 # 清除NAT转换表（测试时使用） clear ip nat translation *

7. 工程实践中的优化建议

在实际网络部署中，我们还可以考虑以下增强措施：

1. ACL安全策略：

   access-list 101 deny ip any host 192.168.0.100 access-list 101 permit ip any any interface FastEthernet0/0 ip access-group 101 in

2. QoS保障：

   class-map match-any WEB-TRAFFIC match dscp ef match access-group name WEB-ACCESS ! policy-map OUTBOUND-QOS class WEB-TRAFFIC priority percent 30

3. 高可用方案：

   • 部署VRRP实现路由器冗余
   • 考虑多ISP链路备份

这个实验虽然基于教学环境设计，但完整呈现了企业网络中的典型NAT部署场景。掌握单IP条件下的PAT和端口映射技术，对网络工程师应对真实工作挑战至关重要。