确定性NAT

确定性 NAPT 的好处

• 由于 IP 地址始终映射到相同的外部 IP 地址和端口范围，因此无需地址转换日志记录，并且给定已转换外部 IP 地址和端口的反向映射始终映射到相同的内部 IP 地址。

了解确定性 NAPT 算法

确定 NAPT 实施的有效性取决于对订阅者需求的分析。您提供的块大小表示每个 from 传入订阅者地址的可用端口数（从适用规则中指定语句NAT数。分配算法计算一个偏差值，以确定传出 IP 地址和端口。反向算法用于获取发起用户地址。

注意：

为了在不使用日志的情况下跟踪订阅者，ISP 必须使用反向算法从转换的地址获取订阅者（源）地址。

以下变量用于向前计算（专用用户 IP 地址到公共 IP 地址）和反向计算（公共 IP 地址到专用用户 IP 地址）：

• Pr_Prefix — 任何预NAT IPv4 用户地址。

• Pr_Port — 任何预NAT协议端口。

• Block_Size — 配置为可用于每个端口的端口Pr_Prefix。

  如果 block-size 配置为零，则计算块大小的方法计算如下：

  块大小 = int（64512/ceil[（Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix）]）

  其中每个公共 IP 地址的最大可用端口范围为 64512。

• Base_PR_Prefix — 第一个NAT规则语句中的 IPv4 用户 from 地址预NAT地址。

• Base_PU_Prefix — 在 NAT池中配置的第一个可用 IPv4 用户NAT地址。

• Pu_Port_Range_Start — 第一个可用后NAT端口。这是 1024

• Pr_Offset NAT - 正在从 NAT 规则语句的第一个可用 NAT IPv4 from 订阅者地址转换的预转换 IP 地址NAT的偏差。PR_Offset = Pr_Prefix – Base_Pr_Prefix。

• PR_Port_Offset — 前 IP 地址的NAT乘以块大小。PR_Port_Offset = Pr_Offset * Block_Size。

• Pu_Prefix — 给定NAT的后地址Pr_Prefix。

• Pu_Start_Port — NAT流后启动端口Pr_Prefix

• Pu_Actual_Port — 在反向NAT上的后端口。

• Nr_Addr_PR_Prefix — 服务规则语句NAT可用 IPv4 from 订阅者地址的可用NAT数。

• Nr_Addr_PU_Prefix — 在 NAT池中配置的可用 IPv4 地址NAT数。

• Rounded_Port_Range_Per_IP — 每个 IP 地址的可用NAT数。Rounded_Port_Range_Per_IP = ceil[（Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix）] * Block_Size。

• Pu_Offset — 从第一个可用后NAT地址的后 IP 地址NAT偏差。Pu_Offset = Pu_Prefix – Base_Pu_Prefix。

• Pu_Port_Offset— 将后 NAT 端口与 1024 后端口的偏差添加到产品后 NAT IP 地址的偏差以及每个后NAT IP 地址的可用端口数。Pu_Port_Offset = （Pu_Offset * Rounded_Port_Range_Per_IP） + （Pu_Actual_Port – Pu_Port_Range_Start）。

算法用法 – 采用以下配置：

前向转换

1. Pr_Offset = Pr_Prefix – Base_Pr_Prefix

2. Pr_Port_Offset = Pr_Offset * Block_Size

3. Rounded_Port_Range_Per_IP = ceil[（Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix）] * Block_Size

4. Pu_Prefix = Base_Public_Prefix + 楼层（Pr_Port_Offset/Rounded_Port_Range_Per_IP）

5. Pu_Start_Port = Pu_Port_Range_Start + （Pr_Port_Offset % Rounded_Port_Range_Per_IP）

使用示例配置并假设订阅者流来源为 10.1.1.250：5000：

1. Pr_Offset = 10.1.1.250 – 10.1.0.1 = 505

2. Pr_Port_Offset = 505 * 249 = 125，745

3. Rounded_Port_Range_Per_IP = ceil[（65，533/254）] * 249 = 259 * 249 = 64，491

4. Pu_Prefix = 32.32.32.1 + 地板（125，745 /64，491） = 32.32.32.1 +1 =32.32.32.2

5. Pu_Start_Port = 1，024 + （125，745 % 64，491） = 62278

   • 10.1.1.250 转换为 32.32.32.2。

   • 开始端口为 62278。根据配置的块大小，订阅者可以使用 249 个端口。可用端口范围涵盖端口 62278 到 62526（含）。

   • 由于指定了随机分配，因此特定流 10.1.1.250：5000 将随机分配其范围内的任何端口。

反向转换

1. Pu_Offset = Pu_Prefix – Base_Pu_Prefix

2. Pu_Port_Offset = （Pu_Offset * Rounded_Port_Range_Per_IP） + （Pu_Actual_Port – Pu_Port_Range_Start）

3. Subscriber_IP = Base_Pr_Prefix + 楼层（Pu_Port_Offset/Block_Size）

反向转换的确定方式如下。假设一个流返回 32.32.32.2：62278。

1. Pu_Offset = 32.32.32.2 – 32.32.32.1 = 1

2. Pu_Port_Offset = （1 * 64，491） + （62，280 - 1024） = 125，747

3. Subscriber_IP = 10.1.0.1 + 地板（125，747 / 249） = 10.1.0.1 + 505 = 10.1.1.250

   注意：

   反向转换中，只能派生原始专用 IP 地址，而不是使用中的原始端口。这已足够细粒度地满足执法要求。

配置确定性 NAPT show services nat deterministic-nat internal-host 后，您可以使用 和 show services nat deterministic-nat nat-port-block 命令显示向前和反向映射。但是，如果重新配置确定性端口块分配 from 块大小或该规则中的 语句，映射NAT更改。为了提供有关映射的历史信息，我们建议您编写可显示先前配置的特定映射的脚本。

确定性 NAPT 限制

配置确定性 NAPT 时，必须注意以下限制。违反任何限制会导致提交错误。限制及其错误消息如表 1 所示。

表 1：确定 NAPT 提交约束

限制	错误消息
确定性组块的NAT必须大于或等于配置的 from 语句地址。这意味着，Rounded_Port_Range_Per_IP值必须小于或等于 64，512。	"from"语句中NAT地址和端口块组合的地址数小于
IPv6 地址不应用于确定性池/NAT语句中。	具有转换类型确定-napt44 的池 p1 中的无效 IP 地址 或 已配置了一系列 v4 地址范围
如果 from 跨多个术语/规则使用相同的确定性NAT池，则语句地址应相同。如果跨 from 多个术语/规则使用同一个确定性NAT池，则仅应指定一个语句 address/range。	如果由多个规则或术语共享池，则使用转换类型的确定性 napt44，应该配置相同的"from"地址/范围
语句 from 必须至少具有一个源地址。	使用转换类型确定性 napt44，至少应配置一个非非（从）地址/范围。错误：配置检查失败
语句地址中的 except 条目之间不应有 from 地址重叠。	重叠地址，在"除"条目之间的"from"语句中
用于确定 NAPT 的NAT池的地址不应与任何其他服务池中的地址NAT重叠。	NAT池 det-nat-pool1 与服务集使用的 det-nat 池重叠 sset_det-nat 错误：配置检查失败
确定性NAT池不能与其他转换类型一起使用。此外，确定性安全NAT可用于确定性 NAPT44 和确定性 NAPT64 规则NAT。	确定性NAT池不能与其他转换类型一起使用
确定性 NAPT44 必须使用具有确定性端口块分配配置的源池。	确定性 NAPT44 必须使用具有确定性端口块分配配置的源池
如果 address-allocation round-robin 配置了提交，则显示警告，表示转换类型确定性 napt44 不需要此技术并忽略。	转换类型确定性 napt44 不需要地址分配轮询
分配给确定性安全池的 IP 地址总数应小于或NAT 224 （16777216）。	具有确定性 napt44 转换的池中的地址数量最多限于16777216 （2^24）