路由基本原理:

路由器内部有一个路由表，这表标明了如果要去某个地方，下一步应该往哪走。路由器从某个端口收到一个数据包，它首先把链路层的包头去掉(拆包)，读取目的IP地址，然后查找路由表，若能确定下一步往哪送，则再加上链路层的包头(打包)，把该数据包转发出去;如果不能确定下一步的地址，则向源地址返回一个信息，并把这个数据包丢掉。

路由技术其实是由两项最基本的活动组成，即决定最优路径和传输数据包。其中，数据包的传输相对较为简单和直接，而路由的确定则更加复杂一些。路由算法在路由表中写入各种不同的信息，路由器会根据数据包所要到达的目的地选择最佳路径把数据包发送到可以到达该目的地的下一台路由器处。当下一台路由器接收到该数据包时，也会查看其目标地址，并使用合适的路径继续传送给后面的路由器。依次类推，直到数据包到达最终目的地。

路由器之间可以进行相互通讯，而且可以通过传送不同类型的信息维护各自的路由表。路由更新信息主是这样一种信息，一般是由部分或全部路由表组成。通过分析其它路由器发出的路由更新信息，路由器可以掌握整个网络的拓扑结构。链路状态广播是另外一种在路由器之间传递的信息，它可以把信息发送方的链路状态及进的通知给其它路由器。

动态路由是与静态路由相对的一个概念，指路由器能够根据路由器之间的交换的特定路由信息自动地建立自己的路由表，并且能够根据链路和节点的变化适时地进行自动调整。

使用静态路由的好处是网络安全保密性高。动态路由因为需要路由器之间频繁地交换各自的路由表，而对路由表的分析可以揭示网络的拓扑结构和网络地址等信息。

静态路由是在路由器中设置的固定的路由表du。除非管理员干预，否则静态zhi路由不会发生变化。一般dao用于网络规模不大、拓扑结构固定的网络中。

当动态路由与静态路由发生冲突时，以静态路由为准。动态路由是网络中的路由器之间相互通信，传递路由信息，利用收到的路由信息更新路由器表的过程。

它能实时地适应网络结构的变化，如果路由更新信息表明发生了网络变化，路由选择软件就会重新计算路由，并发出新的路由更新信息。

这些信息通过各个网络，引起各路由器重新启动其路由算法，并更新各自的路由表以动态地反映网络拓扑变化。

路由器的工作原理：

路由器工作在OSI七层协议中的第三层，也就是网络层。其主要任务是接收来源于一个网络接口的数据包，根据这个数据包中所含的目地址，决定转发到的下一个目的地址。路由器中时刻维持着一张路由表，所有的数据包的发送和转发都通过查找路由表来实现的。这个路由表可以静态配置，也可以通过动态路由协议产生。

路由器物理层从路由器的一个端口收到一个报文，上送到数据链路层。数据链路层去掉链路层封装，根据报文的协议域上送到网络层。网络层首先看报文是否是送给本机的，若是，去掉网络层封装，送给上层。若不是，则根据报文的目的地址查找路由表，若找到路由，将报文送给相应端口的数据链路层，数据链路层封装后，发送报文。若找不到路由，报文丢弃。

路由器的作用：

1、异种网络互连：比如具有异种子网协议的网络互连

2、子网协议转换：不同子网间包括局域网和广域网之间的协议转换

3、路由：也就是寻路

4、速率适配：利用自己的缓存和流控协议进行适配

5、隔离网络：防止广播风暴，还能实现防火墙

6、报文分片和重组：超过接口的MTU报文会被分片，到达目的地之后的报文会被重组

7、备份、流量控制：主备线路的切换和复杂的流量控制

华为:

路由协议或路由种类|相应的默认路由优先级(Preference)

direct| 0

OSPF| 10

IS-IS I 15

Static I 60

RIP| 100

IBGP I 130

OSPF ASE/import I 150

EBGP| 170

UNKNOWN I 255

思科:

Route Source I Default AD (Administrative Distance)

Connected interface| 0

Static route| 1

EIGRPI90

IGRP | 100

OSPF | 110

RIP| 120

Extemal EIGRP I 170

Unknown| 255 (this route will never be used)

路由器路由匹配顺序总结：

1.路由策略匹配。若路由器上有路由策略，首先执行路由策略，若无路由策略，则查询路由表。

2.最长子网掩码匹配。即当在路由表中有多条 到达某个IP地址的路由时，优先选择子网掩码最长的路由。

3.管理距离最小匹配。若执行最长子网掩码匹配后，路由表中 仍有多条到达某个IP地址的路由，优先选择管理距离（AD）最小的。

4.负载均衡。若执行管理距离最小匹配后，路由表中仍有多条达到某个IP地址的路由，则 在剩余的多条链路上执行负载均衡。注意：这里的负载均衡可能是等价的，也可能不是等价的，具体要看使用的路由协议。

交换机的作用：

交换机是一种工作在OSI七层协议中的第二层，也就是数据链路层，可以对电信号进行转发，为接入交换机的任意两个网络结点提供独享的电信号通路，对接入的信息重新生成，通过内部处理转发到指定端口，达到自动寻址和交换的作用，避免端口冲突问题，提高网络吞吐量的网络设备。作用体现如下：

1、集线器：由于提供了大量的可供线缆连接的端口，因此可以被作为集线器使用，达到部署型星型拓扑网络的目的。

2、中继器：在转发帧的时候重新产生一个不失真的方形电信号。

3、网桥：在内置的端口上使用相同的转发和过滤逻辑，所以具备网桥功能。

4、分成多个冲突域：将部署好的局域网分为多个冲突域，而每个冲突与都有自己独立的带宽，所以可以提高宽带利用效率。

交换机的基本工作原理：

1、学习。根据收到数据帧中的源MAC地址建立该地址同交换机端口的映射，写入MAC地址表中。

2、直接转发。如果交换机根据数据帧中的目的MAC地址在建立好的MAC地址表中查询到了，就对对应端口进行转发。

3、泛洪（flood）。如果数据帧中的目的MAC地址不在MAC地址表中，则向所有端口转发，也就是泛洪。

4、对于广播帧和组播帧向所有端口进行转发。

5、更新。MAC地址表会每300s更新一次。

二层交换技术

　　二层交换机是数据链路层的设备，它能够读取数据包中的MAC地址信息并根据MAC地址来进行交换。

　　交换机内部有一个地址表，这个地址表标明了MAC地址和交换机端口的对应关系。当交换机从某个端口收到一个数据包，它首先读取包头中的源MAC地址，这样它就知道源MAC地址的机器是连在哪个端口上的，它再去读取包头中的目的MAC地址，并在地址表中查找相应的端口，如果表中有与这目的MAC地址对应的端口，则把数据包直接复制到这端口上，如果在表中找不到相应的端口则把数据包广播到所有端口上，当目的机器对源机器回应时，交换机又可以学习一目的MAC地址与哪个端口对应，在下次传送数据时就不再需要对所有端口进行广播了。

　　二层交换机就是这样建立和维护它自己的地址表。由于二层交换机一般具有很宽的交换总线带宽，所以可以同时为很多端口进行数据交换。如果二层交换机有N个端口，每个端口的带宽是M，而它的交换机总线带宽超过N×M，那么这交换机就可以实现线速交换。二层交换机对广播包是不做限制的，把广播包复制到所有端口上。

　　二层交换机一般都含有专门用于处理数据包转发的ASIC (Application specific Integrated Circuit)芯片，因此转发速度可以做到非常快。

三层交换技术

传统的交换机本质上是具有流量控制能力的多端口网桥，即传统的(二层) 交换机。把路由技术引入交换机，可以完成网络层路由选择，故称为三层交换，这是交换机的新进展。交换机(二层交换)的工作原理交换机和网桥一样，是工作在链路层的联网设备，它的各个端口都具有桥接功能，每个端口可以连接一个LAN或一台高性能网站或服务器，能够通过自学习来了解每个端口的设备连接情况。所有端口由专用处理器进行控制，并经过控制管理总线转发信息。

防火墙的定义

防火墙：一种高级访问控制设备，置于不同网络安全域之间，它通过相关的安全策略来控制（允许、拒绝、监视、记录）进出网络的访问行为。

防火墙的核心技术

1、 包过滤：最常用的技术。工作在网络层，根据数据包头中的IP、端口、协议等确定是否数据包通过

2、 应用代理：另一种主要技术，工作在第7层应用层，通过编写应用代理程序，实现对应用层数据的检测和分析

3、 状态检测：工作在2－4层，控制方式与1同，处理的对象不是单个数据包，而是整个连接，通过规则表（管理人员和网络使用人员事先设定好的）和连接状态表，综合判断是否允许数据包通过。

4、 完全内容检测：需要很强的性能支撑，既有包过滤功能、也有应用代理的功能。工作在2-7层，不仅分析数据包头信息、状态信息，而且对应用层协议进行还原和内容分析，有效防范混合型安全威胁。

包过滤技术

包过滤技术是一种简单、有效的安全控制技术，它工作在网络层，通过在网络间相互连接的设备上加载允许、禁止来自某些特定的源地址、目的地址、TCP端口号等规则，对通过设备的数据包进行检查，限制数据包进出内部网络。

包过滤的最大优点是对用户透明，传输性能高。但由于安全控制层次在网络层、传输层，安全控制的力度也只限于源地址、目的地址和端口号，因而只能进行较为初步的安全控制，对于恶意的拥塞攻击、内存覆盖攻击或病毒等高层次的攻击手段，则无能为力。

 应用代理技术

应用代理防火墙工作在OSI的第七层，它通过检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。

应用网关防火墙是通过打破客户机／服务器模式实现的。每个客户机／服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则不能使用该服务。所以，应用网关防火墙具有可伸缩性差的缺点。

 状态检测技术

状态检测防火墙工作在OSI的第二至四层，采用状态检测包过滤的技术，是传统包过滤功能扩展而来。状态检测防火墙在网络层有一个检查引擎截获数据包并抽取出与应用层状态有关的信息，并以此为依据决定对该连接是接受还是拒绝。这种技术提供了高度安全的解决方案，同时具有较好的适应性和扩展性。状态检测防火墙一般也包括一些代理级的服务，它们提供附加的对特定应用程序数据内容的支持。

状态检测防火墙基本保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，在此基础上，对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包，不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，维护了连接，将进出网络的数据当成一个个的事件来处理。主要特点是由于缺乏对应用层协议的深度检测功能，无法彻底的识别数据包中大量的垃圾邮件、广告以及木马程序等等。

 完全内容检测技术

完全内容检测技术防火墙综合状态检测与应用代理技术，并在此基础上进一步基于多层检测架构，把防病毒、内容过滤、应用识别等功能整合到防火墙里，其中还包括IPS功能，多单元融为一体，在网络界面对应用层扫描，把防病毒、内容过滤与防火墙结合起来，这体现了网络与信息安全的新思路，(因此也被称为“下一代防火墙技术”)。它在网络边界实施OSI第七层的内容扫描，实现了实时在网络边缘布署病毒防护、内容过滤等应用层服务措施。完全内容检测技术防火墙可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细等优点，但由于功能集成度高，对产品硬件的要求比较高。

VLAN是英文Virtual Local Area Network的简称，又叫虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的技术。要想划分VLAN，必须购买支持VLAN功能的网络设备。

划分VLAN的作用：

VLAN是为解决以太网的广播问题和安全性而提出的，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中。即使是处在同一网段的两台计算机，如果不在同一VLAN中，它们各自的广播流也不会相互转发。

划分VLAN有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。由于VLAN隔离了广播风暴，也隔离了不同VLAN之间的通讯，因此，不同VLAN之间的通讯必须依靠路由器或者三层交换机来实现。

优势

广播风暴防范

限制网络上的广播，将网络划分为多个VLAN可减少参与广播风暴的设备数量。VLAN分段可以防止广播风暴波及整个网络。VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋予某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。 [4]

安全

增强局域网的安全性’含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其他VLAN内的用户直接通信，如果不同VLAN要进行通信，则需要通过路由器或三层交换机等三层设备。 [4]

成本降低

成本高昂的网络升级需求减少，现有带宽和上行链路的利用率更高，因而可节约成本。 [4]

性能提高

将第二层平面网络划分为多个逻辑工作组(广播域)可以减少网络上不必要的流量并提高性能。 [4]

提高人员工作效率

VLAN为网络管理带来了方便，因为有相似网络需求的用户将共享同一个VLAN。 [4]

简化项目管理或应用管理

VLAN将用户和网络设备聚合到一起，以支持商业需求或地域上的需求。通过职能划分，项目管理或特殊应用的处理都变得十分方便，例如可以轻松管理教师的电子教学开发平台。此外，也很容易确定升级网络服务的影响范围。 [4]

增加了网络连接的灵活性

借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地VLAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。 [4]

组建条件

[编辑](javascript:;)

VLAN是建立在物理网络基础上的一种逻辑子网，因此建立VLAN需要相应的支持VLAN技术的网络设备。当网络中的不同VLAN间进行相互通信时，需要路由的支持，这时就需要增加路由设备——要实现路由功能，既可采用路由器，也可采用三层交换机来完成，同时还严格限制了用户数量。 [4]

划分依据

按端口划分VLAN

许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。 [4]

第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。 [4]

以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分VLAN的方式仍然是最常用的一种方式。 [4]

按MAC地址划分VLAN

这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。 [4]

按网络层划分

这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。 [4]

这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。 [4]

这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。 [4]

按IP组播划分

IP组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。 [4]

基于规则的VLAN

也称为基于策略的VLAN。这是最灵活的VLAN划分方法，具有自动配置的能力，能够把相关的用户连成一体，在逻辑划分上称为“关系网络”。网络管理员只需在网管软件中确定划分VLAN的规则（或属性），那么当一个站点加入网络中时，将会被“感知”，并被自动地包含进正确的VLAN中。同时，对站点的移动和改变也可自动识别和跟踪。 [4]

采用这种方法，整个网络可以非常方便地通过路由器扩展网络规模。有的产品还支持一个端口上的主机分别属于不同的VLAN，这在交换机与共享式Hub共存的环境中显得尤为重要。自动配置VLAN时，交换机中软件自动检查进入交换机端口的广播信息的IP源地址，然后软件自动将这个端口分配给一个由IP子网映射成的VLAN。 [4]

按用户定义、非用户授权划分

基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。 [4]

以上划分VLAN的方式中，基于端口的VLAN端口方式建立在物理层上；MAC方式建立在数据链路层上；网络层和IP广播方式建立在第三层上。 [4]

VLAN之间的通信

尽管大约有80%的通信流量发生在VLAN内，但仍然有大约20%的通信流量要跨越不同的VLAN。目前，解决VLAN之间的通信主要采用路由器技术。 [5]

VLAN之间通信一般采用两种路由策略，即集中式路由和分布式路由。 [5]

(1)集中式路由

集中式路由策略是指所有VLAN都通过一个中心路由器实现互联。对于同一交换机（一般指二层交换机）上的两个端口，如果它们属于两个不同的VLAN，尽管它们在同一交换机上，在数据交换时也要通过中心路由器来选择路由。[5]

这种方式的优点是简单明了，逻辑清晰。缺点是由于路由器的转发速度受限，会加大网络时延，容易发生拥塞现象。因此，这就要求中心路由器提供很高的处理能力和容错特性。 [5]

(2)分布式路由

分布式路由策略是将路由选择功能适当地分布在带有路由功能的交换机上（指三层交换机），同一交换机上的不同VLAN可以直接实现互通，这种路由方式的优点是具有极高的路由速度和良好的可伸缩性。

优点：广播控制、带宽利用、降低延迟、安全性

总结：它的全称是虚拟局域网，作用就是把连接在同一交换机下的主机分为更小的逻辑网段，以减少广播的数量，不同的VLAN之间不能通讯，这样广播就被限制在同一个业务需求主机的VLAN里，即便是连接在同一个交换机下，不同的VLAN也不会收到广播的ARP请求！如果他们之间需要通讯，只能借助路由器或三层交换机

实现不同VLAN之间的访问，有两种方式：

一种是通过三层交换机，通过默认网关的方式实现不同VLAN之间的访问；一种是通过路由器，利用路由器的子端口和默认路由的方式实现访问。

1.三层交换机与路由器实现不同VLAN间访问的原理相同，均是通过默认路由的方式。

首先，需要在三层交换机上建立不同VLAN的网关；其次，将二层交换机的具体端口加入到该VLAN当中；最后，在三层交换机中会默认生成静态路由，实现不同VLAN间的访问。

2.通过路由器实现不同VLAN之间的访问

路由器实现的方式基本类似，通过端口划分子端口来实现。

首先，想要实现多少个VALN之间的通讯，就需要建立多少个子端口；其次，需要在子端口封装802.1q协议，用于支持VLAN协议；最后，在子端口设置IP地址,也就是VLAN的网关地址。

单臂路由（router-on-a-stick）是指在路由器的一个接口上通过配置子接口（或“逻辑接口”，并不存在真正物理接口）的方式，实现原来相互隔离的不同VLAN（虚拟局域网）之间的互联互通。

3、跨交换机实现VLAN间的通信

关于NAT的基础知识

NAT，Network Address Translation 地址转换，是路由器将内网地址转换为公网地址的一种技术。

NAT的实现方式主要有三种：

（1）静态转换：静态转换是一对一的转换，有多少内网地址需要转换，就需要相应的公网地址；用得很少；

（2）动态转换：动态转换是多对多的转换，通常需要转换的内网地址略多于相应的公网地址；将公网地址放在一个地址池里，当有内网地址需要访问外部网站时，从地址池中取出一个公网地址，用于内网地址到公网地址的转换；该方式适用于内网地址略多于给定的公网地址，如果内网地址远大于公网地址，当多台内网机器需要访问公网时，会出现地址池枯竭，无法获得对应的公网地址；

NAT的优点：

（1）宽带共享 ：通过一个公网地址可以让许多机器连上网络；理论上所有网络端口有多少一个公网IP就能够支持多少台机器联网；解决了IP地址不够用的情况；

（2）安全防护：通过NAT技术转换后，实际机器隐藏自己的真实IP，仅通过端口来区别是内网中的哪个机器，保证了自身安全。

NAT的缺点：

在一个具有NAT功能的路由器下的主机并没有建立真正的端对端连接，并且不能参与一些因特网协议。一些需要初始化从外部网络建立的TCP连接，和使用无状态协议（比如UDP）的服务将被中断。除非NAT路由器作一些具体的努力，否则送来的数据包将不能到达正确的目的地址。（一些协议有时可以在应用层网关的辅助下，在参与NAT的主机之间容纳一个NAT的实例，比如FTP。）NAT也会使安全协议变的复杂。

在整个NAT的转换中，最关键的流程有以下几点

网络被分为私网和公网两个部分，NAT网关设置在私网到公网的路由出口位置，双向流量必须都要经过NAT网关

网络访问只能先由私网侧发起，公网无法主动访问私网主机；

NAT网关在两个访问方向上完成两次地址的转换或翻译，出方向做源信息替换，入方向做目的信息替换；

NAT网关的存在对通信双方是保持透明的；

NAT网关为了实现双向翻译的功能，需要维护一张关联表，把会话的信息保存下来。

三、NAT应用

NAT主要可以实现以下几个功能：数据包伪装、平衡负载、端口转发和透明代理。

数据伪装: 可以将内网数据包中的地址信息更改成统一的对外地址信息，不让内网主机直接暴露在因特网上，保证内网主机的安全。同时，该功能也常用来实现共享上网。例如，内网主机访问外网时，为了隐藏内网拓扑结构，使用全局地址替换私有地址。

端口转发: 当内网主机对外提供服务时，由于使用的是内部私有IP地址，外网无法直接访问。因此，需要在网关上进行端口转发，将特定服务的数据包转发给内网主机。例如公司小王在自己的服务器上架设了一个Web网站，他的IP地址为192.168.0.5，使用默认端口80，现在他想让局域网外的用户也能直接访问他的Web站点。利用NAT即可很轻松的解决这个问题，服务器的IP地址为210.59.120.89，那么为小王分配一个端口，例如81，即所有访问210.59.120.89:81的请求都自动转向192.168.0.5:80，而且这个过程对用户来说是透明的。

负载平衡:目的地址转换NAT可以重定向一些服务器的连接到其他随机选定的服务器。

失效终结:目的地址转换NAT可以用来提供高可靠性的服务。如果一个系统有一台通过路由器访问的关键服务器，一旦路由器检测到该服务器当机，它可以使用目的地址转换NAT透明的把连接转移到一个备份服务器上，提高系统的可靠性。

透明代理:例如自己架设的服务器空间不足，需要将某些链接指向存在另外一台服务器的空间；或者某台计算机上没有安装IIS服务，但是却想让网友访问该台计算机上的内容，这个时候利用IIS的Web站点重定向即可轻松的帮助我们搞定。

NAT术语：比较难理解，所以这里用最明了的语言总结如下

内部本地地址（ inside local address ）：局域网内部主机的地址，通常是RFC1918地址空间中的地址，称为私有地址。（待转换的地址）

内部全局地址（inside global address）：内部本地地址被NAT路由器转换后的地址，通常是一个可路由的公网地址。

外部全局地址（outside global address）：是与内部主机通信的目标主机的地址，通常是一个可路由的公网地址。

外部本地地址（outside local address）：是目标主机可路由的公网地址被转换之后的地址，通常是RFC1918地址空间中的地址。

示例

如图所示： PC1地址：192.168.0.2/24，PC2地址：192.168.0.3/24，R1 E0/0地址：192.168.0.1/24  

R1 S0/0地址：202.106.0.1/24，R2 S0/0地址：202.106.0.2/24

R2 E0/0地址：202.106.1.1/24， PC3地址：202.106.1.2/24 (模拟公网服务器)

1.静态NAT：将一个私有地址和一个公网地址一对一映射的配置方法，这种方式不能节省IP，通常只为需要向外网提供服务的内网服务器配置。

各接口地址按上面配置好之后，在R1和R2上配置路由（注意不要为192.168.0.0网络增加路由项，因为私有网络不可以出现在公网路由表中，不然也不叫私有地址了）

路由配置好之后在R1上可以ping通PC3，但是PC1只能ping到R1的S0/0，再向前就ping不通了。因为没有192.168.0.0网络的路由表项，所以被丢弃了！下面在R1上配置静态NAT让PC1可以和PC3通信。

Router(config)#int fa0/0

Router(config-if)#ip nat inside //将该接口标记为内部接口

Router(config-if)#int s0

Router(config-if)#ip nat outside //将该接口标记为外部接口

Router(config-if)#exit

Router(config)#ip nat inside source static 192.168.0.2 202.106.0.3 //将来自标记为内部接口的地址做为转换源，将 192.168.0.2一对一的转换成 202.106.0.3

动态NAT：现在PC1就可以和PC3通信了。但是PC2不能，因为R1并没有为PC2提供地址转换。当然我们可以在R1上像给PC1做静态转换一样也给PC2做一个，可如果我们有100台机器工作量就太大了。下面在R1上再继续配置：

Router(config)#access-list 10 permit 192.168.0.0 0.0.0.255 //定义标准访问控制列表10只允许定义的地址能够被转换

Router(config)#ip nat pool out 202.106.0.4 202.106.0.24 netmask 255.255.255.0 //定义名称为out的地址池。

Router(config)#ip nat inside source list 10 pool out //将访问控制列表定义的地址和地址池关联这样就有前21个内部主机能够得到公网地址。

现在PC2也可以和PC3通信了。这就是动态NAT，这种方式也不能节约IP地址。有一百台主机就要100个公网IP，不常用。

PAT（Port Address Translation）端口地址转换：用一个或多个公网IP为多个私有地址提供转换，能够节省大量IP地址，这种方式在现实网络环境中最常用。

Router(config)#ip nat inside source list 10 pool out  overload //只需要在动态NAT的基础上多出一个“overload”就可以让上面的21个公网地址反复使用。

如果我们只有一个公网地址且已经分配给了R1的S0/0口，可以使用下面的命令来对这仅有的一个公网地址反复利用或叫超载。

Router(config)#ip nat inside source list 10 interface serial 0 overload //就是在R1上不设置地址池，因为只有一个公网地址，而只对S0/0接口的地址超载。

 5、配置TCP负载平衡：还是上图IP也不变，假如PC1和PC2提供的是相同的WWW服务，为了实现负载平衡可以做如下配置：

Router(config)#ip nat pool www 192.168.0.2 192.168.0.3 netmask 255.255.255.0 type rotary //配置地址池www并设成旋转。

Router(config)#access-list 10 permit 202.106.0.3

Router(config)#ip nat inside destination list 10 pool www //这样当外网主机访问202.106.0.3的时候路由器会自动定向到192.168.0.2再有请求就定向到192.168.0.3如果地址池里还有别的地址会依次循环，实现负载平衡的目的。注意，地址有了，网络中还要有对应的主机存在，否则会使对方第一次连接失败。