首页 / 配置案例 / 迈普 MP2900X 配置 PAT 端口复用与端口映射

迈普 MP2900X 配置 PAT 端口复用与端口映射

适用型号：MP2900X 系列多业务路由器（手册版本 8.11.0.95）

用户提问

MP2900X 路由器如何配置 PAT（端口复用）实现内网共享上网？如何把内网服务器的端口映射到公网？请给出完整配置命令。

BOOKRAG 回答（实际对话输出）

说明：你提供的资料能确认 MP2900X 上 PAT 动态端口复用、SPT 静态端口映射、NAT 接口属性、回流以及验证方法；但资料中 ip nat pool pool1 后如何配置公网地址池成员的命令被截断。对于该缺失部分，手册中未检索到相关内容，请换关键词或补充设备型号/软件版本。以下仅基于资料中已出现命令整理，不补造未显示命令。

一、适用场景与前提条件

适用对象：MP2900X 系列 NAT 配置场景。

前提条件：

各接口 IP 地址和路由需要先配置完成；手册示例中该部分标注为“略”[6][4]。
需要明确 NAT 内部接口和外部接口：

内网侧接口配置 ip nat inside[6]。
外网侧接口配置 ip nat outside[6]。

PAT 端口复用需要配置 overload，否则不是端口复用的动态 NAT[3][6]。
如果内网用户也需要通过公网地址访问内网服务器，即 NAT 回流，需要在 NAT inside 接口配置 ip nat hairpin[4]。

二、配置 PAT 端口复用实现内网共享上网

手册示例场景：内网 1.1.1.0/24，公网地址为 201.16.16.2，通过映射 TCP/UDP 端口号复用同一个公网地址[6]。

1. 配置内网接口为 NAT inside

Device#configure terminal
Device(config)#interface gigabitethernet 0
Device(config-if-gigabitethernet0)#ip nat inside
Device(config-if-gigabitethernet0)#exit

以上命令将 gigabitethernet 0 配置为 NAT 内部接口[6]。

2. 配置外网接口为 NAT outside

Device(config)#interface gigabitethernet 1
Device(config-if-gigabitethernet1)#ip nat outside
Device(config-if-gigabitethernet1)#exit

以上命令将 gigabitethernet 1 配置为 NAT 外部接口[6]。

3. 配置需要访问外网的内网网段 ACL

Device(config)#ip access-list extended 1001
Device(config-ext-nacl)#permit ip 1.1.1.0 0.0.0.255 any
Device(config-ext-nacl)#exit

该扩展 ACL 用于匹配内网私网地址段 1.1.1.0/24 访问任意外网地址的流量[3]。

4. 配置 NAT 地址池

资料中该步骤显示为：

Device(config)#ip nat pool pool1

手册说明该地址池 pool1 只包含一个公网地址 201.16.16.2[6]。但你提供的资料在此处被截断，未显示后续公网地址成员配置命令，因此不能补全完整地址池命令。对于该缺失部分，手册中未检索到相关内容，请换关键词或补充设备型号/软件版本。

5. 配置 PAT 动态端口复用规则

Device(config)#ip nat inside source list 1001 pool pool1 overload

该命令表示：匹配 ACL 1001 的内网源地址，通过地址池 pool1 做源地址转换，并使用 overload 启用端口复用，即 PAT[3][6]。

三、验证 PAT 内网共享上网

执行：

Device#show ip nat translation

手册中 PAT 动态端口转换表项示例如下：

  Type            Pro     Inside global:port       Inside local:port        Outside local:port       Outside global:port      lifetime
  --------------  ------  -----------------------  -----------------------  -----------------------  -----------------------  --------
  PAT             TCP     [201.16.16.2]:10002      [1.1.1.3]:1024           [17.1.1.2]:80            [17.1.1.2]:80            3600
  PAT             TCP     [201.16.16.2]:10001      [1.1.1.2]:1024           [17.1.1.2]:80            [17.1.1.2]:80            3600
  Valid/Total: 2/2

该表项表示多个内网主机通过同一个公网地址 201.16.16.2 的不同端口访问外网，类型为 PAT[5]。

如果是多出口场景，手册中也会出现类似 201.16.16.5 和 202.16.16.5 的 PAT 表项，表示不同出口使用不同公网地址转换[1][3]。

四、将内网服务器端口映射到公网

手册示例场景：内网 Web Server 地址为 192.168.1.102，服务端口为 80；对外公网地址为 201.16.16.2，对外端口为 8080[4][2]。

外网用户访问 201.16.16.2:8080 时，通过 SPT 静态转换规则将目的地址转换为内网服务器 192.168.1.102:80[4][2]。

1. 配置内网接口为 NAT inside，并开启回流

如果内网用户也需要通过公网地址 201.16.16.2:8080 访问内网服务器，需要在 inside 接口配置 ip nat hairpin[4]。

Device#configure terminal
Device(config)#interface gigabitethernet 0
Device(config-if-gigabitethernet0)#ip nat inside
Device(config-if-gigabitethernet0)#ip nat hairpin
Device(config-if-gigabitethernet0)#exit

其中：

ip nat inside：将接口配置为 NAT 内部接口[4]。
ip nat hairpin：开启 NAT 回流，使内网用户可以通过公网地址访问内网服务器[4]。

2. 配置外网接口为 NAT outside

Device(config)#interface gigabitethernet 1
Device(config-if-gigabitethernet1)#ip nat outside
Device(config-if-gigabitethernet1)#exit

该命令将外网侧接口配置为 NAT outside[6]。

3. 配置内网服务器静态端口映射

Device(config)#ip nat inside source static tcp 192.168.1.102 80 201.16.16.2 8080

该命令配置内部源 SPT 静态转换规则，使内部 Web Server 的地址 192.168.1.102:80 转换为全局地址 201.16.16.2:8080[2]。

五、如果同时要求内网共享上网和内网服务器端口映射

手册中给出了同时配置 PAT 动态转换规则和 SPT 静态转换规则的场景：内网用户通过 PAT 转换源地址，访问内网服务器时通过 SPT 转换目的地址[4][2]。

可确认的配置片段如下：

Device#configure terminal
Device(config)#interface gigabitethernet 0
Device(config-if-gigabitethernet0)#ip nat inside
Device(config-if-gigabitethernet0)#ip nat hairpin
Device(config-if-gigabitethernet0)#exit

Device(config)#interface gigabitethernet 1
Device(config-if-gigabitethernet1)#ip nat outside
Device(config-if-gigabitethernet1)#exit

Device(config)#ip nat inside source list 1001 pool pool1 overload
Device(config)#ip nat inside source static tcp 192.168.1.102 80 201.16.16.2 8080

其中：

ip nat inside source list 1001 pool pool1 overload 用于配置 PAT 动态源地址转换[2][3]。
ip nat inside source static tcp 192.168.1.102 80 201.16.16.2 8080 用于配置服务器端口映射[2]。
ip nat hairpin 用于支持内网通过公网地址访问内网服务器[4]。

注意：pool1 的完整地址池成员配置在你提供的资料中未完整显示，因此上述模板中 pool1 相关部分只能确认到资料中已出现的命令形式[2][6]。

六、验证内网服务器端口映射

执行：

Device#show ip nat translation

手册中，当内网 PC 通过公网地址 201.16.16.2:8080 访问内网 Web Server 时，可以看到 PAT/SPT 类型表项：

  Type            Pro     Inside global:port       Inside local:port        Outside local:port       Outside global:port      lifetime
  --------------  ------  -----------------------  -----------------------  -----------------------  -----------------------  --------
  PAT/SPT         TCP     [201.16.16.3]:63913      [192.168.1.101]:63913    [201.16.16.2]:8080       [192.168.1.102]:80       2
  Valid/Total: 1/1

该表项表示：

内网主机 192.168.1.101 访问公网映射地址 201.16.16.2:8080。
NAT 设备通过 SPT 将目的地址转换为内网服务器 192.168.1.102:80。
同时通过 PAT 转换内网主机源地址[2]。

七、常见报错与注意事项

没有生成 NAT 表项

检查接口是否配置了 ip nat inside 和 ip nat outside[6]。
检查 ACL 是否匹配内网流量[3]。
检查 PAT 是否配置了 overload[3][6]。

多个内网主机不能共享同一个公网地址

如果只配置动态源地址转换但没有 overload，不会形成资料中 PAT 类型端口复用表项[6][3]。

外网无法访问内网服务器映射端口

检查静态映射命令中的协议、内网地址、内网端口、公网地址、公网端口是否正确。
手册示例使用 tcp 192.168.1.102 80 201.16.16.2 8080，表示 TCP 80 映射到公网 8080[2]。

内网用户可以通过真实内网地址访问服务器，但通过公网地址访问失败

这属于 NAT 回流场景，需要在 NAT inside 接口配置 ip nat hairpin[4]。

地址池配置不完整

当前资料只确认到 ip nat pool pool1 命令入口，以及说明 pool1 只包含一个公网地址 201.16.16.2[6]。
但后续地址池成员配置命令未显示，因此不能补全。对该缺失部分，手册中未检索到相关内容，请换关键词或补充设备型号/软件版本。

【参考出处】

[1] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3 NAT典型配置举例 > 20.3.5 配置内网用户通过多出口访问外网 / 行号：第 3 页 · 行 7873-7959

[2] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3.11配置内网用户通过NAT外网地址访问内网服务器 / 行号：第 3 页 · 行 8427-8521

[3] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3 NAT典型配置举例 > 20.3.5 配置内网用户通过多出口访问外网 / 行号：第 3 页 · 行 7873-7959

[4] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3.11配置内网用户通过NAT外网地址访问内网服务器 / 行号：第 3 页 · 行 8427-8521

[5] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3 NAT典型配置举例 > 20.3.4 配置内部源NAT动态端口转换 / 行号：第 3 页 · 行 7786-7872

[6] 来源手册：MP2900X系列产品配置手册(8.11.0.95(R)-20211030) (2).md / 章节：Device上关闭tunnel1的RA应答抑制功能。 > 20 NAT > 20.3 NAT典型配置举例 > 20.3.4 配置内部源NAT动态端口转换 / 行号：第 3 页 · 行 7786-7872

更多配置问题可进入 BOOKRAG 控制台选择对应型号直接提问，回答基于该型号官方手册原文。