企业网络最主的核心技术当企业中的电脑要访问互联网，主要分两种。 静态路由
只要是三层，不同子网转发，都是通过路由表，按路由表转发数据。 主要理解：路由器是转发不同子网设备。 电脑如果访问不同子网，必须在电脑上也要配置去往不同网段的路由。静态路由。或者默认路由。路由器上也要配置去往不同网段的路由网段，才可以通信。 电脑其实也是三层设备，路由器。 电脑上如果不配置默认路由，或者静态路由，也无法访问不同子网的网络。 我们都知道路由器的功能是转发不同子网，但是路由器是怎么转发的呢？这个是重点，难道是一台电脑接LAN口192.168.0.1/24，一台电脑接WAN口 192.168.1.1/24，这两台电脑就可以正常互相访问了么？答案当然不是，如何转发数据是看路由表。电脑也是要有路由表才可以转发三层数据的，如果没有路由表，也只能在同一个子网电脑进行数据交换。 第一种，就是企业只有一台电脑，不需要网关。（很早以前） 当企业电脑内部只有一台电脑时，那么，这台电脑要访问微信，访问DNS。那怎么做呢？ 到三大运营商去开通带宽，假设，你开通的电信网络，这个带宽开通后，付完钱后，公网的IP是要付费的，私有IP地址，是不需要钱的。那么电信小哥，就会到你们公司安装一个猫这个设备。猫这个设备是什么呢？猫其是功能有很多，但是这个不具体讲，你只需要知道，猫这个功能就是将电信光纤进行的光信号转换成电信号。 运营商就会给你分配一个公网IP地址，这个IP地址可以是pppoe拨号获得，也可以是购买的静态公网IP地址。 电脑直接连接到电信猫。
那电脑端，route print出现的信息都是什么意思呢？ 网络目标：在目标网络里面只有127.0.0.1/8网段，和127.0.0.1/32位主机ip地址。127.255.255.255/32 。222.145.23.148/30网段。222.145.23.149/32位主机ip地址。222.145.23.151的广播地址。 224.0.0.0的组播地址。2255.255.255.255的广播地址。因为电脑中没有下一个网段路由，所以没有办法将数据转发到下一个网段，如果像静态路由由去配置。 网络掩码： 网关： 接口： 跃点数： 电脑数据转发的时候就是查找自已的路由表。
那这时，电脑只能访问到上联的运营商路由器的LAN口。
那是否可以ping通电信运营商路由器的WAN口呢？其实运营商路由器的WAN口IP地址是多少，我们并不知道。假台运营商WAN是222.1.1.1。那么你们说电脑可以ping通运营商路由器WAN口IP地址么。 答案当然是不可以的，因为电脑没有配置网关，电脑又没有路由表，没有办法将数据包，转发到另外一个子网。这时就需要使用默认路由，当电脑配置了网关之后，电脑就会自动产生一个默认路由 0.0.0.0 0.0.0.0 222.145.23.150。
当有了默认路由之后，数据包在电脑中将组播电地，广播地址都查找完成之后，都找不到主机，就会再通过默认路由，的网络目标，将数据包转发到运营商的路由器，然后通过运营商的路由器，将数据转发到互联网。
你们说为什么电脑配置了网关之后，就可以访问到运营商的路由器的WAN口了呢？ 那是因为，电脑有一个默认路由表，当不知道目的网络的时候，全部都通过默认路由去转发。 这时我们没配置网关，假如运营商的路由器的我们来配置一静态路由。 那么你就要知道，运营商路由器的WAN口地址段是多少？假如地址网段是222.1.1.0/24网段，好么我们就也可以在电脑中配置一个静态路由。
然后，电脑就可以ping通了 运营商WAN口ip地址了，因为模拟器中，没有办法配置静态路由，我们就将路由器当作PC。
如果我们在2901PC上配置一条静态路由222.1.1.0 255.255.255.0 222.145.23.150那么，2901PC这台电脑就可以正常访问到222.1.1.0/24这个网段。但是电脑的作用是去上网，查资料，访问各种不同网段的服务器，而不是要访问222.1.1.0这个网段，假如有服务器在这个222.1.1.0网段，你是可以正常访问到这台服务器的，如果没有服务器在这个网段，你是啥都访问不到，只能访问到路由器222.1.1.0这个网段的公网ip地址。
为什么电脑可以ping通运营商路由器的WAN 222.1.1.1这个ip地址呢，因为从默认路由转发出来的数据包，都转发到运营商路由，然后却运营商路由器知道如何去222.1.1.1 IP。 这时就将数据包转发到222.1.1.1。转发现222.1.1.1后，然加运营商路由器要有回折路由222.145.23.0/30网段，因为运营商的LAN口直联路由就是这个222.145.23.0/30网段，所以就直接将回折路由从自己的LAN口转发出去，到电脑了。 但是我们电脑访问外网的时候，是需想访问到所有网段，那么这时出现了默认路由，在你不知道下一跳网段是多少的时候，就是所有网段你都访问，所有网段就是默认的0.0.0.0 0.0.0.0 代表所有网段，就用默认路由，全部都从默认路由进行转发。 为什么不能配置静态路由，因为你不知道，下一个网段你是要访问互联网哪一网段，你是需要要访问互联网上所有的网段，所以就必须要配置默认路由。 为什么要将所有电脑数据转换到运营商的路由器，因为只有运营商的路由器，有全世界的路由表，所以运营商的路由器就可以正常去访问到互联网。 第二种，你说直接在企业中加一个交换机，可不可以。 当然是不可以的，为什么，如果是交换机，那么电脑可以连接到交换机，这时必须要向运营商申请开通多个公网ip地址，有几台电脑就要开通几台。这样才可以正常上网，但是这个费用比较贵。
重点来了！ 这里提及到了一个运营商路由路，为什么要将数据转发到运营商的路由器，就可以访问到全世界的网呢？那是因为运营商的路由器是有全世界的路由表，所以它可以访问全世界的路由表。 但是你说，我们自己买一台和运营商一模一样的路由器，接入到网络里面，然后这台路由器是不是就可以访问到全世界的网络里面了。当然不是这样简单，就算你买了一个和运营商一样的路由器，但是你接入到运营商的网络里面，前提是你这台路由器，必须要有运营商全世界的路由表，这路由器中的路由表是怎么来的呢？就是运营商的网络管理员来管理配置的。你想让运营商网络管员来帮你，把你自己的路由器加入到运营商的网络里面，是不现实的。运营商的路由器的网络与你企业的网络是没有办法进行通过将全世界的路由表，配置到你们企业的路由器上的。那么问题来了，如果我们企业多个人，那如何上网呢？ 那这时，你买了一路由器，运营商又不给你路由器表，那么你这路由器该如何去使用呢？这时第三种企业接入方法来了，当公司有多台电脑，如何通过路由器去上网？ 第三种，就是企业有很多台电脑。（现在） 网络拓扑如下所示： 这时企业中有多台电脑要上网，但是运营商分配的只有一个公网IP地址，那么这时，我们就需要企业的网管，自己添加路由器了，为什么要添加路由器呢？因为只有路由器才会扩展出来另外一个子网，如果没有路由器，直接将电脑连接到运营商路由器，只有个IP地址，只有一台电脑可以上网。 如下所示：
我们拿到了企业路由器时，我们可以发现企业路由器是有LAN和WAN区分的，其实真正的互联网中的路由器，是没有LAN口和WAN口区分的？为什么企业拿到的路由器，会有LAN口和WAN口区分呢？这个我们后面讨论。 当企业路由器拿到后，配置WAN口ip地址为运营商分配的222.145.23.149/30位。配置如下： GateWay#show running-config Building configuration... Current configuration : 660 bytes ! version 15.1 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname GateWay ip cef no ipv6 cef ! license udi pid CISCO1941/K9 sn FTX1524B5FY- no ip domain-lookup ! spanning-tree mode pvst ! interface GigabitEthernet0/0 ip address 222.145.23.149 255.255.255.252 duplex auto speed auto ! interface GigabitEthernet0/1 ip address 192.168.0.1 255.255.255.0 duplex auto speed auto ! interface Vlan1 no ip address shutdown ! ip classless ! ip flow-export version 9 ! line con 0 ! line aux 0 ! line vty 0 4 login ! end 这时我们企业路由器，配置了LAN口和WAN口ip地址，你们说路由器可以访问到互联网吗？答案，当然是不可以的，为什么呢？因为路由器，中的路由表和电脑中一样，只有两个网段，一个是192.168.0.0 /24网段，另外一个是222.145.23.149/32
那这时，企业路由器（网关），只能ping通运营商路由器的LAN口222.145.23.150。（运营商路由器是不分LAN，WAN口的只是我在写文章的时候，好表达）
这样配置完成后，你们说，企业路由器，可以访问到运营商的WAN口222.1.1.1这个公网Ip地址么?答案当然是不可以的，因为企业路由器并没有去网222.1.1.0/?，这个网段的路由表。 和上次的电脑直接连接运营商是一样的，我们需要在企业路由器上配置默认路由，将去网222.1.1.0/?网段，或者去网互联网任何一个网段，都使用默认路由转发出去，这时我们需要在企业路由器必须配置一条默认路由。0.0.0.0 0.0.0.0 222.145.23.150。配置完成默认路由后，这时企业路由器就可以正常访问到运营商路由器的WAN口IP地址和互联网上的任何一个公网IP地址了。 ip route 0.0.0.0 0.0.0.0 222.145.23.150 ，将这一条命令配置到企业路由器，然后企业路由器可以通过自己去ping通222.1.1.1网段和互联网上任何一个网段地址了。 这时我们只做到了，路由器，可以访问到互联网上任何一个地址，但是这时电脑可以访问到互联网吗？ 答案当然是不可以的，为什么呢？ 我们来一起看一下。 当PCip地址配置了192.168.0.2 255.255.255.0时，没有配置默认网关，那么电脑可以ping通路由器LANip地址192.168.0.1。
那你们说，192.168.0.2要ping 企业路由器的WAN口ip地址为222.145.23.149/30位，可以ping通么，答案当然是不通的。因为电脑中没有路由表，这时电脑就要配置网关，自动生成一个默认路由。
那你们说，现在电脑可访问到运营商路由器的LAN口ip 222.145.23.150这个ip地址么？答案当然是不通的。
那是为什么呢？不是配置默认路由后，数据包都交给了企业路由器去转发数据么，企业路由器上面我们配置了，企业路由器也可以正常上网，两个默认路由，不就直接将数据转发出去了么。 PC配置默认路由将数据都转发到企业路由器（网关 ） 。企业路由器（网关）又把所有数据通过默认路由转发到互联网。按道理来说PC不就直接访问到互联网了么。 重点又来了！ 主要区分一下，电脑配置完默认路由后，将数据包转发到企业路由器（网关），但是这个企业网段，真的就直接把数据转发出去了么？企业路由器配置了默认路由，可以正常上网，但只能将自已产生的流量转发到运营商路由器，通过运营商路由器转发到互联网，因为运营商路由器有全世界路由表。 电脑配置了网关，自动生成一条默认路由，这时电脑只能访问到企业路由器（网关）的WAN口ip地址。这是因为，电脑发一个包访问到企业路由器WAN口ip222.145.23.149，那么企业路由器接到电脑192.168.0.2发送过来的ping包，那么企业路由器（网关）就查看自己有没有192.168.0.0/24这个网段，如果有就通过这个网段路由给电脑回包。 但是如果直接用电脑去访问运营商的路由器，其实电脑的ping包是可以通过自己的默认路由和企业路由器（网关）这两条默认路由，将ping包，送到运营商路由器的。只是运营商路由器没有回复192.168.0.0这个网段的路由，因为192.168.0.0这个是私网地址，无法在运营商路由器去配置去往私网网段的路由，如果这样配置那么所有公司都是使用的192.168.0.0这人网段，路由器都不知道怎么配置回折路由了。 真的假如说，运营商在路由器上给你配置了一个192.168.0.0网段的静态路由，那么你是可以ping通到运营商的LANip和WAN口ip的。 这只是假如： ISP#show running-config Building configuration... Current configuration : 1098 bytes ! version 15.1 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname ISP ! ip cef no ipv6 cef ! license udi pid CISCO2911/K9 sn FTX15247SB2- no ip domain-lookup spanning-tree mode pvst ! interface GigabitEthernet0/0 ip address 222.1.1.1 255.255.255.0 duplex auto speed auto ! interface GigabitEthernet0/1 no ip address duplex auto speed auto shutdown ! interface GigabitEthernet0/2 ip address 222.145.23.150 255.255.255.0 duplex auto speed auto ! interface FastEthernet0/3/0 switchport mode access switchport nonegotiate ! interface FastEthernet0/3/1 switchport mode access switchport nonegotiate ! interface FastEthernet0/3/2 switchport mode access switchport nonegotiate ! interface FastEthernet0/3/3 switchport mode access switchport nonegotiate ! interface Vlan1 no ip address shutdown ! ip classless ip route 192.168.0.0 255.255.255.0 222.145.23.149 ! ip flow-export version 9 ! line con 0 ! line aux 0 ! line vty 0 4 login ! end 这时再通过电脑去ping运营商的LAN口IP和WAN口ip。发现的确是可以通信的，但是你的电脑的确是能访问到公网ip地址了，但是也只能访问到你企业路由器的上联运营商路由器。
电脑上互联网，并不是想访问公网IP地址的，瑞在的确是能访问到运营商路由器的WAN ip地址了，但是没有任何意义，因为你想访问的并不是运营商路由器的IP地址，而是想访问互联网上的服务器，如果微信服务器，DNS服务器，WEB服务器等等。 如果要这么配置下去，运营商的网管要累死了，新来了一个公司就要将运营商上所有路由器都要配置回折路由。那还是乱套了。上面这个只是假如，因为OSI定义，只有公网IP地址，可以在公网上出现，私网的ip地址，只能在私网中使用。 上述的方法直接通过电脑的默认路由，和企业路由器（网关）的默认路由，没有办法达到电脑可以直接通过这两个默认路由去访问互联网上的IP地址，互联网上的服务器。 这时出现了一个重要的技术，那就是NAT。 这个技术呢，就是可以将企业内部多台电脑，将192.168.0.2这个私网ip地址，通过NAT技术，转换到路由器WAN口222.145.23.149这个地址，然后通过222.145.23.149去访问互联网。 这时企业路由器又一个功能出现了那就是NAT，做NAT转换的时候，就必须路由器要区别LAN口和WAN口。
可以确定的是企业路由器(网关)，是可以正常访问到互联网的。这时电脑将自己的ip通过NAT技术，将192.168.0.2这个IP地址，转换成222.145.23.149公网的IP地址，然后通过222.145.23.149这个IP地址去访问互联网。 企业路由器（网关）配置NAT技术。 1、定义lan口和wan口，现在市面上所有的路由器都是厂家给你定义好了。
在企业路由器（网关）上去定义inside口和outside口，也是lan口和wan口。 GateWay(config)#interface gigabitEthernet 0/1 GateWay(config-if)#ip nat inside GateWay(config)#interface gigabitEthernet 0/0 GateWay(config-if)#ip nat outside 2、定义好接口后，查看一下默认路由没有配置好，默认路由就这台企业路由器（网关）自身可以通过默认路由，可以访问到互联网了。默认路由也配置好了。
3、配置NAT。 在企业路由器（网关）配置一个访问控制列表，允许内网所有ip地址。 GateWay(config)#access-list 1 permit 192.168.0.0 0.0.0.255 然后将这个条访问控制列表挂载到NAT转交，将192.168.0.0/24网段都允许进行NAT进去转换。 GateWay(config)#ip nat inside source list 1 interface gigabitEthernet 0/0 overload ip nat 接口是inside(LAN口) 是源，地址表是list 1 ，转换到企业路由器（网关）gig0/0 ,overload是端口复用，因为公司有多台电脑需要这样去转换，所以必须要配置overload，否则只能有一台电脑通过NAT转发出去。 企业路由器（网关）最终的配置信息： GateWay#show running-config Building configuration... Current configuration : 843 bytes ! version 15.1 no service timestamps log datetime msec no service timestamps debug datetime msec no service password-encryption ! hostname GateWay ip cef no ipv6 cef ! license udi pid CISCO1941/K9 sn FTX1524B5FY- ! no ip domain-lookup ! spanning-tree mode pvst ! interface GigabitEthernet0/0 ip address 222.145.23.149 255.255.255.252 ip nat outside duplex auto speed auto ! interface GigabitEthernet0/1 ip address 192.168.0.1 255.255.255.0 ip nat inside duplex auto speed auto ! interface Vlan1 no ip address shutdown ! ip nat inside source list 1 interface GigabitEthernet0/0 overload ip classless ip route 0.0.0.0 0.0.0.0 222.145.23.150 ! ip flow-export version 9 ! access-list 1 permit 192.168.0.0 0.0.0.255 ! line con 0 ! line aux 0 ! line vty 0 4 login ! end GateWay# 这时再去使用电脑去ping运营商路由器WAN口外网的IP地址。（将之前运营商路由器上将192.168.0.0/24位回折路由删除）。
这时电脑就可以正常上网了。
在企业路由器（网关）中就会出现NAT转换地址表。
192.168.0.2去访问公网的222.1.1.1 那么192.168.0.2通过NAT转换成222.145.23.149。一个ping包有四个nat转换表。因为一个ping有四个包。
ping公网ip地址，221.1.1.1这时inside内网192.168.0.2加上一个端口号46，这个通过NAT转换成222.145.23.149：46这个企业路由器（网关）WAN口ip 端口号46。 Outside local给回复的时候也会加上端口号222.1.1.1 ：46。
文章分类：
网络安全设备
|
