雙線NAT下 如何利用路由器實現基于端口的流控
原創【51CTO.com 獨家特稿】在51CTO論壇中看到一篇懸賞帖，帖子是講路由器雙線接入NAT后的數據分流問題的。之所以編輯成本文，主要是由于目前大家都比較關注如何利用路由器進行合理的數據分流。記者也查閱了一些資料，整理一些解決此類問題的知識點，希望對51CTO.com廣大的網絡工程師有所貢獻。閑話少說，請看原帖懸賞內容：
拓撲和設備簡單描述：
思科2811路由器一臺，三個FE口，f0/0接ISP1，f0/1接ISP2(ADSL)，f1/0接內網交換機
問題呈現：
ISP1專線有公網IP，下載可以，但開網頁不行，第一次聯站點要5秒，后面就對了；
ISP2是ADSL，開網頁比ISP1快多了，下載速度不行。
帖主分析：估計ISP1開網頁慢是因為DNS解析慢的原因。
帖主為了優化，想實現如下需求：
讓DNS解析只通過ISP2來走，PC在從ISP2得到正確外網域名IP地址后，再通過ISP1跑所有數據，在ISP2不能解析地址時，再自己解析。
ISP2在ISP1失效時，所有數據走自己。
帖主分析難點：這里的難點在于內網通過ISP1或2訪問外網時作了NAT復用，端口就有變化了，怎么去控制內網的訪問呢？
在解決這個問題之前，我們先來了解一些知識點：
NAT(Network Address Translation)的功能，就是指在一個網絡內部，根據需要可以隨意自定義的IP地址，而不需要經過申請。在網絡內部，各計算機間通過內部的IP地址進行通訊。而當內部的計算機要與外部internet網絡進行通訊時，具有NAT功能的設備（比如：路由器）負責將其內部的IP地址轉換為合法的IP地址（即經過申請的IP地址）進行通信。
通常NAT用于兩種情況：一個企業不想讓外部網絡用戶知道自己的網絡內部結構，可以通過NAT將內部網絡與外部Internet 隔離開，則外部用戶根本不知道通過NAT設置的內部IP地址，其次是一個企業申請的合法Internet IP地址很少，而內部網絡用戶很多。可以通過NAT功能實現多個用戶同時公用一個合法IP與外部Internet 進行通信。
而要達到這些目的，需要設置NAT功能的路由器至少要有一個內部端口（Inside），一個外部端口（Outside）。內部端口連接的網絡用戶使用的是內部IP地址。并且內部端口可以為任意一個路由器端口。外部端口連接的是外部的網絡，如Internet 。外部端口可以為路由器上的任意端口。另外提醒一點，設置NAT功能的路由器的IOS應支持NAT功能。有關NAT更多的介紹，請參閱《路由器NAT功能配置簡介》一文。
現在我們來看看怎樣解決剛才提到的幾個問題：
解決思路：
ISP2的nat匹配DNS解析
ISP1的nat匹配其他
或者
ISP2跑http
其他的跑ISP1
配置實例：
|
interface FastEthernet0/0 --------假設該端口為ISP 2接入端口 |
通過這樣的配置，基本問題已經解決了！通過這個帖子，或許我們能夠清晰的看到，當路由器作為雙線出口時，一個基本的流控思路就是將雙線做合理分工，再加上 NAT后的ACL列表來實現基于端口的數據分流。這里面的重點問題，就像帖主所提到的，當端口變化后，如何控制內網主機訪問。相信各種實際情況的不同，具體處理方式可能會略有不同，但總的來說，道理一定是通的。在此，也感謝51CTO.com的兩位網友，他們的ID是：tibetit和 lgq2358132134。論壇原帖地址：http://bbs.51cto.com/thread-678368-1.html
