設定靜態 NAT
Configure Static NAT
將內部主機192.168.20.10固定轉譯為203.0.113.10，驗證inside local/global。
基本拓撲 TOPOLOGY
原創示意圖 · 靜態拓撲設備與位址 ADDRESSING
先確認介面名稱，再開始設定| 設備 DEVICE | 介面 | IPv4 位址 | 子網路遮罩 | 預設閘道 |
|---|---|---|---|---|
| PC1 | Ethernet | 192.168.20.10 | 255.255.255.0 | 192.168.20.1 |
| PC2 | Ethernet | 192.168.20.20 | 255.255.255.0 | 192.168.20.1 |
| R1 | Gi0/0 inside | 192.168.20.1 | 255.255.255.0 | — |
| R1 | Gi0/1 outside | 203.0.113.2 | 255.255.255.0 | — |
| ISP | Gi0/0 | 203.0.113.1 | 255.255.255.0 | — |
| ISP | Loopback0 | 198.51.100.10 | 255.255.255.255 | — |
| PC1 mapping | Static NAT | 192.168.20.10 → 203.0.113.10 | 1:1 | — |
查看線路對照表（4 條連線）
| 起點 | 終點 | 介面對照 |
|---|---|---|
| pc1 | sw1 | Ethernet ↔ Fa0/1 |
| pc2 | sw1 | Ethernet ↔ Fa0/2 |
| sw1 | r1 | Fa0/24 ↔ Gi0/0 · inside |
| r1 | isp | Gi0/1 ↔ Gi0/0 · outside |
這次練習，你會學到
- 辨識inside/outside與local/global名稱。
- 建立一對一static NAT並確認回程。
- 不把NAT當成防火牆或路由的替代品。
開始之前
- 具備本題涉及的 IPv4/IPv6 與子網路基礎，能在自己的隔離練習環境開啟 Console。
- 使用合法設備與軟體映像，先備份現有設定，介面名稱以自己的裝置為準。
適用環境與驗證狀態
ISR 1941 / IOS 15.x待驗證原創教案，尚未於實體設備驗證。依實際硬體、IOS/AireOS 版本與授權核對命令；介面名稱不可直接套用至正式設備。
循序操作 STEP BY STEP
在你自己的練習環境操作。命令複製不包含提示字元；所有輸出皆為示例。
01 建立inside/outside介面
PC1/PC2依表配置，SW1三個埠同VLAN20（switchport mode access與access vlan20）。R1使用Gi0/0 inside、Gi0/1 outside，不可標反。
展開參考指令 R1 · 全域 / NAT介面
enable
configure terminal
interface GigabitEthernet0/0
ip address 192.168.20.1 255.255.255.0
ip nat inside
no shutdown
interface GigabitEthernet0/1
ip address 203.0.113.2 255.255.255.0
ip nat outside
no shutdown
exit
ip route 0.0.0.0 0.0.0.0 203.0.113.1
endPC1/PC2依表配置，SW1三個埠同VLAN20（switchport mode access與access vlan20）。R1使用Gi0/0 inside、Gi0/1 outside，不可標反。
查看預期結果 範例輸出，非真實執行
R1 WAN可ping203.0.113.1；inside/outside明確。02 準備ISP測試終點
ISP Loopback0是模擬外部目標。所有203.0.113/198.51.100位址僅供文件練習。inside-global .10與R1 WAN同外側網段，由IOS常見proxy-ARP/alias機制回應，實際平台仍需核對。
展開參考指令 ISP · 介面設定
enable
configure terminal
interface GigabitEthernet0/0
ip address 203.0.113.1 255.255.255.0
no shutdown
interface Loopback0
ip address 198.51.100.10 255.255.255.255
endISP Loopback0是模擬外部目標。所有203.0.113/198.51.100位址僅供文件練習。inside-global .10與R1 WAN同外側網段，由IOS常見proxy-ARP/alias機制回應，實際平台仍需核對。
查看預期結果 範例輸出，非真實執行
ISP Gi0/0與R1 WAN互通，Loopback0存在。03 建立固定一對一轉譯
確認203.0.113.10沒有其他裝置使用。static NAT不是動態pool，不需要match ACL；映射存在也不保證主機/防火牆允許服務。
展開參考指令 R1 · 全域設定
configure terminal
ip nat inside source static 192.168.20.10 203.0.113.10
end
show ip nat translations確認203.0.113.10沒有其他裝置使用。static NAT不是動態pool，不需要match ACL；映射存在也不保證主機/防火牆允許服務。
查看預期結果 範例輸出，非真實執行
--- 203.0.113.10 192.168.20.10 --- ---（欄位為inside global/local）。04 由PC1主動測試外側
PC1 ping198.51.100.10，同時R1查translations/statistics。PC2本題未映射，不應把它的無法外連視為PC1 static NAT失敗。若ISP需回到global .10，由同外側L2可ARP。
展開參考指令 R1 · 特權 EXEC
show ip nat translations
show ip nat statistics
show arpPC1 ping198.51.100.10，同時R1查translations/statistics。PC2本題未映射，不應把它的無法外連視為PC1 static NAT失敗。若ISP需回到global .10，由同外側L2可ARP。
查看預期結果 範例輸出，非真實執行
ICMP期間可能有細部translation；inside global為203.0.113.10。05 測外側進入並判讀限制
在ISP ping203.0.113.10；inside PC需允許ICMP。static NAT為雙向固定對照，但不會替你開啟服務或繞過ACL。先由R1 ping192.168.20.10確認inside可達，再查outside ACL與主機規則。
展開參考指令 ISP · 特權 EXEC
ping 203.0.113.10
show arp在ISP ping203.0.113.10；inside PC需允許ICMP。static NAT為雙向固定對照，但不會替你開啟服務或繞過ACL。先由R1 ping192.168.20.10確認inside可達，再查outside ACL與主機規則。
查看預期結果 範例輸出，非真實執行
在ICMP允許條件下可得到PC1回應；ISP ARP .10通常指向R1外側MAC。06 撤回映射或保存
保留則copy保存；撤回前停止測試流量，在R1刪除這一條映射。不要clear ip nat translation *影響其他使用者。回復inside/outside與default route依原紀錄。
展開參考指令 R1 · 全域設定
configure terminal
no ip nat inside source static 192.168.20.10 203.0.113.10
end
show ip nat translations保留則copy保存；撤回前停止測試流量，在R1刪除這一條映射。不要clear ip nat translation *影響其他使用者。回復inside/outside與default route依原紀錄。
查看預期結果 範例輸出，非真實執行
本題固定映射移除，不影響其他獨立設定。確認你的設定 VERIFICATION
show ip nat translations預期狀態 inside global .10對inside local192.168.20.10。
NAT欄位不是路由表。
PC1: ping 198.51.100.10預期狀態 外側測試終點回應。
需default route、inside方向與主機閘道。
常見問題與排查
沒有轉譯hit
確認流量由inside進outside出、來源為.10且路由可達。
inside outbound通但外側ping global不通
查inside主機ICMP政策、outside ACL與global IP衝突/ARP；不是所有服務都會允許入站。
參考資料
依 CCNA v2.2 主題自行編寫之練習，非官方逐字教材。
發布版本 1 · 範例輸出供理解，指令尚待實機驗證。