关于secondary IP的一个问题

流沙211

端口A， 有203.x.x.x（primary）和192.x.x.x（secondary）两个地址， 作为内部接口。
端口B， 有202.x.x.x一个地址， 作为外部出口。
也就是说， A接口通过secondary IP的方式同时接了203和192两个地址段。
B接口作为出口， 上联到internet。

对于203这个段，在路由表中有静态路由指向， 所以可以直接从B端口转发到internet；
192地址是内网地址， 需要做nat，翻译成202的地址段，然后再从B端口转发出去。

按照我的理解：

当数据包进入A接口的时候， 按照ios操作顺序， 应该是先查nat表， 再查路由表。
且针对同一个物理端口A， 应该遵循同一个操作。我感觉此时接口A整个接口工作
在nat的模式。

所以， 当源地址为192段的包进入A接口时， 按照操作顺序，先会被匹配到了nat表项，
变成202段的地址（源地址）从B出去。而源地址为203段的包进入A时候，
会不会因为没有匹配到nat表项，而直接被丢弃呢？

如果被丢弃， 那么它实际上就没有办法在去匹配路由表中针对203地址段的路由了。
所以， 可能会出现， 只有源地址是192段的数据包可以nat之后， 转发到internet。
而源地址为203段的数据包， 则无法转发到internet。

[ 本帖最后由 流沙211 于 2009-6-3 15:05 编辑 ]

ssffzz1

没看明白。再重新组织一下。

流沙211

又重新编辑了一下, 请大侠过目。

ssffzz1

不会的。在做NAT的时候有个ACL表是控制谁进行NAT的。203网段不符合这个规则的话NAT过程就跳过继续进行后续的操作了。

SNAT在查路由表以后。DNAT在查路由表以前。这个是有区别的。

你上面的例子的NAT发生在查路由表以后，在出接口上进行。

流沙211

原帖由 ssffzz1 于 2009-6-3 15:30 发表
不会的。在做NAT的时候有个ACL表是控制谁进行NAT的。203网段不符合这个规则的话NAT过程就跳过继续进行后续的操作了。

SNAT在查路由表以后。DNAT在查路由表以前。这个是有区别的。

你上面的例子的NAT发生在 ...

明白啦！！
多谢大侠！！！