关于secondary IP的一个问题

流沙211

端口A， 有203.x.x.x（primary）和192.x.x.x（secondary）两个地址， 作为内部接口。\r\n端口B， 有202.x.x.x一个地址， 作为外部出口。\r\n也就是说， A接口通过secondary IP的方式同时接了203和192两个地址段。\r\nB接口作为出口， 上联到internet。\r\n\r\n对于203这个段，在路由表中有静态路由指向， 所以可以直接从B端口转发到internet；\r\n192地址是内网地址， 需要做nat，翻译成202的地址段，然后再从B端口转发出去。\r\n\r\n按照我的理解：\r\n\r\n当数据包进入A接口的时候， 按照ios操作顺序， 应该是先查nat表， 再查路由表。\r\n且针对同一个物理端口A， 应该遵循同一个操作。我感觉此时接口A整个接口工作\r\n在nat的模式。\r\n\r\n所以， 当源地址为192段的包进入A接口时， 按照操作顺序，先会被匹配到了nat表项，\r\n变成202段的地址（源地址）从B出去。而源地址为203段的包进入A时候， \r\n会不会因为没有匹配到nat表项，而直接被丢弃呢？\r\n\r\n如果被丢弃， 那么它实际上就没有办法在去匹配路由表中针对203地址段的路由了。\r\n所以， 可能会出现， 只有源地址是192段的数据包可以nat之后， 转发到internet。\r\n而源地址为203段的数据包， 则无法转发到internet。\n\n[ 本帖最后由 流沙211 于 2009-6-3 15:05 编辑 ]

ssffzz1

没看明白。再重新组织一下。

流沙211

又重新编辑了一下, 请大侠过目。

ssffzz1

不会的。在做NAT的时候有个ACL表是控制谁进行NAT的。203网段不符合这个规则的话NAT过程就跳过继续进行后续的操作了。\r\n\r\nSNAT在查路由表以后。DNAT在查路由表以前。这个是有区别的。\r\n\r\n你上面的例子的NAT发生在查路由表以后，在出接口上进行。