拓扑如下：
1、背景： 客户端位于client端，并使用客户客户这几台网络设备模拟客户端访问内网，以及内网访问客户端；要求内网ssh服务上不能出现客户端的真实地址，客户端也不能出现内网ssh服务的真实地址。这样我们依靠R1和R2设备来完成两个方向上的nat配置。
2、问题：在这个场景下华三设备有效的nat改如何配置？
? ? ? ? ① 静态一对一的推荐配置方法：
nat static inbound 100.2.46.2 188.156.190.71
nat static inbound 100.1.69.60 188.156.190.70????????同时在下联商户的接口开启：?nat static enable
interface G0/0
?description to 客户端
?nat outbound 3027 address-group 2
?nat outbound 3002 address-group 2
?nat server protocol tcp global 100.1.65.138 22 inside 188.156.191.2 22
?nat static enable
#② 华三路由器从客户端访问内网ssh服务目的nat使用：
nat server protocol tcp global 100.1.65.138 22 inside 188.156.191.2 22③ 华三路由器从内网ssh服务主动访问客户端的PAT转换源地址：
?
interface G0/0
?description to 客户端
?nat outbound 3027 address-group 2
?nat outbound 3002 address-group 2
nat address-group 2
?address 100.1.65.138 100.1.65.138
acl number 3027?
rule 5 permit tcp source 188.156.191.65 0 destination 100.2.46.2 0 destination-port eq 22④ 客户端主动发起访问内网ssh服务需要做源转换的PAT：
acl number 3002?
rule 0 permit ip source 188.156.191.2 0?
nat address-group 2
?address 100.1.65.138 100.1.65.138
interface G0/0
?description to 客户端
?nat outbound 3027 address-group 2
?nat outbound 3002 address-group 2----------------------------------------分割线-------------------------------------------------
3、访问关系分析说明：
? ? ? ? ① 使用loopback 地址：100.1.69.60/32模拟客户端主动访问内网ssh服务
????????客户端主动发起访问内网：
?ssh 100.1.65.138 source ip 100.1.69.60
?? ?去程：
?? ??? ??? ?客户端访问目的地址：100.1.65.138--》188.156.191.2（转换）
?? ??? ??? ??? ??? ? ?源地址：100.1.69.60--》188.156.190.70（转换）
?? ?返回：
?? ??? ??? ?内网ssh服务回源地址：188.156.191.2--> 100.1.65.138 #由于是nat server方式不能主动发起，回城只能依赖nat session
?? ??? ??? ? ?目的地址：188.156.190.70--》100.1.69.60
? ? ? ? ②使用loopback地址：188.156.191.65/32模拟内网ssh服务主动访问客户端
内网ssh服务主动发起访问客户端：
ssh 188.156.190.71 source ip 188.156.191.65
?? ?去程：内网ssh服务访问目的地址：188.156.190.71--》100.2.46.2
?? ??? ??? ??? ? ? 源地址：188.156.191.65--》100.1.65.138?
?? ?返回：客户端回源地址：100.2.46.2--》188.156.190.71
?? ??? ??? ?目的地址：188.156.191.65--》100.1.65.138 #由于是acl方式的nat outbound，不能主动发起，只能依赖nat session
3、结论：
? ? ? ? ① outbound的配置方法,此方法会产生一条null 0路由，具体解决办法请参考另外一篇文章。
outbound配置：
nat static outbound 100.2.46.2 188.156.190.71
nat static outbound 100.1.69.60 188.156.190.70
nat address-group 2
address 100.1.65.138 100.1.65.138
acl number 3027 #ssh服务主动出做源地址转换，转成客户端要求的源地址（客户端可路由）；
rule 5 permit tcp source 188.156.191.65 0 destination 100.2.46.2 0 destination-port eq 22 (4 times matched)
#
acl number 3002 #客户端访问内网ssh服务数据包返回时，需要命中188.156.191.2转换成客户端要求的源地址；
rule 0 permit ip source 188.156.191.2 0 (7 times matched)
#
【1】路由器上联交换机接口配置：需要开启nat
interface GigabitEthernet0/1
port link-mode route
combo enable copper
ip address 188.8.1.5 255.255.255.248
ospf 20 area 0.0.0.0
nat static enable
#
【2】路由器下联客户端接口：
interface G0/1
description to 客户端
ip address 172.16.10.1 255.255.255.0
nat outbound 3027 address-group 2
nat outbound 3002 address-group 2
nat server protocol tcp global 100.1.65.138 22 inside 188.156.191.2 22
#? ? ? ? ② inbound配置方法
outbound配置：
nat static inbound 100.2.46.2 188.156.190.71
nat static inbound 100.1.69.60 188.156.190.70
nat address-group 2
address 100.1.65.138 100.1.65.138
acl number 3027 #ssh服务主动出做源地址转换，转成客户端要求的源地址（客户端可路由）；
rule 5 permit tcp source 188.156.191.65 0 destination 100.2.46.2 0 destination-port eq 22 (4 times matched)
#
acl number 3002 #客户端访问内网ssh服务数据包返回时，需要命中188.156.191.2转换成客户端要求的源地址；
rule 0 permit ip source 188.156.191.2 0 (7 times matched)
#
【1】路由器上联交换机接口配置
interface GigabitEthernet0/1
port link-mode route
combo enable copper
ip address 188.8.1.5 255.255.255.248
ospf 20 area 0.0.0.0
#
【2】下联接口
interface Vlan-interface604
description to 客户端
ip address 172.16.10.1 255.255.255.0
nat outbound 3027 address-group 2
nat outbound 3002 address-group 2
nat server protocol tcp global 100.1.65.138 22 inside 188.156.191.2 22
nat static enable
#