有多个公网IP如何分配?（案例二：电商业务环境）

在电商业务里面，对于IP有点要求，它希望这样，一个部门用一个公网IP，而不是全部都走同一个出口，这是因为电商业务一个IP带多了会有风险，所以通常业内会用多个IP来进行分开。（比如 192.168.10.0/24转换成 219.135.55.16，192.168.11.0/24转换成219.135.55.17）

这个技术在我们之前没有讲解，之前都是讲解的直接用接口地址，那这里就来说下这个技术叫做基于地址池的NAPT。我们想要实现这样的功能，首先最重要的一点就是确定对应关系，得把192.168.10.0/24跟219.135.55.16对应起来，把192.168.11.0/24跟219.135.55.17对应起来，那怎么对应呢？

• 192.168.10.0/24以及192.168.11.0/24这个是网段信息，可以用之前学过的ACL信息来匹配，在NAT里面ACL就是用来匹配的。
• 剩下的就是如何把219.135.55.16跟55.17匹配出来，这个功能在NAT里面叫做nat地址池。

NAT地址池

它的作用是用于把多余的公网IP，可以放入一个地址池中，也可以分开存放，然后通过关联需要的ACL来进行匹配，最终可以实现需要的网段转换成对应的公网。

#创建地址池
[MSR3600]nat address-group 16       
[MSR3600-address-group-1]address 219.135.55.16 219.135.55.16             
[MSR3600-address-group-1]q
#
[MSR3600]nat address-group  17
[MSR3600-address-group-2]address  219.135.55.17 219.135.55.17
 
#命令行解析
nat address-group 16：这个16只是一个编号，范围是0~65535，通常实际做法是与公网IP的最后一位对应，这样方便区分
address 219.135.55.16 219.135.55.16：表示开始范围从219.135.55.16到结束都是55.16，也可以匹配多个地址，比如219.135.55.16 219.135.55.30，表示范围是16~30
 
这里的作用就是 nat address-group 16关联的是219.135.55.16， nat address-group 17 关联的是219.135.55.17
 
#ACL匹配
acl advanced 3016
 rule 0 permit ip source 192.168.10.0 0.0.0.255
#
acl advanced 3017
 rule 0 permit ip source 192.168.11.0 0.0.0.255
#
写两个ACL，匹配10网段以及11网段
 
#接口调用
[MSR3600]interface  g0/1
[MSR3600-GigabitEthernet0/1]nat outbound 3016 address-group 16
[MSR3600-GigabitEthernet0/1]nat outbound 3017 address-group 17
 
整体地址组加ACL的效果就可以看出来了，关于3016匹配的网段，通过address-group 16里面配置的地址进行转换，关于3017匹配的网段，通过address-group 17的地址进行转换。

测试一下

PC1的地址是192.168.10.1

通了，来看看是不是按照我们希望的来转换的

通过display nat session source-ip 192.168.10.1 verbose可以看到转换信息，可以看到转换成了219.135.55.16

PC2是192.168.11.1

通了，在来看看是不是按照我们希望的来转换的

也成功的转换成了219.135.55.17，这个对应关系是对的

通过display acl all，还可以查看ACL是否有匹配数，可以看到3016、3017后面有一个2 times match（表示匹配了几次），这也是可以作为排错的依据，查看对应的ACL是否有匹配项。（注意：并不是所有型号都会有匹配数的，有的设备基于硬件转发则不会产生匹配数）

顺序问题

可以发现在ACL 3000里面是匹配192.168.10.0/24以及192.168.11.0/24，以及在接口下有一个nat outboudn 3000，但是它优先使用的就是，address-group形式的，没有匹配easy-ip形式，这里的顺序就是接口下有address-group的与easy-ip都能匹配的时候，优先使用address-group。（建议：实际中可以把nat outboudn 3000删除就行了）

华为上面配置注意的地方

1、华为的地址组，是直接在名字后面配置的，比如nat address-group 1 219.135.55.16 219.135.55.16 ，它的ID范围是0~7（型号高的可以支持多些）

2、华为接口下面的调用跟华三没有什么区别