思科路由器NAT配置的核心结论是：先定NAT类型（静态、动态、PAT），再确认inside和outside接口，最后用ip nat命令匹配源地址与转换目标，全程用show ip nat translations验证结果。很多网络工程师在配置思科路由器时卡在NAT上，多数不是命令不熟，而是接口角色没分清，下面把整套配置流程拆开讲透，从原理到排查一次讲完。
搞懂NAT类型再动手：三种模式怎么选
配置前先做选择题,选错模式，后面所有命令都白敲。
静态NAT：一对一固定映射
适合服务器对外发布场景,内部一台主机映射到一个公网地址，内外对应关系固定不变，比如内部Web服务器用私网IP，公网侧分配一个固定地址，外部用户通过公网地址访问内部服务器。
动态NAT：地址池随机分配
内部主机从预先定义的公网地址池中获取一个地址,会话结束归还，适合内部用户较多但公网地址数量有限的环境，动态NAT不常用，因为公网地址池耗尽后，新会话直接失败。
PAT（端口地址转换）：多对一复用
最常见方式,内部所有主机共享一个公网接口地址，通过端口号区分不同会话，家用宽带和绝大多数企业出口都用它，一个公网IP理论上可承载约65000个并发连接（实际受设备性能限制，多数在中低端路由器上跑几千个没问题），行业共识认为，PAT是当前性价比最高的选择，IPv4地址枯竭背景下几乎没有替代方案。
思科路由器NAT配置命令详解：从静态到PAT
接口角色定义是第一步,也是最容易被忽略的一步，所有NAT配置都依赖inside和outside的正确划分。
接口角色配置
进入需要转换的内网接口：
interface GigabitEthernet0/0
ip address 192.168.1.1 255.255.255.0
ip nat inside进入连接运营商的外网接口：
interface GigabitEthernet0/1
ip address 200.168.1.1 255.255.255.252
ip nat outside务必注意：ip nat inside和ip nat outside一旦写反，NAT表永远建立不起来，这是新手最高频的失误，没有之一。
静态NAT配置实例
将内部服务器192.168.1.10映射到公网地址200.168.1.2：
interface GigabitEthernet0/0 ip nat inside interface GigabitEthernet0/1 ip nat outside ip nat inside source static 192.168.1.10 200.168.1.2
静态NAT适合少量固定服务的映射,如果需要将TCP 80端口映射到内部服务器，但不占用完整公网IP，加上端口参数：
ip nat inside source static tcp 192.168.1.10 80 200.168.1.1 80这是思科路由器NAT配置命令详解中最常用的端口映射写法。
动态NAT与PAT配置实例
定义一个ACL匹配需要转换的内部网段：
access-list 10 permit 192.168.1.0 0.0.0.255定义公网地址池（动态NAT场景）：
ip nat pool PUBLIC-ADDR 200.168.1.4 200.168.1.14 netmask 255.255.255.240动态NAT关联ACL与地址池：
ip nat inside source list 10 pool PUBLIC-ADDR启用PAT（复用公网接口地址）：
ip nat inside source list 10 interface GigabitEthernet0/1 overload最后一条是大部分企业网的出口标准配置,overload关键词将内网所有流量复用在外网接口的单一公网IP上。
验证与保存
配置完成后,常用验证命令三件套：
show ip nat translations：查看当前NAT转换表，重点看Inside Global和Inside Local地址是否正确映射show ip nat statistics：查看命中次数与转换总数，确认NAT是否实际生效debug ip nat：实时跟踪NAT事件，排查转换失败时最有用（生产环境慎用，CPU占用高）
确认无误后保存配置：
write memory思科路由器NAT配置实例：一个典型园区网络
下面用一个真实场景串起全部流程,某中小企业新装一台思科ISR 4331，内网段192.168.10.0/24，运营商分配一个公网IP 100.64.10.1/30，需要让全部内网用户上网，同时把一台OA服务器192.168.10.50的TCP 8080端口发布到外网。
接口角色与IP配置
interface GigabitEthernet0/0/0
ip address 192.168.10.1 255.255.255.0
ip nat inside
!
interface GigabitEthernet0/0/1
ip address 100.64.10.1 255.255.255.252
ip nat outside配置PAT共享上网
access-list 20 permit 192.168.10.0 0.0.0.255 ip nat inside source list 20 interface GigabitEthernet0/0/1 overload
配置OA服务器端口映射
ip nat inside source static tcp 192.168.10.50 8080 100.64.10.1 8080验证
内网终端访问外网后执行show ip nat translations，应看到类似输出：
Pro Inside global Inside local Outside local Outside global
tcp 100.64.10.1:5001 192.168.10.5:5001 203.0.113.1:443 203.0.113.1:443有转换记录即代表PAT生效,外部访问服务器则通过100.64.10.1:8080直接映射到内网OA系统。
配置完不通？按这些方向排查
NAT不生效时,多数问题集中在以下几个层面，按顺序排查效率最高。
检查接口角色是否写反
执行show ip nat statistics，如果Translated包数持续为0，优先怀疑inside和outside接口定义，内外角色错误时，所有流量都不会进入NAT处理流程。
检查ACL是否覆盖完整
ACL只匹配内网用户网段,如果内网还有其他网段没有包含进去，未被匹配的流量不会执行转换，用show access-lists查看计数器，观察inner网段数据包是否持续命中ACL条目。
检查路由表与NAT顺序
NAT转换前需要存在到达目标网络的路由,执行show ip route确认默认路由指向前运营商网关，此外确认NAT在路由决策前执行思科设备默认先查路由再做NAT，如果路由指向错误，数据包会直接从错误接口转发。
检查运营商是否封禁端口
少数运营商默认封禁80、443等常见服务端口，只开放非标端口，如果静态NAT映射的公网端口长期无法从外部访问，telnet公网IP的映射端口测试，没通就是运营商侧限制，据统计，相当一部分远程接入故障源于运营商的端口策略而非路由器配置问题。
进阶优化：NAT老化时间与日志
生产环境中NAT表过大或者会话异常中断,调整老化参数能改善性能。
ip nat translation timeout：设置普通动态转换的空闲超时时间，默认86400秒（24小时），大量短连接场景可缩短至300-600秒ip nat translation udp-timeout：UDP会话老化时间，默认300秒，VoIP或DNS高负载场景适当延长ip nat translation tcp-timeout：TCP会话老化时间，默认86400秒
日志记录方面,开启NAT转换日志有助审计：
ip nat log translations syslog对于“思科路由器NAT配置多少钱一次”这个问题，目前市场上工程师上门配置的收费范围大致在几百元到两千元之间，具体取决于设备型号、NAT策略复杂度以及是否包含其他安全配置，如果只是远程协助和命令下发，费用通常在三百元以内，这些价格参考来自主流IT服务平台的公开报价区间。
思科路由器NAT配置 北京企业场景的特殊考量
在北京这类一线城市,企业出口链路通常不只有一条，很多用双WAN或运营商专线方式冗余，多链路环境下NAT配置需要关注策略路由与NAT的联动：如果两个外网接口分别接联通和电信，需要为不同内网网段指定不同的NAT出口，此时要用route-map配合NAT实现基于源地址的策略性转换。
route-map NAT-BRAS permit 10
match ip address 30
set interface GigabitEthernet0/0/1
ip nat inside source route-map NAT-BRAS interface GigabitEthernet0/0/1 overload这种配置在跨地域项目实施中非常常见,也是思科路由器NAT配置在北京地区运维工作面试中的高频考点。
思科路由器NAT配置常见Q&A
问：静态NAT与端口映射有什么区别？
静态NAT将内网主机的整个IP地址一对一映射到公网地址,所有端口一并转换，端口映射只是其中一种带端口限定的静态NAT形式，只暴露特定服务端口，其余端口不开放，需要完整对外提供服务时用静态NAT，仅开放有限应用时用端口映射更安全。
问：PAT和动态NAT在地址池耗尽时表现有何不同？
动态NAT在地址池耗尽后,新会话直接丢弃，没有等待机制，PAT模式下即使共享IP的端口资源紧张，只要还有可用端口号就能建立新会话，多数情况下表现为连接变慢而非彻底中断，两种模式都建议在出口路由器上做带宽和连接数限制，防止被单台主机的异常流量占满资源。
问：配置完NAT后重启路由器，配置会丢失吗？
不会,但前提是执行了write memory或copy running-config startup-config命令，NAT配置存储在running-config中，一旦断电重启没有保存的配置会全部丢失，保存后NAT表会清空重建，但静态映射和PAT配置会随配置加载自动生效，动态转换条目需要等新会话触发后才会重新生成。