Windows Server 2008 NAT 服務器部署實戰：從角色安裝到端口映射、DHCP/DNS 中繼的完整配置

場景：單公網 IP 共享上網 + 內網服務發布

典型中小企業/分支機構：向 ISP 申請 1 個固定公網 IP，內網使用私有地址 (RFC 1918)。部署 Windows Server 2008 NAT (網絡地址轉換) 實現：內網訪問 Internet (SNAT) + Internet 訪問內網 Web/FTP (DNAT/端口映射) + DHCP/DNS 中繼簡化客戶端配置。

硬體與拓撲要求

• 獨立服務器或域成員服務器 (非 DC，避免 DNS/AD 複雜性)。
• 雙網卡最少：

階段一：安裝 NAT 角色服務

1. 服務器管理器 → 添加角色 → 網絡策略和訪問服務。
2. 角色服務勾選：路由和遠程訪問服務 (含依賴) → 安裝。

階段二：配置並啟用路由和遠程訪問 (NAT 模式)

1. 服務器管理器 → 角色 → 網絡策略和訪問服務 → 右鍵 路由和遠程訪問 (紅色停止圖標) → 配置並啟用路由和遠程訪問。
2. 向導：自定義配置 → 勾選 網絡地址轉換 (NAT) → 下一步。
3. 公用介面：選擇 外網卡 (WAN) → 勾選 在此介面上啟用 NAT → 下一步。
4. 完成向導。

關鍵提示：摘要頁面的 DNS/DHCP 中繼依賴

完成窗口顯示：NAT 可啟用 DNS 中繼、DHCP 中繼，但前提是網絡中已部署獨立 DNS 服務器、DHCP 服務器。若無獨立服務，啟用中繼無效，客戶端無法解析/獲取 IP。此處僅勾選 NAT 核心功能，中繼後續單獨配置。

階段三：NAT 進階管理三板斧

1. 新增介面 (擴展內網段/新增 DMZ)

服務器管理器 → 路由和遠程訪問 → IPv4 → NAT → 右鍵 新增介面 → 選擇新網卡 → 類型選 專用介面 (內網) 或 公用介面 (額外公網 IP) → 完成。

2. 端口映射 (DNAT) —— 發布內網 Web 服務器

場景：內網 Web 服務器 192.168.8.2:80，公網訪問 公網IP:80 映射過去。

1. NAT 節點 → 右側 外網卡 (WAN) → 右鍵 屬性 → 服務和端口 標籤。
2. 勾選 Web 服務器 (HTTP) → 編輯：
3. 公用地址：默認「在此介面」 (即 WAN IP)。若綁定多公網 IP，可選「地址池」指定特定公網 IP。
4. 專用地址：輸入 192.168.8.2 (內網 Web 服務器 IP)。
5. 專用端口：80 (默認同公用端口，可修改)。
6. 確定 → 確定。

驗證：公網瀏覽器訪問 https://公網IP → 正常打開內網 Web 頁面。

3. 啟用 DHCP 中繼 + DNS 中繼 (簡化客戶端零配置)

前提：網絡中已有獨立 DHCP 服務器 (如 192.168.8.10) 和 DNS 服務器 (如 192.168.8.11)。

1. NAT 節點 → 右鍵 屬性。
2. 地址分配 標籤 → 勾選 啟用 DHCP 中繼代理 → 新增 → 輸入 DHCP 服務器 IP (可多個) → 確定。
3. 名稱解析 標籤 → 勾選 啟用 DNS 中繼 → 客戶端 DNS 指向 NAT 服務器內網 IP (192.168.8.1) 即可解析公網域名。

4. 事件日誌調優 (常規標籤)

建議保留 錯誤/警告/信息 日誌，用於故障排查。僅在磁盤極度受限時禁用信息日誌。

驗證清單

常見問題與對策

• 內網無法上網：檢查 WAN 介面 IP/掩碼/網關/ISP DNS；NAT 服務運行狀態；WAN 介面啟用 NAT 勾選；防火牆放行出站流量。
• 端口映射不生效：確認內網服務器防火牆放行 80；NAT 映射專用地址/端口正確；WAN 介面無衝突服務佔用 80 (如 IIS)。
• DHCP 中繼客戶端獲取不到 IP：DHCP 服務器授權/作用域正常；NAT 服務器與 DHCP 服務器互通 (UDP 67/68)；中繼代理 IP 列表正確。
• DNS 中繼解析失敗：NAT 服務器自身 DNS 設置正確 (指向內網 DNS/轉發器)；DNS 服務器允許遞歸查詢；防火牆 UDP 53 雙向放行。

安全加固建議

1. 變更默認管理端口：RRAS 管理介面 (如有) 非標準端口 + IP 限制。
2. 最小映射原則：僅映射業務必要端口 (80/443/25/53 等)，禁用通用 UPnP/NAT-PMP。
3. 公網介面啟用封包篩選：拒絕入站 ICMP Echo、NetBIOS、SMB 等高風險協議 (參考文章 44999 階段三)。
4. 定期審計 NAT 會話：異常大量會話 (如單內網 IP 佔用 >1000 會話) 可能為木馬/僵尸網絡，需溯源。

結語

Windows Server 2008 NAT 以「角色安裝 → 向導配置 → 三板斧管理 (介面/映射/中繼) → 驗證加固」五步法，在雙網卡服務器上構建起功能完備的邊界網關。其優勢在於與 AD/GPO/Windows 生態無縫整合，劣勢在於高併發/大流量轉發性能不如專業硬件/專用軟路由 (VyOS/PF Sense)。定位清晰：中小規模、Windows 重度依賴、運維團隊以 Windows 技能為主 的場景首選；大流量/高性能/核心邊界請上專業設備。