Преобразование сетевых адресов на одном интерфейсе

Преобразование сетевых адресов на одном интерфейсе Содержание Введение Предварительные условия Требования Используемые компоненты Базовые сведения Условные обозначения Пример 1. Конфигурация и схема сети Схема сети Требования Конфигурация маршрутизатора NAT Пример 1. Выходные данные команд show и debug Тест 1 Тест 2 Пример 2. Конфигурация и схема сети Схема сети Требования Конфигурация маршрутизатора NAT Пример 2. Выходные данные команд show и debug Тест 1 Краткие выводы Дополнительные сведения Введение Что подразумевается под преобразованием сетевого адреса на одном интерфейсе?

Термин "на одном интерфейсе" обычно подразумевает использование единого физического интерфейса маршрутизатора для выполнения задач. Так как можно использовать субинтерфейсы одного и того же физического интерфейса для выполнения магистрали межкоммутаторного соединения (ISL), мы можем использовать единственный физический интерфейс на маршрутизаторе для того, чтобы выполнить NAT. Примечание. Маршрутизатору необходимо направлять каждый пакет посредством интерфейса обратной связи. Это ухудшает производительность маршрутизатора. Предварительные условия Требования Для данного документа отсутствуют особые требования.

Используемые компоненты Для данной функции необходимо использование версии ПО Cisco IOS ® , которая поддерживает NAT. Используйте Навигатор по функциям Cisco II ( только для зарегистрированных клиентов ), чтобы определить, какие версии IOS совместимы с данной функцией. Базовые сведения

Page 1

Для преобразования сетевых адресов пакету необходимо переключаться с внутреннего на внешний интерфейс NAT и обратно. Это требование для NAT не изменилось, но в этом документе показано, как можно использовать виртуальный интерфейс, также известный как интерфейс обратной связи, и основанную на политиках маршрутизацию, чтобы наладить работу NAT в маршрутизаторе с единым физическим интерфейсом. Такие требования для NAT на одном интерфейсе являются редкими. Фактически, примеры, приведенные в этом документе, могут быть единственными примерами ситуаций, в которых необходима конфигурация.

Однако другие случаи, когда пользователи применяют маршрутизацию, основанную на политиках, в связке с NAT, мы не рассматриваем как преобразование сетевых адресов (NAT) на одном интерфейсе, потому что в этих случаях используется несколько физических интерфейсов. Условные обозначения Дополнительные сведения об условных обозначениях, используемых в данном документе, см. в разделе Условные обозначения, используемые в технической документации Cisco. Пример 1. Схема и конфигурация сети Схема сети Представленная выше схема сети часто встречается в конфигурации кабельного модема.

Система кабельных модемов (CMTS) является устройством, включающем маршрутизатор, а также кабельный модем (CM) и работающем в качестве моста. Рассматриваемая проблема заключается в том, что поставщик Интернет-услуг (ISP) не предоставил нам достаточно действительных адресов для всех хостов, которым требуется подключение к Интернету. Поставщик Интернет-услуг выдал адрес 192.168.1.2, который может быть использован для устройства. По следующему запросу были предоставлены три дополнительных адреса – от 192.168.2.1 до 192.168.2.3, – в которые NAT преобразовывает хосты диапазона 10.0.0.0/24. Требования Наши требования:

Page 2

Все хосты в сети необходимо подключить к Интернету. Хост 2 должен быть доступен в Интернете и иметь IP-адрес 192.168.2.1. Так как мы располагаем большим количеством хостов, чем легальные адреса, мы используем подсеть 10.0.0.0/24 для осуществления внутренней адресации. В данном документе рассматривается только конфигурация маршрутизатора NAT. Однако мы сделаем несколько важных замечаний в отношении конфигурации хостов. Конфигурацию маршрутизатора NAT Конфигурацию маршрутизатора NAT interface Loopback0 ip address 10.0.1.1 255.255.255.252 ip nat outside !--- Создание виртуального интерфейса, называемого Loopback 0, и назначение ему !--- IP-адреса 10.0.1.1.

Определение интерфейса Loopback 0 в качестве !--- внешнего интерфейса NAT. ! ! interface Ethernet0 ip address 192.168.1.2 255.255.255.0 secondary ip address 10.0.0.2 255.255.255.0 ip Nat inside !--- Назначение первичного IP-адреса 10.0.0.2 и вторичного IP-адреса !--- 192.168.1.2 интерфейсу Ethernet 0. Определение интерфейса Ethernet 0 !--- в качестве внутреннего интерфейса NAT. Адрес 192.168.1.2 будет использоваться для связи !--- с CMTS и Интернетом через CM. Адрес 10.0.0.2 !--- будет использоваться для связи с локальными хостами. ip policy route-map Nat-loop !--- Назначение интерфейсу Ethernet 0 карты маршрутов "Nat-loop" для маршрутизации, основанной на политиках. !

ip Nat pool external 192.168.2.2 192.168.2.3 prefix-length 29 ip Nat inside source list 10 pool external overload ip Nat inside source static 10.0.0.12 192.168.2.1 !--- Функция NAT определена: пакеты, соответствующие списку access-list 10 , будут !--- преобразовываться в адрес из пула, называемого "external". !--- Статическое преобразование NAT определено таким образом, чтобы адрес 10.0.0.12 !--- преобразовывался в 192.168.2.1 (это необходимо для хоста 2, к которому требуется !--- осуществлять доступ из Интернета). ip classless ! !

ip route 0.0.0.0 0.0.0.0 192.168.1.1 ip route 192.168.2.0 255.255.255.0 Ethernet0 !--- Для статического маршрута по умолчанию установлен адрес 192.168.1.1, кроме того, статический маршрут !--- для сети 192.168.2.0/24 непосредственно подключен к интерфейсу !--- Ethernet 0 ! ! access-list 10 permit 10.0.0.0 0.0.0.255 !--- Access-list 10 определен для использования выше с помощью инструкции NAT. access-list 102 permit ip any 192.168.2.0 0.0.0.255 access-list 102 permit ip 10.0.0.0 0.0.0.255 any !--- Access-list 102 определен и используется картой маршрутов "Nat-loop", !--- которая применяется для маршрутизации, основанной на политиках. !

Access-list 177 permit icmp any any !--- Access-list 177 используется для команды debug . ! route-map Nat-loop permit 10 match ip address 102 set ip next-hop 10.0.1.2

Page 3

!--- Создание карты маршрутов "Nat-loop", используемой для маршрутизации, основанной на политиках. !--- С помощью карты маршрутов задается режим, при котором любые пакеты, удовлетворяющие списку access-list 102, !--- передаются на следующий участок тракта по адресу 10.0.1.2 и маршрутизируются по направлению "из" !--- интерфейса loopback. Маршрутизация всех остальных пакетов выполняется обычным образом. !--- Адрес 10.0.1.2 используется, поскольку этот следующий участок тракта определяется !--- как расположенный на интерфейсе loopback, в результате чего маршрутизация, основанная на политиках, выполняется на !--- loopback0.

С другой стороны, для получения таких же результатов можно было бы использовать инструкцию "set interfac !--- loopback0". ! end NAT-router# Примечание. Для всех хостов шлюз по умолчанию настроен на адрес 10.0.0.2, который является NAT-маршрутизатором. Поставщик Интернет-услуг, также как CMTS, должен иметь маршрут по адресу 192.168.2.0/29, который указывает путь к NAT-маршрутизатору для возвращения данных к работе, так как трафик с внутреннего хоста определяется как полученный из подсети. В следующем примере CMTS направляет трафик для адреса 192.168.2.0/29 по адресу 192.168.1.2, который настроен на NAT маршрутизаторе. Пример 1.

Выходные данные команд show и debug Если вы хотите убедиться, что ваша конфигурация работает правильно, прочитайте этот раздел. Чтобы показать, что вышеупомянутая конфигурация работает, были проведены несколько ping -тестов, в то время как NAT- маршрутизатор контролировал выходные данные команды debug . Теперь видно, что команды ping успешно выполняются, а выходные данные команд debug показывает как раз сам текущий процесс. Примечание. Перед использованием команд debug ознакомьтесь с документом Важные сведения о командах debug. Тест 1 В первом тесте мы выполняем команду ping от устройства в Интернете к хосту 2.

Запомните, что одним из требований было то, что устройства в Интернете должны иметь возможность взаимодействовать с хостом 2 по адресу 192.168.2.1. Следующим является выходные данные команды debug , как показывает NAT-маршрутизатор. Командами debug , запущенными в NAT-маршрутизаторе, были debug ip packet 177 detail , которая использует заданный лист доступа access-list 177 , debug ip Nat и debug ip policy , которая выводит пакеты, маршрутизированные политикой. Ниже представлены выходные данные команды show ip Nat translation , выполненной NAT-маршрутизатором.

NAT-router# show ip Nat translation Pro Inside global Inside local Outside local Outside global --- 192.168.2.1 10.0.0.12 --- --- NAT-router# От устройства в Интернете, в данном случае маршрутизатора, мы, как показано ниже, успешно выполняем команду ping относительно адреса 192.168.2.1. Internet-device# ping 192.168.2.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 92/92/92 ms Internet-device# Чтобы узнать, что происходит в маршрутизаторе, см. выходные данные и комментарии к командам debug .

Page 4