Cisco NAT Troubleshooting Manual

Проверка работоспособности и устранение основных неполадок протокола NAT (Network Address Translation, преобразование сетевых адресов) Данный документ содержит флэш-анимацию. Интерактивный документ. В данном документе приводится анализ используемого устройства Cisco. Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Как отключить протокол NAT Учебный пример с флэш-анимацией. Запрос "ICMP-эхо" удается отправить на хост, но не работает Telnet Учебный пример с флэш-анимацией. Запрос "ICMP-эхо" не удается отправить за NAT Пример проблемной ситуации.

Запрос "ICMP-эхо" работает только для одного маршрутизатора из двух Краткое описание проблемы Пример проблемной ситуации: Внешние сетевые устройства не взаимодействуют с внутренними маршрутизаторами Краткое описание проблемы Контрольные таблицы для устранения неполадок Преобразование не установлено в таблице преобразований Не используется правильная запись о преобразовании Протокол NAT работает правильно, но проблемы с соединением остались Заключение Дополнительные сведения Введение При наличии проблем IP-соединения в среде NAT часто бывает трудно определить причину возникновения этой проблемы.

Ответственность за это часто по ошибке возлагается на протокол NAT, тогда как на самом деле причина кроется глубже. Это документ показывает, как проверить работу протокола NAT с помощью средств, имеющихся в маршрутизаторах Cisco. В этом документе также объясняется, как выполнять элементарный поиск и устранение неисправностей протокола NAT и описывается, как не допустить частых ошибок во время поиска и устранения неисправностей с NAT. Предварительные условия Требования В данном документе не выдвигается никаких особых требований. Используемые компоненты Сведения в данном документе не ограничиваются определенными версиями ПО или устройств.

Стр. 1

Данные для этого документа были получены при тестировании указанных устройств в специально созданных лабораторных условиях. Все устройства, используемые в этом документе, запускались с чистой (заданной по умолчанию) конфигурацией. Если сеть работает в реальных условиях, при использовании каждой команды следует адекватно оценивать ее потенциальное воздействие. Условные обозначения Дополнительные сведения о применяемых в документе обозначениях см. в документе Условные обозначения, используемые в технической документации Cisco. Как отключить протокол NAT Отключение протокола NAT облегчает поиск причин возникновения проблем IP-соединения.

Чтобы удостовериться, что протокол NAT функционирует должным образом, выполните следующие действия: 1. В соответствии с конфигурацией, четко определите, что должен делать протокол NAT. На этом шаге можно определить наличие проблемы с конфигурацией. Дополнительные сведения о настройке NAT см. в разделе Настройка преобразования сетевых адресов (NAT). Начало работы. Убедитесь, что в таблице преобразований существуют правильные преобразования. 2. Чтобы убедиться в том, что преобразование происходит, используйте команды show и debug . 3. Подробно проверьте, что происходит с пакетом данных, и убедитесь, что у маршрутизаторов имеются правильные данные маршрутизации для пересылки пакета. 4.

Ниже приводятся примеры нескольких проблемных ситуаций, в которых используются вышеупомянутые действия для определения причин проблем. Учебный пример с флэш-анимацией. Запрос "ICMP-эхо" удается отправить на хост, но не работает Telnet Щелкните здесь , чтобы просмотреть 7-минутный анимационный ролик о том, почему устройство может отправить запрос "ICMP- эхо" на хост, но при этом не работает функция Telnet. Учебный пример с флэш-анимацией. Запрос "ICMP-эхо" не удается отправить за NAT Щелкните здесь , чтобы просмотреть 10-минутный анимационный ролик о том, почему устройство не может отправить запрос "ICMP-эхо" за NAT. Пример проблемной ситуации.

Запрос "ICMP-эхо" работает только для одного маршрутизатора из двух На этой схеме сети 4-ый маршрутизатор получает ответ на запрос "ICMP-эхо" от 5-го маршрутизатора (172.16.6.5), но не от 7-го (172.16.11.7).

Стр. 2

Ни на одном из маршрутизаторов не запущен ни один протокол маршрутизации, а для 4-ого маршрутизатора 6-ой задан как шлюз по умолчанию. 6-ой маршрутизатор настраивается с помощью протокола NAT следующим образом: 6-ой маршрутизатор interface Ethernet0 ip address 172.16.6.6 255.255.255.0 ip directed-broadcast ip nat outside media-type 10BaseT ! interface Ethernet1 ip address 10.10.10.6 255.255.255.0 ip nat inside media-type 10BaseT ! interface Serial2.7 point-to-point ip address 172.16.11.6 255.255.255.0 ip nat outside frame-relay interface-dlci 101 !

ip nat pool test 172.16.11.70 172.16.11.71 prefix-length 24 ip nat inside source list 7 pool test ip nat inside source static 10.10.10.4 172.16.6.14 ! access-list 7 permit 10.10.50.4 access-list 7 permit 10.10.60.4 access-list 7 permit 10.10.70.4 Сначала следует убедиться в правильном функционировании протокола NAT. Согласно известной вам конфигурации, IP-адрес 4-ого маршрутизатора (10.10.10.4) должен статически преобразовываться в 172.16.6.14. На 6-ом маршрутизаторе можно использовать команду show ip nat translation , чтобы удостовериться, что это преобразование действительно существует в таблице преобразований.

router-6# show ip nat translation Pro Inside global Inside local Outside local Outside global --- 172.16.6.14 10.10.10.4 --- --- Теперь необходимо убедиться, что преобразование происходит, когда 4-ый маршрутизатор выдает IP-трафик. Для этого на 6-ом маршрутизаторе можно использовать два метода: выполнить команду NAT debug или проследить статистику NAT с помощью команды show ip nat statistics . Так как команды debug должны использоваться в крайнем случае, начинать следует с команды show . Смысл этих действий состоит в том, чтобы отследить число обращений и узнать, растет ли оно по мере отправки трафика с 4-ого маршрутизатора.

Это число увеличивается каждый раз, когда преобразование из таблицы используется для преобразования адреса. В первую очередь обнулите статистику, затем выведите ее на экран, попытайтесь послать запрос "ICMP-эхо" с 4-ого маршрутизатора на 7-ой, а затем снова посмотрите статистику. router-6# clear ip nat statistics

Стр. 3

router-6# router-6# show ip nat statistics Total active translations: 1 (1 static, 0 dynamic; 0 extended) Outside interfaces: Ethernet0, Serial2.7 Inside interfaces: Ethernet1 Hits: 0 Misses: 0 Expired translations: 0 Dynamic mappings: -- Inside Source access-list 7 pool test refcount 0 pool test: netmask 255.255.255.0 start 172.16.11.70 end 172.16.11.71 type generic, total addresses 2, allocated 0 (0%), misses 0 router-6# После использования команды ping 172.16.11.7 на 4-ом маршрутизаторе статистика NAT на 6-ом маршрутизаторе будет следующей: router-6# show ip nat statistics Total active translations: 1 (1 static, 0 dynamic; 0 extended) Outside interfaces:

Ethernet0, Serial2.7 Inside interfaces: Ethernet1 Hits: 5 Misses: 0 Expired translations: 0 Dynamic mappings: -- Inside Source access-list 7 pool test refcount 0 pool test: netmask 255.255.255.0 start 172.16.11.70 end 172.16.11.71 type generic, total addresses 2, allocated 0 (0%), misses 0 Из сообщений команды show видно, что число обращений выросло на 5. В случае успешного выполнения команды ping на маршрутизаторе Cisco число обращений должно увеличиться на 10.

Пять эхо-сигналов ICMP (Internet Control Message Protocol, межсетевой протокол контрольных сообщений), переданных с исходного маршрутизатора (4-ого), должны быть преобразованы, и пять ответных эхо-пакетов с маршрутизатора назначения (7-ого) также должны быть преобразованы, то есть общее число обращений должно быть равно десяти. Пять обращений теряются, скорее всего, из-за эхо-ответов, которые либо не были преобразованы, либо не были отправлены с 7-ого маршрутизатора. Проверьте, можно ли найти какую-либо причину, по которой 7-ой маршрутизатор мог не отправить ответные эхо-пакеты 4-ому маршрутизатору. Прежде всего необходимо узнать, что NAT делает с пакетами.

4-ый маршрутизатор посылает эхо-пакеты ICMP с адресом источника 10.10.10.4 и адресом назначения 172.16.11.7. После выполнения протокола NAT пакет, полученный 7-ым маршрутизатором, будет иметь адрес источника 172.16.6.14 и адрес получателя 172.16.11.7. Маршрутизатору 7 требуется дать ответ на адрес 172.16.6.14, а поскольку последний напрямую не подключен к 7-ому маршрутизатору, для ответа ему нужен маршрут для этой сети. Убедитесь в существовании маршрута, проверив таблицу маршрутизации 7-ого маршрутизатора. router-7# show ip route Codes:

C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODR P - periodic downloaded static route Gateway of last resort is not set 172.16.0.0/24 is subnetted, 4 subnets C 172.16.12.0 is directly connected, Serial0.8 C 172.16.9.0 is directly connected, Serial0.5 C 172.16.11.0 is directly connected, Serial0.6 C 172.16.5.0 is directly connected, Ethernet0 Как видите, в таблице маршрутизации 7-ого маршрутизатора нет маршрута для адреса 172.16.6.14.

После добавления этого маршрута эхо-запросы будут успешно выполняться.

Стр. 4