Руководство по эксплуатации Cisco маршрутизаторов: Настройка NAT

Настройка трансляции сетевых адресов: Начало работы Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Краткое описание работ по конфигурации и развертыванию NAT Определение трансляции сетевых адресов внутри и вне интерфейсов Пример: Разрешение доступа в Интернет внутренним пользователям Настройка NAT для разрешения доступа в Интернет внутренним пользователям Настройка NAT для разрешения доступа в Интернет внутренним пользователям с помощью функции перегрузки Пример: Разрешение доступа к внутренним устройствам из Интернета Настройка NAT, разрешающая доступ из Интернета к внутренним устройствам Пример:

Переадресация трафика TCP на другой TCP-порт или адрес Настройка NAT для того, чтобы перенаправить трафик TCP на другой порт или адрес TCP Пример: Использование NAT во время сетевых переходов Настройка NAT для использования при сетевых переходах Пример: Использование NAT в перекрывающихся сетях Проверка работы NAT Заключение Дополнительные сведения Введение В данном документе описывается настройка трансляции сетевых адресов (NAT) в маршрутизаторах Cisco для использования в стандартных сетевых сценариях. Целевая группа данного документа – это пользователи, только начавшие работу с NAT. Примечание. В данном документе под Интернет-устройством понимается устройство в любой внешней сети.

Предварительные условия Требования Чтобы использовать данный документ, необходимо знание терминов, использующихся в связи с NAT. Некоторые определения можно найти в документе NAT: Локальные и глобальные определения. Используемые компоненты Сведения, содержащиеся в данном документе, относятся к следующим версиям программного и аппаратного обеспечения: Маршрутизаторы Cisco серии 2500 ПО Cisco IOS ® версия 12.2 (10b) Сведения, представленные в данном документе, были получены на тестовом оборудовании в специально созданных лабораторных

Стр. 1

условиях. При написании данного документа использовались только данные, полученные от устройств с конфигурацией по умолчанию. При работе с реально функционирующей сетью необходимо полностью осознавать возможные последствия выполнения команд до их применения. Условные обозначения Дополнительные сведения об условных обозначениях см. в разделе Технические советы Cisco. Условные обозначения. Краткое описание работ по конфигурации и развертыванию NAT При настройке NAT иногда сложно определить, с чего начать, особенно если пользователь только начал работу с NAT. Данное руководство поможет определить, чего ждать от NAT и каким образом провести его настройку. Определите NAT внутри и вне интерфейсов.

1. Доступны ли пользователи на нескольких интерфейсах? Имеют ли несколько интерфейсов выход в Интернет? Определите, чего вы пытаетесь достичь с помощью NAT. 2. Вы пытаетесь разрешить доступа в Интернет внутренним пользователям? Вы пытаетесь разрешить доступ из Интернета к внутренним устройствам (например почтовому серверу или веб-серверу)? Вы пытаетесь перенаправить трафик TCP на другой порт или адрес TCP? Вы используете NAT во время сетевых переходов (к примеру, после изменения IP-адреса сервера и до обновления всех клиентов необходимо, чтобы все необновленные клиенты могли получать доступ к серверу через исходный IP-адрес, а обновленные клиенты получали доступ к серверу через новый адрес)?

Вы используете NAT, чтобы позволить перекрывающимся сетям связываться друг с другом? Чтобы выполнить описанные выше действия, настройте NAT. На основании изменений на этапе 2 необходимо определить, какие функции использовать из представленных далее: 3. Static NAT Dynamic NAT Overloading Любая комбинация данных функций Проверка работы NAT. 4. В каждом из следующих примеров настройки NAT выполняются этапы 1-3 данного краткого руководства. В этих примерах описаны некоторые стандартные сценарии, по которым Cisco рекомендует развертывание NAT. Определение трансляции сетевых адресов внутри и вне интерфейсов Первый этап развертывания NAT - определение внутренних и внешних интерфейсов NAT.

Самым простым способом будет определить внутреннюю сеть как "inside", а внешнюю – как "outside". В то же время термины "внутренний" и "внешний" также являются условными. На следующем рисунке показан пример.

Стр. 2

Пример: Разрешение доступа в Интернет внутренним пользователям Возможно, вы хотите предоставить доступ в Интернет внутренним пользователям, но у вас нет достаточного количества допустимых адресов. Если все взаимодействия с Интернет-устройствами возникают из внутренних устройств, то нужен один допустимый адрес или пул допустимых адресов. На следующем рисунке показана схема простой сети с внутренним и внешним интерфейсами маршрутизатора: В этом примере NAT нужен затем, чтобы разрешить определенным внутренним устройствам (первым 31 из каждой подсети) создать связь с устройствами снаружи, преобразуя их недопустимый адрес в допустимый адрес или пул адресов.

Пул задан как диапазон адресов от 172.16.10.1 до 172.16.10.63. Теперь можно приступить к настройке NAT. Для выполнение описанных выше действий используйте функцию динамического NAT. При динамической трансляции сетевых адресов таблица трансляции в маршрутизаторе исходно является пустой и начинает заполняться после того, как трафик для трансляции проходит через маршрутизатор. (В отличие от функции статического NAT, где трансляция настраивается статически и помещается в таблицу трансляции без присутствия трафика). В этом примере можно настроить NAT для трансляции каждого внутреннего устройства на уникальный допустимый адрес или для трансляции всех внутренних устройств на один допустимый адрес.

Второй метод известен как перегрузка. Пример настройки каждого метода приведен ниже. Настройка NAT для разрешения доступа в Интернет внутренним пользователям Маршрутизатор NAT interface ethernet 0 ip address 10.10.10.1 255.255.255.0

Стр. 3

ip nat inside !--- Определяет Ethernet 0 с помощью IP-адреса в качестве внутреннего интерфейса NAT. interface ethernet 1 ip address 10.10.20.1 255.255.255.0 ip nat inside !--- Определяет Ethernet 1 с помощью IP-адреса в качестве внутреннего интерфейса NAT. interface serial 0 ip address 172.16.10.64 255.255.255.0 ip nat outside !--- Определяет serial 0 с помощью IP-адреса в качестве внешнего интерфейса NAT. ip nat pool no-overload 172.16.10.1 172.16.10.63 prefix 24 ! !--- Определяет пул NAT под названием "no-overload" с помощью ряда адресов !--- 172.16.10.1 - 172.16.10.63. ip nat inside source list 7 pool no-overload ! !

!--- Указывает на то, что адреса источников любых пакетов, полученных на внутреннем интерфейсе, !--- допускаемых в списке доступа 7, !--- преобразованы в адрес "no-overload" !--- вне пула NAT. access-list 7 permit 10.10.10.0 0.0.0.31 access-list 7 permit 10.10.20.0 0.0.0.31 !--- Список доступа 7 открывает доступ пакетам с адресами источника от !--- 10.10.10.0 до 10.10.10.31 и от 10.10.20.0 до 10.10.20.31. Примечание. Cisco настоятельно рекомендует не настраивать списки доступа, упоминаемые в командах NAT, с помощью команды permit any .

Использование команды permit any может привести к тому, что NAT будет потреблять слишком большое количество ресурсов маршрутизатора, что вызовет проблемы с сетью. В приведенной выше конфигурации следует отметить, что только первые 32 адреса из подсети 10.10.10.0 и первые 32 адреса из подсети 10.10.20.0 разрешены списком доступа 7 Таким образом, выполняется преобразование только этих исходных адресов. Внутренняя сеть может содержать другие устройства с другими адресами, которые не транслируются. Последнее, что нужно сделать — это убедиться в надлежащей работе NAT.

Настройка NAT для разрешения доступа в Интернет внутренним пользователям с помощью функции перегрузки Маршрутизатор NAT interface ethernet 0 ip address 10.10.10.1 255.255.255.0 ip nat inside !--- Определяет Ethernet 0 с помощью IP-адреса в качестве внутреннего интерфейса NAT. interface ethernet 1 ip address 10.10.20.1 255.255.255.0 ip nat inside !--- Определяет Ethernet 1 с помощью IP-адреса в качестве внутреннего интерфейса NAT. interface serial 0 ip address 172.16.10.64 255.255.255.0 ip nat outside

Стр. 4