Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Problema

Puede hacer ping a un router pero no a otro router

Los dispositivos de redes exteriores no pueden comunicarse con los routers interiores

Lista de comprobación para problemas comunes

Introducción

Este documento describe cómo resolver problemas de conectividad IP en un entorno NAT.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Convenciones

Para obtener más información sobre las convenciones del documento, consulte las Convenciones de Consejos Técnicos de Cisco.

Problema

Este documento sirve para solucionar estos problemas:

- Puede hacer ping a un router pero no a otro router

- Los dispositivos de redes exteriores no pueden comunicarse con los routers interiores

Para determinar si el problema está en las operaciones NAT:

1. Según la configuración, defina claramente lo que se supone que debe lograr NAT. Puede determinar que hay un problema con la configuración. Para obtener información sobre la configuración de NAT, vea Configuración de la Traducción de Direcciones de Red: Introducción.

2. Controle que existan traducciones correctas en la tabla de traducciones.

3. Utilice los comandos show y debug para verificar que se produce la traducción.

4. Revise en detalle lo que le sucede al paquete y verifique que los routers tengan la información de ruteo correcta para mover el paquete.

- Puede hacer ping a un router pero no a otro router

En este diagrama de red, el router 4 puede hacer ping al router 5 (172.16.6.5) pero no al router 7 (172.16.11.7):

El Router 4 no puede hacer ping al Router 7

Los protocolos de ruteo no ejecutan los routers. La gateway predeterminada del router 4 es el router 6. El router 6 se configura con NAT:

interface Ethernet0

ip address 172.16.6.6 255.255.255.0

ip directed-broadcast

ip nat outside

!

interface Ethernet1

ip address 10.10.10.6 255.255.255.0

ip nat inside

!

interface Serial2.7 point-to-point

ip address 172.16.11.6 255.255.255.0

ip nat outside

frame-relay interface-dlci 101

!

ip nat pool test 172.16.11.70 172.16.11.71 prefix-length 24

ip nat inside source list 7 pool test

ip nat inside source static 10.10.10.4 172.16.6.14

!

access-list 7 permit 10.10.50.4

access-list 7 permit 10.10.60.4

access-list 7 permit 10.10.70.4

Para solucionar problemas:

1. Debe determinar que NAT funciona correctamente. Sabe por la configuración que la dirección IP del Router 4 (10.10.10.4) se traduce estáticamente a 172.16.6.14. Puede utilizar el comando show ip nat translation en el Router 6 para verificar que la traducción existe en la tabla de traducción:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

2. Asegúrese de que esta traducción ocurra cuando el Router 4 origine tráfico IP. Puede hacerlo de dos maneras desde el Router 6, ejecutar el comando NAT debug o monitorear las estadísticas de NAT con el comando show ip nat statistics. Dado que los comandos debug son el último recurso, comience con el comando show.

3. Supervise el contador para asegurarse de que aumente a medida que recibe tráfico del Router 4. El contador aumenta cada vez que se utiliza la tabla de traducción para traducir una dirección.

4. Borre las estadísticas, muéstrelas y, a continuación, intente hacer ping al router 7 desde el router 4 y vuelva a mostrar las estadísticas.

router-6#clear ip nat statistics

router-6#

router-6# show ip nat statistics

Total active translations: 1 (1 static, 0 dynamic; 0 extended)

Outside interfaces:

Ethernet0, Serial2.7

Inside interfaces:

Ethernet1

Hits: 0  Misses: 0

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 7 pool test refcount 0

pool test: netmask 255.255.255.0

start 172.16.11.70 end 172.16.11.71

type generic, total addresses 2, allocated 0 (0%), misses 0

router-6#

Después de utilizar el comando ping 172.16.11.7 en el Router 4, las estadísticas de NAT en el Router 6 son:

router-6#show ip nat statistics

Total active translations: 1 (1 static, 0 dynamic; 0 extended)

Outside interfaces:

Ethernet0, Serial2.7

Inside interfaces:

Ethernet1

Hits: 5  Misses: 0

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 7 pool test refcount 0

pool test: netmask 255.255.255.0

start 172.16.11.70 end 172.16.11.71

type generic, total addresses 2, allocated 0 (0%), misses 0

Puede ver desde los comandos show que aumenta el número de resultados en cinco. En un ping exitoso de un router Cisco, el número de aciertos aumenta en diez. Se traducen los cinco ecos del protocolo de mensajes de control de Internet (ICMP) enviados por el router de origen (router 4) y es necesario traducir los cinco ecos de respuesta a los paquetes del router de destino (router 7) para obtener un total de diez resultados. La pérdida de cinco aciertos se debe a que las respuestas de eco no se traducen o no se envían desde el Router 7.

Vea si puede encontrar alguna razón por la que el Router 7 no enviaría paquetes de respuesta de eco al Router 4. Revise qué hace NAT al paquete. El Router 4 envía paquetes de eco ICMP con una dirección de origen de 10.10.10.4 y una dirección de destino de 172.16.11.7. Después de que se realice la NAT, el paquete recibido por el Router 7 tiene una dirección de origen de 172.16.6.14 y una dirección de destino de 172.16.11.7. El Router 7 debe responder a 172.16.6.14, y dado que 172.16.6.6.14 no está conectado directamente al router 7, necesita una ruta para que esta red responda. Compruebe la tabla de enrutamiento del router 7 para verificar si existe la ruta.

router-7#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 4 subnets

C       172.16.12.0 is directly connected, Serial0.8

C       172.16.9.0 is directly connected, Serial0.5

C       172.16.11.0 is directly connected, Serial0.6

C       172.16.5.0 is directly connected, Ethernet0

Puede ver que la tabla de ruteo del Router 7 no tiene una ruta para 172.16.6.14. Una vez que agregue esta ruta, el ping funciona. Es útil monitorear las estadísticas de NAT con el comando show ip nat statistics. En un entorno NAT más complejo con varias traducciones, este comando show ya no es útil. Luego puede ejecutar debugs en el router.

- Los dispositivos de redes exteriores no pueden comunicarse con los routers interiores

En este problema, el Router 4 puede hacer ping tanto al Router 5 como al Router 7, pero los dispositivos en la red 10.10.50.0 no pueden comunicarse con el Router 5 o el Router 7. El diagrama de red es:

La red no se puede comunicar con el router

interface Ethernet0

ip address 172.16.6.6 255.255.255.0

ip directed-broadcast

ip nat outside

media-type 10BaseT

!

interface Ethernet1

ip address 10.10.10.6 255.255.255.0

ip nat inside

media-type 10BaseT

!

interface Serial2.7 point-to-point

ip address 172.16.11.6 255.255.255.0

ip nat outside

frame-relay interface-dlci 101

!

ip nat pool test 172.16.11.70 172.16.11.71 prefix-length 24

ip nat inside source list 7 pool test

ip nat inside source static 10.10.10.4 172.16.6.14

!

access-list 7 permit 10.10.50.4

access-list 7 permit 10.10.60.4

access-list 7 permit 10.10.70.4

Indique el comportamiento esperado de NAT. A partir de la configuración del router 6, sabe que NAT debe traducir dinámicamente 10.10.50.4 a la primera dirección disponible en la "prueba" del conjunto NAT. El conjunto consta de las direcciones 172.16.11.70 y 172.16.11.71. A partir de este problema, puede comprender que los paquetes que reciben los routers 5 y 7 tienen una dirección de origen 172.16.11.70 o 172.16.11.71. Estas direcciones están en la misma dirección que el router 7, por lo que el router 7 debe tener una ruta conectada directamente; sin embargo, si aún no tiene una, el router 5 necesita una ruta a la subred .

Puede utilizar el comando show ip route para comprobar que la tabla de enrutamiento del router 5 indique 172.16.11.0:

router-5#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 4 subnets

C 172.16.9.0 is directly connected, Serial1

S 172.16.11.0 [1/0] via 172.16.6.6

C 172.16.6.0 is directly connected, Ethernet0

C 172.16.2.0 is directly connected, Serial0

Puede utilizar el comando show ip route para comprobar que la tabla de enrutamiento del router 7 indique 172.16.11.0 como una subred directamente conectada:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

--- 172.16.11.70       10.10.50.4         ---                ---

Verifique la tabla de traducción NAT y verifique que exista la traducción esperada. Dado que la traducción deseada se crea dinámicamente, primero debe enviar el tráfico IP originado en la dirección apropiada. Después de un ping enviado, originado en 10.10.50.4 y destinado a 172.16.11.7, la tabla de traducción en el Router 6 muestra:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

--- 172.16.11.70       10.10.50.4         ---                ---

Dado que la traducción esperada está en la tabla de traducción, sabe que los paquetes de eco ICMP están traducidos apropiadamente. Una opción es que puede monitorear las estadísticas de NAT, pero eso no es útil en un entorno complejo. Otra opción es ejecutar el depurador NAT en el router NAT (Router 6). Puede ejecutar debug ip nat en el Router 6 mientras envía un ping originado desde 10.10.50.4 destinado a 172.16.11.7. Los resultados de debug se encuentran en el siguiente ejemplo de código.

Nota: Cuando utiliza un comando debug en un router, puede sobrecargar el router, lo que hará que deje de funcionar. Tenga siempre mucho cuidado y, si es posible, nunca ejecute un debug en un router de producción crítico sin la supervisión de un ingeniero de soporte técnico de Cisco.

:

router-6# show log

Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)

Console logging: level debugging, 39 messages logged

Monitor logging: level debugging, 0 messages logged

Buffer logging: level debugging, 39 messages logged

Trap logging: level informational, 33 message lines logged

Log Buffer (4096 bytes):

05:32:23: NAT: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [70]

05:32:23: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [70]

05:32:25: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [71]

05:32:25: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [71]

05:32:27: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [72]

05:32:27: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [72]

05:32:29: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [73]

05:32:29: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [73]

05:32:31: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [74]

05:32:31: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [74]

Como puede ver en el resultado anterior de debug, la primera línea muestra la dirección de origen de 10.10.50.4 traducida a 172.16.11.70. La segunda línea muestra que la dirección de destino de 172.16.11.70 se traduce nuevamente a 10.10.50.4. Este patrón se repite en el resto de la depuración. Esto significa que el Router 6 traduce los paquetes en ambas direcciones.

Revisión:

1. El router 4 envía un paquete originado en 10.10.50.4 destinado a 172.16.11.7.

2. El router 6 realiza NAT en el paquete y reenvía un paquete con un origen de 172.16.11.70 y un destino de 172.16.11.7.

3. El router 7 envía una respuesta con un origen de 172.16.11.7 y un destino de 172.16.11.70.

4. El router 6 realiza NAT en el paquete, lo que resulta en un paquete con la dirección de origen 172.16.11.7 y la dirección de destino 10.10.50.4.

5. El router 6 enruta el paquete a 10.10.50.4 según la información de la tabla de ruteo del router 6. Debe utilizar el comando show ip route para confirmar que el router 6 tiene la ruta necesaria en la tabla de enrutamiento.

router-6#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 5 subnets

C 172.16.8.0 is directly connected, Serial1

C 172.16.10.0 is directly connected, Serial2.8

C 172.16.11.0 is directly connected, Serial2.7

C 172.16.6.0 is directly connected, Ethernet0

C 172.16.7.0 is directly connected, Serial0

10.0.0.0/24 is subnetted, 1 subnets

C 10.10.10.0 is directly connected, Ethernet1

Lista de comprobación para problemas comunes

Utilice esta lista de comprobación para solucionar problemas comunes:

- No está instalada la traducción en la tabla de traducción

Si encuentra que la traducción apropiada no está instalada en la tabla de traducción, verifique:

1. La configuración es correcta. A veces es difícil conseguir que NAT obtenga lo que desea. Para obtener ayuda con la configuración, consulte Configuración de la traducción de direcciones de red: Introducción.

2. No hay ninguna lista de acceso entrante que niegue la entrada de paquetes desde el router NAT.

3. El router NAT tiene la ruta apropiada en la tabla de ruteo si el paquete va de adentro hacia afuera. Consulte Orden de operación de NAT para ver más información.

4. La lista de acceso a la que hace referencia el comando de NAT permite todas las redes necesarias.

5. Existen suficientes direcciones en la agrupación NAT. Esto sólo puede ser un problema si NAT no está configurado para la congestión.

6. Que las interfaces del router están correctamente definidas como NAT interna y NAT externa.

7. Para la traducción de la carga útil de paquetes del Sistema de nombres de dominio (DNS), asegúrese de que la traducción se realice en la dirección del encabezado IP del paquete. Si esto no sucede, el NAT no busca la carga útil del paquete.

- No se está utilizando la entrada de traducción correcta

Si la entrada de traducción correcta está instalada en la tabla de traducción, pero no se utiliza, verifique:

1. Verifique que no haya ninguna lista de acceso entrante que niegue la entrada de los paquetes desde el router NAT.

2. Para los paquetes que van del interior al exterior, verifique que haya una ruta al destino, ya que esto se verifica antes de la traducción. Consulte Orden de operación de NAT para ver más información.

- NAT está funcionando correctamente pero aún existen problemas de conectividad

Solución del problema de conectividad:

1. Verifique la conectividad de la capa 2.

2. Verifique la información de ruteo de Capa 3.

3. Busque filtros de paquetes que causan el problema.

- La traducción de direcciones de red (NAT) para el puerto 80 no funciona

Esto significa que la traducción NAT para el puerto 80 no funciona, pero la traducción para otros puertos funciona normalmente.

Para resolver este problema:

1. Ejecute los comandos debug ip nat translations y debug ip packet para ver si las traducciones son correctas y si la entrada de traducción correcta está instalada en la tabla de traducción.

2. Compruebe que el servidor responda.

3. Desactive el servidor HTTP.

4. Borre las tablas de NAT y ARP.

- % de NAT: sistema ocupado. Inténtelo más tarde.

El mensaje de error try later aparece cuando se ejecuta un comando show relacionado con NAT o un comando show running-config o write memory. Esto se debe al aumento del tamaño de la tabla NAT. Si aumenta el tamaño de la tabla de NAT, el router se queda sin memoria.

1. Vuelva a cargar el router para resolver este problema.

2. Si el mensaje de error aparece cuando configura HSRP en SNAT, configure estos comandos para resolver el problema:

- Router(config)#standby delay minimum 20 reload 20

- Router(config)#standby 2 preempt delay minimum 20 reload 20 sync 10

- Una tabla de traducción grande aumenta el consumo de la CPU

Un host puede enviar cientos de traducciones, lo que provoca un uso elevado de la CPU. En otras palabras, puede hacer que la tabla sea tan grande que haga funcionar la CPU al 100 por ciento. El comando ip nat translation max-entries 300 crea el límite de 300 por host o un límite agregado de la cantidad de traducciones en el router. La solución consiste en utilizar el comando ip nat translation max-entries all-hosts 300 .

- % de direcciones IP públicas ya asignadas (dirección IP interna -> dirección IP pública)

Este mensaje aparece cuando intenta configurar dos direcciones IP internas en una dirección IP pública que escucha en los mismos puertos.

% X.X.X.X already mapped (172.30.62.101 -> X.X.X.X)

Para corregir esto, configure la dirección IP pública para que tenga dos direcciones IP internas y utilice dos direcciones IP públicas en el DNS.

- No hay entradas en la tabla de ARP

Este es el resultado de la no-alias en las entradas de NAT. no-alias significa que el router no responde por las direcciones y no instala una entrada ARP. Si otro router utiliza un grupo de NAT como grupo interior global que consta de direcciones en una subred conectada, se genera un alias para esa dirección a fin de que el router pueda responder a las solicitudes del protocolo de resolución de direcciones (ARP) para dichas direcciones. Esto hace que el router tenga entradas de ARP para direcciones falsas.

- Token 0 incorrecto, se deseaba TOK_NUMBER|TOK_PUNCT

Este mensaje de error es solo un mensaje informativo y no tiene ningún impacto en el comportamiento normal del dispositivo.

Bad token 0, wanted TOK_NUMBER|TOK_PUNCT

El error significa que NAT intenta hacer una corrección de capa 4 en la dirección en un FTP abierto y no puede encontrar las direcciones IP que necesita traducir en el paquete. La razón por la que el mensaje incluye tokens es que las direcciones IP en el paquete se encuentran por la búsqueda de un token, o un conjunto de símbolos, en el paquete IP, para encontrar los detalles necesarios para traducir.

Cuando se inicia una sesión de FTP, se negocian dos canales: un canal de comandos y un canal de datos. Ambos son direcciones IP con números de puerto diferentes. El cliente y el servidor FTP negocian un segundo canal de datos al que transferir archivos. El paquete intercambiado a través del canal de control tiene el formato "PORT,i,i,i,i,p,p", donde i,i,i,i son los cuatro bytes de una dirección IP y p,p especifica el puerto. NAT intenta hacer coincidir este patrón y traducir dirección/puerto, si es necesario. NAT debe traducir ambos esquemas de canal. La NAT explora los números de la secuencia de comandos hasta que considera que ha encontrado un comando de puerto que requiere traducción. A continuación, analiza la traducción, que calcula con el mismo formato.

Si el paquete está dañado o el servidor o cliente FTP tiene comandos mal formados, NAT no puede calcular correctamente la traducción y genera ese error. Puede establecer el cliente FTP en "pasivo" para que inicie ambos canales.

Información Relacionada

- Página de Soporte de NAT

- Soporte Técnico - Cisco Systems