使用OER为两个ISP连接配置Cisco IOS NAT

简介

本文档介绍Cisco IOS®路由^器通过两个ISP连接通过网络地址转换(NAT)将网络连接到Internet的配置。如果存在通往给定目标的等价路由，则 Cisco IOS NAT 可以将随后的 TCP 连接和 UDP 会话分配到多个网络连接。当其中一个连接变得不可用时，对象跟踪(优化边缘路由(OER)的一个组件)可用于停用路由，直到连接再次可用为止，这可确保网络可用性，而不管Internet连接不稳定或不可靠。

本文档描述另一种应用了 Cisco IOS 区域策略防火墙的配置，这种配置添加了状态检查功能，可加强 NAT 提供的基本网络保护。

先决条件

要求

本文档假设您已经拥有能够正常使用的 LAN 和 WAN 连接，因此不提供建立初始连接所需的配置或故障排除背景。

本文档不介绍区分路由的方式。因此，没有办法选出更喜欢的连接。

本文档介绍如何配置 OER，使其根据 ISP 的 DNS 服务器的可达性来启用或禁用 Internet 路由。您需要识别出只能通过一个 ISP 连接到达并且当此 ISP 连接不可用时也不可用的特定主机。

使用的组件

此配置使用其上运行 12.4(15)T2 版 Advanced IP Services 软件的 Cisco 1811 路由器开发。如果使用的是其他软件版本，有些功能可能不可用，配置命令也可能与本文档中所示有所不同。虽然接口配置在不同的平台之间很可能会有变化，但是相似的配置应该在所有 Cisco IOS 路由器平台上都是可用的。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

配置

您可能需要为特定的流量添加基于策略的路由，确保此流量始终使用同一个 ISP 连接。可能需要这种行为的流量示例包括：IPsec VPN 客户端，VoIP 听筒，以及应该始终使用同一个 ISP 连接选项以便在连接中获得相同 IP 地址、更高速度或更低延时的其他任何流量。

本部分提供有关如何配置本文档所述功能的信息。

注意：使用命令查找工具(仅限注册客户)可获取有关本节中使用的命令的详细信息。

网络图

本文档使用以下网络设置：

如网络图所示，此配置示例描述一个访问路由器，该路由器对一个 ISP（如 FastEthernet 0 所示）使用由 DHCP 配置的 IP 连接，并通过另一个 ISP 连接使用 PPPoE 连接。连接类型对配置没有特别影响，除非对象跟踪和优化边缘路由(OER)和/或基于策略的路由要与DHCP分配的互联网连接一起使用。在这些情况下，很难为策略路由或 OER 定义下一跳的路由器。

防火墙策略讨论

本配置示例描述一种防火墙策略，这种防火墙策略允许从安全区“内部”与安全区“外部”建立简单的 TCP、UDP 和 ICMP 连接，并且能够容纳出站 FTP 连接以及主动和被动 FTP 传输的相应数据流量。任何不能由这种基本策略处理的复杂应用流量（例如，VoIP 信令和媒体）都可能会导致能力下降，甚至可能完全失败。此防火墙策略阻止从“公共”安全区与“专用”安全区建立的所有连接，包括由 NAT 端口转发容纳的所有连接。您必须构建更多的防火墙策略配置来容纳不能由这种基本配置处理的其他流量。

如果您对区域策略防火墙策略设计和配置有疑问，请参阅区域策略防火墙设计和应用指南。

CLI 配置

track timer interface 5
!
!
track 123 rtr 1 reachability
 delay down 15 up 10
!
track 345 rtr 2 reachability
 delay down 15 up 10
!

!---Configure timers on route tracking


class-map type inspect match-any priv-pub-traffic
 match protocol ftp
 match protocol tcp
 match protocol udp
 match protocol icmp
!
policy-map type inspect priv-pub-policy
 class type inspect priv-pub-traffic
  inspect
 class class-default
!
zone security public
zone security private
zone-pair security priv-pub source private destination public
 service-policy type inspect priv-pub-policy
!

!
interface FastEthernet0
 ip address dhcp
 ip dhcp client route track 345
 ip nat outside
 ip virtual-reassembly
 zone security public
!

!---Use “ip dhcp client route track [number]” !--- to monitor route on DHCP interfaces !--- Define ISP-facing interfaces with “ip nat outside”


interface FastEthernet1
 no ip address
 pppoe enable
 no cdp enable
!
interface FastEthernet2
 no cdp enable
!
interface FastEthernet3
 no cdp enable
!
interface FastEthernet4
 no cdp enable
!
interface FastEthernet5
 no cdp enable
!
interface FastEthernet6
 no cdp enable
!
interface FastEthernet7
 no cdp enable
!
interface FastEthernet8
 no cdp enable
!
interface FastEthernet9
 no cdp enable
!
!
interface Vlan1
 description LAN Interface
 ip address 192.168.108.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 ip tcp adjust-mss 1452
 zone security private


!--- Define LAN-facing interfaces with “ip nat inside”

!
!
Interface Dialer 0
 description PPPoX dialer
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 ip tcp adjust-mss
 zone security public


!---Define ISP-facing interfaces with “ip nat outside"


!
ip route 0.0.0.0 0.0.0.0 dialer 0 track 123
!
!
ip nat inside source route-map fixed-nat interface Dialer0 overload
ip nat inside source route-map dhcp-nat interface FastEthernet0 overload


!---Configure NAT overload (PAT) to use route-maps

!
!
ip sla 1
 icmp-echo 172.16.108.1 source-interface Dialer0
 timeout 1000
 threshold 40
 frequency 3

!---Configure an OER tracking entry to monitor the !---first ISP connection

!
! 
!
ip sla 2
 icmp-echo 172.16.106.1 source-interface FastEthernet0
 timeout 1000
 threshold 40
 frequency 3


!--- Configure a second OER tracking entry to monitor !---the second ISP connection

!
!
!
ip sla schedule 1 life forever start-time now
ip sla schedule 2 life forever start-time now


!---Set the SLA schedule and duration

!
! 
!
access-list 110 permit ip 192.168.108.0 0.0.0.255 any


!--- Define ACLs for traffic that will be !--- NATed to the ISP connections

!
! 
!
route-map fixed-nat permit 10
 match ip address 110
 match interface Dialer0
!
route-map dhcp-nat permit 10
 match ip address 110
 match interface FastEthernet0


!--- Route-maps associate NAT ACLs with NAT !--- outside on the ISP-facing interfaces

使用 DHCP 分配的路由跟踪：

interface FastEthernet0
 description Internet Intf
 ip dhcp client route track 123
 ip address dhcp
 ip nat outside
 ip virtual-reassembly
 speed 100
 full-duplex
 no cdp enable

验证

使用本部分可确认配置能否正常运行。

命令输出解释程序（仅限注册用户）(OIT) 支持某些 show 命令。使用 OIT 可查看对 show 命令输出的分析。

• show ip nat translation—显示 NAT 内部主机与 NAT 外部主机之间的 NAT 活动。此命令为转换为两个 NAT 外部地址的内部主机提供验证。

  Router#show ip nat tra
  Pro Inside global      Inside local       Outside local      Outside global
  tcp 172.16.108.44:54486 192.168.108.3:54486 172.16.104.10:22 172.16.104.10:22
  tcp 172.16.106.42:49620 192.168.108.3:49620 172.16.102.11:80 172.16.102.11:80
  tcp 172.16.108.44:1623 192.168.108.4:1623 172.16.102.11:445  172.16.102.11:445
  Router#

• show ip route—验证是否存在多个通往 Internet 的路由。

  Router#show ip route
  Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
         D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
         N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
         E1 - OSPF external type 1, E2 - OSPF external type 2
         i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
         ia - IS-IS inter area, * - candidate default, U - per-user static route
         o - ODR, P - periodic downloaded static route
  
  Gateway of last resort is 172.16.108.1 to network 0.0.0.0
  
  C    192.168.108.0/24 is directly connected, Vlan1
       172.16.0.0/24 is subnetted, 2 subnets
  C       172.16.108.0 is directly connected, FastEthernet4
  C       172.16.106.0 is directly connected, Vlan106
  S*   0.0.0.0/0 [1/0] via 172.16.108.1
                 [1/0] via 172.16.106.1

• show policy-map type inspect zone-pair sessions—显示专用区域主机和公共区域主机之间的防火墙检查活动。此命令为内部主机（作为与外部安全区中的服务进行通信的主机进行检查）上的通信提供验证。

故障排除

在您用 NAT 配置 Cisco IOS 路由器之后，如果连接还不能正常使用，请验证以下各项：

• 在外部和内部接口上正确应用了 NAT。

• NAT 配置已完成，并且 ACL 反映了必须进行 NAT 处理的流量。

• 存在多个通往 Internet/WAN 的路由。

• 如果使用了路由跟踪，请检查路由跟踪的状态，确保 Internet 连接是可用的。

• 防火墙策略准确反映了您希望允许通过路由器的流量的性质。

相关信息

• Cisco IOS 防火墙
• Cisco IOS IP 编址服务命令参考 - NAT 命令
• 区域策略防火墙设计和应用指南
• Cisco IOS 优化的边缘路由配置指南，12.4T 版
• 技术支持和文档 - Cisco Systems