شكلت ودققت nat على مادة حفازة 9000 مفتاح

خيارات التنزيل

PDF (378.5 KB)
عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
ePub (147.7 KB)
العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
Mobi (Kindle) (137.8 KB)
عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة

تم التحديث:١١ مايو ٢٠٢٣

معرّف المستند:217419

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

معلومات أساسية

المكونات المستخدمة

المصطلح

الرسم التخطيطي للشبكة

التكوين

مثال على التكوينات

التحقق من NAT الثابت

التحقق من البرامج

التحقق من الأجهزة

التحقق من NAT الديناميكي

التحقق من البرامج

التحقق من الأجهزة

التحقق من الحمل الزائد الديناميكي ل NAT (PAT)

التحقق من البرامج

التحقق من الأجهزة

تصحيح أخطاء مستوى الحزمة

أستكشاف أخطاء NAT وإصلاحها

ترجمة العنوان فقط (AOT)

معلومات ذات صلة

المقدمة

يصف هذا وثيقة كيف أن يشكل ويصادق شبكة عنوان ترجمة (NAT) على المادة حفازة 9000 منصة.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

عنونة IP
قوائم التحكم في الوصول

معلومات أساسية

الحالة الأكثر شيوعا ل NAT هي للاستخدام في ترجمة مساحة شبكة IP الخاصة إلى عناوين إنترنت فريدة عالميا وقابلة للتوجيه.

يتطلب الجهاز الذي يقوم بتنفيذ NAT أن يكون لديك واجهة على الشبكة الداخلية (المحلية) وواجهة على الشبكة الخارجية (العامة).

يكون جهاز nat مسؤولا عن فحص حركة مرور المصدر لتحديد ما إذا كان يتطلب ترجمة استنادا إلى تكوين قواعد nat.

إن يتطلب ترجمة، الأداة يترجم المصدر محلي عنوان إلى عالمي فريد عنوان ويتتبع هذا في ه nat ترجمة طاولة.

عندما تعود الحزم مع عنوان موجه، يتحقق الجهاز من جدول NAT الخاص به لمعرفة ما إذا كانت هناك ترجمة أخرى مرتبة.

إذا كان الأمر كذلك، يقوم الموجه بترجمة العنوان العام الداخلي مرة أخرى إلى العنوان المحلي المناسب ويوجه الحزمة.

المكونات المستخدمة

مع cisco ios ® XE 16.12.1 nat الآن يتوفر على ترخيص ميزة الشبكة. ويتوفر هذا الخيار في جميع الإصدارات السابقة على ترخيص ميزة الحمض النووي (DNA).

المنصة	تقديم ميزة NAT
C9300	Cisco IOS® XE الإصدار 16.10.1
C9400	Cisco IOS® XE، الإصدار 17.1.1
C9500	Cisco IOS® XE الإصدار 16.5.1a
C9600	Cisco IOS® XE الإصدار 16.11.1

يستند هذا وثيقة إلى المادة حفازة 9300 منصة مع cisco IOS® XE صيغة 16.12.4

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المصطلح

NAT الثابت	يسمح بتعيين من 1 إلى 1 لعنوان محلي لعنوان عمومي.
NAT الديناميكي	تعيين العناوين المحلية إلى مجموعة من العناوين العالمية.
NAT الحمولة الزائدة	تعيين العناوين المحلية لعنوان عمومي واحد يستخدم منافذ L4 فريدة.
داخل المحلي	عنوان IP الذي تم تعيينه لمضيف على الشبكة الداخلية.
داخل العالمية	هذا هو عنوان IP للمضيف الداخلي كما يبدو على الشبكة الخارجية. يمكنك التفكير في هذا على أنه العنوان الذي تتم ترجمة الداخل المحلي إليه.
خارج النطاق المحلي	عنوان IP لمضيف خارجي كما يبدو على الشبكة الداخلية.
خارج النطاق العالمي	عنوان IP الذي يتم تعيينه لمضيف على الشبكة الخارجية. في معظم الحالات تكون العناوين الخارجية المحلية والخارجية العمومية هي نفسها.
إف مان-آر بي	مدير الميزات RP. هذا هو مستوى التحكم ل Cisco IOS® XE الذي يمرر معلومات البرمجة إلى FMAN-FP.
إف مان-fp	مدير الميزات FP. وتتلقى شركة FMAN-FP معلومات من شركة FMAN-RP وتمررها إلى بنك الاحتياطي الفيدرالي.
أطعمتما	برنامج تشغيل محرك إعادة التوجيه. يستخدم FMAN-FP FED لبرمجة المعلومات من مستوى التحكم إلى الدائرة المدمجة الخاصة بتطبيق مستوى بيانات الوصول الموحد (UADP).

الرسم التخطيطي للشبكة

Configure and Verify NAT on Catalyst 9000 Series Switches - Network Topology Diagram

التكوين

مثال على التكوينات

تشكيل ساكن إستاتيكي nat أن يترجم 192.168.1.100 (داخل محلي) إلى 172.16.10.10 (داخل شامل):

NAT-Device#show run interface te1/0/1
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/1
no switchport
ip address 192.168.1.1 255.255.255.0
ip nat inside                            <-- NAT inside interface
end

NAT-Device#show run interface te1/0/2
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/2
no switchport
ip address 10.10.10.1 255.255.255.0
ip nat outside                           <-- NAT outside interface 
end

ip nat inside source static 192.168.1.100 172.16.10.10               <-- static NAT rule

NAT-Device#show ip nat translations
Pro Inside global      Inside local      Outside local      Outside global
icmp 172.16.10.10:4    192.168.1.100:4   10.20.30.40:4      10.20.30.40:4    <-- active NAT translation
---  172.16.10.10      192.168.1.100     ---                ---              <-- static NAT translation added as a result of the configuration

تشكيل حركي nat لترجمة 192.168.1.0/24 إلى 172.16.10.1 - 172.16.10.30:

NAT-Device#show run interface te1/0/1
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/1
no switchport
ip address 192.168.1.1 255.255.255.0
ip nat inside                                <-- NAT inside interface
end

NAT-Device#show run interface te1/0/2
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/2
no switchport
ip address 10.10.10.1 255.255.255.0
ip nat outside                               <-- NAT outside interface
end
!
ip nat pool TAC-POOL 172.16.10.1 172.16.10.30 netmask 255.255.255.224      <-- NAT pool configuration
ip nat inside source list hosts pool TAC-POOL                              <-- NAT rule configuration
!
ip access-list standard hosts                                              <-- ACL to match hosts to be translated
10 permit 192.168.1.0 0.0.0.255

NAT-Device#show ip nat translations
Pro Inside global     Inside local     Outside local      Outside global
icmp 172.16.10.10:6   192.168.1.100:6  10.20.30.40:6      10.20.30.40:6
---  172.16.10.10     192.168.1.100    ---                ---

تشكيل تحميل زائد حركي nat (ضرب) أن يترجم 192.168.1.0/24 إلى 10.10.10.1 (ip nat خارجي قارن):

NAT-Device#show run interface te1/0/1
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/1
no switchport
ip address 192.168.1.1 255.255.255.0
ip nat inside                              <-- NAT inside interface 
end

NAT-Device#show run interface te1/0/2
Building configuration...

Current configuration : 109 bytes
!
interface TenGigabitEthernet1/0/2
no switchport
ip address 10.10.10.1 255.255.255.0
ip nat outside                            <-- NAT outside interface
end
!
ip nat inside source list hosts interface TenGigabitEthernet1/0/2 overload          <-- NAT configuration to use PAT
!
ip access-list standard hosts                                                       <-- ACL to match hosts for translation
 10 permit 192.168.1.0 0.0.0.255

لاحظ زيادات المنفذ على العنوان العام الداخلي بمقدار 1 لكل ترجمة:

NAT-Device#show ip nat translations
Pro Inside global      Inside local      Outside local      Outside global
icmp 10.10.10.1:1024   192.168.1.100:1   10.20.30.40:1        10.20.30.40:1024   <-- Notice layer 4 port increments
icmp 10.10.10.1:1025   192.168.1.100:2   10.20.30.40:2        10.20.30.40:1025   <-- Notice layer 4 port increments
icmp 10.10.10.1:1026   192.168.1.100:3   10.20.30.40:3        10.20.30.40:1026
icmp 10.10.10.1:1027   192.168.1.100:4   10.20.30.40:4        10.20.30.40:1027
icmp 10.10.10.1:1028   192.168.1.100:5   10.20.30.40:5        10.20.30.40:1028
icmp 10.10.10.1:1029   192.168.1.100:6   10.20.30.40:6        10.20.30.40:1029
icmp 10.10.10.1:1030   192.168.1.100:7   10.20.30.40:7        10.20.30.40:1030
icmp 10.10.10.1:1031   192.168.1.100:8   10.20.30.40:8        10.20.30.40:1031

10.10.10.1:1024 = inside global 
192.168.1.100:1 = inside local

التحقق من NAT الثابت

التحقق من البرامج

هو يتوقع أن يرى نصف من ترجمة مع ساكن إستاتيكي nat عندما هناك ما من تدفق نشط يترجم. عندما يصبح التدفق نشطا، يتم إنشاء ترجمة ديناميكية

NAT-Device#show ip nat translations
Pro Inside global      Inside local      Outside local      Outside global
icmp 172.16.10.10:10   192.168.1.100:10  10.20.30.40:10     10.20.30.40:10    <-- dynamic translation
---  172.16.10.10      192.168.1.100     ---                ---               <-- static configuration from NAT rule configuration

باستخدام الأمر show ip nat translations، يمكنك تحديد الوقت الذي تم فيه إنشاء التدفق ومقدار الوقت المتبقي على الترجمة.

NAT-Device#show ip nat translations verbose
Pro Inside global Inside local Outside local Outside global
icmp 172.16.10.10:10 192.168.1.100:10 10.20.30.40:10 10.20.30.40:10
create 00:00:13, use 00:00:13, left 00:00:46,                 <-- NAT timers
flags:
extended, use_count: 0, entry-id: 10, lc_entries: 0
--- 172.16.10.10 192.168.1.100 --- ---
create 00:09:47, use 00:00:13,
flags:
static, use_count: 1, entry-id: 9, lc_entries: 0

تحقق من إحصائيات nat. يتزايد عداد الوصول إلى NAT عندما يطابق التدفق قاعدة NAT ويتم إنشاؤه.

يتزايد عداد أخطاء NAT عندما تتطابق حركة مرور البيانات مع إحدى القواعد ولكن يتعذر علينا إنشاء الترجمة.

NAT-DEVICE#show ip nat statistics
Total active translations: 1 (1 static, 0 dynamic; 0 extended) <-- 1 static translation
Outside interfaces:
TenGigabitEthernet1/0/1            <-- NAT outside interface
Inside interfaces:
TenGigabitEthernet1/0/2            <-- NAT inside interface
Hits: 0 Misses: 0                  <-- NAT hit and miss counters. 
CEF Translated packets: 0, CEF Punted packets: 0
Expired translations: 0
Dynamic mappings:
-- Inside Source
[Id: 1] access-list hosts interface TenGigabitEthernet1/0/1 refcount 0

أن يقع الترجمة هناك يحتاج أن يكون تجاور إلى المصدر وغاية من ال nat تدفق. لاحظ معرف التجاور.

NAT-Device#show ip route 10.20.30.40
Routing entry for 10.20.30.40/32
Known via "static", distance 1, metric 0
Routing Descriptor Blocks:
* 10.10.10.2
Route metric is 0, traffic share count is 1

NAT-Device#show platform software adjacency switch active f0

Adjacency id: 0x29(41)              <-- adjacency ID
Interface: TenGigabitEthernet1/0/1, IF index: 52, Link Type: MCP_LINK_IP
Encap: 0:ca:e5:27:3f:e4:70:1f:53:0:b8:e4:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 192.168.1.100        <-- source adjacency
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 464, HW handle: (nil) (created)

Adjacency id: 0x24 (36)              <-- adjacency ID
Interface: TenGigabitEthernet1/0/2, IF index: 53, Link Type: MCP_LINK_IP
Encap: 34:db:fd:ee:ce:e4:70:1f:53:0:b8:d6:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 10.10.10.2              <-- next hop to 10.20.30.40
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 452, HW handle: (nil) (created)

nat يمكن مكنت debugs أن يدقق المفتاح يستلم حركة مرور وإذا هو يخلق nat تدفق

ملاحظة: لاحظ أن حركة مرور ICMP التي تكون خاضعة ل NAT يتم معالجتها دائما في البرنامج لذلك لا تظهر تصحيح أخطاء النظام الأساسي سجلات حركة مرور ICMP.

NAT-Device#debug ip nat detailed
IP NAT detailed debugging is on
NAT-Device#
*Mar 8 23:48:25.672: NAT: Entry assigned id 11                                   <-- receive traffic and flow created
*Mar 8 23:48:25.672: NAT: i: icmp (192.168.1.100, 11) -> (10.20.30.40, 11) [55]
*Mar 8 23:48:25.672: NAT: s=192.168.1.100->172.16.10.10, d=10.20.30.40 [55]NAT: dyn flow info download suppressed for flow 11 <-- source is translated
*Mar 8 23:48:25.673: NAT: o: icmp (10.20.30.40, 11) -> (172.16.10.10, 11) [55]
*Mar 8 23:48:25.674: NAT: s=10.20.30.40, d=172.16.10.10->192.168.1.100 [55]NAT: dyn flow info download suppressed for flow 11 <-- return source is translated
*Mar 8 23:48:25.675: NAT: i: icmp (192.168.1.100, 11) -> (10.20.30.40, 11) [56]

عندما تنتهي صلاحية التدفق أو يتم حذفه، سترى إجراء الحذف في تصحيح الأخطاء:

*Mar 31 17:58:31.344: FMANRP-NAT: Received flow data, action: DELETE <-- action is delete
*Mar 31 17:58:31.344: id 2, flags 0x1, domain 0
src_local_addr 192.168.1.100, src_global_addr 172.16.10.10, dst_local_addr 10.20.30.40,
dst_global_addr 10.20.30.40, src_local_port 31783, src_global_port 31783,
dst_local_port 23, dst_global_port 23,
proto 6, table_id 0 inside_mapping_id 0,
outside_mapping_id 0, inside_mapping_type 0,
outside_mapping_type 0

التحقق من الأجهزة

عندما شكلت ال nat قاعدة يكون الجهاز برمجت هذا قاعدة في TCAM تحت nat منطقة 5. تأكيد أن القاعدة مبرمجة في TCAM.

تكون المخرجات بصيغة سداسية عشرية، لذلك يلزم التحويل إلى عنوان IP.

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1
Printing entries for region NAT_1 (370) type 6 asic 3
========================================================
Printing entries for region NAT_2 (371) type 6 asic 3
========================================================
Printing entries for region NAT_3 (372) type 6 asic 3
========================================================
Printing entries for region NAT_4 (373) type 6 asic 3
========================================================
Printing entries for region NAT_5 (374) type 6 asic 3               <-- NAT Region 5
========================================================
TAQ-2 Index-128 (A:1,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 3300f000:00000000:00000000:00000000:00000000:00000000:00000000:ffffffff
Key1 21009000:00000000:00000000:00000000:00000000:00000000:00000000:c0a80164   <-- inside local IP address 192.168.1.100 in hex (c0a80164)
AD 10087000:00000073

TAQ-2 Index-129 (A:1,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0300f000:00000000:00000000:00000000:00000000:00000000:ffffffff:00000000
Key1 02009000:00000000:00000000:00000000:00000000:00000000:ac100a0a:00000000   <-- inside global IP address 172.16.10.10 in hex (ac100a0a)
AD 10087000:00000073

وأخيرا، عندما يصبح التدفق نشطا، يمكن التأكد من برمجة الأجهزة من خلال التحقق من TCAM ضمن منطقة NAT 1.

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1

Printing entries for region NAT_1 (370) type 6 asic 1              <-- NAT Region 1
========================================================
TAQ-2 Index-32 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:06005ac9:00000000:00000017:00000000:00000000:0a141e28:c0a80164
AD 10087000:000000b0

TAQ-2 Index-33 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:06000017:00000000:00005ac9:00000000:00000000:ac100a0a:0a141e28
AD 10087000:000000b1

Starting at Index-32 Key1 from right to left:

c0a80164 = 192.168.1.100 (Inside Local)
0a141e28 = 10.20.30.40 (Outside Global)
00000017 = 23 (TCP destination port)
06005ac9 = 06 for TCP and 5ac9 is 23241 which is source port from "show ip nat translations" of the inside host

Repeat the same for Index-33 which is the reverse translation:

0a141e28 = 10.20.30.40 (Outside Global)
ac100a0a = 172.16.10.10 (Inside Global)
00005ac9 = 23241 TCP Destination port
06000017 = 06 for TCP and 17 for TCP source port 23

التحقق من NAT الديناميكي

التحقق من البرامج

تأكيد تكوين تجمع العناوين الذي ستتم ترجمته داخل عناوين IP إليه.

يتيح هذا التكوين ترجمة الشبكة 192.168.1.0/24 إلى عناوين 172.16.10.1 إلى 172.16.10.254

NAT-Device#show run | i ip nat
ip nat inside                                                        <-- ip nat inside on inside interface
ip nat outside                                                       <-- ip nat outside on outside interface
ip nat pool MYPOOL 172.16.10.1 172.16.10.254 netmask 255.255.255.0   <-- Pool of addresses to translate to
ip nat inside source list hosts pool MYPOOL                          <-- Enables hosts that match ACL "hosts" to be translated to MYPOOL addresses

NAT-Device#show ip access-list 10 <-- ACL to match hosts to be translated
Standard IP access list 10
10 permit 192.168.1.0, wildcard bits 0.0.0.255
NAT-Device#

لاحظت مع حركي nat لا يخلق هو أي مدخل مع فقط التشكيل. يجب إنشاء تدفق نشط قبل ملء جدول الترجمة.

NAT-Device#show ip nat translations
<...empty...>

تحقق من إحصائيات nat. يتزايد عداد الوصول إلى NAT عندما يطابق التدفق قاعدة NAT ويتم إنشاؤه.

يتزايد عداد أخطاء NAT عندما تتطابق حركة مرور البيانات مع إحدى القواعد ولكن يتعذر علينا إنشاء الترجمة.

NAT-DEVICE#show ip nat statistics
Total active translations: 3794 (1 static, 3793 dynamic; 3793 extended)    <-- dynamic translations
Outside interfaces:
TenGigabitEthernet1/0/1           <-- NAT outside interface
Inside interfaces:
TenGigabitEthernet1/0/2           <-- NAT inside interface
Hits: 3793 Misses: 0              <-- 3793 hits
CEF Translated packets: 0, CEF Punted packets: 0
Expired translations: 0
Dynamic mappings:                 <-- rule for dynamic mappings
-- Inside Source
[Id: 1] access-list hosts interface TenGigabitEthernet1/0/1 refcount 3793    <-- NAT rule displayed

تأكيد التجاور للمصدر والوجهة موجود

NAT-Device#show platform software adjacency switch active f0
Number of adjacency objects: 4

Adjacency id: 0x24(36)               <-- adjacency ID
Interface: TenGigabitEthernet1/0/2, IF index: 53, Link Type: MCP_LINK_IP
Encap: 34:db:fd:ee:ce:e4:70:1f:53:0:b8:d6:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 10.10.10.2              <-- adjacency to destination 
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 449, HW handle: (nil) (created)

Adjacency id: 0x25 (37)              <-- adjacency ID
Interface: TenGigabitEthernet1/0/1, IF index: 52, Link Type: MCP_LINK_IP
Encap: 0:ca:e5:27:3f:e4:70:1f:53:0:b8:e4:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 192.168.1.100          <-- source adjacency
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 451, HW handle: (nil) (created)

بعد تأكيد التجاور إذا كانت هناك مشكلة مع NAT حاضر، يمكنك البدء مع تصحيح أخطاء NAT مستقل عن النظام الأساسي

NAT-Device#debug ip nat  
IP NAT debugging is on
NAT-Device#debug ip nat detailed
IP NAT detailed debugging is on

NAT-Device#show logging

*May 13 01:00:41.136: NAT: Entry assigned id 6
*May 13 01:00:41.136: NAT: Entry assigned id 7
*May 13 01:00:41.136: NAT: i: tcp (192.168.1.100, 48308) -> (10.20.30.40, 23) [30067]           <-- first packet ingress without NAT
*May 13 01:00:41.136: NAT: TCP Check for Limited ALG Support
*May 13 01:00:41.136: NAT: s=192.168.1.100->172.16.10.10, d=10.20.30.40 [30067]NAT: dyn flow info download suppressed for flow 7 <-- confirms source address translation
*May 13 01:00:41.136: NAT: attempting to setup alias for 172.16.10.10 (redundancy_name , idb NULL, flags 0x2), rg_id 0 tableid 0 use_tableid 0
*May 13 01:00:41.139: NAT: o: tcp (10.20.30.40, 23) -> (172.16.10.10, 48308) [40691]                                             <-- return packet from destination to be translated
*May 13 01:00:41.139: NAT: TCP Check for Limited ALG Support
*May 13 01:00:41.139: NAT: s=10.20.30.40, d=172.16.10.10->192.168.1.100 [40691]NAT: dyn flow info download suppressed for flow 7 <-- return packet is translated
*May 13 01:00:41.140: NAT: i: tcp (192.168.1.100, 48308) -> (10.20.30.40, 23) [30068]

أنت يستطيع أيضا صححت FMAN-RP nat عملية:

NAT-Device#debug platform software nat all
NAT platform all events debugging is on

Log Buffer (100000 bytes):

*May 13 01:04:16.098: FMANRP-NAT: Received flow data, action: ADD                <-- first packet in flow so we ADD an entry
*May 13 01:04:16.098: id 9, flags 0x1, domain 0
src_local_addr 192.168.1.100, src_global_addr 172.16.10.10, dst_local_addr 10.20.30.40, <-- verify inside local/global and outside local/global
dst_global_addr 10.20.30.40, src_local_port 32529, src_global_port 32529,
dst_local_port 23, dst_global_port 23,                                           <-- confirm ports, in this case they are for Telnet
proto 6, table_id 0 inside_mapping_id 1, 
outside_mapping_id 0, inside_mapping_type 2,
outside_mapping_type 0
*May 13 01:04:16.098: FMANRP-NAT: Created TDL message for flow info:
ADD id 9
*May 13 01:04:16.098: FMANRP-NAT: Sent TDL message for flow data config:
ADD id 9

*May 13 01:04:16.098: FMANRP-NAT: Received flow data, action: MODIFY            <-- subsequent packets are MODIFY
*May 13 01:04:16.098: id 9, flags 0x1, domain 0
src_local_addr 192.168.1.100, src_global_addr 172.16.10.10, dst_local_addr 10.20.30.40,
dst_global_addr 10.20.30.40, src_local_port 32529, src_global_port 32529,
dst_local_port 23, dst_global_port 23,
proto 6, table_id 0 inside_mapping_id 1,
outside_mapping_id 0, inside_mapping_type 2,
outside_mapping_type 0
*May 13 01:04:16.098: FMANRP-NAT: Created TDL message for flow info:
MODIFY id 9
*May 13 01:04:16.098: FMANRP-NAT: Sent TDL message for flow data config:
MODIFY id 9

إذا تمت إزالة القاعدة لأي سبب مثل انتهاء الصلاحية أو الإزالة اليدوية، يتم ملاحظة إجراء حذف:

*May 13 01:05:20.276: FMANRP-NAT: Received flow data, action: DELETE           <-- DELETE action
*May 13 01:05:20.276: id 9, flags 0x1, domain 0
src_local_addr 192.168.1.100, src_global_addr 172.16.10.10, dst_local_addr 10.20.30.40,
dst_global_addr 10.20.30.40, src_local_port 32529, src_global_port 32529,
dst_local_port 23, dst_global_port 23,
proto 6, table_id 0 inside_mapping_id 0,
outside_mapping_id 0, inside_mapping_type 0,
outside_mapping_type 0

التحقق من الأجهزة

فحصت إن ال nat أضفت قاعدة أن يطابق حركة مرور أن يكون ترجمت بشكل صحيح في جهاز تحت nat منطقة 5:

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1

Printing entries for region NAT_1 (370) type 6 asic 1        <<<< empty due to no active flow
========================================================
Printing entries for region NAT_2 (371) type 6 asic 1
========================================================
Printing entries for region NAT_3 (372) type 6 asic 1
========================================================
Printing entries for region NAT_4 (373) type 6 asic 1
========================================================
Printing entries for region NAT_5 (374) type 6 asic 1
========================================================
TAQ-2 Index-128 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0300f000:00000000:00000000:00000000:00000000:00000000:fffffff8:00000000 
Key1 02009000:00000000:00000000:00000000:00000000:00000000:ac100a00:00000000
AD 10087000:00000073

TAQ-2 Index-129 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 3300f000:00000000:00000000:00000000:00000000:00000000:00000000:ffffff00 
Key1 21009000:00000000:00000000:00000000:00000000:00000000:00000000:c0a80100  
AD 10087000:00000073

ffffff00 = 255.255.255.0 in hex
c0a80100 = 192.168.1.0 in hex which matches our network in the NAT ACL

أخيرا، أنت تحتاج أن يؤكد أن الترجمة النشطة برمجت بشكل صحيح في nat tcam منطقة 1

NAT-Device#show ip nat translations
Pro Inside global       Inside local        Outside local      Outside global
tcp 172.16.10.10:54854  192.168.1.100:54854 10.20.30.40:23     10.20.30.40:23
--- 172.16.10.10        192.168.1.100       ---                ---

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1

Printing entries for region NAT_1 (370) type 6 asic 1
========================================================
TAQ-2 Index-32 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:0600d646:00000000:00000017:00000000:00000000:0a141e28:c0a80164
AD 10087000:000000b0

TAQ-2 Index-33 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:06000017:00000000:0000d646:00000000:00000000:ac100a0a:0a141e28
AD 10087000:000000b1

Printing entries for region NAT_2 (371) type 6 asic 1
========================================================
Printing entries for region NAT_3 (372) type 6 asic 1
========================================================
Printing entries for region NAT_4 (373) type 6 asic 1
========================================================
Printing entries for region NAT_5 (374) type 6 asic 1
========================================================

Starting at Index-32 Key 1 from right to left:

c0a80164 - 192.168.1.100 (inside local)
0a141e28 - 10.20.30.40 (outside local/global)
00000017 - TCP port 23
0600d646 - 6 for TCP protocol and 54854 for TCP source port

Starting at Index-33 Key 1 from right to left

0a141e28 - 10.20.30.40 destination address
ac100a0a - 172.16.10.10 (inside global source IP address)
0000d646 - TCP source port
06000017 - TCP protocol 6 and 23 for the TCP destination port

التحقق من الحمل الزائد الديناميكي ل NAT (PAT)

التحقق من البرامج

ال log عملية أن يدقق ضرب ال نفس بما أن حركي nat. أنت فقط تحتاج أن يؤكد ال يصح أيسر ترجمة وأن الميناء يكون برمجت بشكل صحيح في جهاز.

يتحقق ضرب ب "الحمل الزائد" الكلمة المفتاح ألحقت إلى ال nat قاعدة.

NAT-Device#show run | i ip nat
ip nat inside                                                       <-- ip nat inside on NAT inside interface
ip nat outside                                                      <-- ip nat outside on NAT outside interface
ip nat pool MYPOOL 172.16.10.1 172.16.10.254 netmask 255.255.255.0  <-- Address pool to translate to
ip nat inside source list hosts pool MYPOOL overload                <-- Links ACL hosts to address pool

تأكيد التجاور للمصدر والوجهة موجود

NAT-Device#show ip route 10.20.30.40
Routing entry for 10.20.30.40/32
Known via "static", distance 1, metric 0
Routing Descriptor Blocks:
* 10.10.10.2
Route metric is 0, traffic share count is 1

NAT-Device#show platform software adjacency switch active f0
Number of adjacency objects: 4

Adjacency id: 0x24 (36)              <-- adjacency ID
Interface: TenGigabitEthernet1/0/2, IF index: 53, Link Type: MCP_LINK_IP
Encap: 34:db:fd:ee:ce:e4:70:1f:53:0:b8:d6:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 10.10.10.2             <-- adjacency to destination 
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 449, HW handle: (nil) (created)

Adjacency id: 0x25 (37)              <-- adjacency ID
Interface: TenGigabitEthernet1/0/1, IF index: 52, Link Type: MCP_LINK_IP
Encap: 0:ca:e5:27:3f:e4:70:1f:53:0:b8:e4:8:0
Encap Length: 14, Encap Type: MCP_ET_ARPA, MTU: 1500
Flags: no-l3-inject
Incomplete behavior type: None
Fixup: unknown
Fixup_Flags_2: unknown
Nexthop addr: 192.168.1.100          <--  source adjacency
IP FRR MCP_ADJ_IPFRR_NONE 0
aom id: 451, HW handle: (nil) (created)

تأكد من إضافة الترجمة إلى جدول الترجمة عندما يكون التدفق نشطا. لاحظت مع ضرب لا هناك نصف مدخل يخلق بما أن هو مع حركي nat.

تعقب أرقام المنافذ على العناوين العامة الداخلية المحلية والداخلية.

NAT-Device#show ip nat translations
Pro Inside global      Inside local        Outside local      Outside global
tcp 172.16.10.10:1024  192.168.1.100:52448 10.20.30.40:23     10.20.30.40:23

تحقق من إحصائيات nat. يتزايد عداد الوصول إلى NAT عندما يطابق التدفق قاعدة NAT ويتم إنشاؤه.

يتزايد عداد أخطاء NAT عندما تتطابق حركة مرور البيانات مع إحدى القواعد ولكن يتعذر علينا إنشاء الترجمة.

NAT-DEVICE#show ip nat statistics
Total active translations: 3794 (1 static, 3793 dynamic; 3793 extended) <-- dynamic translations
Outside interfaces:
TenGigabitEthernet1/0/1                          <-- NAT outside interface
Inside interfaces:
TenGigabitEthernet1/0/2                          <-- NAT inside interface
Hits: 3793 Misses: 0                             <-- 3793 hits
CEF Translated packets: 0, CEF Punted packets: 0
Expired translations: 0
Dynamic mappings:                                <-- rule for dynamic mappings
-- Inside Source
[Id: 1] access-list hosts interface TenGigabitEthernet1/0/1 refcount 3793 <-- NAT rule displayed

تظهر تصحيح أخطاء NAT المستقلة عن النظام الأساسي ترجمة المنفذ التي تحدث:

NAT-Device#debug ip nat detailed
IP NAT detailed debugging is on
NAT-Device#debug ip nat
IP NAT debugging is on

NAT-device#show logging

Log Buffer (100000 bytes):

*May 18 23:52:20.296: NAT: address not stolen for 192.168.1.100, proto 6 port 52448
*May 18 23:52:20.296: NAT: Created portlist for proto tcp globaladdr 172.16.10.10
*May 18 23:52:20.296: NAT: Allocated Port for 192.168.1.100 -> 172.16.10.10: wanted 52448 got 1024<-- confirms PAT is used
*May 18 23:52:20.296: NAT: Entry assigned id 5
*May 18 23:52:20.296: NAT: i: tcp (192.168.1.100, 52448) -> (10.20.30.40, 23) [63338]
*May 18 23:52:20.296: NAT: TCP Check for Limited ALG Support
*May 18 23:52:20.296: NAT: TCP s=52448->1024, d=23                                            <-- confirms NAT overload with PAT
*May 18 23:52:20.296: NAT: s=192.168.1.100->172.16.10.10, d=10.20.30.40 [63338]NAT: dyn flow info download suppressed for flow 5 <-- shows inside translation
*May 18 23:52:20.297: NAT: attempting to setup alias for 172.16.10.10 (redundancy_name , idb NULL, flags 0x2), rg_id 0 tableid 0 use_tableid 0
*May 18 23:52:20.299: NAT: o: tcp (10.20.30.40, 23) -> (172.16.10.10, 1024) [55748]
*May 18 23:52:20.299: NAT: TCP Check for Limited ALG Support
*May 18 23:52:20.299: NAT: TCP s=23, d=1024->52448                                            <-- shows PAT on return traffic
*May 18 23:52:20.299: NAT: s=10.20.30.40, d=172.16.10.10->192.168.1.100 [55748]NAT: dyn flow info download suppressed for flow 5

NAT-Device#debug platform software nat all
NAT platform all events debugging is on
NAT-Device#

*May 18 23:52:20.301: FMANRP-NAT: Received flow data, action: ADD               <-- first packet in flow ADD operation
*May 18 23:52:20.301: id 5, flags 0x5, domain 0
src_local_addr 192.168.1.100, src_global_addr 172.16.10.10, dst_local_addr 10.20.30.40, <-- source translation
dst_global_addr 10.20.30.40, src_local_port 52448, src_global_port 1024,           <-- port translation
dst_local_port 23, dst_global_port 23,
proto 6, table_id 0 inside_mapping_id 1,
outside_mapping_id 0, inside_mapping_type 2,
outside_mapping_type 0
<snip>

التحقق من الأجهزة

تأكيد تثبيت قاعدة NAT بشكل صحيح مع الجهاز تحت منطقة NAT 5

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1

Printing entries for region NAT_1 (370) type 6 asic 1     <-- NAT_1 empty due to no active flow
========================================================
Printing entries for region NAT_2 (371) type 6 asic 1
========================================================
Printing entries for region NAT_3 (372) type 6 asic 1
========================================================
Printing entries for region NAT_4 (373) type 6 asic 1
========================================================
Printing entries for region NAT_5 (374) type 6 asic 1
========================================================
TAQ-2 Index-128 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0300f000:00000000:00000000:00000000:00000000:00000000:fffffffc:00000000
Key1 02009000:00000000:00000000:00000000:00000000:00000000:ac100a00:00000000
AD 10087000:00000073

TAQ-2 Index-129 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 3300f000:00000000:00000000:00000000:00000000:00000000:00000000:ffffff00 
Key1 21009000:00000000:00000000:00000000:00000000:00000000:00000000:c0a80100  
AD 10087000:00000073

ffffff00 = 255.255.255.0 in hex for our subnet mask in NAT ACL
c0a80100 = 192.168.1.0 in hex for our network address in NAT ACL

أخيرا أنت يستطيع فحصت ال NAT برمجت تدفق داخل جهاز TCAM تحت NAT_Region 1 عندما التدفق يكون نشط

NAT-Device#show ip nat translations
Pro Inside global      Inside local        Outside local  Outside global
tcp 172.16.10.10:1024  192.168.1.100:20027 10.20.30.40:23 10.20.30.40:23

NAT-Device#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1

Printing entries for region NAT_1 (370) type 6 asic 1          <-- NAT region 1
========================================================
TAQ-2 Index-32 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:06004e3b:00000000:00000017:00000000:00000000:0a141e28:c0a80164
AD 10087000:000000b0

TAQ-2 Index-33 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0000f000:ff00ffff:00000000:0000ffff:00000000:00000000:ffffffff:ffffffff
Key1 00009000:06000017:00000000:00000400:00000000:00000000:0a141e28:0a141e28
AD 10087000:000000b1

Starting at Index-32 Key1 from right to left:
c0a80164 - 192.168.1.100 (inside local source address)
0a141e28 - 10.20.30.40 (inside global address/outside local address)
00000017 - 23 (TCP destination port)
06004e3b - TCP source port 20027 (4e3b) and TCP protocol 6

Starting at Index-33 Key1 from right to left:

0a141e28 - 10.20.30.40 (outside global address/outside local address)
ac100a0a - 172.16.10.10 (inside global)
00000400 - TCP inside global source port 1024
06000017 - TCP protocol 6 and TCP source port 23

تصحيح أخطاء مستوى الحزمة

يجب تجربة الحزمة الأولى في تدفق يتوافق مع قاعدة NAT في الجهاز على وحدة المعالجة المركزية الخاصة بالجهاز لمعالجتها. لعرض مخرجات تصحيح الأخطاء المرتبطة بمسار مثقب، يمكنك تمكين تتبع مسار مثقب FED من مستوى تصحيح الأخطاء لضمان توجيه الحزمة للضربات. تنتقل حركة مرور NAT التي تحتاج إلى موارد وحدة المعالجة المركزية (CPU) إلى قائمة انتظار وحدة المعالجة المركزية (CPU) لحركة مرور بيانات العبور.

تحقق مما إذا كانت قائمة انتظار وحدة المعالجة المركزية (CPU) لحركة مرور النقل ترى الحزم يتم انتقامها بشكل نشط.

NAT-DEVICE#show platform software fed switch active punt cpuq clear <-- clear statistics

NAT-DEVICE#show platform software fed switch active punt cpuq 18    <-- transit traffic queue
Punt CPU Q Statistics
===========================================

CPU Q Id : 18
CPU Q Name : CPU_Q_TRANSIT_TRAFFIC
Packets received from ASIC : 0                                      <-- no punt traffic for NAT
Send to IOSd total attempts : 0
Send to IOSd failed count : 0
RX suspend count : 0
RX unsuspend count : 0
RX unsuspend send count : 0
RX unsuspend send failed count : 0
RX consumed count : 0
RX dropped count : 0
RX non-active dropped count : 0
RX conversion failure dropped : 0
RX INTACK count : 0
RX packets dq'd after intack : 0
Active RxQ event : 0
RX spurious interrupt : 0
RX phy_idb fetch failed: 0
RX table_id fetch failed: 0
RX invalid punt cause: 0

Replenish Stats for all rxq:
-------------------------------------------
Number of replenish : 0
Number of replenish suspend : 0
Number of replenish un-suspend : 0
-------------------------------------------

NAT-DEVICE#show platform software fed switch active punt cpuq 18     <-- after new translation
Punt CPU Q Statistics
===========================================

CPU Q Id : 18
CPU Q Name : CPU_Q_TRANSIT_TRAFFIC
Packets received from ASIC : 5                                       <-- confirms the UADP ASIC punts to CPU to create translation
Send to IOSd total attempts : 5
Send to IOSd failed count : 0
RX suspend count : 0
RX unsuspend count : 0
RX unsuspend send count : 0
RX unsuspend send failed count : 0
RX consumed count : 0
RX dropped count : 0
RX non-active dropped count : 0
RX conversion failure dropped : 0
RX INTACK count : 5
RX packets dq'd after intack : 0
Active RxQ event : 5
RX spurious interrupt : 0
RX phy_idb fetch failed: 0
RX table_id fetch failed: 0
RX invalid punt cause: 0

Replenish Stats for all rxq:
-------------------------------------------
Number of replenish : 18
Number of replenish suspend : 0
Number of replenish un-suspend : 0
-------------------------------------------

أستكشاف أخطاء NAT وإصلاحها

دعم الأجهزة الحالي للحد الأقصى من إدخالات NAT TCAM كما هو موضح في الجدول:

ملاحظة: تتطلب كل ترجمة NAT نشطة إدخالين TCAM.

المنصة	الحد الأقصى لعدد إدخالات TCAM
Catalyst 9300	5000
Catalyst 9400	14000
Catalyst 9500	14000
الأداء العالي Catalyst 9500	15500
Catalyst 9600	15500

إن يشك أنت إصدار مع مقياس، أنت يستطيع أكدت الرقم من المجموع TCP/UDP nat ترجمة أن يتحقق مقابل منصة حد.

NAT-Device#show ip nat translations | count tcp
Number of lines which match regexp = 621            <-- current number of TCP translations
NAT-Device#show ip nat translations | count udp
Number of lines which match regexp = 4894           <-- current number of UDP translations

إن يستنفذ أنت ك NAT TCAM مجال بعد ذلك ال nat وحدة نمطية في المفتاح جهاز يعجز أن يعالج هذا ترجمة. في هذا السيناريو، يتم إخضاع حركة مرور البيانات التي تخضع لترجمة NAT إلى وحدة المعالجة المركزية الخاصة بالجهاز المراد معالجتها.

يمكن أن يتسبب ذلك في زمن وصول، ويمكن تأكيده عبر عمليات إسقاط هذه الزيادة في قائمة انتظار بوليسي مستوى التحكم، والتي تكون مسؤولة عن حركة مرور بيانات nat. قائمة انتظار وحدة المعالجة المركزية (CPU) التي تنتقل إليها حركة مرور NAT هي "حركة مرور النقل".

NAT-Device#show platform hardware fed switch active qos queue stats internal cpu policer

                         CPU Queue Statistics
============================================================================================
                                              (default) (set)     Queue        Queue
QId PlcIdx  Queue Name                Enabled   Rate     Rate      Drop(Bytes)  Drop(Frames)
--------------------------------------------------------------------------------------------
<snip>
14   13     Sw forwarding               Yes     1000      1000     0            0 
15   8      Topology Control            Yes     13000     16000    0            0 
16   12     Proto Snooping              Yes     2000      2000     0            0 
17   6      DHCP Snooping               Yes     500       500      0            0 
18   13     Transit Traffic             Yes     1000      1000     34387271     399507 <-- drops for NAT traffic headed towards the CPU
19   10     RPF Failed                  Yes     250       250      0            0 
20   15     MCAST END STATION           Yes     2000      2000     0            0 
<snip>

تأكيد مساحة NAT TCAM المتوفرة في التعليمات البرمجية 17.x. هذا إنتاج من 9300 مع ال nat قالب نشط لذلك المساحة الأقصى.

NAT-DEVICE#show platform hardware fed switch active fwd-asic resource tcam utilization
Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]
Table                  Subtype      Dir      Max     Used    %Used       V4       V6     MPLS    Other
------------------------------------------------------------------------------------------------------
Mac Address Table      EM           I       32768       22    0.07%       0        0         0       22
Mac Address Table      TCAM         I        1024       21    2.05%       0        0         0       21
L3 Multicast           EM           I        8192        0    0.00%       0        0         0        0
L3 Multicast           TCAM         I         512        9    1.76%       3        6         0        0
L2 Multicast           EM           I        8192        0    0.00%       0        0         0        0
L2 Multicast           TCAM         I         512       11    2.15%       3        8         0        0
IP Route Table         EM           I       24576       16    0.07%      15        0         1        0
IP Route Table         TCAM         I        8192       25    0.31%      12       10         2        1
QOS ACL                TCAM         IO       1024       85    8.30%      28       38         0       19
Security ACL           TCAM         IO       5120      148    2.89%      27       76         0       45
Netflow ACL            TCAM         I         256        6    2.34%       2        2         0        2
PBR ACL                TCAM         I        5120       24    0.47%      18        6         0        0 <-- NAT usage in PBR TCAM
Netflow ACL            TCAM         O         768        6    0.78%       2        2         0        2
Flow SPAN ACL          TCAM         IO       1024       13    1.27%       3        6         0        4
Control Plane          TCAM         I         512      281   54.88%     130      106         0       45
Tunnel Termination     TCAM         I         512       18    3.52%       8       10         0        0
Lisp Inst Mapping      TCAM         I         512        1    0.20%       0        0         0        1
Security Association   TCAM         I         256        4    1.56%       2        2         0        0
Security Association   TCAM         O         256        5    1.95%       0        0         0        5
CTS Cell Matrix/VPN
Label                  EM           O        8192        0    0.00%       0        0         0        0
CTS Cell Matrix/VPN
Label                  TCAM         O         512        1    0.20%       0        0         0        1
Client Table           EM           I        4096        0    0.00%       0        0         0        0
Client Table           TCAM         I         256        0    0.00%       0        0         0        0
Input Group LE         TCAM         I        1024        0    0.00%       0        0         0        0
Output Group LE        TCAM         O        1024        0    0.00%       0        0         0        0
Macsec SPD             TCAM         I         256        2    0.78%       0        0         0        2

تأكيد مساحة NAT TCAM المتوفرة في التعليمات البرمجية 16.x. هذا الإخراج من 9300 مع قالب وصول SDM لذلك لا يتم زيادة المساحة المتاحة لإدخالات NAT TCAM إلى الحد الأقصى.

NAT-DEVICE#show platform hardware fed switch active fwd-asic resource tcam utilization
CAM Utilization for ASIC [0]
 Table                                              Max Values        Used Values
--------------------------------------------------------------------------------
Unicast MAC addresses                                32768/1024        20/21
L3 Multicast entries                                  8192/512          0/9
L2 Multicast entries                                  8192/512          0/11
Directly or indirectly connected routes              24576/8192         5/23
QoS Access Control Entries                            5120             85
Security Access Control Entries                       5120            145
Ingress Netflow ACEs                                   256             8
Policy Based Routing ACEs                             1024            24 <-- NAT usage in PRB TCAM
Egress Netflow ACEs                                    768             8
Flow SPAN ACEs                                        1024            13
Control Plane Entries                                  512           255
Tunnels                                                512            17
Lisp Instance Mapping Entries                         2048             3
Input Security Associations                            256             4
SGT_DGT                                               8192/512         0/1
CLIENT_LE                                             4096/256         0/0
INPUT_GROUP_LE                                        1024             0
OUTPUT_GROUP_LE                                       1024             0
Macsec SPD                                             256             2

يمكن زيادة مساحة الأجهزة المتوفرة ل NAT TCAM من خلال التغيير إلى قالب إدارة قاعدة بيانات المحول (SDM) لتفضيل NAT. وهذا يحدد دعم الأجهزة للحد الأقصى من إدخالات TCAM.

NAT-Device#conf t
Enter configuration commands, one per line. End with CNTL/Z.
NAT-Device(config)#sdm prefer nat

إذا قمت بمقارنة إدارة قاعدة بيانات المحول (SDM) قبل وبعد التحويل إلى قالب NAT، فيمكنك تأكيد إستبدال مساحة TCAM القابلة للاستخدام لإدخالات التحكم في الوصول إلى جودة الخدمة (QoS) ووحدات التحكم في الوصول (ACEs) المستندة إلى السياسة.

PBR TCAM حيث تتم برمجة NAT.

NAT-Device#show sdm prefer
Showing SDM Template Info

This is the Access template.
Number of VLANs: 4094
Unicast MAC addresses: 32768
Overflow Unicast MAC addresses: 1024
L2 Multicast entries: 8192
Overflow L2 Multicast entries: 512
L3 Multicast entries: 8192
Overflow L3 Multicast entries: 512
Directly connected routes: 24576
Indirect routes: 8192
Security Access Control Entries: 5120
QoS Access Control Entries: 5120
Policy Based Routing ACEs: 1024         <-- NAT 
<...snip...>

NAT-Device#show sdm prefer
Showing SDM Template Info

This is the NAT template.
Number of VLANs: 4094
Unicast MAC addresses: 32768
Overflow Unicast MAC addresses: 1024
L2 Multicast entries: 8192
Overflow L2 Multicast entries: 512
L3 Multicast entries: 8192
Overflow L3 Multicast entries: 512
Directly connected routes: 24576
Indirect routes: 8192
Security Access Control Entries: 5120
QoS Access Control Entries: 1024
Policy Based Routing ACEs: 5120       <-- NAT
<snip>

ترجمة العنوان فقط (AOT)

AOT هي آلية يمكن إستخدامها عندما يكون متطلب ل NAT أن يترجم فقط العنوان مجال ولا الطبقة 4 ميناء من التدفق. إذا كان هذا يفي بالمتطلبات، فيمكن أن يزيد AOT بشكل كبير عدد التدفقات التي سيتم ترجمتها وإعادة توجيهها في الأجهزة.

وتكون AOT أكثر فعالية عندما تكون معظم تدفقات NAT موجهة إلى مجموعة واحدة أو صغيرة من الوجهات.
يتم تعطيل AOT بشكل افتراضي. بعد تمكينها، مطلوب مسح ترجمات NAT الحالية.

ملاحظة: يتم دعم AOT فقط مع NAT الثابت و NAT الديناميكي الذي لا يتضمن PAT.

هذا يعني أن تكوينات NAT الوحيدة الممكنة التي تسمح ب AOT هي:

#ip nat inside source static <source> <destination>
#ip nat inside source list <list> pool <pool name>

يمكنك تمكين AOT باستخدام هذا الأمر:

NAT-Device(config)#no ip nat create flow-entries

تأكد من برمجة قاعدة AOT NAT بشكل صحيح. هذا إنتاج من ساكن إستاتيكي nat ترجمة.

NAT-DEVICE#show running-config | include ip nat
ip nat outside
ip nat inside
no ip nat create flow-entries                              <-- AOT enabled
ip nat inside source static 10.10.10.100 172.16.10.10      <-- static NAT enabled

NAT-DEVICE#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1
Printing entries for region NAT_1 (376) type 6 asic 1
========================================================
Printing entries for region NAT_2 (377) type 6 asic 1
========================================================
Printing entries for region NAT_3 (378) type 6 asic 1
========================================================
Printing entries for region NAT_4 (379) type 6 asic 1
========================================================
Printing entries for region NAT_5 (380) type 6 asic 1
========================================================
TAQ-1 Index-864 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 3300f000:00000000:00000000:00000000:00000000:00000000:00000000:ffffffff
Key1 21009000:00000000:00000000:00000000:00000000:00000000:00000000:0a0a0a64
AD 10087000:00000073

TAQ-1 Index-865 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0300f000:00000000:00000000:00000000:00000000:00000000:ffffffff:00000000
Key1 02009000:00000000:00000000:00000000:00000000:00000000:ac100a0a:00000000
AD 10087000:00000073

0a0a0a64 = 10.10.10.100 (inside local)
ac100a0a = 172.16.10.10 (inside global)

تحقق من إدخال AOT في TCAM من خلال التأكيد على أنه تتم برمجة عنوان IP للمصدر والوجهة فقط عندما يصبح التدفق نشطا.

NAT-DEVICE#show platform hardware fed switch active fwd-asic resource tcam table pbr record 0 format 0 | begin NAT_1
Printing entries for region NAT_1 (376) type 6 asic 1
========================================================
Printing entries for region NAT_2 (377) type 6 asic 1
========================================================
TAQ-1 Index-224 (A:0,C:1) Valid StartF-1 StartA-1 SkipF-0 SkipA-0
Mask1 0000f000:00000000:00000000:00000000:00000000:00000000:ffffffff:ffffffff
Key1 00009000:00000000:00000000:00000000:00000000:00000000:c0a80164:0a0a0a64 <-- no L4 ports, only source and destination IP is programmed
AD 10087000:000000b2

TAQ-1 Index-225 (A:0,C:1) Valid StartF-0 StartA-0 SkipF-0 SkipA-0
Mask1 0000f000:00000000:00000000:00000000:00000000:00000000:ffffffff:00000000
Key1 00009000:00000000:00000000:00000000:00000000:00000000:ac100a0a:00000000
AD 10087000:000000b3

0a0a0a64 = 10.10.10.100 in hex (inside local IP address)
c0a80164 = 192.168.1.100 in hex (outside local/outside global)
ac100a0a = 172.16.10.10 (inside global)

معلومات ذات صلة

داخلي من Cisco معلومات

CSCvz46804 تحسين لإضافة syslog عند استنفاد موارد NAT TCAM أو عندما يكون إدخال NAT غير قادر على أن تتم برمجته بنجاح.

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
4.0	11-May-2023	تقويم
3.0	08-Oct-2021	الإصدار 1.1: تحرير القوائم البيضاء وقوائم التحكم في الوصول وعنونة IP المتغيرة من قائمة رقمية إلى قائمة تعداد نقطي.
2.0	29-Sep-2021	تغييرات بسيطة في التنسيق، لا يوجد محتوى جديد.
1.0	29-Sep-2021	الإصدار الأولي

تمت المساهمة بواسطة مهندسو Cisco

Brandon Wall
Cisco TAC

هل كان هذا المستند مفيدًا؟

التعليقات

اتصل بنا

فتح حالة دعم
(تتطلب عقد خدمة Cisco)

شكلت ودققت nat على مادة حفازة 9000 مفتاح

خيارات التنزيل

لغة خالية من التحيز

حول هذه الترجمة

المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

معلومات أساسية

المكونات المستخدمة

المصطلح

الرسم التخطيطي للشبكة

التكوين

مثال على التكوينات

التحقق من NAT الثابت

التحقق من البرامج

التحقق من الأجهزة

التحقق من NAT الديناميكي

التحقق من البرامج

التحقق من الأجهزة

التحقق من الحمل الزائد الديناميكي ل NAT (PAT)

التحقق من البرامج

التحقق من الأجهزة

تصحيح أخطاء مستوى الحزمة

أستكشاف أخطاء NAT وإصلاحها

ترجمة العنوان فقط (AOT)

معلومات ذات صلة

محفوظات المراجعة

تمت المساهمة بواسطة مهندسو Cisco

هل كان هذا المستند مفيدًا؟

اتصل بنا

ينطبق هذا المستند على هذه المنتجات