Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Konfigurationen

Überprüfung

Fehlerbehebung

Zusammenfassung

Zugehörige Informationen

Einleitung

In diesem Dokument wird eine Konfiguration beschrieben, die den Befehl ip nat outside source static verwendet und in der die IP-Pakete aus dem NAT-Prozess generiert werden.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in diesem Thema verfügen:

- NAT: Lokale und globale Definitionen

Verwendete Komponenten

Die Informationen in diesem Dokument beziehen sich auf Cisco Router der Serie 2500 mit Cisco IOS® Software, Version 12.2(27) .

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Hintergrundinformationen

Dieses Dokument enthält eine Beispielkonfiguration unter Verwendung des statischen Quellbefehls ip nat outside und eine kurze Beschreibung, was mit dem IP-Paket während des NAT-Prozesses passiert. Betrachten Sie die in diesem Dokument beschriebene Netzwerktopologie als Beispiel.

Konfigurieren

Hinweis: Verwenden Sie das Tool zur Befehlssuche, um zusätzliche Informationen zu den in diesem Dokument verwendeten Befehlen zu erhalten. Nur registrierte Cisco Benutzer haben Zugriff auf interne Tools und Informationen.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet.

Netzwerkdiagramm

Wenn Sie einen Ping von der Loopback1-Schnittstelle des Routers 2514W ausgeben, der an die Loopback0-Schnittstelle des Routers 2501E gerichtet ist, geschieht Folgendes:

- An der externen Schnittstelle (S1) des Routers 2514X wird das Ping-Paket mit der Quelladresse (SA) 172.16.89.32 und der Zieladresse (DA) 172.16.68.1 angezeigt.

- NAT übersetzt die SA in die externe lokale Adresse 172.16.68.5 (entsprechend dem statischen Quell-Befehl ip nat outside, der auf dem Router 2514X konfiguriert wurde).

- Anschließend überprüft der Router 2514X seine Routing-Tabelle auf eine Route zu 172.16.68.1.

- Wenn die Route nicht vorhanden ist, verwirft der Router 2514X das Paket. In diesem Fall hat der Router 2514X die Route 172.16.68.1 über die statische Route 172.31.1.0. Er leitet das Paket an das Ziel weiter.

- Router 2501E erkennt das Paket an seiner Eingangsschnittstelle (E0) mit einem SA von 172.16.68.5 und einem DA von 172.16.68.1.

- Es sendet eine Internet Control Message Protocol (ICMP)-Echoantwort an 172.16.68.5. Verfügt er nicht über eine Route, verwirft er das Paket.

- In diesem Fall hat es jedoch die (Standard-)Route.

- Daher sendet es ein Antwortpaket an den Router 2514X, mit einem SA von 172.16.68.1 und einem DA von 172.16.68.5.

- Router 2514X erkennt das Paket und sucht nach einer Route zur Adresse 172.16.68.5.

- Verfügt er nicht über eine solche, antwortet er mit einer ICMP-Antwort, die nicht erreichbar ist.

- In diesem Fall hat es eine Route zu 172.16.68.5 (aufgrund der statischen Route).

- Er übersetzt das Paket daher zurück an die Adresse 172.16.89.32 und leitet es über seine externe Schnittstelle (S1) weiter.

Konfigurationen

In diesem Dokument werden folgende Konfigurationen verwendet:

- Router 2514W

- Router 2514X

- Router 2501E

Router 2514W

hostname 2514W

!

!--- Output suppressed.

interface Loopback1

ip address 172.16.89.32 255.255.255.0

!

interface Ethernet1

no ip address

no ip mroute-cache

!

interface Serial0

ip address 172.16.191.254 255.255.255.252

no ip mroute-cache

!

!--- Output suppressed.

ip classless

ip route 0.0.0.0 0.0.0.0 172.16.191.253

!--- Default route to forward packets to 2514X.

!

!--- Output suppressed.

Router 2514X

hostname 2514X

!

!--- Output suppressed.

ip nat outside source static 172.16.89.32 172.16.68.5

!--- Outside local address.

!

!--- Output suppressed.

interface Ethernet1

ip address 172.31.192.202 255.255.255.0

ip nat inside

!--- Defines Ethernet 1 as a NAT inside interface.

no ip mroute-cache

no ip route-cache

!

interface Serial1

ip address 172.16.191.253 255.255.255.252

no ip route-cache

ip nat outside

!--- Defines Serial 1 as a NAT outside interface.

clockrate 2000000

!

!--- Output suppressed.

ip classless

ip route 172.31.1.0 255.255.255.0 172.31.192.201

ip route 172.31.16.0 255.255.255.0 172.16.191.254

!--- Static routes for reaching the loopback interfaces

!--- on 2514E and 2514W.

!

!--- Output suppressed.

Router 2501E

hostname rp-2501E

!

!--- Output suppressed.

interface Loopback0

ip address 172.16.68.1 255.255.255.0

!

interface Ethernet0

ip address 172.31.192.201 255.255.255.0

!

!--- Output suppressed.

ip classless

ip route 0.0.0.0 0.0.0.0 172.31.192.202

!--- Default route to forward packets to 2514X.

!

!--- Output suppressed.

Überprüfung

Hinweis: Nur registrierte Cisco Benutzer können auf interne Tools und Informationen zugreifen.

Verwenden Sie den Cisco CLI Analyzer, um eine Analyse der Ausgabe des Befehls show anzuzeigen. Der Cisco CLI Analyzer (OIT) unterstützt mehrere show-Befehle.

Verwenden Sie den Befehl show ip nat translation, um die Übersetzungseinträge zu überprüfen, wie diese Ausgabe zeigt:

2514X#show ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

--- ---                ---                172.16.68.5        172.16.89.32

2514X#

Fehlerbehebung

In diesem Beispiel wird NAT-Übersetzungsdebugging und IP-Paketdebugging verwendet, um den NAT-Prozess zu veranschaulichen.

Hinweis: Da die Debug-Befehle eine erhebliche Menge an Ausgabe generieren, sollten Sie sie nur dann verwenden, wenn der Datenverkehr im IP-Netzwerk gering ist, sodass andere Aktivitäten im System nicht beeinträchtigt werden.

Hinweis: Lesen Sie Wichtige Informationen zu Debugbefehlen, bevor Sie Debugbefehle verwenden.

Diese Ausgabe wird ausgegeben, wenn Sie die Befehle debug ip packet und debug ip nat gleichzeitig auf dem Router 2514X verwenden, während Sie einen Ping von der Loopback1-Schnittstellenadresse des Routers 2514W (172.16.89.32) an die Loopback0-Schnittstellenadresse des Routers 2501 senden. 72.16.68.1)

Diese Ausgabe zeigt das erste Paket, das an der externen Schnittstelle des Routers 2514X eingeht. Die Quelladresse von 172.16.89.32 wird in 172.16.68.5 umgewandelt. Das ICMP-Paket wird über die Ethernet1-Schnittstelle an das Ziel weitergeleitet.

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [171]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

Diese Ausgabe zeigt das von 172.16.68.1 stammende Rückpaket mit der Zieladresse 172.16.68.5, die in 172.16.89.32 umgewandelt wird. Das resultierende ICMP-Paket wird von der Serial1-Schnittstelle weitergeleitet.

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [171]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

Der Austausch von ICMP-Paketen wird fortgesetzt. Der NAT-Prozess für diese Debugausgabe ist mit der vorherigen Ausgabe identisch.

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [172]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [172]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [173]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [173]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [174]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [174]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [175]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [175]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

Zusammenfassung

Wenn das Paket von außen nach innen übertragen wird, erfolgt zuerst die Übersetzung, und anschließend wird die Routing-Tabelle auf das Ziel überprüft. Wenn das Paket von innen nach außen übertragen wird, wird zuerst die Routing-Tabelle auf das Ziel überprüft, und anschließend wird die Übersetzung durchgeführt. Weitere Informationen finden Sie unter "NAT Order of Operation" (Einsatzreihenfolge).

Nehmen Sie nicht den Teil des IP-Pakets, der übersetzt wird, wenn er mit jedem der vorherigen Befehle verwendet wird. Diese Tabelle enthält die Richtlinie:

Command

Aktion

ip nat außerhalb quelle statisch

- Übersetzt die Quelle der IP-Pakete, die von außen nach innen übertragen werden.

- Übersetzt das Ziel der IP-Pakete, die von innen nach außen übertragen werden.

ip nat inside source statisch

- Übersetzt die Quelle von IP-Paketen, die von innen nach außen übertragen werden.

- Übersetzt das Ziel der IP-Pakete, die von außen nach innen übertragen werden.

Diese Richtlinien weisen darauf hin, dass es mehr als eine Möglichkeit gibt, ein Paket zu übersetzen. Abhängig von Ihren spezifischen Anforderungen müssen Sie festlegen, wie die NAT-Schnittstellen (innen oder außen) definiert werden und welche Routen die Routing-Tabelle vor oder nach der Übersetzung enthält. Beachten Sie, dass der Teil des Pakets, der umgewandelt wird, von der Richtung abhängt, in die sich das Paket bewegt, und wie Sie NAT konfigurieren.

Zugehörige Informationen

- Beispielkonfiguration mit dem Befehl "ip nat outside source list"

- Konfiguration der Network Address Translation

- NAT IP-Adressierungsdienste

- Technischer Support und Downloads von Cisco