Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Trabajo de VASI

Configurar

Diagrama de la red

Configuraciones iniciales

Configuración de la interfaz VASI

Configuración de NAT:

Situación 1: NAT en Vasiright

Situación 2: NAT en Vasileft

Verificación

Troubleshoot

Información Relacionada

Introducción

Este documento describe la configuración de la NAT VASI en los routers que ejecutan Cisco IOS-XE®.

Colaborado por Rohit Nair, ingeniero del TAC de Cisco.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware. Este documento se aplica a todos los routers y switches Cisco que ejecutan Cisco IOS-XE.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

Los dispositivos que se ejecutan en IOS-XE no admiten configuraciones clásicas de nat entre vrf como las que se encuentran en los dispositivos IOS. El soporte para NAT Inter-vrf en IOS-XE se logra a través de la implementación VASI.

VASI proporciona la capacidad de configurar servicios como IPsec, firewall y NAT para el tráfico que fluye entre instancias de VRF.

VASI se implementa mediante la configuración de pares VASI, donde cada una de las interfaces en el par se asocia con una instancia VRF diferente. La interfaz virtual VASI es la interfaz de salto siguiente para cualquier paquete que necesita ser conmutado entre estas dos instancias VRF. El emparejamiento se realiza automáticamente en función de los dos índices de interfaz de modo que la interfaz vasileft se empareje automáticamente a la interfaz vasiright. Cualquier paquete que entre en la interfaz vasileft se reenvía automáticamente a su interfaz vasiright emparejada.

Trabajo de VASI

Cuando se configura un VASI entre VRF en el mismo dispositivo, el flujo de paquetes ocurre en el siguiente orden:

1. Un paquete ingresa a la interfaz física que pertenece al VRF 1.

2. Antes de reenviar el paquete, se realiza una búsqueda de reenvío en la tabla de ruteo VRF 1. Vasileft1 se elige como salto siguiente y el valor de Tiempo de vida (TTL) se reduce del paquete. Normalmente, la dirección de reenvío se selecciona en función de la ruta predeterminada en el VRF. Sin embargo, la dirección de reenvío también puede ser una ruta estática o una ruta aprendida. El paquete se envía al trayecto de salida de vasileft1 y luego se envía automáticamente al trayecto de ingreso vasiright1.

3. Cuando el paquete ingresa en vasiright1, se realiza una búsqueda de reenvío en la tabla de ruteo VRF 2 y el TTL se disminuye de nuevo (segunda vez para este paquete).

4. VRF 2 reenvía el paquete a la interfaz física.

Configurar

Los siguientes escenarios describen la configuración básica de NAT entre vrf.

Diagrama de la red

Configuraciones iniciales

SanJosé:

interface GigabitEthernet0/0/0

ip address 192.168.1.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 192.168.1.2

Bombay:

vrf definition VRF_LEFT

rd 1:1

!

address-family ipv4

exit-address-family

vrf definition VRF_RIGHT

rd 2:2

!

address-family ipv4

exit-address-family

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

Sydney:

interface GigabitEthernet0/0/0

ip address 172.16.1.1 255.255.255.0

Configuración de la interfaz VASI

Cada interfaz VASI se emparejará a una instancia VRF diferente.

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

Configuración de NAT:

En este ejemplo, NAT se debe configurar con los siguientes requisitos:

1. NAT estática - La IP de origen de 192.168.1.1 debe traducirse a 172.16.1.5

2. NAT dinámica - La subred de origen de 192.168.1.0/24 debe traducirse a 172.16.1.5

Situación 1: NAT en Vasiright

En la mayoría de los casos, la interfaz WAN estaría en el VRF saliente, VRF_RIGHT en esta topología. En estos casos, NAT se puede configurar entre la interfaz de WAN y la interfaz de WAN; el tráfico que ingresa en la interfaz vasiright desde vasileft se configurará como NAT interna, mientras que la interfaz WAN sería la interfaz externa NAT.

En este escenario, utilizamos rutas estáticas para el tráfico entre los VRF. Se configura una ruta estática para la subred 172.16.0.0 de destino en VRF_LEFT que apunta a la interfaz vasileft y otra ruta para la subred de origen 192.168.0.0 en VRF_RIGHT que apunta a la interfaz vasiright.

Nota

No configure NAT para traducir la IP de origen a la IP de interfaz WAN; el router tratará el tráfico de retorno como destinado a sí mismo y no reenviará el tráfico a la interfaz vasi.

NAT estática:

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT

Verificación:

Bombay#sh ip nat translations vrf VRF_RIGHT

Pro        Inside global     Inside local       Outside local    Outside global

---        172.16.1.5        192.168.1.1        ---              ---

icmp       172.16.1.5:8      192.168.1.1:8      172.16.1.1:8     172.16.1.1:8

tcp        172.16.1.5:47491  192.168.1.1:47491  172.16.1.1:23    172.16.1.1:23

Total number of translations: 3

NAT dinámica:

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload

Verificación:

Bombay#sh ip nat translations

Pro      Inside global      Inside local         Outside local      Outside global

icmp     172.16.1.5:1       192.168.1.1:15       172.16.1.1:15      172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:58166    172.16.1.1:23      172.16.1.1:23

Total number of translations: 2

Situación 2: NAT en Vasileft

La NAT también se puede configurar únicamente en el lado izquierdo de la vasija, es decir, VRF_LEFT y tiene el tráfico NATTED antes de que se envíe a VRF_RIGHT. La interfaz entrante en VRF_LEFT se considerará como la interfaz interna NAT y vasileft 1 se configurará como la interfaz externa NAT.

En este escenario, utilizamos rutas estáticas para el tráfico entre los VRF. Se configura una ruta estática para la subred 172.16.0.0 de destino en VRF_LEFT que apunta a la interfaz vasileft y otra ruta para la IP 172.16.1.5 con natación de origen en VRF_RIGHT que apunta a la interfaz vasiright.

NAT estática:

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT

Verificación:

Bombay#sh ip nat translations vrf VRF_LEFT

Pro       Inside global        Inside local         Outside local      Outside global

---       172.16.1.5           192.168.1.1          ---                ---

icmp      172.16.1.5:5         192.168.1.1:5        172.16.1.1:5       172.16.1.1:5

tcp       172.16.1.5:35414     192.168.1.1:35414    172.16.1.1:23      172.16.1.1:23

Total number of translations: 3

NAT dinámica:

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_LEFT overload

Verificación:

Bombay#sh ip nat translations vrf VRF_LEFT

Pro      Inside global      Inside local        Outside local    Outside global

icmp     172.16.1.5:1       192.168.1.1:4       172.16.1.1:4     172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:27593   172.16.1.1:23    172.16.1.1:23

Total number of translations: 2

Verificación

1. Verifique si las rutas dinámicas/estáticas están configuradas para rutear el tráfico entre las dos instancias de VRF.

2. Verifique si NAT se ha configurado para el VRF correcto.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.

Información Relacionada

- Configuración de la Infraestructura de Software que Reconoce VRF