Configuración de la Traducción de dirección de red y la Traducción de direcciones de puerto estáticas para la admisión de un servidor Web interno.

Introducción

Cisco IOS® Network Address Translation (NAT) está diseñada para la simplificación y conservación de direcciones IP. Permite que se conecten a Internet internetworks IP privadas que utilizan direcciones IP no registradas. NAT funciona en un router Cisco que conecta dos redes, y traduce las direcciones privadas (locales internas) de la red interna en direcciones públicas (locales externas) antes de que los paquetes se remitan a otra red. Como parte de esta funcionalidad, puede configurar NAT de modo que anuncie únicamente una dirección para toda la red al mundo exterior. Esto oculta al mundo la red interna con eficacia. Por lo tanto, proporciona una seguridad complementaria.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

Convenciones

For more information on document conventions, refer to the Cisco Technical Tips Conventions.

Antecedentes

Una de las características principales de NAT es la traducción de direcciones de puerto (PAT) estática, que también se conoce como "sobrecarga" en una configuración de Cisco IOS. La PAT estática está diseñada para permitir la asignación uno a uno entre direcciones locales y globales. Un uso común de la PAT estática consiste en permitir que los usuarios de Internet de la red pública accedan a un servidor Web ubicado en la red privada.

Para obtener más información sobre NAT, consulte las páginas de Soporte Técnico de NAT.

Esta tabla muestra los tres bloques de espacio de direcciones IP disponibles para las redes privadas. Consulte RFC 1918 para obtener más detalles sobre estas redes especiales.

Nota: El primer bloque no es más que un único número de red de clase A, mientras que el segundo bloque es un conjunto de 16 números de red de clase B contiguos y el tercer bloque es un conjunto de 256 números de red de clase C contiguos.

En este ejemplo, el proveedor de servicios de Internet (ISP) asigna al suscriptor DSL una única dirección IP, 171.68.1.1/24. La dirección IP asignada es una dirección IP única registrada y se denomina dirección global interna. Esta dirección IP registrada es utilizada por toda la red privada para navegar por Internet y también por los usuarios de Internet que provienen de la red pública para alcanzar el servidor Web en la red privada.

La LAN privada, 192.168.0.0/24, está conectada a la interfaz Ethernet del router NAT. Esta LAN privada contiene varios PC y un servidor Web. El router NAT está configurado para traducir las direcciones IP no registradas (dentro de las direcciones locales) que provienen de estos PC a una única dirección IP pública (dentro de global - 171.68.1.1) para navegar por Internet.

La dirección IP 192.168.0.5 (servidor Web) es una dirección del espacio de direcciones privadas que no se puede enrutar a Internet. La única dirección IP visible para que los usuarios de Internet pública alcancen el servidor Web es 171.68.1.1. Por lo tanto, el router NAT está configurado para realizar una asignación uno a uno entre la dirección IP 171.68.1.1, puerto 80 (el puerto 80 se utiliza para navegar por Internet) y el puerto 80 192.168.0.5. Esta asignación permite a los usuarios de Internet del lado público tener acceso al servidor Web interno.

Esta topología de red y configuración de muestra se pueden utilizar para Cisco 827, 1417, SOHO77 y 1700/2600/3600 ADSL WIC. A modo de ejemplo, en este documento se utiliza el Cisco 827.

Configurar

En esta sección, se presenta la información que puede utilizar para configurar las funciones descritas en este documento.

Nota: Para encontrar información adicional sobre los comandos utilizados en este documento, consulte la herramienta Command Lookup de IOS (sólo clientes registrados) .

Diagrama de la red

Este documento utiliza esta configuración de red:

Configuración

Current Configuration:
! 
version 12.1
service timestamps debug uptime
service timestamps log uptime
!
hostname 827
!
ip subnet-zero
no ip domain-lookup
!
bridge irb
!
interface Ethernet0
ip address 192.168.0.254 255.255.255.0
ip nat inside

!--- This is the inside local IP address and it is a private IP address. 

!
interface ATM0
no ip address
no atm ilmi-keepalive
pvc 0/35
encapsulation aal5snap
!
bundle-enable
dsl operating-mode auto 
bridge-group 1
!
interface BVI1
ip address 171.68.1.1 255.255.255.240
ip nat outside

!--- This is the inside global IP address. !--- This is your public IP address and it is provided to you by your ISP.

!
ip nat inside source list 1 interface BVI1 overload

!--- This statement makes the router perform PAT for all the !--- End Stations behind the Ethernet interface that uses !--- private IP addresses defined in access list #1.

ip nat inside source static tcp 192.168.0.5 80 171.68.1.1 80 extendable 

!--- This statement performs the static address translation for the Web server. !--- With this statement, users that try to reach 171.68.1.1 port 80 (www) are !--- automatically redirected to 192.168.0.5 port 80 (www). In this case !--- it is the Web server.

ip classless
ip route 0.0.0.0 0.0.0.0 171.68.1.254

!--- IP address 171.68.1.254 is the next hop IP address, also !--- called the default gateway. !--- Your ISP can tell you what IP address to configure as the next hop address.

!
access-list 1 permit 192.168.0.0 0.0.0.255

!--- This access list defines the private network !--- that is network address translated. 

bridge 1 protocol ieee 
bridge 1 route ip 
!
end

Verificación

Desde el resultado del comando show ip nat translation, la dirección local interna es la dirección IP configurada asignada al servidor web en la red interna. Observe que 192.168.0.5 es una dirección en el espacio de direcciones privadas que no se puede enrutar a Internet. La dirección global Inside es la dirección IP del host interno, que es el servidor Web, tal como aparece en la red externa. Esta dirección es la que conocen las personas que intentan obtener acceso al servidor Web desde Internet.

El Outside local es la dirección IP del host externo tal como aparece en la red interna. No es necesariamente una dirección legítima. Sin embargo, se asigna desde un espacio de direcciones que se puede rutear en el interior.

La dirección global Outside es la dirección IP asignada a un host en la red externa por el propietario del host. La dirección se asigna desde una dirección o espacio de red que se puede rutear globalmente.

Observe que la dirección 171.68.1.1 con el número de puerto 80 (HTTP) se traduce a 192.168.0.5 puerto 80, y viceversa. Por lo tanto, los usuarios de Internet pueden explorar el servidor Web aunque éste se encuentre en una red privada con una dirección IP privada.

Para obtener más información sobre cómo resolver problemas de NAT, consulte Verificación del Funcionamiento de NAT y Troubleshooting Básico de NAT.

827#
827#show ip nat translation
Pro Inside global      Inside local      Outside local       Outside global
tcp 171.68.1.1:80      192.168.0.5:80    ---                 ---
tcp 171.68.1.1:80      192.168.0.5:80    198.133.219.1:11000 198.133.219.1:11000
827#

Troubleshoot

Para resolver problemas de traducción de direcciones, puede ejecutar los comandos term mon y debug ip nat detailed en el router para ver si la dirección se traduce correctamente. La dirección IP visible para que los usuarios externos lleguen al servidor Web es 171.68.1.1. Por ejemplo, los usuarios del lado público de Internet que intentan alcanzar 171.68.1.1 puerto 80 (www) se redirigen automáticamente a 192.168.0.5 puerto 80 (www), que en este caso es el servidor Web.

827#term mon
827#debug ip nat detailed
IP NAT detailed debugging is on
827#
03:29:49: NAT: creating portlist proto 6 globaladdr 171.68.1.1
03:29:49: NAT: Allocated Port for 192.168.0.5 -> 171.68.1.1: wanted 80 got 80 
03:29:49: NAT: o: tcp (198.133.219.1, 11000) -> (171.68.1.1, 80) [0]
<... snipped ...>

Información Relacionada

• Información de soporte de tecnología DSL de Cisco
• Información de soporte del producto
• Soporte Técnico y Documentación - Cisco Systems