Introducción
Este documento describe el comportamiento inesperado de la traducción de direcciones de red (NAT) dinámica con el tráfico no patentable en los dispositivos IOS®.
Problema
El tráfico no pateable crea entradas a medias en la tabla de traducciones NAT en caso de NAT dinámica. Estas entradas suponen un riesgo para la seguridad, ya que funcionan para el tráfico de exterior a interior.
Configuración de NAT:
ip nat pool ATT_FIBER 10.10.10.1 10.10.10.6 netmask 255.255.255.248
ip nat inside source list GUEST_SUBNET pool ATT_FIBER overload
ip nat inside source list OFFICE_SUBNETS pool ATT_FIBER overload
ip access-list extended OFFICE_SUBNETS
deny ip 172.16.26.0 0.0.0.127 any
permit ip 172.16.8.0 0.0.1.255 any
ip access-list extended GUEST_SUBNET
permit ip 172.16.26.0 0.0.0.127 any
udp 10.10.10.1:49370 172.16.9.9:49370 192.168.1.1:53 192.168.1.1:53
udp 10.10.10.1:49535 172.16.9.9:49535 192.168.2.2:53 192.168.2.2:53
tcp 10.10.10.1:53133 172.16.9.9:53133 192.168.3.3:80 192.168.3.3:80
tcp 10.10.10.1:56311 172.16.9.9:56311 192.168.4.4:5816 192.168.4.4:5816
--- 10.10.10.1 172.16.9.9 --- ---
Se crean entradas a medias en ciertos casos en los que hay una asignación de interior -> exterior o cuando el paquete se inicia desde el interior -> exterior.
Cuando el router está configurado para la sobrecarga de NAT (traducción de direcciones de puerto [PAT]) y el tráfico no con parches llega al router, se crean entradas de enlaces no con parches para este tráfico. Esto conduce a este tipo de entrada en la tabla NAT:
--- 10.10.10.1 172.16.9.9 --- ---
Esta entrada de enlace consume una dirección completa del conjunto. En este ejemplo, 10.10.10.1 es una dirección de un conjunto sobrecargado.
Esto significa que una dirección IP local interna se enlaza a la IP global externa que es similar a la NAT estática. Debido a esto, hasta que se agote el tiempo de espera de la entrada actual, las nuevas direcciones IP locales internas no pueden utilizar esta dirección IP global. Toda la traducción creada para este enlace son traducciones 1 a 1 en lugar de sobrecarga.
Solución
Para resolver este problema, puede utilizar route-maps con NAT dinámica. Con route-maps, NAT no creará entradas a medias ni utilizará sobrecarga de interfaz en lugar de sobrecarga de conjunto. Los enlaces no pattables no se crean en caso de sobrecarga de la interfaz.
Comentarios