Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Travail de VASI

Configuration

Diagramme du réseau

Paramètres de configuration initiaux

Configuration de l'interface VASI

Configuration NAT :

Scénario 1 - NAT sur Vasiright

Scénario 2 - NAT sur Vasileft

Vérification

Dépannage

Informations connexes

Introduction

Ce document décrit la configuration de VASI NAT sur les routeurs qui exécutent Cisco IOS-XE®.

Contribué par Rohit Nair, ingénieur du centre d'assistance technique Cisco.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques. Ce document s'applique à tous les routeurs et commutateurs Cisco qui exécutent Cisco IOS-XE.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

Les périphériques qui s'exécutent sur IOS-XE ne prennent pas en charge les configurations nat inter-vrf classiques comme celles qui se trouvent sur les périphériques IOS. La prise en charge de la NAT inter-vrf sur IOS-XE s'effectue via l'implémentation VASI.

VASI permet de configurer des services tels qu'IPsec, le pare-feu et la NAT pour le trafic qui circule entre les instances VRF.

VASI est mis en oeuvre en configurant des paires VASI, où chacune des interfaces de la paire est associée à une instance VRF différente. L'interface virtuelle VASI est l'interface de tronçon suivant pour tout paquet qui doit être commuté entre ces deux instances VRF. L'appariement est effectué automatiquement en fonction des deux index d'interface, de sorte que l'interface vasileft soit automatiquement associée à l'interface vasiright. Tout paquet qui entre dans l'interface vasileft est automatiquement transféré à son interface vasiright appariée.

Travail de VASI

Lorsqu'un VASI inter-VRF est configuré sur le même périphérique, le flux de paquets se produit dans l'ordre suivant :

1. Un paquet entre dans l'interface physique qui appartient à VRF 1.

2. Avant de transmettre le paquet, une recherche de transfert est effectuée dans la table de routage VRF 1. Vasileft1 est sélectionné comme saut suivant et la valeur TTL (Time to Live) est décrémentée du paquet. Généralement, l’adresse de transfert est sélectionnée en fonction de la route par défaut dans le VRF. Cependant, l’adresse de transfert peut également être une route statique ou une route apprise. Le paquet est envoyé au chemin de sortie de vasileft1, puis automatiquement envoyé au chemin d'entrée de vasiright1.

3. Lorsque le paquet entre dans vasiright1, une recherche de transfert est effectuée dans la table de routage VRF 2 et la durée de vie est décrémentée à nouveau (deuxième fois pour ce paquet).

4. Le VRF 2 transmet le paquet à l’interface physique.

Configuration

Les scénarios suivants décrivent la configuration NAT inter-vrf de base.

Diagramme du réseau

Paramètres de configuration initiaux

SanJose :

interface GigabitEthernet0/0/0

ip address 192.168.1.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 192.168.1.2

Bombay :

vrf definition VRF_LEFT

rd 1:1

!

address-family ipv4

exit-address-family

vrf definition VRF_RIGHT

rd 2:2

!

address-family ipv4

exit-address-family

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

Sydney :

interface GigabitEthernet0/0/0

ip address 172.16.1.1 255.255.255.0

Configuration de l'interface VASI

Chaque interface VASI sera associée à une instance VRF différente.

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

Configuration NAT :

Dans cet exemple, la NAT doit être configurée avec les conditions suivantes :

1. NAT statique : l'adresse IP source 192.168.1.1 doit être traduite en 172.16.1.5.

2. NAT dynamique : le sous-réseau source 192.168.1.0/24 doit être traduit en 172.16.1.5.

Scénario 1 - NAT sur Vasiright

Dans la plupart des cas, l'interface WAN se trouve sur le VRF sortant, VRF_RIGHT dans cette topologie. Dans de tels cas, la NAT peut être configurée entre le droit d'accès et l'interface WAN ; le trafic entrant sur l'interface de droite à partir de vasileft sera configuré en tant que NAT interne, tandis que l'interface WAN sera l'interface NAT externe.

Dans ce scénario, nous utilisons des routes statiques pour le trafic entre les VRF. Une route statique pour le sous-réseau de destination 172.16.0.0 est configurée sur VRF_LEFT pointant vers l'interface vasileft et une autre route pour le sous-réseau source 192.168.0.0 est configurée sur VRF_RIGHT pointant vers l'interface vasiright.

Remarque

Ne configurez pas NAT pour traduire l'IP source en IP d'interface WAN ; le routeur traite le trafic de retour pour qu’il soit destiné à lui-même et ne transmet pas le trafic à l’interface vasi.

NAT statique:

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT

Vérification :

Bombay#sh ip nat translations vrf VRF_RIGHT

Pro        Inside global     Inside local       Outside local    Outside global

---        172.16.1.5        192.168.1.1        ---              ---

icmp       172.16.1.5:8      192.168.1.1:8      172.16.1.1:8     172.16.1.1:8

tcp        172.16.1.5:47491  192.168.1.1:47491  172.16.1.1:23    172.16.1.1:23

Total number of translations: 3

NAT dynamique:

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload

Vérification :

Bombay#sh ip nat translations

Pro      Inside global      Inside local         Outside local      Outside global

icmp     172.16.1.5:1       192.168.1.1:15       172.16.1.1:15      172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:58166    172.16.1.1:23      172.16.1.1:23

Total number of translations: 2

Scénario 2 - NAT sur Vasileft

La NAT peut également être configurée uniquement sur le côté vasileft, c'est-à-dire VRF_LEFT et le trafic est NATTED avant d'être envoyé à VRF_RIGHT. L'interface entrante sur VRF_LEFT sera considérée comme l'interface interne NAT et vasileft 1 sera configurée comme l'interface externe NAT.

Dans ce scénario, nous utilisons des routes statiques pour le trafic entre les VRF. Une route statique pour le sous-réseau de destination 172.16.0.0 est configurée sur VRF_LEFT pointant vers l'interface vasileft et une autre route pour l'adresse IP source native 172.16.1.5 est configurée sur VRF_RIGHT pointant vers l'interface vasiright.

NAT statique:

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT

Vérification :

Bombay#sh ip nat translations vrf VRF_LEFT

Pro       Inside global        Inside local         Outside local      Outside global

---       172.16.1.5           192.168.1.1          ---                ---

icmp      172.16.1.5:5         192.168.1.1:5        172.16.1.1:5       172.16.1.1:5

tcp       172.16.1.5:35414     192.168.1.1:35414    172.16.1.1:23      172.16.1.1:23

Total number of translations: 3

NAT dynamique:

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_LEFT overload

Vérification :

Bombay#sh ip nat translations vrf VRF_LEFT

Pro      Inside global      Inside local        Outside local    Outside global

icmp     172.16.1.5:1       192.168.1.1:4       172.16.1.1:4     172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:27593   172.16.1.1:23    172.16.1.1:23

Total number of translations: 2

Vérification

1. Vérifiez si des routes dynamiques/statiques sont configurées pour acheminer le trafic entre les deux instances VRF.

2. Vérifiez si la NAT a été configurée pour le VRF correct.

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

- Configuration de l'infrastructure logicielle compatible VRF