Configuration de la traduction d'adresses réseau et de la traduction d'adresses de ports statiques pour prendre en charge un serveur Web interne.

Introduction

Le traduction d'adresses de réseau (NAT) de Cisco IOS® est conçue pour la simplification et la conservation d'adresse IP. Il active l'interconnexion des réseaux privés IP qui utilisent les adresses IP non enregistrées pour se connecter à l'Internet. NAT fonctionne sur un routeur Cisco qui connecte deux réseaux ensemble, et traduit les adresses privées (locale interne) dans le réseau interne aux adresses publiques (locale externe) avant que des paquets soient expédiés à un autre réseau. Comme faisant partie de cette fonctionnalité, vous pouvez configurer NAT pour annoncer seulement une adresse pour le réseau entier au monde extérieur. Ceci masque efficacement le réseau interne au monde entier. Par conséquent, il fournit une sécurité supplémentaire.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

Conventions

Pour plus d'informations sur les conventions de documents, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

Une des fonctions principales de NAT est la traduction d'adresses de port statique (PAT), qui désigné également sous le nom de la « surcharge » en configuration Cisco IOS. Le PAT statique est conçu pour permettre le mappage linéaire entre les adresses locales et globales. Un d'usage courant pour le PAT statique est de permettre à des internautes du réseau public pour accéder à un serveur Web situé dans le réseau privé.

Afin d'obtenir plus d'informations sur NAT, référez-vous aux pages NAT de Soutien technique.

Cette table affiche les trois blocs de l'espace d'adresse IP disponibles pour les réseaux privés. Consultez le RFC 1918 pour plus de détails au sujet de ces réseaux spéciaux.

Note: Le premier bloc n'est rien mais un network number simple de la classe A, alors que le deuxième bloc est un ensemble de 16 network number contigus de la classe B, et le troisième bloc est un ensemble de 256 network number contigus de C de classe.

Dans cet exemple, le fournisseur de services Internet (ISP) assigne à l'abonné DSL seulement une adresse IP simple, 171.68.1.1/24. L'adresse IP assignée est une adresse IP unique enregistrée et s'appelle une adresse globale interne. Cette adresse IP enregistrée est utilisée par le réseau privé entier pour parcourir l'Internet et également par le ce d'internautes provenu le réseau public pour atteindre le serveur Web dans le réseau privé.

Le RÉSEAU LOCAL privé, 192.168.0.0/24, est connecté à l'interface Ethernet du routeur NAT. Ce RÉSEAU LOCAL privé contient plusieurs PC et un serveur Web. Le routeur NAT est configuré pour traduire les adresses IP non inscrites (adresses d'interne local) qui proviennent ces PC à une adresse IP publique simple (intérieur global - 171.68.1.1) pour parcourir l'Internet.

L'adresse IP 192.168.0.5 (serveur Web) est une adresse dans l'espace d'adressage privé qui ne peut pas être conduit à l'Internet. La seule adresse IP visible pour que les internautes publics atteignent le serveur Web est 171.68.1.1. Par conséquent, le routeur NAT est configuré pour effectuer un mappage linéaire entre le port 80 de 171.68.1.1 d'adresse IP (le port 80 est utilisé pour parcourir l'Internet) et le port 80 de 192.168.0.5. Ce mappage permet à des internautes du côté public pour avoir accès au serveur Web interne.

Ces topologie du réseau et configuration d'échantillon peuvent être utilisées pour le Cisco 827, 1417, SOHO77, et 1700/2600/3600 WIC ADSL. Comme exemple, le Cisco 827 est utilisé dans ce document.

Configurez

Dans cette section, vous êtes présenté avec les informations que vous pouvez employer pour configurer les caractéristiques décrites dans ce document.

Note: Afin de trouver les informations complémentaires sur les commandes utilisées dans ce document, référez-vous à l'utilitaire de recherche de commande IOS (clients enregistrés seulement).

Diagramme du réseau

Ce document utilise cette configuration du réseau.

Configuration

Current Configuration:
! 
version 12.1
service timestamps debug uptime
service timestamps log uptime
!
hostname 827
!
ip subnet-zero
no ip domain-lookup
!
bridge irb
!
interface Ethernet0
ip address 192.168.0.254 255.255.255.0
ip nat inside

!--- This is the inside local IP address and it is a private IP address. 

!
interface ATM0
no ip address
no atm ilmi-keepalive
pvc 0/35
encapsulation aal5snap
!
bundle-enable
dsl operating-mode auto 
bridge-group 1
!
interface BVI1
ip address 171.68.1.1 255.255.255.240
ip nat outside

!--- This is the inside global IP address. !--- This is your public IP address and it is provided to you by your ISP.

!
ip nat inside source list 1 interface BVI1 overload

!--- This statement makes the router perform PAT for all the !--- End Stations behind the Ethernet interface that uses !--- private IP addresses defined in access list #1.

ip nat inside source static tcp 192.168.0.5 80 171.68.1.1 80 extendable 

!--- This statement performs the static address translation for the Web server. !--- With this statement, users that try to reach 171.68.1.1 port 80 (www) are !--- automatically redirected to 192.168.0.5 port 80 (www). In this case !--- it is the Web server.

ip classless
ip route 0.0.0.0 0.0.0.0 171.68.1.254

!--- IP address 171.68.1.254 is the next hop IP address, also !--- called the default gateway. !--- Your ISP can tell you what IP address to configure as the next hop address.

!
access-list 1 permit 192.168.0.0 0.0.0.255

!--- This access list defines the private network !--- that is network address translated. 

bridge 1 protocol ieee 
bridge 1 route ip 
!
end

Vérifiez

De la sortie de commande nat de traduction de show ip, l'interne local est l'adresse IP configurée assignée au serveur Web sur le réseau intérieur. Notez que 192.168.0.5 est une adresse dans l'espace d'adressage privé qui ne peut pas être conduit à l'Internet. L'intérieur global est l'adresse IP de l'hôte interne, qui est le serveur Web, car il apparaît au réseau extérieur. Cette adresse est celle connue des gens qui essayent d'accéder au serveur Web de l'Internet.

L'externe local est l'adresse IP de l'hôte d'extérieur car il apparaît au réseau intérieur. Ce n'est pas nécessairement une adresse légitime. Mais, il est alloué d'un espace d'adressage qui peut être conduit sur l'intérieur.

L'adresse globale externe est l'adresse IP assignée à un hôte sur le réseau extérieur par le propriétaire de l'hôte. L'adresse est allouée d'une adresse ou d'un espace réseau qui peuvent être globalement conduits.

Notez que l'adresse 171.68.1.1 avec le numéro de port 80 (HTTP) se traduit au port 80 de 192.168.0.5, et vice versa. Par conséquent, les internautes peuvent parcourir le serveur Web quoique le serveur Web soit sur un réseau privé avec une adresse IP privée.

Afin d'obtenir plus d'informations sur comment dépanner NAT, référez-vous à l'exécution NAT vérifiante et au dépannage NAT de base.

827#
827#show ip nat translation
Pro Inside global      Inside local      Outside local       Outside global
tcp 171.68.1.1:80      192.168.0.5:80    ---                 ---
tcp 171.68.1.1:80      192.168.0.5:80    198.133.219.1:11000 198.133.219.1:11000
827#

Dépannez

Afin de dépanner la traduction d'adresses, vous pouvez émettre le terme lundi et des commandes détaillées par debug ip nat sur le routeur de voir si l'adresse se traduit correctement. L'adresse IP visible pour que les utilisateurs externes atteignent le serveur Web est 171.68.1.1. Par exemple, des utilisateurs du côté public de l'Internet qui essayent d'atteindre le port 80 (WWW) de 171.68.1.1 sont automatiquement réorientés au port 80 (WWW) de 192.168.0.5, qui est dans ce cas le serveur Web.

827#term mon
827#debug ip nat detailed
IP NAT detailed debugging is on
827#
03:29:49: NAT: creating portlist proto 6 globaladdr 171.68.1.1
03:29:49: NAT: Allocated Port for 192.168.0.5 -> 171.68.1.1: wanted 80 got 80 
03:29:49: NAT: o: tcp (198.133.219.1, 11000) -> (171.68.1.1, 80) [0]
<... snipped ...>

Informations connexes

• Les informations de support de technologie DSL de Cisco
• Les informations d'assistance produit
• Support et documentation techniques - Cisco Systems