Configuration de la traduction d'adresses réseau et de la traduction d'adresses de ports statiques pour prendre en charge un serveur Web interne.

Introduction

Le traduction d'adresses de réseau (NAT) de Cisco IOS® est conçue pour la simplification et la conservation d'adresse IP. Il active l'interconnexion des réseaux privés IP qui utilisent les adresses IP non enregistrées pour se connecter à l'Internet. NAT fonctionne sur un routeur Cisco qui connecte deux réseaux ensemble, et traduit les adresses privées (locale interne) dans le réseau interne aux adresses publiques (locale externe) avant que des paquets soient expédiés à un autre réseau. Comme faisant partie de cette fonctionnalité, vous pouvez configurer NAT pour annoncer seulement une adresse pour le réseau entier au monde extérieur. Ceci masque efficacement le réseau interne au monde entier. Par conséquent, il fournit une sécurité supplémentaire.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

L’une des principales caractéristiques de la fonction NAT est la traduction d’adresses de port (PAT) statique, également appelée « surcharge » dans une configuration Cisco IOS. La fonction PAT statique est conçue pour permettre le mappage un-à-un entre les adresses locales et globales. La fonction PAT statique permet généralement aux utilisateurs Internet du réseau public d’accéder à un serveur Web situé sur le réseau privé.

Afin d'obtenir plus d'informations sur NAT, référez-vous aux pages de support technique NAT.

Ce tableau présente les trois blocs d’espace d’adressage IP disponibles pour les réseaux privés. Consultez la RFC 1918 pour plus de détails sur ces réseaux spéciaux.

Remarque : le premier bloc n'est rien d'autre qu'un numéro de réseau de classe A unique, tandis que le deuxième bloc est un ensemble de 16 numéros de réseau de classe B contigus et le troisième bloc est un ensemble de 256 numéros de réseau de classe C contigus.

Dans cet exemple, le fournisseur d'accès Internet (FAI) attribue à l'abonné DSL une seule adresse IP, 171.68.1.1/24. L'adresse IP attribuée est une adresse IP unique enregistrée et est appelée adresse globale interne. Cette adresse IP enregistrée est utilisée par l'ensemble du réseau privé pour naviguer sur Internet, ainsi que par les utilisateurs Internet qui viennent du réseau public pour atteindre le serveur Web du réseau privé.

Le réseau local privé, 192.168.0.0/24, est connecté à l'interface Ethernet du routeur NAT. Ce réseau local privé contient plusieurs ordinateurs et un serveur Web. Le routeur NAT est configuré pour traduire les adresses IP non enregistrées (adresses locales internes) provenant de ces PC en une seule adresse IP publique (adresse globale interne - 171.68.1.1) pour naviguer sur Internet.

L'adresse IP 192.168.0.5 (serveur Web) est une adresse de l'espace d'adressage privé qui ne peut pas être routée vers Internet. La seule adresse IP visible permettant aux utilisateurs Internet publics d'accéder au serveur Web est 171.68.1.1. Par conséquent, le routeur NAT est configuré pour effectuer un mappage un-à-un entre l'adresse IP 171.68.1.1 port 80 (le port 80 est utilisé pour naviguer sur Internet) et le port 80 192.168.0.5. Ce mappage permet aux utilisateurs Internet du côté public d'accéder au serveur Web interne.

Cette topologie de réseau et cet exemple de configuration peuvent être utilisés pour la carte WIC ADSL Cisco 827, 1417, SOHO77 et 1700/2600/3600. Par exemple, le Cisco 827 est utilisé dans ce document.

Configurer

Cette section vous présente les informations que vous pouvez utiliser pour configurer les fonctionnalités décrites dans ce document.

Remarque : afin de trouver des informations supplémentaires sur les commandes utilisées dans ce document, référez-vous à l'outil de recherche de commandes IOS (clients enregistrés uniquement) .

Diagramme du réseau

Ce document utilise cette configuration du réseau.

Configuration

Current Configuration:
! 
version 12.1
service timestamps debug uptime
service timestamps log uptime
!
hostname 827
!
ip subnet-zero
no ip domain-lookup
!
bridge irb
!
interface Ethernet0
ip address 192.168.0.254 255.255.255.0
ip nat inside

!--- This is the inside local IP address and it is a private IP address. 

!
interface ATM0
no ip address
no atm ilmi-keepalive
pvc 0/35
encapsulation aal5snap
!
bundle-enable
dsl operating-mode auto 
bridge-group 1
!
interface BVI1
ip address 171.68.1.1 255.255.255.240
ip nat outside

!--- This is the inside global IP address. !--- This is your public IP address and it is provided to you by your ISP.

!
ip nat inside source list 1 interface BVI1 overload

!--- This statement makes the router perform PAT for all the !--- End Stations behind the Ethernet interface that uses !--- private IP addresses defined in access list #1.

ip nat inside source static tcp 192.168.0.5 80 171.68.1.1 80 extendable 

!--- This statement performs the static address translation for the Web server. !--- With this statement, users that try to reach 171.68.1.1 port 80 (www) are !--- automatically redirected to 192.168.0.5 port 80 (www). In this case !--- it is the Web server.

ip classless
ip route 0.0.0.0 0.0.0.0 171.68.1.254

!--- IP address 171.68.1.254 is the next hop IP address, also !--- called the default gateway. !--- Your ISP can tell you what IP address to configure as the next hop address.

!
access-list 1 permit 192.168.0.0 0.0.0.255

!--- This access list defines the private network !--- that is network address translated. 

bridge 1 protocol ieee 
bridge 1 route ip 
!
end

Vérifier

À partir du résultat de la commande show ip nat translation, l'adresse IP locale interne est l'adresse IP configurée attribuée au serveur Web sur le réseau interne. Notez que 192.168.0.5 est une adresse de l'espace d'adressage privé qui ne peut pas être routée vers Internet. L'adresse globale interne est l'adresse IP de l'hôte interne, c'est-à-dire le serveur Web, telle qu'elle apparaît au réseau externe. Cette adresse est celle connue des personnes qui tentent d'accéder au serveur Web à partir d'Internet.

L'adresse locale externe est l'adresse IP de l'hôte externe telle qu'elle apparaît au réseau interne. Il ne s'agit pas nécessairement d'une adresse légitime. Cependant, elle est allouée à partir d'un espace d'adressage qui peut être routé à l'intérieur.

L'adresse globale externe est l'adresse IP attribuée à un hôte sur le réseau externe par le propriétaire de l'hôte. L’adresse est attribuée à partir d’une adresse ou d’un espace réseau pouvant être routé globalement.

Notez que l'adresse 171.68.1.1 avec le numéro de port 80 (HTTP) se traduit par 192.168.0.5 sur le port 80, et vice versa. Par conséquent, les utilisateurs Internet peuvent naviguer sur le serveur Web même s'il se trouve sur un réseau privé avec une adresse IP privée.

Afin d'obtenir plus d'informations sur la façon de dépanner NAT, référez-vous à Vérification du fonctionnement de NAT et dépannage NAT de base.

827#
827#show ip nat translation
Pro Inside global      Inside local      Outside local       Outside global
tcp 171.68.1.1:80      192.168.0.5:80    ---                 ---
tcp 171.68.1.1:80      192.168.0.5:80    198.133.219.1:11000 198.133.219.1:11000
827#

Dépannage

Afin de dépanner la traduction d'adresse, vous pouvez émettre les commandes term mon et debug ip nat detailed sur le routeur pour voir si l'adresse se traduit correctement. L'adresse IP visible permettant aux utilisateurs externes d'accéder au serveur Web est 171.68.1.1. Par exemple, les utilisateurs du côté public d'Internet qui tentent d'atteindre le port 80 (www) de 171.68.1.1 sont automatiquement redirigés vers le port 80 (www) de 192.168.0.5, qui est dans ce cas le serveur Web.

827#term mon
827#debug ip nat detailed
IP NAT detailed debugging is on
827#
03:29:49: NAT: creating portlist proto 6 globaladdr 171.68.1.1
03:29:49: NAT: Allocated Port for 192.168.0.5 -> 171.68.1.1: wanted 80 got 80 
03:29:49: NAT: o: tcp (198.133.219.1, 11000) -> (171.68.1.1, 80) [0]
<... snipped ...>

Informations connexes

• Informations d'assistance pour la technologie DSL Cisco
• Informations de support produit
• Assistance et documentation techniques - Cisco Systems