NAT basé sur la destination côté service sur le routeur vEdge

Introduction

Ce document décrit comment configurer la traduction d'adresses de réseau (NAT) basée sur la destination dans un VPN de service sur un routeur vEdge.

Conditions préalables

Conditions requises

Cisco vous recommande de connaître Cisco SD-WAN.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Routeurs vEdge 
• vSmart Controller avec une version logicielle 18.3.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Diagramme du réseau

Le schéma de réseau est présenté ici.

L'idée principale ici que les utilisateurs du site 50 (vedge1) peuvent atteindre l'hôte 192.168.40.20 d'un autre côté via l'adresse IP 192.168.1 40.20.

Ceci est analogue à cette instruction de configuration IOS :

ip nat outside source static 192.168.40.20 192.168.140.20

Configurations

1. Configurez le pool NAT sur vEdge au site 50.

vedge1#show running-config vpn 40 interface natpool31 
vpn 40
 interface natpool31
  ip address 192.168.140.5/32
  nat
   static source-ip 192.168.40.20 translate-ip 192.168.140.20 outside
  !
  no shutdown
 !
!

 2. Configurer et appliquer la stratégie de données sur vSmart.

vsmart1# show running-config policy data-policy DNAT 
policy
 data-policy DNAT
  vpn-list CORP
   sequence 10
    match
     destination-ip 192.168.140.20/32
    !
    action accept
     nat pool 31
    !
   !
   default-action accept
  !
 !
!

vsmart1# show running-config apply-policy site-list site_50 
apply-policy
 site-list site_50
  data-policy DNAT all
 !
!

Vérification

1. Vérifiez que la traduction est présente dans un VPN de service correspondant.

vedge1# show ip nat interface nat-vpn 40

                                                                       FIB                       NUMBER  
                                                               FILTER  FILTER                    IP      
VPN  IFNAME     MAP TYPE              FILTER TYPE              COUNT   COUNT   IP                POOLS   
---------------------------------------------------------------------------------------------------------
40   natpool31  endpoint-independent  address-port-restricted  0       0       192.168.140.5/32  1       

 2. Vérifiez que la stratégie appliquée à vEdge à partir de vSmart.

vedge1# show policy from-vsmart 
from-vsmart data-policy ENK_NAT
 direction all
 vpn-list CORP
  sequence 10
   match
    destination-ip 192.168.140.20/32
   action accept
    nat pool 31
  default-action accept
from-vsmart lists vpn-list CORP
 vpn 40

Dépannage

Si la NAT basée sur la destination ne fonctionne pas, l'important ici est de vous assurer que l'adresse IP du pool NAT est accessible depuis l'hôte de destination. Ceci est important car, selon le routeur vEdge, l'adresse IP source de mise en oeuvre NAT basée sur la destination du routeur vEdge est également appelée NAT vers l'adresse IP du pool. 
Ainsi, par exemple, en fonction de l’exemple d’adresse de destination de configuration 192.168.140.20 est remplacé par l’adresse IP réelle 192.168.40.20, mais l’adresse de l’hôte du sous-réseau 192.168.50.0/24 au site 50 est également NATed to 192.11168.168.10. 40.5, par conséquent, vous devez avoir une route de retour à cette adresse de toute façon ou les paquets de réponse n'atteindront pas l'hôte source (demandeur). Ceci peut être réalisé avec l'annonce du sous-réseau du pool NAT. Dans cet exemple, le sous-réseau se compose d'une seule adresse et est annoncé via le protocole OMP (Overlay Management Protocol).

Vous pouvez vérifier que la route est présentée sur vEdge1 sur le site distant :

vedge2# show ip routes vpn 40 omp | i 192.168.140.5
40     192.168.140.5/32    omp              -         -           -                -        192.168.30.5     mpls             ipsec  F,S