Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Configuration

Diagramme du réseau

Configurations

Vérification

Dépannage

Introduction

Ce document décrit comment configurer la traduction d'adresses de réseau (NAT) basée sur la destination dans un VPN de service sur un routeur vEdge.

Conditions préalables

Conditions requises

Cisco vous recommande de connaître Cisco SD-WAN.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Routeurs vEdge

- vSmart Controller avec une version logicielle 18.3.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Diagramme du réseau

Le schéma de réseau est présenté ici.

L'idée principale ici que les utilisateurs du site 50 (vedge1) peuvent atteindre l'hôte 192.168.40.20 d'un autre côté via l'adresse IP 192.168.1 40.20.

Ceci est analogue à cette instruction de configuration IOS :

ip nat outside source static 192.168.40.20 192.168.140.20

Configurations

1. Configurez le pool NAT sur vEdge au site 50.

vedge1#show running-config vpn 40 interface natpool31

vpn 40

interface natpool31

ip address 192.168.140.5/32

nat

static source-ip 192.168.40.20 translate-ip 192.168.140.20 outside

!

no shutdown

!

!

2. Configurer et appliquer la stratégie de données sur vSmart.

vsmart1# show running-config policy data-policy DNAT

policy

data-policy DNAT

vpn-list CORP

sequence 10

match

destination-ip 192.168.140.20/32

!

action accept

nat pool 31

!

!

default-action accept

!

!

!

vsmart1# show running-config apply-policy site-list site_50

apply-policy

site-list site_50

data-policy DNAT all

!

!

Vérification

1. Vérifiez que la traduction est présente dans un VPN de service correspondant.

vedge1# show ip nat interface nat-vpn 40

FIB                       NUMBER

FILTER  FILTER                    IP

VPN  IFNAME     MAP TYPE              FILTER TYPE              COUNT   COUNT   IP                POOLS

---------------------------------------------------------------------------------------------------------

40   natpool31  endpoint-independent  address-port-restricted  0       0       192.168.140.5/32  1

2. Vérifiez que la stratégie appliquée à vEdge à partir de vSmart.

vedge1# show policy from-vsmart

from-vsmart data-policy ENK_NAT

direction all

vpn-list CORP

sequence 10

match

destination-ip 192.168.140.20/32

action accept

nat pool 31

default-action accept

from-vsmart lists vpn-list CORP

vpn 40

Dépannage

Si la NAT basée sur la destination ne fonctionne pas, l'important ici est de vous assurer que l'adresse IP du pool NAT est accessible depuis l'hôte de destination. Ceci est important car, selon le routeur vEdge, l'adresse IP source de mise en oeuvre NAT basée sur la destination du routeur vEdge est également appelée NAT vers l'adresse IP du pool.

Ainsi, par exemple, en fonction de l’exemple d’adresse de destination de configuration 192.168.140.20 est remplacé par l’adresse IP réelle 192.168.40.20, mais l’adresse de l’hôte du sous-réseau 192.168.50.0/24 au site 50 est également NATed to 192.11168.168.10. 40.5, par conséquent, vous devez avoir une route de retour à cette adresse de toute façon ou les paquets de réponse n'atteindront pas l'hôte source (demandeur). Ceci peut être réalisé avec l'annonce du sous-réseau du pool NAT. Dans cet exemple, le sous-réseau se compose d'une seule adresse et est annoncé via le protocole OMP (Overlay Management Protocol).

Vous pouvez vérifier que la route est présentée sur vEdge1 sur le site distant :

vedge2# show ip routes vpn 40 omp | i 192.168.140.5

40     192.168.140.5/32    omp              -         -           -                -        192.168.30.5     mpls             ipsec  F,S