Configuration de NAT 64 sur le pare-feu sécurisé géré par FMC

Introduction

Ce document décrit comment configurer NAT64 sur Firepower Threat Defense (FTD) géré par Fire Power Management Center (FMC).

Conditions préalables

Exigences

Cisco vous recommande d'avoir des connaissances sur Secure Firewall Threat Defense et Secure Firewall Management Center.

Composants utilisés

• Firepower Management Center 7.0.4.
• Défense contre les menaces Firepower 7.0.4.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configurer

Diagramme du réseau

Configuration des objets réseau

•  IPv6 Network Object pour référencer le sous-réseau client IPv6 interne. 

    Dans l'interface utilisateur graphique de FMC, accédez à Objets > Gestion des objets > Sélectionnez Réseau dans le menu de gauche > Ajouter un réseau > Ajouter un objet.

   

Par exemple, l'objet réseau Local_IPv6_subnet est créé avec le sous-réseau IPv6 FC00:0:0:1::/96.

• IPv4 Network Object pour traduire les clients IPv6 en IPv4.

   Dans l'interface utilisateur graphique de FMC, accédez à Objets > Gestion des objets > Sélectionner le réseau dans le menu de gauche > Ajouter le réseau > Ajouter un groupe.

Par exemple, l'objet réseau 6_mapped_to_4 est créé avec l'hôte IPv4 192.168.0.107.

En fonction de la quantité d'hôtes IPv6 à mapper dans IPv4, vous pouvez utiliser un réseau à objet unique, un groupe de réseaux avec plusieurs adresses IPv4 ou simplement la fonction NAT vers l'interface de sortie.

• IPv4 Network Object pour référencer les hôtes IPv4 externes sur Internet.

    Dans l'interface utilisateur graphique de FMC, accédez à Objets > Gestion des objets > Sélectionnez Réseau dans le menu de gauche > Ajouter un réseau > Ajouter un objet.

Par exemple, Network Object Any_IPv4 est créé avec le sous-réseau IPv4 0.0.0.0/0.

• IPv6 Network Object pour traduire l'hôte IPv4 externe en domaine IPv6.

    Dans l'interface utilisateur graphique de FMC, accédez à Objets > Gestion des objets > Sélectionner le réseau dans le menu de gauche > Ajouter le réseau > Ajouter un objet.

Par exemple, l'objet réseau 4_mapped_to_6 est créé avec le sous-réseau IPv6 FC00:0:0:F::/96.

Configuration des interfaces sur FTD pour IPv4/IPv6

Accédez à Devices > Device Management > Edit FTD > Interfaces et configurez les interfaces Interne et Externe.

Exemple :

    Interface Ethernet 1/1 

    Nom : Intérieur

    Zone de sécurité : Inside_Zone 

    Si la zone de sécurité n'est pas créée, vous pouvez la créer dans le menu déroulant Zone de sécurité > Nouveau.

    Adresse IPv6 : FC00:0:0:1::1/96

    Interface Ethernet 1/2 

    Nom : Externe

    Zone de sécurité : Outside_Zone 

    Si la zone de sécurité n'est pas créée, vous pouvez la créer dans le menu déroulant Zone de sécurité > Nouveau.

    Adresse IPv4 : 192.168.0.106/24

Configurer la route par défaut

Accédez à Devices > Device Management > Edit FTD > Routing > Static Routing > Add Route.

Par exemple, route statique par défaut sur l'interface externe avec la passerelle 192.168.0.254.

Configurer la stratégie NAT 

Dans l'interface graphique FMC, accédez à Devices > NAT > New Policy > Threat Defense NAT et créez une stratégie NAT.

Par exemple, la stratégie NAT FTD_NAT_Policy est créée et attribuée au test FTD_LAB.

Configurer les règles NAT

NAT sortante. 

Dans l'interface utilisateur graphique de FMC, accédez à Devices > NAT > Select the NAT policy > Add Rule et créez une règle NAT pour traduire le réseau IPv6 interne en pool IPv4 externe. 

Par exemple, l'objet réseau Local_IPv6_subnet est converti dynamiquement en objet réseau 6_mapped_to_4.

Règle NAT : règle NAT automatique

Type : dynamique

Objets d'interface source : Inside_Zone

Objets d'interface de destination : Outside_Zone

Source d'origine : Local_IPv6_subnet

Source traduite : 6_mapped_to_4

NAT entrante.

Dans l'interface utilisateur graphique de FMC, accédez à Devices > NAT > Select the NAT policy > Add Rule et créez une règle NAT pour traduire le trafic IPv4 externe en pool de réseau IPv6 interne. Cela permet la communication interne avec votre sous-réseau IPv6 local. 

En outre, activez la réécriture DNS sur cette règle afin que les réponses du serveur DNS externe puissent être converties des enregistrements A (IPv4) en enregistrements AAAA (IPv6).

Par exemple, Outside Network Any_IPv4 est converti de manière statique en sous-réseau IPv6 2100:6400::/96 défini dans l'objet 4_mapped_to_6.

Règle NAT : règle NAT automatique

Type : Statique

Objets d'interface source : Outside_Zone

Objets d'interface de destination : Inside_Zone

Source originale : Any_IPv4

Source traduite : 4_mapped_to_6

Traduire les réponses DNS qui correspondent à cette règle : Oui (case à cocher Activer)

Poursuivez le déploiement des modifications apportées au FTD.

Vérification

• Affichez les noms des interfaces et la configuration IP.

> show nameif
Interface Name Security
Ethernet1/1 inside 0
Ethernet1/2 Outside 0

> show ipv6 interface brief

inside [up/up]
fe80::12b3:d6ff:fe20:eb48
fc00:0:0:1::1


> show ip
System IP Addresses:
Interface    Name      IP address     Subnet mask 
Ethernet1/2  Outside   192.168.0.106  255.255.255.0 

• Confirmez la connectivité IPv6 de l'interface interne FTD au client.

IPv6 internal host IP fc00:0:0:1::100.

FTD Interface interne fc00:0:0:1::1.

> ping fc00:0:0:1::100
Please use 'CTRL+C' to cancel/abort...
Sending 5, 100-byte ICMP Echos to fc00:0:0:1::100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

• Affichez la configuration NAT sur l'interface CLI FTD.

> show running-config nat
!
object network Local_IPv6_subnet
nat (inside,Outside) dynamic 6_mapped_to_4
object network any_IPv4
nat (Outside,inside) static 4_mapped_to_6 dns

• Capturez le trafic.

Par exemple, capturer le trafic de l'hôte IPv6 interne fc00:0:0:1::100 vers le serveur DNS est fc00::f:0:0:ac10:a64 UDP 53.

Ici, le serveur DNS de destination est fc00::f:0:0:ac10:a64. Les 32 derniers bits sont ac10:0a64. Ces bits sont l’équivalent octet par octet de 172,16,10,100. Le pare-feu 6-to-4 traduit le serveur DNS IPv6 fc00::f:0:0:ac10:a64 en IPv4 équivalent 172.16.10.100.

> capture test interface inside trace match udp host fc00:0:0:1::100 any6 eq 53


> show capture test 
2 packets captured
 1: 00:35:13.598052 fc00:0:0:1::100.61513 > fc00::f:0:0:ac10:a64.53: udp  
 2: 00:35:13.638882 fc00::f:0:0:ac10:a64.53 > fc00:0:0:1::100.61513: udp  


> show capture test packet-number 1

[...]
Phase: 3
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
object network any_IPv4
nat (Outside,inside) static 4_mapped_to_6 dns
Additional Information:
NAT divert to egress interface Outside(vrfid:0)
Untranslate fc00::f:0:0:ac10:a64/53 to 172.16.10.100/53 <<<< Destination NAT

[...]
Phase: 6
Type: NAT
Subtype: 
Result: ALLOW
Config:
object network Local_IPv6_subnet
nat (inside,Outside) dynamic 6_mapped_to_4
Additional Information:
Dynamic translate fc00:0:0:1::100/61513 to 192.168.0.107/61513 <<<<<<<< Source NAT


> capture test2 interface Outside trace match udp any any eq 53

2 packets captured

 1: 00:35:13.598152 192.168.0.107.61513 > 172.16.10.100.53: udp 
 2: 00:35:13.638782 172.16.10.100.53 > 192.168.0.107.61513: udp