Exemple de configuration de NAT dans les commutateurs Catalyst 6500/6000

Introduction

Ce document explique comment configurer la traduction d'adresses de réseau (NAT) sur les commutateurs de la gamme Cisco Catalyst 6500/6000.

Conditions préalables

Conditions requises

Assurez-vous que vous répondez à ces exigences avant d'essayer cette configuration :

• Connaissance du fonctionnement de la NAT.

  Référez-vous à Fonctionnement de NAT pour plus d'informations.

• Connaissance des commandes à utiliser pour configurer la NAT sur un routeur.

  Pour plus d'informations sur les commandes, référez-vous à Configuration de la traduction d'adresses réseau : Mise en route.

Components Used

Les informations de ce document sont basées sur le commutateur Cisco Catalyst 6500 avec Supervisor Engine 720 qui exécute le logiciel Cisco IOS® Version 12.2(18)SXD6 et le commutateur Cisco Catalyst 6500 avec Supervisor Engine II qui exécute le logiciel CatOS Version 8.4(4).

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Produits connexes

Cette configuration peut également être utilisée avec les commutateurs de la gamme Cisco Catalyst 6000.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Remarque : les schémas d'adressage IP utilisés dans cette configuration ne sont pas routables légalement sur Internet. Ce sont des adresses RFC 1918 qui ont été utilisés dans un environnement de laboratoire.

Configurations Cisco IOS

Dans cet exemple de configuration, NAT est configuré pour surcharger l'adresse IP FastEthernet 4/4 de l'interface. Cela signifie que plusieurs adresses locales internes peuvent être traduites dynamiquement vers la même adresse globale. Dans ce cas, l’adresse attribuée à l’interface FastEthernet 4/4.

En outre, la NAT est configurée de manière statique de sorte que les paquets provenant de l'adresse locale 10.10.10.2 avec le port TCP 25 (SMTP) soient traduits en adresse IP FastEthernet 4/4 du port TCP 2525. Puisqu'il s'agit d'une entrée NAT statique, les clients de messagerie externes peuvent émettre des paquets SMTP vers l'adresse globale 172.16.10.64. Le port externe a été choisi comme 2525 pour empêcher toute attaque par déni de service.

6509sup720#show running-config 
 Building configuration...
 Current configuration : 7524 bytes
 !
 version 12.2
 service timestamps debug datetime
 service timestamps log datetime msec localtime
 service password-encryption
 service counters max age 10
 !
 hostname 6509sup720
 !
 boot system sup-bootflash:s72033-psv-mz.122-18.SXD6.bin
 !username maui-nas-05 password cisco

 !
no ip domain-lookup
!
no mls flow ip
no mls flow ipv6
spanning-tree mode pvst
!
redundancy
 mode sso
 main-cpu
!
!
interface FastEthernet4/4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface FastEthernet 4/4 with an IP address and as a !--- NAT outside interface.

!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!

ip nat inside source list 100 interface FastEthernet 4/4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface FastEthernet 4/4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


!--- Refer to ip nat inside source for more details !--- on the command.

!
!
ip classless
no ip http server
!

!--- ACL 100 permits only the desired traffic for translation.

access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any
!
line con 0
transport input none
line vty 0 4 
!
end

Configurations CatOS

Pour les commutateurs qui s'exécutent en mode hybride, vous devez d'abord configurer les VLAN sur le superviseur, puis appliquer la configuration NAT sur le MSFC. Au lieu d'avoir une interface de port externe, vous devez configurer un VLAN d'interface car, en mode hybride, vous ne pouvez pas spécifier d'adresse IP pour un port particulier.

!--- Configure VLAN 2, VLAN 3 and VLAN 4 on the Supervisor.


!--- Add VLAN 2.

Catalyst6500> (enable) set vlan 2
VLAN 2 configuration successful


!--- Add VLAN 3.

Catalyst6500> (enable) set vlan 3
VLAN 3 configuration successful


!--- Add VLAN 4.

Catalyst6500> (enable) set vlan 4
VLAN 4 configuration successful


!--- Assign port fa4/4 to VLAN 4.

Catalyst6500> (enable) set vlan 4 4/4
VLAN 4 modified.
VLAN 1 modified.
VLAN  Mod/Ports
---- -----------------------
4     4/4
Catalyst6500> (enable)

MSFC#show running-config
Building configuration...

Current configuration : 1024 bytes
!
version 12.1
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
boot system flash bootflash:c6msfc2-jk2o3sv-mz.121-26.E1.bin
!
ip subnet-zero
!
!
!
ip ssh time-out 120
ip ssh authentication-retries 3
redundancy
 high-availability
 single-router-mode
!
!         
!
!
!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!
interface Vlan4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface VLAN 4 with an IP address and as a NAT outside !--- interface.

!
ip nat inside source list 100 interface Vlan4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface Vlan4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


ip classless
no ip http server
!
access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any

!--- ACL 100 permits only the desired traffic for translation.

!
!
line con 0
line vty 0 4
 no login
!
!
end

Vérification

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show

• show ip nat translations : affiche les traductions NAT actives.

  Cat6k#show ip nat translations 
  Pro Inside global      Inside local       Outside local      Outside global
  tcp 172.16.10.64:2525  10.10.10.2:25        ---                  ---    

• show ip access-list : affiche le contenu de toutes les listes d'accès IP actuelles.

  Cat6k#show ip access-lists 
  Extended IP access list 100
      permit ip 10.10.10.0 0.0.0.255 any (32 matches)
      permit ip 10.10.20.0 0.0.0.255 any (22 matches)
      deny ip any any 

• show ip nat statistics : affiche les statistiques NAT.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Dépannage des commandes

L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .

Remarque : Consulter les renseignements importants sur les commandes de débogage avant d’utiliser les commandes de débogage.

• debug ip nat : affiche des informations sur les paquets IP traduits par la fonction NAT IP.

  Cat6k#debug ip nat
  IP NAT debugging is on
  Cat6k#
  *Mar  1 01:40:47.692 CET: NAT: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [80]
  *Mar  1 01:40:47.720 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [80]
  *Mar  1 01:40:47.720 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [81]
  *Mar  1 01:40:47.748 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [81]
  *Mar  1 01:40:47.748 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [82]
  *Mar  1 01:40:47.784 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [82]
  *Mar  1 01:40:47.784 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [83]
  *Mar  1 01:40:47.836 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [83]
  *Mar  1 01:40:47.836 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [84]
  *Mar  1 01:40:47.884 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [84]

• clear ip nat translation * : efface les traductions dynamiques d'adresses réseau (NAT) de la table de traduction.

Commandes associées

• ip nat - Désigne que le trafic qui provient de l'interface ou qui est destiné à celle-ci est soumis à la NAT.

• ip nat inside destination : active la fonction NAT de l'adresse de destination interne.

• ip nat inside source : active la fonction NAT de l'adresse source interne.

• ip nat outside source : active la fonction NAT de l'adresse source externe.

Informations connexes

• Matrice de prise en charge du commutateur Catalyst de traduction d'adresses réseau (NAT)
• Page de support NAT
• Commutateurs de la gamme Cisco Catalyst 6500
• Support pour les produits LAN
• Prise en charge de la technologie de commutation LAN
• Support et documentation techniques - Cisco Systems