Mappage de l’adresse et du port (MAP)

Le mappage de l’adresse et du port (MAP) est une fonctionnalité de niveau opérateur permettant de traduire les adresses IPv4 en IPv6, afin que le trafic puisse être envoyé sur le réseau IPv6 du fournisseur de services avant d’être retraduit en IPv4 à la périphérie du fournisseur de services.

Mappage de l’adresse et du port (MAP)

Le mappage de l’adresse et du port (MAP) est principalement une fonctionnalité utilisée dans les réseaux des fournisseurs de services (SP). Le fournisseur de services peut exploiter un réseau IPv6 uniquement, le domaine MAP, tout en prenant en charge les clients IPv4 uniquement et leur besoin de communiquer avec des sites IPv4 uniquement sur l’Internet public. La carte est définie dans RFC7597, RFC7598 et RFC7599.

Pour le fournisseur de services, dans le domaine MAP, l’avantage de MAP sur NAT46 est que la substitution d’une adresse IPv6 à l’adresse IPv4 de l’abonné (et retour à IPv4 à la périphérie du réseau du fournisseur) est sans état. Cela offre une plus grande efficacité dans le réseau SP par rapport à NAT46.

Il existe deux techniques MAP, la traduction MAP (MAP-T) et l’encapsulation MAP (MAP-E). L’ASA prend en charge MAP-T; MAP-E n’est pas pris en charge.

Mappage de l’adresse et de la traduction du port (MAP-T)

Avec MAP-T, l’adresse IPv4 de l’abonné est d’abord traduite en adresse IPv4 publique du fournisseur de services (SP), qui peut être un mappage d’adresse un à un, ou un mappage vers un préfixe ou une adresse partagée. Ensuite, cette adresse IPv4 est traduite en adresse IPv6 dans le domaine MAP, et le paquet est transmis sur le réseau IPv6 du fournisseur. À la périphérie du réseau, le relais de frontière du fournisseur de services est responsable de traduire l’adresse IPv6 en adresse IPv4 du fournisseur de services avant d’acheminer le paquet vers le réseau IPv4 public. L’ordre inverse est effectué pour le trafic provenant du réseau IPv4 public vers l’abonné.

Illustration 1. Réseau MAP-T

Schéma de réseau MAP-T.

En utilisant MAP-T, vous pouvez faire passer le réseau du fournisseur de services vers une architecture IPv6 uniquement, tout en permettant aux abonnés de continuer à utiliser IPv4 et de communiquer avec des réseaux Internet IPv4 uniquement ou d’autres sites situés à l’extérieur du réseau du fournisseur de services.

MAP-T se comporte comme une traduction NAT64, mais au lieu d’utiliser une adresse IPv6 avec une adresse IPv4 intégrée, il utilise un schéma d’encodage qui intègre également le numéro de port. Ainsi, MAP-T permet de restreindre la plage de ports utilisée par les périphériques.

Un système MAP-T comprend les éléments suivants :

  • Périphérique Customer Edge (CE) : le CE est une passerelle domestique (routeur sans fil, modem câblé avec routeur, etc.). Le CE fournit une traduction IPv4/IPv6 ainsi qu’un transfert IPv6 natif. Il comporte une interface côté WAN adressée en IPv6 et orientée vers le fournisseur, ainsi qu’une ou plusieurs interfaces côté LAN utilisant un adressage IPv4 privé. Vous devez configurer un ou plusieurs domaines MAP que le CE utilisera pour traduire les paquets IPv4 en IPv6 et vice-versa.

  • Périphérique de relais de frontière (BR) : vous devez installer l’ASA en tant que relais de frontière. Le BR est un composant côté fournisseur à la périphérie du domaine MAP qui prend en charge la traduction IPv4/IPv6. Le BR a au moins une interface compatible avec IPv6 et une interface IPv4 connectée au réseau IPv4. Vous devez configurer un ou plusieurs domaines MAP que le BR utilisera pour traduire les paquets IPv4 en IPv6 et vice-versa. Vous devez configurer les CE et le BR avec les mêmes règles de domaine MAP.

  • Domaine MAP : un domaine MAP est un mécanisme permettant de regrouper un ensemble de périphériques MAP-T CE avec un ensemble de périphériques MAP-T BR. Un domaine est un ensemble de paramètres partagés entre les périphériques BR et CE affectés au domaine. Vous configurez le même domaine avec les mêmes paramètres sur chacun des périphériques BR et CE.

Lignes directrices pour le mappage de l’adresse et du port (MAP)

Lignes directrices sur le mode pare-feu

Vous pouvez configurer MAP en mode routé uniquement. Le mode transparent n’est pas pris en charge.

Lignes directrices supplémentaires

  • L’ASA ne s’implique pas dans le transfert de paquets en mode maillé. Ainsi, vous ne pouvez pas configurer de règles de mappage de transfert (FMR) dans un domaine MAP.

  • MAP ne prend pas en charge le trafic VPN tunnelisé, de multidiffusion ou Anycast.

  • Vous ne pouvez pas utiliser à la fois la NAT et le mappage sur une connexion donnée. Assurez-vous que vos règles de NAT et de mappage ne se chevauchent pas. Vous obtiendrez des résultats inattendus si vous avez des règles qui se chevauchent.

  • Les inspections suivantes ne prennent pas en charge la traduction MAP. Les paquets soumis à ces inspections ne sont pas traduits.

    • CTIQBE

    • DCERPC

    • Diameter

    • Résolution de nom sur WINS

    • GTP

    • H.323 et H.225 et H.245 et RAS

    • ILS (LDAP)

    • Messagerie instantanée

    • Options IP (RFC 791, 2113)

    • Intercommunication IPsec

    • LISP

    • M3UA

    • MGCP

    • MMP

    • NetBIOS

    • PPTP

    • Gestion des comptes RADIUS

    • RSH

    • RTSP

    • SIP

    • SKINNY

    • SMTP et ESMTP

    • SNMP

    • SQL*Net

    • STUN

    • Sun RPC

    • TFTP

    • WAAS

    • XDMCP

    • FTP actif

Configurer les domaines MAP-T

Pour configurer MAP-T, vous créez un ou plusieurs domaines. Lorsque vous configurez MAP-T sur les périphériques client Edge (CE) et de relais frontière (BR), veillez à utiliser les mêmes paramètres pour chaque périphérique qui participera à chaque domaine.

Vous pouvez configurer jusqu’à 25 domaines MAP-T. En mode contexte multiple, vous pouvez configurer jusqu’à 25 domaines par contexte.

Procédure

Étape 1

Créez (ou modifiez) le domaine MAP.

map-domain name

Où le nom est une chaîne alphanumérique de 48 caractères maximum. Le nom peut également inclure les caractères spéciaux suivants : point (.), barre oblique (/) et deux-points (:).

Exemple:


ciscoasa(config)# map-domain 1
ciscoasa(config-map-domain)#

Étape 2

Configurez la règle de mappage par défaut.

default-mapping-rule ipv6_prefix/prefix_length

Précisez un préfixe IPv6 à utiliser pour intégrer les adresses de destination IPv4 selon la RFC 6052. La longueur du préfixe doit normalement être de 64, mais les valeurs autorisées sont 32, 40, 48, 56, 64 ou 96. Tous les bits de fin après l’adresse IPv4 intégrée sont définis à 0.

Le périphérique de relais de frontière (BR) utilise cette règle pour traduire toutes les adresses IPv4 en dehors du domaine MAP en une adresse IPv6 qui fonctionne dans le domaine MAP.

Exemple:


ciscoasa(config-map-domain)# default-mapping-rule 2001:DB8:CAFE:CAFE::/64

Étape 3

Configurez la règle de mappage de base.

Le périphérique Customer Edge (CE) utilise la règle de mappage de base pour déterminer son adressage IPv4 dédié ou son affectation d’adresses et d’ensembles de ports partagés. Le périphérique CE traduit d’abord l’adresse IPv4 du système en une adresse IPv4 et un port dans le préfixe et la plage de ports du pool (à l’aide de NAT44), puis MAP traduit la nouvelle adresse IPv4 en une adresse IPv6 dans le pool défini par le préfixe IPv6 de la règle. Le paquet est ensuite prêt à être transmis sur le réseau IPv6 uniquement du fournisseur de services vers un périphérique de relais frontière (BR).

  1. Entrez en mode de configuration des règles de mappage de base.

    basic-mapping-rule

  2. Configurer le préfixe IPv4.

    ipv4-prefix ipv4_network_address netmask

    Le préfixe IPv4 définit le pool d’adresses IPv4 pour le périphérique Customer Edge (CE). Le périphérique CE traduit d’abord son adresse IPv4 en une adresse (et un numéro de port) dans le pool défini par le préfixe IPv4. MAP traduit ensuite cette nouvelle adresse en adresse IPv6 en utilisant le préfixe dans la règle de mappage par défaut.

    Précisez une adresse réseau et un masque de sous-réseau, par exemple, 192.168.3.0 255.255.255.0. Vous ne pouvez pas utiliser le même préfixe IPv4 dans différents domaines MAP.

  3. Configurez le préfixe IPv6.

    ipv6-prefix ipv6_prefix/prefix_length

    Le préfixe IPv6 définit le pool d’adresses pour l’adresse IPv6 du périphérique CE. MAP traduit les paquets IPv6 en IPv4 uniquement si les paquets ont une adresse de destination avec ce préfixe et une adresse source avec le préfixe IPv6 défini dans la règle de mappage par défaut et se trouve dans la plage de ports correcte. Tous les paquets IPv6 envoyés au périphérique CE à partir d’autres adresses sont simplement traités comme du trafic IPv6 sans traduction MAP. Les paquets des pools de source/destination MAP, mais avec des ports hors plage, sont simplement abandonnés.

    Précisez un préfixe IPv6 et une longueur de préfixe, qui est normalement 64, mais ne peut pas être inférieure à 8. Vous ne pouvez pas utiliser le même préfixe IPv6 dans différents domaines MAP.

  4. Configurez le port de départ.

    start-port number

    Le premier port dans le pool de ports pour l’adresse traduite. Le port que vous spécifiez doit être une puissance de 2, de 1 à 32 768, par exemple 1, 2, 4, 8, etc. Si vous souhaitez exclure les ports bien connus, commencez à 1024 ou plus.

  5. Configurez le rapport de port, qui détermine le nombre de ports dans le pool de ports.

    share-ratio number

    Précisez le nombre de ports qui doivent faire partie du pool. Le nombre doit être une puissance de 2, de 1 à 65536, comme 1, 2, 4, 8, etc.

Exemple:


ciscoasa(config-map-domain)# basic-mapping-rule
ciscoasa(config-map-domain-bmr)# ipv4-prefix 192.168.3.0 255.255.255.0
ciscoasa(config-map-domain-bmr)# ipv6-prefix 2001:cafe:cafe:1::/64
ciscoasa(config-map-domain-bmr)# start-port 1024
ciscoasa(config-map-domain-bmr)# share-ratio 16

Exemple


ciscoasa(config)# map-domain 1
ciscoasa(config-map-domain)# default-mapping-rule 2001:DB8:CAFE:CAFE::/64
ciscoasa(config-map-domain)# basic-mapping-rule
ciscoasa(config-map-domain-bmr)# ipv4-prefix 192.168.3.0 255.255.255.0
ciscoasa(config-map-domain-bmr)# ipv6-prefix 2001:cafe:cafe:1::/64
ciscoasa(config-map-domain-bmr)# start-port 1024
ciscoasa(config-map-domain-bmr)# share-ratio 16

Surveillance MAP

Les rubriques suivantes expliquent comment surveiller la configuration et l’activité du MAP.

Vérification de la configuration du domaine MAP

Vous pouvez afficher les domaines de mappage et leur état pour vérifier que la configuration est correcte.

La commande show map-domain affiche la configuration MAP (semblable à la commande show running-config map-domain ), mais indique également si une configuration de domaine est valide. Dans l’exemple suivant, il y a deux domaines, 1 et 2. Le résultat explique que le domaine MAP 2 est incomplet et qu’il n’est donc pas actif. 


MAP Domain 1
  Default Mapping Rule
    IPv6 prefix 2001:db8:cafe:cafe::/64
  Basic Mapping Rule
    IPv6 prefix 2001:cafe:cafe:1::/64
    IPv4 prefix 192.168.3.0 255.255.255.0
    share ratio 16
    start port 1024
    PSID length 4
    PSID offset 6
    Rule EA-bit length 12

MAP Domain 2
  Default Mapping Rule
    IPv6 prefix 2001:db8:1234:1234::/64

Warning: map-domain 2 configuration is incomplete and not in effect.

Surveillance des messages Syslog

Si vous activez le syslog vous pouvez surveiller le comportement de MAP avec les messages desyslog suivants :

  • 305018 : Traduction MAP du nom de l’interface : adresse IP source/port source-adresse IP de destination/port de destination vers nom de l’interface : adresse IP source traduite/port source traduit-adresse IP de destination traduite/port de destination traduit

    Une nouvelle traduction MAP a été effectuée. Le message affiche la source et la destination d’origine et traduites.

  • 305019 : l’adresse IP/le port de nœud MAP adresse IP/port a un encodage d’ID défini de port incohérent

    Un paquet a une adresse qui correspond aux règles de mappage de base MAP, ce qui signifie qu’il est destiné à être traduit, mais l’ID d’ensemble de port codé dans l’adresse est incohérent par RFC7599. Cela signifie probablement qu’il y a une défaillance logicielle sur le nœud MAP d’où provient ce paquet.

  • 305020 : le nœud MAP avec l’adresse IP adresse IP n’est pas autorisé à utiliser le port port

    Un paquet a une adresse qui correspond aux règles de mappage de base MAP, ce qui signifie qu’il est destiné à être traduit, mais le port associé ne fait pas partie de la plage allouée à cette adresse. Cela signifie probablement qu’il y a une erreur de configuration sur le nœud MAP d’où provient ce paquet.

Historique du MAP

Nom de la caractéristique

Versions de plateforme

Description

Mappage de l’adresse et de la traduction du port (MAP-T)

9.13(1)

Le mappage de l’adresse et du port (MAP) est principalement une fonctionnalité utilisée dans les réseaux des fournisseurs de services (SP). Le fournisseur de services peut exploiter un réseau IPv6 uniquement, le domaine MAP, tout en prenant en charge les clients IPv4 uniquement et leur besoin de communiquer avec des sites IPv4 uniquement sur l’Internet public. La carte est définie dans RFC7597, RFC7598 et RFC7599.

Nous avons introduit ou modifié les commandes suivantes : basic-mapping-rule , default-mapping-rule , ipv4-prefix , ipv6-prefix , map-domain , share-ratio , show map-domain , start-port .