Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Prodotti correlati

Convenzioni

Configurazione

Esempio di rete

Configurazioni Cisco IOS

Configurazioni CatOS

Verifica

Risoluzione dei problemi

Comandi per la risoluzione dei problemi

Comandi correlati

Informazioni correlate

Introduzione

Questo documento spiega come configurare Network Address Translation (NAT) sugli switch Cisco Catalyst serie 6500/6000.

Prerequisiti

Requisiti

Prima di provare questa configurazione, accertarsi di soddisfare i seguenti requisiti:

- Familiarità con il funzionamento del NAT.

Per ulteriori informazioni, fare riferimento a Come funziona NAT.

- Familiarità con i comandi da utilizzare per configurare il protocollo NAT su un router.

Per ulteriori informazioni sui comandi, consultare il documento sulla configurazione di Network Address Translation: Per iniziare.

Componenti usati

Per la stesura del documento, sono stati usati switch Cisco Catalyst serie 6500 con Supervisor Engine 720 con software Cisco IOS® versione 12.2(18)SXD6 e switch Cisco Catalyst serie 6500 con Supervisor Engine II con software CatOS versione 8.4(4).

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Questa configurazione può essere utilizzata anche con gli switch Cisco Catalyst serie 6000.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Configurazione

In questa sezione vengono presentate le informazioni necessarie per configurare le funzionalità descritte più avanti nel documento.

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Esempio di rete

Nel documento viene usata questa impostazione di rete:

Nota: gli schemi di indirizzamento IP utilizzati in questa configurazione non sono legalmente instradabili su Internet. Si tratta degli indirizzi RFC 1918 utilizzati in un ambiente lab.

Configurazioni Cisco IOS

Nell'esempio di configurazione, il protocollo NAT è configurato per il sovraccarico sull'indirizzo IP dell'interfaccia Fast Ethernet 4/4. Ciò significa che più indirizzi locali interni possono essere convertiti in modo dinamico nello stesso indirizzo globale. In questo caso, l'indirizzo assegnato all'interfaccia Fast Ethernet 4/4.

Inoltre, il protocollo NAT è configurato in modo statico in modo che i pacchetti provenienti dall'indirizzo locale 10.10.10.2 con porta TCP 25 (SMTP) vengano convertiti nell'interfaccia Fast Ethernet 4/4 indirizzo IP porta TCP 2525. Poiché si tratta di una voce NAT statica, i client di posta elettronica esterni possono originare pacchetti SMTP all'indirizzo globale di 172.16.10.64. La porta esterna è stata scelta come 2525 per impedire attacchi Denial of Service.

Catalyst 6500 in modalità nativa

6509sup720#show running-config

Building configuration...

Current configuration : 7524 bytes

!

version 12.2

service timestamps debug datetime

service timestamps log datetime msec localtime

service password-encryption

service counters max age 10

!

hostname 6509sup720

!

boot system sup-bootflash:s72033-psv-mz.122-18.SXD6.bin

!username maui-nas-05 password cisco

!

no ip domain-lookup

!

no mls flow ip

no mls flow ipv6

spanning-tree mode pvst

!

redundancy

mode sso

main-cpu

!

!

interface FastEthernet4/4

ip address 172.16.10.64 255.255.255.0

ip nat outside

!--- Defines interface FastEthernet 4/4 with an IP address and as a !--- NAT outside interface.

!

interface Vlan2

ip address 10.10.10.1 255.255.255.0

ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!

interface Vlan3

ip address 10.10.20.1 255.255.255.0

ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!

ip nat inside source list 100 interface FastEthernet 4/4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface FastEthernet 4/4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.

!--- Refer to ip nat inside source for more details !--- on the command.

!

!

ip classless

no ip http server

!

!--- ACL 100 permits only the desired traffic for translation.

access-list 100 permit ip 10.10.10.0 0.0.0.255 any

access-list 100 permit ip 10.10.20.0 0.0.0.255 any

!

line con 0

transport input none

line vty 0 4

!

end

Configurazioni CatOS

Per gli switch in modalità ibrida, è necessario configurare prima le VLAN sul Supervisor e quindi applicare la configurazione NAT sull'MSFC. Anziché avere un'interfaccia della porta esterna, è necessario configurare un'interfaccia VLAN in quanto, in modalità ibrida, non è possibile specificare un indirizzo IP per una particolare porta.

Catalyst 6500 in configurazione ibrida sul Supervisor (processore switch)

!--- Configure VLAN 2, VLAN 3 and VLAN 4 on the Supervisor.

!--- Add VLAN 2.

Catalyst6500> (enable) set vlan 2

VLAN 2 configuration successful

!--- Add VLAN 3.

Catalyst6500> (enable) set vlan 3

VLAN 3 configuration successful

!--- Add VLAN 4.

Catalyst6500> (enable) set vlan 4

VLAN 4 configuration successful

!--- Assign port fa4/4 to VLAN 4.

Catalyst6500> (enable) set vlan 4 4/4

VLAN 4 modified.

VLAN 1 modified.

VLAN  Mod/Ports

---- -----------------------

4     4/4

Catalyst6500> (enable)

Catalyst 6500 in configurazioni in modalità ibrida sull'MSFC (Route Processor)

MSFC#show running-config

Building configuration...

Current configuration : 1024 bytes

!

version 12.1

no service pad

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname Router

!

boot system flash bootflash:c6msfc2-jk2o3sv-mz.121-26.E1.bin

!

ip subnet-zero

!

!

!

ip ssh time-out 120

ip ssh authentication-retries 3

redundancy

high-availability

single-router-mode

!

!

!

!

!

interface Vlan2

ip address 10.10.10.1 255.255.255.0

ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!

interface Vlan3

ip address 10.10.20.1 255.255.255.0

ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!

interface Vlan4

ip address 172.16.10.64 255.255.255.0

ip nat outside

!--- Defines interface VLAN 4 with an IP address and as a NAT outside !--- interface.

!

ip nat inside source list 100 interface Vlan4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface Vlan4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.

ip classless

no ip http server

!

access-list 100 permit ip 10.10.10.0 0.0.0.255 any

access-list 100 permit ip 10.10.20.0 0.0.0.255 any

!--- ACL 100 permits only the desired traffic for translation.

!

!

line con 0

line vty 0 4

no login

!

!

end

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

Lo strumento Output Interpreter (solo utenti registrati) supporta alcuni comandi show. Usare l'OIT per visualizzare un'analisi dell'output del comando show

- show ip nat translation: visualizza le traduzioni NAT attive.

Cat6k#show ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

tcp 172.16.10.64:2525  10.10.10.2:25        ---                  ---

- show ip access-list: visualizza il contenuto di tutti gli elenchi degli accessi IP correnti.

Cat6k#show ip access-lists

Extended IP access list 100

permit ip 10.10.10.0 0.0.0.255 any (32 matches)

permit ip 10.10.20.0 0.0.0.255 any (22 matches)

deny ip any any

- show ip nat statistics: visualizza le statistiche NAT.

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Comandi per la risoluzione dei problemi

Lo strumento Output Interpreter (solo utenti registrati) (OIT) supporta alcuni comandi show. Usare l'OIT per visualizzare un'analisi dell'output del comando show.

Nota: consultare le informazioni importanti sui comandi di debug prima di usare i comandi di debug.

- debug ip nat: visualizza le informazioni sui pacchetti IP convertiti dalla funzionalità IP NAT.

Cat6k#debug ip nat

IP NAT debugging is on

Cat6k#

*Mar  1 01:40:47.692 CET: NAT: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [80]

*Mar  1 01:40:47.720 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [80]

*Mar  1 01:40:47.720 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [81]

*Mar  1 01:40:47.748 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [81]

*Mar  1 01:40:47.748 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [82]

*Mar  1 01:40:47.784 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [82]

*Mar  1 01:40:47.784 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [83]

*Mar  1 01:40:47.836 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [83]

*Mar  1 01:40:47.836 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [84]

*Mar  1 01:40:47.884 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [84]

- clear ip nat translation * - Elimina le traduzioni dinamiche NAT (Network Address Translation) dalla tabella di traduzione.

Comandi correlati

- ip nat - Indica che il traffico proveniente da o destinato all'interfaccia è soggetto a NAT.

- ip nat inside destination: abilita NAT dell'indirizzo di destinazione interno.

- ip nat inside source: abilita NAT dell'indirizzo di origine interno.

- ip nat external source: abilita NAT dell'indirizzo di origine esterno.

Informazioni correlate

- Matrice di supporto di Network Address Translation sugli switch Catalyst

- Pagina di supporto NAT

- Switch Cisco Catalyst serie 6500

- Supporto dei prodotti LAN

- Supporto della tecnologia di switching LAN

- Documentazione e supporto tecnico – Cisco Systems