内容

概要

前提条件

要件

使用するコンポーネント

背景説明

VASI の動作

設定

ネットワーク図

初期設定

VASI インターフェイスの設定

NAT の設定

シナリオ 1 - Vasiright での NAT

シナリオ 2 - Vasileft での NAT

確認

トラブルシュート

関連情報

概要

このドキュメントでは、Cisco IOS-XEが稼働するルータでのVASI NATの設定について説明します®.

著者：Cisco TAC エンジニア、Rohit Nair

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。このドキュメントは、Cisco IOS-XE ソフトウェアを実行するシスコ ルータおよびスイッチに適用されます。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

IOS-XE で動作するデバイスは、IOS デバイスで使用されている従来の VRF 間 NAT 設定をサポートしません。IOS-XE での VRF 間 NAT は、VASI の実装によってサポートされます。

VASI により、VRF インスタンス間をフローするトラフィックに IPsec、ファイアウォール、NAT などのサービスを設定できます。

VASIは、VASIペアを設定することによって実装されます。このペアの各インターフェイスは、異なるVRFインスタンスに関連付けられます。VASI仮想インターフェイスは、これら2つのVRFインスタンス間でスイッチングする必要があるパケットのネクストホップインターフェイスです。ペアリングは、vasileft インターフェイスが自動的に vasiright インターフェイスとペアになるよう、2 つのインターフェイス インデックスに基づいて自動的に行われます。vasileft インターフェイスに入るパケットはすべて、そのペアとなっている vasiright インターフェイスに自動的に転送されます。

VASI の動作

VRF 間 VASI を同じデバイスに設定する場合、パケット フローは以下の順で行われます。

1. パケットが VRF 1 に属する物理インターフェイスに入ります。

2. パケットを転送する前に、VRF 1 ルーティング テーブルで転送ルックアップが行われます。Vasileft1 がネクスト ホップとして選択され、存続可能時間（TTL）の値がパケットから減算されます。通常、転送先アドレスは VRF のデフォルト ルートに基づいて選択されます。ただし、転送先アドレスをスタティック ルートや学習ルートにすることもできます。パケットが vasileft1 の出力パスに送信されて、自動的に vasiright1 入力パスに送信されます。

3. パケットが vasiright1 に入ると、VRF 2 ルーティング テーブルで転送ルックアップが行われ、TTL 値が再び減算されます（このパケットでの 2 回目の減算）。

4. VRF 2 がパケットを物理インターフェイスに転送します。

設定

以下のシナリオで、基本的な VRF 間 NAT の設定を説明します。

ネットワーク図

初期設定

SanJose：

interface GigabitEthernet0/0/0

ip address 192.168.1.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 192.168.1.2

Bombay：

vrf definition VRF_LEFT

rd 1:1

!

address-family ipv4

exit-address-family

vrf definition VRF_RIGHT

rd 2:2

!

address-family ipv4

exit-address-family

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

Sydney：

interface GigabitEthernet0/0/0

ip address 172.16.1.1 255.255.255.0

VASI インターフェイスの設定

VASI インターフェイスごとに異なる VRF インスタンスがペアとして関連付けられます。

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

NAT の設定

この例では、以下の要件に従って NAT を設定します。

1.スタティックNAT:192.168.1.1の送信元IPを172.16.1.5に変換する必要がある

2.ダイナミックNAT:192.168.1.0/24の送信元サブネットを172.16.1.5に変換する必要がある

シナリオ 1 - Vasiright での NAT

通常、WAN インターフェイスは発信 VRF（このトポロジでは VRF_RIGHT）にあります。この場合、NAT を vasiright と WAN インターフェイスの間に設定できます。vasileft から vasiright インターフェイスに入るトラフィックは内部で NAT として設定され、WAN インターフェイスが NAT 外部インターフェイスになります。

このシナリオでは、VRF 間のトラフィックにスタティック ルートを使用します。宛先を 172.16.0.0 サブネットとするスタティック ルートを、vasileft インターフェイスをポイントする VRF_LEFT 上に設定し、送信先を 192.168.0.0 サブネットとする別のルートを、vasiright インターフェイスをポイントする VRF_RIGHT 上に設定します。

注

送信元 IP を WAN インターフェイス IP に変換するように NAT を設定しないでください。そのように設定すると、ルータがトラフィックを自身を宛先とするトラフィックとして扱い、VASI インターフェイスに転送しません。

スタティック NAT

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT

検証：

Bombay#sh ip nat translations vrf VRF_RIGHT

Pro        Inside global     Inside local       Outside local    Outside global

---        172.16.1.5        192.168.1.1        ---              ---

icmp       172.16.1.5:8      192.168.1.1:8      172.16.1.1:8     172.16.1.1:8

tcp        172.16.1.5:47491  192.168.1.1:47491  172.16.1.1:23    172.16.1.1:23

Total number of translations: 3

ダイナミック NAT

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload

検証：

Bombay#sh ip nat translations

Pro      Inside global      Inside local         Outside local      Outside global

icmp     172.16.1.5:1       192.168.1.1:15       172.16.1.1:15      172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:58166    172.16.1.1:23      172.16.1.1:23

Total number of translations: 2

シナリオ 2 - Vasileft での NAT

vasileft 側だけで NAT を設定することもできます。つまり、VRF_LEFT でトラフィックに NAT を適用してから VRF_RIGHT に送信するという設定です。VRF_LEFT の着信インターフェイスは NAT 内部インターフェイスと見なされ、vasileft 1 は NAT 外部インターフェイスとして設定されます。

このシナリオでは、VRF 間のトラフィックにスタティック ルートを使用します。宛先を 172.16.0.0 サブネットとするスタティック ルートを、vasileft インターフェイスをポイントする VRF_LEFT 上に設定し、NAT 適用後の送信先を 172.16.1.5 サブネットとする別のルートを、vasiright をポイントする VRF_RIGHT 上に設定します。

スタティック NAT

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT

検証：

Bombay#sh ip nat translations vrf VRF_LEFT

Pro       Inside global        Inside local         Outside local      Outside global

---       172.16.1.5           192.168.1.1          ---                ---

icmp      172.16.1.5:5         192.168.1.1:5        172.16.1.1:5       172.16.1.1:5

tcp       172.16.1.5:35414     192.168.1.1:35414    172.16.1.1:23      172.16.1.1:23

Total number of translations: 3

ダイナミック NAT

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_LEFT overload

検証：

Bombay#sh ip nat translations vrf VRF_LEFT

Pro      Inside global      Inside local        Outside local    Outside global

icmp     172.16.1.5:1       192.168.1.1:4       172.16.1.1:4     172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:27593   172.16.1.1:23    172.16.1.1:23

Total number of translations: 2

確認

1. 2 つの VRF インスタンス間のトラフィックをルーティングするようにダイナミック/スタティック ルートが設定されているかどうかを確認します。

2. NAT が正しい VRF に対して設定されているかどうかを確認します。

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

- VRF 対応ソフトウェア インフラストラクチャの設定