内容

はじめに

このドキュメントでは、ネットワークアドレス変換(NAT)とTwice NATを設定および確認する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- NAT

- NXOSプラットフォーム

- Ethanalyzerの理解

使用するコンポーネント

[名前(Name)]

プラットフォーム

バージョン

N9K1

N9K-C93108TC-EX

9.3(10)

N9K2

N9K-C93108TC-EX

9.3(10)

N9K3

N9K-C93108TC-EX

9.3(10)

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ネットワーク図

グローバル内部IPアドレスの変換の設定

内部グローバルIP:10.1.1.1

内部ローカルIP:192.168.1.1

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.10/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.1

feature nat

ip access-list tac-nat-inside

permit ip host 10.1.1.1 any

ip nat pool tac-nat-inside-pool 192.168.1.1 192.168.1.1 prefix-length 32

ip nat inside source list tac-nat-inside pool tac-nat-inside-pool dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

注:IP 192.168.1.1は物理的にいずれのデバイスにも存在しないため、このIPにトラフィックを転送するにはNexusに有効なルートが必要です。手動スタティックルートエントリは、NATリストの最後にある「ルートの追加」を設定できます。Nexusは、変換されていないIPのネクストホップを指す、変換されたIPへのルートを自動的に生成します。

グローバル内部IPアドレスの変換の確認

N9K1

N9K2

N9K3

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on inband

1 2023-09-09 00:34:03.617811110 10.3.3.3 → 10.1.1.1 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

any  192.168.1.1         10.1.1.1            ---                ---

show ip route 192.168.1.1

192.168.1.1/32, ubest/mbest: 1/0

via 10.10.10.10 [1/0], 00:48:06, NAT

HOST2# ping 192.168.1.1 source 10.3.3.3

PING 192.168.1.1 (192.168.1.1) from 10.3.3.3: 56 data bytes

64 bytes from 192.168.1.1: icmp_seq=0 ttl=253 time=1.175 ms

N9K1が10.1.1.1宛ての変換されたパケットを受信します。

N9K2は、内部ローカルIP(192.168.1.1)を内部グローバルIP(10.1.1.1)に変換します。

コマンド「add route」で、変換されたルートへのルートが自動生成される

Nexusには内部コンフィギュレーションしかないため、Nexusは内部コンフィギュレーションのみを表示します。

N9K2が内部ローカルIP 192.168.1.1へのpingを開始します。

グローバル外部IPからの変換の設定

外部グローバルIP:10.3.3.3

外部ローカルIP:172.16.3.3

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.11/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.11

feature nat

ip access-list tac-nat-outside

permit ip host 10.3.3.3 any

ip nat pool tac-nat-outisde-pool 172.16.3.3 172.16.3.3 prefix-length 32

ip nat outside source list tac-nat-outside pool tac-nat-outisde-pool dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

注：注：IP 172.16.3.3は物理的にいずれのデバイスにも存在しないため、NexusはこのIPにトラフィックを転送するために有効なルートを持つ必要があります。手動スタティックルートエントリは、NATリストの最後にある「ルートの追加」を設定できます。Nexusは、変換されていないIPのネクストホップを指す、変換されたIPへのルートを自動的に生成します。

グローバル外部IPからの変換の確認

N9K1

N9K2

N9K3

ping 172.16.3.3 source 10.1.1.1

PING 172.16.3.3 (172.16.3.3) from 10.1.1.1: 56 data bytes

64 bytes from 172.16.3.3: icmp_seq=0 ttl=253 time=1.103 ms

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

any ---                ---                172.16.3.3    10.3.3.3

show ip route 172.16.3.3

172.16.3.3/32, ubest/mbest: 1/0

via 10.20.20.20 [1/0], 00:48:06, NAT

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on 'ps-inb'

1 2023-09-09 00:34:03.617811110 10.1.1.1 → 10.3.3.3 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

N9K1がOutside ilocal ip 172.16.3.3へのpingを開始します。

N9K2は外部ローカルIP(192.168.3.3)を外部グローバルIP(10.3.3.3)に変換する

コマンド「add route」で、変換されたルートへのルートが自動生成される

NexusにはOutsideの設定しかないため、NexusにはOutsideの情報だけが表示されます。

N9K3は、10.3.3.3を宛先とする変換されたパケットを受信します。

変換グローバル内部/外部IPの設定(Twice Nat)

外部グローバルIP:10.3.3.3

外部ローカルIP:172.16.3.3

内部グローバルIP:10.1.1.1

内部ローカルIP:192.168.1.1

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.11/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.11

feature nat

ip access-list tac-nat-outside

permit ip host 10.3.3.3 any

ip access-list tac-nat-inside

permit ip host 10.1.1.1 any

For Outside Twice translation nexus need 2 source list, one static Inside and one Dynamic Outside.

Both of them needs to match the same group.

ip nat pool tac-nat-outisde-pool 172.16.3.3 172.16.3.3 prefix-length 32

ip nat outside source list tac-nat-outside pool tac-nat-outisde-pool group 2 dynamic add-route

ip nat inside source static 10.1.1.1 192.168.1.1 group 2 dynamic add-route

For Inside Twice translation nexus need 2 source list, one static Outside and one Dynamic Inside.

Both of them needs to match the same group.

ip nat pool tac-nat-inside-pool 192.168.1.1 192.168.1.1 prefix-length 32

ip nat inside source list tac-nat-inside pool tac-nat-inside-pool group 1 dynamic add-route

ip nat outside source static 10.3.3.3 172.16.3.3 group 1 dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

注：注：IP 172.16.3.3も192.168.1.1もデバイスに物理的に存在しないため、nexusはこのIPにトラフィックを転送するために有効なルートを持つ必要があります。手動スタティックルートエントリは、NATリストの最後にある「ルートの追加」を設定できます。Nexusは、変換されていないIPのネクストホップを指す、変換されたIPへのルートを自動的に生成します。

変換グローバル内部/外部IPの確認(Twice Nat)

N9K1

N9K2

N9K3

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on inband

1 2023-09-09 00:34:03.617811110 172.16.3.3 → 10.1.1.1 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

icmp 192.168.1.1:0 10.1.1.1:0          172.16.3.3:37734 10.3.3.3:37734

show ip route 192.168.1.1

192.168.1.1/32, ubest/mbest: 1/0

via 10.10.10.10 [1/0], 00:48:06, NAT

show ip route 172.16.3.3

172.16.3.3/32, ubest/mbest: 1/0

via 10.20.20.20 [1/0], 00:48:06, NAT

HOST2# ping 192.168.1.1 source 10.3.3.3

PING 192.168.1.1 (192.168.1.1) from 10.3.3.3: 56 data bytes

64 bytes from 192.168.1.1: icmp_seq=0 ttl=253 time=1.175 ms

N9K1は10.1.1.1(S,G)を宛先とする変換パケットを受信します。

N9K2は、内部ローカルIP(192.168.1.1)を内部グローバルIP(10.1.1.1)に変換します。

N9K2は外部ローカルIP(192.168.3.3)を外部グローバルIP(10.3.3.3)に変換する

コマンド「add route」で、変換されたルートへのルートが自動生成される

Nexusには内部コンフィギュレーションしかないため、Nexusは内部コンフィギュレーションのみを表示します。

N9K2が内部ローカルIP 192.168.1.1へのpingを開始します。