Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Probleem

Kan één router pingen maar geen andere router

Apparaten voor buitengebruik kunnen niet communiceren met interne routers

Controlelijst voor gemeenschappelijke problemen

Inleiding

Dit document beschrijft hoe u problemen met de IP-connectiviteit in een NAT-omgeving kunt oplossen.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Conventies

Raadpleeg de Cisco Technical Tips Conventions voor meer informatie over documentconventies.

Probleem

In dit document worden deze problemen opgelost:

- Kan één router pingen maar geen andere router

- Apparaten voor buitengebruik kunnen niet communiceren met interne routers

Om te bepalen of het probleem zich in de NAT-bewerkingen bevindt:

1. Gebaseerd op de configuratie, definieer duidelijk wat NAT verondersteld wordt te bereiken.U kunt bepalen dat er een probleem met de configuratie is. Zie Netwerkadresomzetting configureren voor informatie over NAT-configuratie: Aan de slag.

2. Controleer of er correcte vertalingen in de vertaaltabel staan.

3. Gebruik de opdrachten show en debug om te verifiëren dat de vertaling plaatsvindt.

4. Bekijk in detail wat er met het pakket gebeurt en controleer of routers de juiste routerinformatie hebben om het pakket mee te verplaatsen.

- Kan één router pingen maar geen andere router

In dit netwerkdiagram kan router 4 router 5 (172.16.6.5) maar niet router 7 (172.16.11.7) pingen:

Router 4 kan router 7 niet pingen

De routeringsprotocollen voeren de routers niet uit. Router 4 de standaardgateway is router 6. Router 6 wordt gevormd met NAT:

interface Ethernet0

ip address 172.16.6.6 255.255.255.0

ip directed-broadcast

ip nat outside

!

interface Ethernet1

ip address 10.10.10.6 255.255.255.0

ip nat inside

!

interface Serial2.7 point-to-point

ip address 172.16.11.6 255.255.255.0

ip nat outside

frame-relay interface-dlci 101

!

ip nat pool test 172.16.11.70 172.16.11.71 prefix-length 24

ip nat inside source list 7 pool test

ip nat inside source static 10.10.10.4 172.16.6.14

!

access-list 7 permit 10.10.50.4

access-list 7 permit 10.10.60.4

access-list 7 permit 10.10.70.4

Probleemoplossing:

1. U moet bepalen dat NAT correct werkt. U weet van de configuratie dat het IP-adres van de router 4 (10.10.10.4) statisch is vertaald naar 172.16.6.14. U kunt de opdracht NAT-vertaling van de show gebruiken op router 6 om te verifiëren dat de vertaling in de vertaaltabel bestaat:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

2. Zorg ervoor dat deze vertaling gebeurt wanneer router 4 IP-verkeer brondt. U kunt dit op twee manieren doen vanaf router 6, de NAT debug uitvoeren of NAT-statistieken bewaken met de opdracht NAT-statistieken tonen. Omdat debug commando's het laatste redmiddel zijn, start je met het show commando.

3. Controleer de teller om ervoor te zorgen dat het toeneemt als het verkeer van router 4 ontvangt. De tellerstoename telkens als de vertaallijst wordt gebruikt om een adres te vertalen.

4. Wis de statistieken, dan toon de statistieken, dan probeer om router 7 van router 4 te pingelen, en dan toon opnieuw de statistieken.

router-6#clear ip nat statistics

router-6#

router-6# show ip nat statistics

Total active translations: 1 (1 static, 0 dynamic; 0 extended)

Outside interfaces:

Ethernet0, Serial2.7

Inside interfaces:

Ethernet1

Hits: 0  Misses: 0

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 7 pool test refcount 0

pool test: netmask 255.255.255.0

start 172.16.11.70 end 172.16.11.71

type generic, total addresses 2, allocated 0 (0%), misses 0

router-6#

Nadat u de opdracht ping 172.16.11.7 op router 4 hebt gebruikt, zijn de NAT-statistieken op router 6:

router-6#show ip nat statistics

Total active translations: 1 (1 static, 0 dynamic; 0 extended)

Outside interfaces:

Ethernet0, Serial2.7

Inside interfaces:

Ethernet1

Hits: 5  Misses: 0

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 7 pool test refcount 0

pool test: netmask 255.255.255.0

start 172.16.11.70 end 172.16.11.71

type generic, total addresses 2, allocated 0 (0%), misses 0

U kunt aan de show zien bevelen dat het aantal klappen met vijf steeg. In een succesvolle ping van een Cisco-router neemt het aantal hits met tien toe. De vijf die het Protocol van het Bericht van de Controle van Internet (ICMP) door de bronrouter (router 4) wordt verzonden wordt vertaald, en de vijf echoantwoord op pakketten van de bestemmingsrouter (router 7) moeten worden vertaald, voor een totaal van tien klappen. Het verlies van vijf hits is omdat de echoantwoorden niet vertaald zijn of niet verzonden zijn vanaf router 7.

Zie of kunt u om het even welke reden Router 7 vinden zou geen pakketten van het echoantwoord naar Router 4 verzenden. U herziet wat NAT aan het pakket doet. Router 4 verzendt ICMP-echopakketten met een bronadres van 10.10.10.4 en een bestemmingsadres van 172.16.11.7. Nadat NAT is uitgevoerd, heeft het pakket dat door router 7 wordt ontvangen een bronadres van 172.16.6.14 en een bestemmingsadres van 172.16.11.7. Router 7 moet reageren op 172.16.6.14 en hoeft sinds 172.16.6.14 niet rechtstreeks met router 7 te zijn verbonden, een route voor dit netwerk om te reageren. Controleer de routertabel van router 7 om te controleren of de route bestaat.

router-7#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 4 subnets

C       172.16.12.0 is directly connected, Serial0.8

C       172.16.9.0 is directly connected, Serial0.5

C       172.16.11.0 is directly connected, Serial0.6

C       172.16.5.0 is directly connected, Ethernet0

U kunt zien dat de router 7 die lijst verplettert geen route voor 172.16.6.14 heeft. Zodra u deze route toevoegt, pingel werken. Het is nuttig om NAT statistieken met het bevel van de show ip nationaal statistieken te controleren. In een complexere NAT-omgeving met verschillende vertalingen is deze show-opdracht niet langer nuttig. U kunt dan debugs op de router uitvoeren.

- Apparaten voor buitengebruik kunnen niet communiceren met interne routers

In dit probleem, kan router 4 zowel router 5 als router 7 pingelen, maar de apparaten op het 10.10.50.0 netwerk kunnen niet met router 5 of router 7 communiceren. Het netwerkdiagram is:

Netwerk kan niet communiceren met router

interface Ethernet0

ip address 172.16.6.6 255.255.255.0

ip directed-broadcast

ip nat outside

media-type 10BaseT

!

interface Ethernet1

ip address 10.10.10.6 255.255.255.0

ip nat inside

media-type 10BaseT

!

interface Serial2.7 point-to-point

ip address 172.16.11.6 255.255.255.0

ip nat outside

frame-relay interface-dlci 101

!

ip nat pool test 172.16.11.70 172.16.11.71 prefix-length 24

ip nat inside source list 7 pool test

ip nat inside source static 10.10.10.4 172.16.6.14

!

access-list 7 permit 10.10.50.4

access-list 7 permit 10.10.60.4

access-list 7 permit 10.10.70.4

Vermeld het verwachte gedrag van NAT. Van de configuratie van router 6, weet u dat NAT verondersteld wordt om 10.10.50.4 aan het eerste beschikbare adres in de NAT pool "test." dynamisch te vertalen De pool bestaat uit adressen 172.16.11.70 en 172.16.11.71. Van dit probleem, kunt u begrijpen dat de pakketten die Routers 5 en 7 ontvangen of een bronadres van 172.16.11.70 of 172.16.11.71 hebben. Deze adressen zijn op hetzelfde subnet als router 7, zodat router 7 een direct verbonden route moet hebben, echter, als het nog geen heeft, heeft router 5 een route naar het subnet nodig.

U kunt het showip routebevel gebruiken om te zien dat Router 5 die lijst maakt van 172.16.11.0:

router-5#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 4 subnets

C 172.16.9.0 is directly connected, Serial1

S 172.16.11.0 [1/0] via 172.16.6.6

C 172.16.6.0 is directly connected, Ethernet0

C 172.16.2.0 is directly connected, Serial0

U kunt het bevel van de showip route gebruiken om te zien dat router 7 die lijst maakt van de lijst van de routerlijst 172.16.11.0 als direct verbonden Subnet:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

--- 172.16.11.70       10.10.50.4         ---                ---

Controleer de NAT-vertaaltabel en controleer of de verwachte vertaling bestaat. Aangezien de gewenste vertaling dynamisch wordt gemaakt, moet u eerst IP-verkeer verzenden via het juiste adres. Na verzonden ping, afkomstig van 10.10.50.4 en bestemd voor 172.16.11.7, toont de vertaallijst in router 6:

router-6#show ip nat translation

Pro Inside global      Inside local       Outside local      Outside global

--- 172.16.6.14        10.10.10.4         ---                ---

--- 172.16.11.70       10.10.50.4         ---                ---

Aangezien de verwachte vertaling in de vertaallijst is, weet u dat de ICMP-echopakketten correct worden vertaald. Één optie is dat u de NAT- statistieken kunt controleren, maar dat is niet nuttig in een complex milieu. Een andere optie is om NAT-debugging op de NAT-router (router 6) uit te voeren. U kunt debug ip Nat op router 6 uitvoeren terwijl u een ping bron van 10.10.50.4 bestemd voor 172.16.11.7 verzendt. De debug resultaten zijn in het volgende codevoorbeeld.

Opmerking: Wanneer u een debug-opdracht op een router gebruikt, kunt u de router overladen, waardoor deze inoperabel wordt. Gebruik altijd extreme voorzichtigheid en indien mogelijk moet u nooit een debug uitvoeren op een kritieke productierouterie zonder toezicht door een Cisco Technical Support Engineer.

:

router-6# show log

Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)

Console logging: level debugging, 39 messages logged

Monitor logging: level debugging, 0 messages logged

Buffer logging: level debugging, 39 messages logged

Trap logging: level informational, 33 message lines logged

Log Buffer (4096 bytes):

05:32:23: NAT: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [70]

05:32:23: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [70]

05:32:25: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [71]

05:32:25: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [71]

05:32:27: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [72]

05:32:27: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [72]

05:32:29: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [73]

05:32:29: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [73]

05:32:31: NAT*: s=10.10.50.4->172.16.11.70, d=172.16.11.7 [74]

05:32:31: NAT*: s=172.16.11.7, d=172.16.11.70->10.10.50.4 [74]

Zoals u kunt zien van de vorige debug output, toont de eerste lijn het bronadres van 10.10.50.4 vertaald naar 172.16.11.70. De tweede lijn toont het bestemmingsadres van 172.16.11.70 is vertaald terug naar 10.10.50.4. Dit patroon herhaalt zich door de rest van debug. Dit betekent dat router 6 de pakketten in beide richtingen vertaalt.

Beoordeling:

1. Router 4 verstuurt een pakket afkomstig van 10.10.50.4 bestemd voor 172.16.11.7.

2. Router 6 voert NAT uit op het pakket en stuurt een pakket met een bron van 172.16.11.70 en een bestemming van 172.16.11.7.

3. Router 7 stuurt een antwoord met een bron van 172.16.11.7 en een bestemming van 172.16.11.70.

4. Router 6 voert NAT uit op het pakket, wat resulteert in een pakket met bronadres 172.16.11.7 en bestemmingsadres 10.10.50.4.

5. router 6 routeert het pakket naar 10.10.50.4 op basis van informatie in router 6 die tabel routing. U moet het showip routebevel gebruiken om te bevestigen dat router 6 de noodzakelijke route in zijn routeringstabel heeft.

router-6#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

* - candidate default, U - per-user static route, o - ODR

P - periodic downloaded static route

Gateway of last resort is not set

172.16.0.0/24 is subnetted, 5 subnets

C 172.16.8.0 is directly connected, Serial1

C 172.16.10.0 is directly connected, Serial2.8

C 172.16.11.0 is directly connected, Serial2.7

C 172.16.6.0 is directly connected, Ethernet0

C 172.16.7.0 is directly connected, Serial0

10.0.0.0/24 is subnetted, 1 subnets

C 10.10.10.0 is directly connected, Ethernet1

Controlelijst voor gemeenschappelijke problemen

Gebruik deze controlelijst om gebruikelijke problemen op te lossen:

- Vertaling niet geïnstalleerd in de vertaaltabel

Als u vindt dat de juiste vertaling niet in de vertaaltabel is geïnstalleerd, controleert u:

1. De configuratie is correct. Het is soms moeilijk om NAT te krijgen om te krijgen wat je wilt. Zie Netwerkadresomzetting configureren voor de hulp bij het configureren van de configuratie: Aan de slag.

2. Er zijn geen inkomende toegangslijsten die de ingang van pakketten van de NAT router ontkennen.

3. De NAT router heeft de juiste route in de routeringstabel als het pakket van binnen naar buiten gaat. Raadpleeg Volgorde van NAT-bewerkingen voor meer informatie.

4. De toegangslijst die door het NAT-commando als referentie wordt gebruikt, maakt alle benodigde netwerken mogelijk.

5. Er zijn genoeg adressen in het NAT zwembad. Dit is alleen een probleem als NAT niet is geconfigureerd voor congestie.

6. Dat de routerinterfaces geschikt als NAT binnen of NAT buiten worden gedefinieerd.

7. Voor de vertaling van de payload van Domain Name System (DNS)-pakketten, zorg ervoor dat de vertaling plaatsvindt op het adres in de IP-header van het pakket. Als dit niet gebeurt, dan kijkt NAT niet in de payload van het pakket.

- De juiste vertaalingang wordt niet gebruikt

Als de juiste vertaalgegevens in de vertaaltabel zijn geïnstalleerd maar niet worden gebruikt, controleert u:

1. Controleer of er geen inkomende toegangslijsten zijn die het invoeren van de pakketten vanaf de NAT router ontkennen.

2. Voor pakketten die van binnen naar buiten gaan, controleer dat er een route naar de bestemming is zoals dit vóór vertaling wordt gecontroleerd. Raadpleeg Volgorde van NAT-bewerkingen voor meer informatie.

- NAT werkt correct, maar er zijn nog steeds connectiviteitsproblemen

Probleemoplossing voor het connectiviteitsprobleem:

1. Controleer Layer 2-connectiviteit.

2. Controleer Layer 3-routing.

3. Zoek naar pakketfilters die het probleem veroorzaken.

- NAT-omzetting voor poort 80 werkt niet

Dit betekent dat NAT-vertaling voor poort 80 niet werkt, maar dat de vertaling voor andere poorten normaal werkt.

U lost dit probleem als volgt op:

1. Draai de opdrachten voor debug en debug ip-pakket om te zien of de vertalingen correct zijn en of de juiste vertaalvermelding in de vertaaltabel is geïnstalleerd.

2. Controleer of de server reageert.

3. Schakel de HTTP server uit.

4. Schakel de NAT- en ARP-tabellen uit.

- %NAT: Systeem bezig. Probeer later

De poging later foutmelding verschijnt wanneer een show opdracht met betrekking tot NAT of een show in werking stellen-config of schrijf geheugen opdracht wordt uitgevoerd. Dit wordt veroorzaakt door de verhoging van de grootte van de NAT-tabel. Wanneer de grootte van de NAT-tabel toeneemt, raakt de router door geheugen heen.

1. Herlaad de router om dit probleem op te lossen.

2. Als de foutmelding verschijnt wanneer HSRP SNAT is geconfigureerd, configureer dan deze opdrachten om het probleem op te lossen:

- Router (configuratie)#standby vertragingsminimum 20 herladen 20

- Router (configuratie)#standby 2 Vooraf ingestelde vertragingsminimum 20 herladen 20 sync 10

- Grote vertaaltabel vergroot de CPU

Een host kan honderden vertalingen verzenden, wat veel CPU-gebruik veroorzaakt. Met andere woorden, de tabel kan zo groot worden dat de CPU 100 procent draait. De opdracht max-ingangen voor IP-NAT-omzetting 300 maakt de 300 per host-limiet of een geaggregeerde limiet van de hoeveelheid vertalingen op de router. De tijdelijke oplossing is om de ip Nat vertaling max-ingangen all-hosts 300 opdracht te gebruiken.

- % openbaar ip-adres reeds in kaart gebracht (intern ip-adres -> Openbaar ip-adres)

Dit bericht verschijnt wanneer u probeert om twee interne IP adressen aan één openbaar IP adres te vormen dat op de zelfde havens luistert.

% X.X.X.X already mapped (172.30.62.101 -> X.X.X.X)

Om dit te corrigeren, moet u het openbare IP-adres configureren om twee interne IP-adressen te hebben en twee openbare IP-adressen in de DNS te gebruiken.

- Geen items in de ARP-tabel

Dit is een gevolg van de no-alias optie op de NAT-vermeldingen. Het no-alias optie betekent dat de router niet antwoordt voor de adressen en geen ARP ingang installeert. Als een andere router een NAT-pool gebruikt als een binnen-globale pool die bestaat uit adressen op een aangesloten subnetverbinding, wordt er een alias gegenereerd voor dat adres, zodat de router ARP-verzoeken (Address Resolution Protocol) voor die adressen kan beantwoorden. Dit veroorzaakt de router om ARP ingangen voor de valse adressen te hebben.

- Bad token 0, gezocht TOK_NUMBER|TOK_PUNCT

Deze foutmelding is slechts een informatieve melding en heeft geen enkele invloed op het normale gedrag van het apparaat.

Bad token 0, wanted TOK_NUMBER|TOK_PUNCT

De fout betekent dat NAT probeert een Layer 4 fix op het adres in een FTP open te doen en niet de IP-adressen kan vinden die het moet vertalen in het pakket. De reden waarom het bericht tokens bevat is dat IP-adressen in het pakket worden gevonden door de zoektocht naar een token, of een set symbolen, in het IP-pakket, om de details te vinden die nodig zijn om te vertalen.

Wanneer een FTP-sessie wordt gestart, onderhandelt deze over twee kanalen, een opdrachtkanaal en een gegevenskanaal. Dit zijn beide IP-adressen met verschillende poortnummers. De FTP-client en -server onderhandelen over een tweede gegevenskanaal om bestanden naar over te brengen. Het pakket dat via het controlekanaal wordt uitgewisseld heeft de indeling "PORT, i, i, i, i, p, p", waarin i, i, i, i, i de vier bytes van een IP-adres zijn en p,p de poort specificeert. NAT probeert dit patroon aan te passen en adres/poort te vertalen, indien nodig. NAT moet beide kanaalschema's vertalen. NAT scant naar getallen in de opdrachtstroom tot hij denkt dat hij een poortopdracht heeft gevonden die vertaling vereist. Vervolgens wordt de vertaling geparseerd, die met hetzelfde formaat wordt berekend.

Als het pakket beschadigd is of als de FTP-server of client opdrachten heeft misvormd, kan NAT de vertaling niet goed berekenen en wordt die fout gegenereerd. U kunt de FTP-client instellen op "passief", zodat beide kanalen worden gestart.

Gerelateerde informatie

- Ondersteuningspagina voor NAT

- Technische ondersteuning – Cisco Systems