Inhoud

Inleiding

Probleem

Oplossing

Inleiding

Dit document beschrijft het onverwachte gedrag van Dynamic Network adresomzetting (NAT) met niet-Pattable verkeer op IOS® apparaten.

Probleem

Niet-Pattable verkeer creëert halve ingangen in de vertaaltabel NAT in het geval van dynamische NAT. Deze inzendingen vormen een veiligheidsrisico omdat ze werken voor buitengebruik verkeer.

NAT-configuratie:

ip nat pool ATT_FIBER 10.10.10.1 10.10.10.6 netmask  255.255.255.248

ip nat inside source list GUEST_SUBNET pool ATT_FIBER overload

ip nat inside source list OFFICE_SUBNETS pool ATT_FIBER overload

ip access-list extended OFFICE_SUBNETS

deny   ip 172.16.26.0 0.0.0.127 any

permit ip 172.16.8.0 0.0.1.255 any

ip access-list extended GUEST_SUBNET

permit ip 172.16.26.0 0.0.0.127 any

udp 10.10.10.1:49370    172.16.9.9:49370      192.168.1.1:53      192.168.1.1:53

udp 10.10.10.1:49535    172.16.9.9:49535      192.168.2.2:53    192.168.2.2:53

tcp 10.10.10.1:53133    172.16.9.9:53133      192.168.3.3:80     192.168.3.3:80

tcp 10.10.10.1:56311    172.16.9.9:56311      192.168.4.4:5816    192.168.4.4:5816

--- 10.10.10.1         172.16.9.9            ---                   ---

Halve items worden gecreëerd in bepaalde gevallen waar er een afbeelding van binnenuit is -> buitenkant of wanneer pakket van binnenuit wordt geïnitieerd -> buitenkant.

Wanneer de router is geconfigureerd voor NAT-overload (Port Adess Translation (PAT) en niet-plattable verkeer de router bereikt, worden niet-Pattable JECT-items gecreëerd voor dit verkeer. Dit leidt tot dit soort vermelding in de NAT-tabel:

--- 10.10.10.1        172.16.9.9            ---                   ---

Dit bindt inzending verbruikt een volledig adres uit de pool. In dit voorbeeld is 10.10.10.1 een adres uit een overbelast bassin.

Dat betekent dat een binnen lokaal IP adres gebonden wordt aan het buiten globale IP dat gelijkend is op statische NAT. Daarom kunnen nieuwe interne lokale IP-adressen niet dit globale IP-adres gebruiken totdat het huidige adres is uitgeschakeld. Alle vertalingen die hiervoor gemaakt worden, zijn 1-tot-1 vertalingen in plaats van overbelasting.

Oplossing

Om dit probleem op te lossen, kunt u routekaarten gebruiken met dynamische NAT.  Met routekaarten zal NAT geen halve ingangen maken of interface-overbelasting in plaats van pooloverbelasting gebruiken. Niet-Pattable bindings worden niet gecreëerd in geval van interface overload.