Contents

Introdução

Este documento descreve como configurar e verificar a conversão de endereço de rede (NAT) e duas vezes a NAT.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- NAT

- Plataforma NXOS

- Compreensão do Ethanalyzer

Componentes Utilizados

Nome

Plataforma

Versão

N9K1

N9K-C93108TC-EX

9.3(10)

N9K2

N9K-C93108TC-EX

9.3(10)

N9K3

N9K-C93108TC-EX

9.3(10)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Diagrama de Rede

Configurar tradução Global dentro do IP

IP global interno:10.1.1.1

IP local interno:192.168.1.1

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.10/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.1

feature nat

ip access-list tac-nat-inside

permit ip host 10.1.1.1 any

ip nat pool tac-nat-inside-pool 192.168.1.1 192.168.1.1 prefix-length 32

ip nat inside source list tac-nat-inside pool tac-nat-inside-pool dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

Observação: Observação: como o IP 192.168.1.1 não existe fisicamente em nenhum dispositivo, o nexus deve ter uma rota válida para encaminhar o tráfego para esse ip. Uma entrada de rota estática manual pode ser configurada "adicionar rota " no final da lista NAT. O Nexus gera automaticamente uma rota em direção ao ip convertido apontando para o próximo salto do IP não convertido.

Verificar a conversão do IP interno global

N9K1

N9K2

N9K3

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on inband

1 2023-09-09 00:34:03.617811110 10.3.3.3 → 10.1.1.1 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

any  192.168.1.1         10.1.1.1            ---                ---

show ip route 192.168.1.1

192.168.1.1/32, ubest/mbest: 1/0

via 10.10.10.10 [1/0], 00:48:06, NAT

HOST2# ping 192.168.1.1 source 10.3.3.3

PING 192.168.1.1 (192.168.1.1) from 10.3.3.3: 56 data bytes

64 bytes from 192.168.1.1: icmp_seq=0 ttl=253 time=1.175 ms

O N9K1 recebe um pacote convertido destinado a 10.1.1.1.

O N9K2 converte o IP local interno (192.168.1.1) em IP global interno (10.1.1.1).

Com o comando "add route", uma rota em direção à rota convertida é gerada automaticamente

Como o Nexus tem apenas a configuração interna, o Nexus exibe apenas informações internas.

N9K2 inicia um ping para o ip local interno 192.168.1.1 .

Configurar conversão do IP externo global

IP global externo:10.3.3.3

IP local externo:172.16.3.3

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.11/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.11

feature nat

ip access-list tac-nat-outside

permit ip host 10.3.3.3 any

ip nat pool tac-nat-outisde-pool 172.16.3.3 172.16.3.3 prefix-length 32

ip nat outside source list tac-nat-outside pool tac-nat-outisde-pool dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

Observação: Observação: como o IP 172.16.3.3 não existe fisicamente em nenhum dispositivo, o nexus deve ter uma rota válida para encaminhar o tráfego para esse IP. Uma entrada de rota estática manual pode ser configurada "adicionar rota " no final da lista NAT. O Nexus gera automaticamente uma rota em direção ao IP convertido apontando para o próximo salto do IP não convertido.

Verificar a conversão do IP externo global

N9K1

N9K2

N9K3

ping 172.16.3.3 source 10.1.1.1

PING 172.16.3.3 (172.16.3.3) from 10.1.1.1: 56 data bytes

64 bytes from 172.16.3.3: icmp_seq=0 ttl=253 time=1.103 ms

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

any ---                ---                172.16.3.3    10.3.3.3

show ip route 172.16.3.3

172.16.3.3/32, ubest/mbest: 1/0

via 10.20.20.20 [1/0], 00:48:06, NAT

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on 'ps-inb'

1 2023-09-09 00:34:03.617811110 10.1.1.1 → 10.3.3.3 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

N9K1 inicia um ping para IP local externo 172.16.3.3.

N9K2 converte IP local externo (192.168.3.3) em IP global externo (10.3.3.3).

Com o comando "add route", uma rota em direção à rota convertida é gerada automaticamente

Como o Nexus tem apenas a configuração externa, o Nexus exibe apenas as informações externas.

N9K3 recebe o pacote convertido destinado a 10.3.3.3 .

Configurar tradução IP Global Interno/Externo (Nat Duas Vezes)

IP global externo:10.3.3.3

IP local externo:172.16.3.3

IP global interno:10.1.1.1

IP local interno:192.168.1.1

N9K1

N9K2

N9K3

interface Ethernet1/1

ip address 10.10.10.11/24

no shut

interface loopback 0

ip address 10.1.1.1/32

ip route 0.0.0.0/0 10.10.10.11

feature nat

ip access-list tac-nat-outside

permit ip host 10.3.3.3 any

ip access-list tac-nat-inside

permit ip host 10.1.1.1 any

For Outside Twice translation nexus need 2 source list, one static Inside and one Dynamic Outside.

Both of them needs to match the same group.

ip nat pool tac-nat-outisde-pool 172.16.3.3 172.16.3.3 prefix-length 32

ip nat outside source list tac-nat-outside pool tac-nat-outisde-pool group 2 dynamic add-route

ip nat inside source static 10.1.1.1 192.168.1.1 group 2 dynamic add-route

For Inside Twice translation nexus need 2 source list, one static Outside and one Dynamic Inside.

Both of them needs to match the same group.

ip nat pool tac-nat-inside-pool 192.168.1.1 192.168.1.1 prefix-length 32

ip nat inside source list tac-nat-inside pool tac-nat-inside-pool group 1 dynamic add-route

ip nat outside source static 10.3.3.3 172.16.3.3 group 1 dynamic add-route

interface Ethernet1/1

ip nat inside

ip address 10.10.10.11/24

no shut

interface Ethernet1/2

ip nat outside

ip address 10.20.20.21/24

no shut

ip route 10.3.3.3/32 10.20.20.20

ip route 10.1.1.1/32 10.10.10.10

interface Ethernet1/2

ip address 10.20.20.20/24

no shut

interface loopback 0

ip address 10.3.3.3/32

ip route 0.0.0.0/0 10.20.20.21

Observação: Observação: como o IP 172.16.3.3 ou 192.168.1.1 não existe fisicamente em nenhum dispositivo, o nexus deve ter uma rota válida para encaminhar o tráfego para esse ip. Uma entrada de rota estática manual pode ser configurada "adicionar rota " no final da lista NAT. O Nexus gera automaticamente uma rota em direção ao IP convertido apontando para o próximo salto do IP não convertido.

Verificar a conversão de IP Global Interno/Externo (Nat duas vezes)

N9K1

N9K2

N9K3

ethanalyzer local interface inband display-filter icmp limit-captured-frames 0

Capturing on inband

1 2023-09-09 00:34:03.617811110 172.16.3.3 → 10.1.1.1 ICMP 158 Echo (ping) request  id=0xd923, seq=0/0, ttl=254

sh ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

icmp 192.168.1.1:0 10.1.1.1:0          172.16.3.3:37734 10.3.3.3:37734

show ip route 192.168.1.1

192.168.1.1/32, ubest/mbest: 1/0

via 10.10.10.10 [1/0], 00:48:06, NAT

show ip route 172.16.3.3

172.16.3.3/32, ubest/mbest: 1/0

via 10.20.20.20 [1/0], 00:48:06, NAT

HOST2# ping 192.168.1.1 source 10.3.3.3

PING 192.168.1.1 (192.168.1.1) from 10.3.3.3: 56 data bytes

64 bytes from 192.168.1.1: icmp_seq=0 ttl=253 time=1.175 ms

N9K1 recebe o pacote convertido destinado a 10.1.1.1 .

O N9K2 converte o IP local interno (192.168.1.1) em IP global interno (10.1.1.1).

N9K2 converte IP local externo (192.168.3.3) em IP global externo (10.3.3.3).

Com o comando "add route", uma rota em direção à rota convertida é gerada automaticamente

Como o Nexus tem apenas a configuração interna, o Nexus exibe apenas informações internas.

N9K2 inicia um ping para o ip local interno 192.168.1.1 .