Introdução
Este documento descreve o comportamento inesperado da conversão dinâmica de endereço de rede (NAT) com tráfego não conectável em dispositivos IOS®.
Problema
O tráfego não passível de correção cria meia entradas na tabela de conversões de NAT no caso de NAT dinâmico. Essas entradas representam um risco à segurança, já que funcionam para o tráfego de fora para dentro.
Configuração de NAT:
ip nat pool ATT_FIBER 10.10.10.1 10.10.10.6 netmask 255.255.255.248
ip nat inside source list GUEST_SUBNET pool ATT_FIBER overload
ip nat inside source list OFFICE_SUBNETS pool ATT_FIBER overload
ip access-list extended OFFICE_SUBNETS
deny ip 172.16.26.0 0.0.0.127 any
permit ip 172.16.8.0 0.0.1.255 any
ip access-list extended GUEST_SUBNET
permit ip 172.16.26.0 0.0.0.127 any
udp 10.10.10.1:49370 172.16.9.9:49370 192.168.1.1:53 192.168.1.1:53
udp 10.10.10.1:49535 172.16.9.9:49535 192.168.2.2:53 192.168.2.2:53
tcp 10.10.10.1:53133 172.16.9.9:53133 192.168.3.3:80 192.168.3.3:80
tcp 10.10.10.1:56311 172.16.9.9:56311 192.168.4.4:5816 192.168.4.4:5816
--- 10.10.10.1 172.16.9.9 --- ---
Meia entradas são criadas em determinados casos em que há um mapeamento de interno -> externo ou quando o pacote é iniciado de dentro -> externo.
Quando o roteador é configurado para sobrecarga de NAT (Port Address Translation (PAT)) e o tráfego não pattable atinge o roteador, entradas de ligação não pattable são criadas para esse tráfego. Ele leva a esse tipo de entrada na tabela NAT:
--- 10.10.10.1 172.16.9.9 --- ---
Esta entrada de ligação consome um endereço inteiro do pool. Neste exemplo, 10.10.10.1 é um endereço de um pool sobrecarregado.
Isso significa que um endereço IP local interno é vinculado ao IP global externo, que é semelhante ao NAT estático. Por isso, até que o tempo limite da entrada atual seja atingido, os novos endereços IP locais internos não poderão usar esse endereço IP global. Toda a conversão criada para esta ligação é de conversões 1 para 1 em vez de sobrecarga.
Solução
Para resolver esse problema, você pode usar mapas de rota com NAT dinâmico. Com os mapas de rota, o NAT não criará meias entradas nem usará a sobrecarga da interface em vez da sobrecarga do pool. Associações não pattable não são criadas em caso de sobrecarga de interface.
Feedback