目录

简介

先决条件

要求

使用的组件

背景信息

VASI的工作

配置

网络图

初始配置

VASI接口配置

NAT 配置:

场景1 - Vasiright上的NAT

场景2 - Vasileft上的NAT

验证

故障排除

相关信息

简介

本文档介绍在运行Cisco IOS-XE的路由器上配置VASI NAT®。

作者：思科TAC工程师Rohit Nair。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档不限于特定的软件和硬件版本。本文档适用于运行Cisco IOS-XE的所有思科路由器和交换机。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

背景信息

在IOS-XE上运行的设备不支持传统的vrf nat间配置，如在IOS设备上配置的设备。通过VASI实施，在IOS-XE上实现对vrf间NAT的支持。

VASI能够为VRF实例之间传输的流量配置IPsec、防火墙和NAT等服务。

VASI通过配置VASI对来实现，其中，对中的每个接口与不同的VRF实例关联。VASI虚拟接口是需要在这两个VRF实例之间交换的任何数据包的下一跳接口。根据两个接口索引自动完成配对，使vasileft接口自动成对到vasiright接口。进入vasileft接口的任何数据包都会自动转发到其成对的vasiright接口。

VASI的工作

当在同一设备上配置VRF间VASI时，数据包流按以下顺序发生：

1. 数据包进入属于VRF 1的物理接口。

2. 在转发数据包之前，在VRF 1路由表中执行转发查找。选择Vasileft1作为下一跳，从数据包中减去生存时间(TTL)值。通常，转发地址是根据VRF中的默认路由选择的。但是，转发地址也可以是静态路由或学习的路由。数据包被发送到vasileft1的出口路径，然后自动发送到vasiright1入口路径。

3. 当数据包进入vasiright1时，在VRF 2路由表中执行转发查找，TTL再次递减（此数据包第二次）。

4. VRF 2将数据包转发到物理接口。

配置

以下场景描述基本vrf间NAT配置。

网络图

初始配置

圣荷西:

interface GigabitEthernet0/0/0

ip address 192.168.1.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 192.168.1.2

孟买:

vrf definition VRF_LEFT

rd 1:1

!

address-family ipv4

exit-address-family

vrf definition VRF_RIGHT

rd 2:2

!

address-family ipv4

exit-address-family

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

悉尼:

interface GigabitEthernet0/0/0

ip address 172.16.1.1 255.255.255.0

VASI接口配置

每个VASI接口将配对到不同的VRF实例。

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

NAT 配置:

在本例中，NAT将按照以下要求进行配置：

1.静态NAT — 源IP 192.168.1.1应转换为172.16.1.5

2.动态NAT — 源子网192.168.1.0/24应转换为172.16.1.5

场景1 - Vasiright上的NAT

在大多数情况下，WAN接口将位于此拓扑中的传出VRF VRF_RIGHT上。在这种情况下，可以在vasiright和WAN接口之间配置NAT;来自vasileft的vasiright接口上的流量将配置为NAT内部接口，而WAN接口将配置为NAT外部接口。

在此场景中，我们使用静态路由来传输VRF之间的流量。目的子网172.16.0.0的静态路由在指向vasileft接口的VRF_LEFT上配置，而源子网192.168.0.0的另一路由在指向vasiright接口的VRF_RIGHT上配置。

备注

请勿配置NAT将源IP转换为WAN接口IP;路由器将处理发往自身的返回流量，并且不会将流量转发到vasi接口。

静态 NAT：

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT

验证：

Bombay#sh ip nat translations vrf VRF_RIGHT

Pro        Inside global     Inside local       Outside local    Outside global

---        172.16.1.5        192.168.1.1        ---              ---

icmp       172.16.1.5:8      192.168.1.1:8      172.16.1.1:8     172.16.1.1:8

tcp        172.16.1.5:47491  192.168.1.1:47491  172.16.1.1:23    172.16.1.1:23

Total number of translations: 3

动态 NAT：

!--- Interface configuration

interface vasiright1

vrf forwarding VRF_RIGHT

ip address 10.1.1.2 255.255.255.252

ip nat inside

interface GigabitEthernet0/0/1

vrf forwarding VRF_RIGHT

ip address 172.16.1.2 255.255.255.0

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload

验证：

Bombay#sh ip nat translations

Pro      Inside global      Inside local         Outside local      Outside global

icmp     172.16.1.5:1       192.168.1.1:15       172.16.1.1:15      172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:58166    172.16.1.1:23      172.16.1.1:23

Total number of translations: 2

场景2 - Vasileft上的NAT

NAT也可以仅在VRF_LEFT上配置，并在流量发送到VRF_RIGHT之前将其设置为NATTED。VRF_LEFT上的传入接口将被视为NAT内部接口，而vasileft 1将配置为NAT外部接口。

在此场景中，我们使用静态路由来传输VRF之间的流量。目的172.16.0.0子网的静态路由在指向vasileft接口的VRF_LEFT上配置，而另一个指向vasileft接口的源IP 172.16.1.5路由在指向vasiret接口的VRF_RIGHT上配置。

静态 NAT：

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT

验证：

Bombay#sh ip nat translations vrf VRF_LEFT

Pro       Inside global        Inside local         Outside local      Outside global

---       172.16.1.5           192.168.1.1          ---                ---

icmp      172.16.1.5:5         192.168.1.1:5        172.16.1.1:5       172.16.1.1:5

tcp       172.16.1.5:35414     192.168.1.1:35414    172.16.1.1:23      172.16.1.1:23

Total number of translations: 3

动态 NAT：

!--- Interface configuration

interface GigabitEthernet0/0/0

vrf forwarding VRF_LEFT

ip address 192.168.1.2 255.255.255.0

ip nat inside

interface vasileft1

vrf forwarding VRF_LEFT

ip address 10.1.1.1 255.255.255.252

ip nat outside

!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2

ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1

!--- Access-list configuration

Extended IP access list 100

10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1

20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1

30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1

!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24

ip nat inside source list 100 pool POOL vrf VRF_LEFT overload

验证：

Bombay#sh ip nat translations vrf VRF_LEFT

Pro      Inside global      Inside local        Outside local    Outside global

icmp     172.16.1.5:1       192.168.1.1:4       172.16.1.1:4     172.16.1.1:1

tcp      172.16.1.5:1024    192.168.1.1:27593   172.16.1.1:23    172.16.1.1:23

Total number of translations: 2

验证

1. 检查是否将动态/静态路由配置为在两个VRF实例之间路由流量。

2. 检查是否为正确的VRF配置了NAT。

故障排除

目前没有针对此配置的故障排除信息。

相关信息

- 配置VRF感知软件基础设施