在Catalyst 6500/6000交换机中的NAT配置示例

下载选项

  • PDF     (259.7 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (97.4 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (99.6 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2007 年 8 月 1 日
文档 ID:97262

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文如何说明如何在 Cisco Catalyst 6500/6000 系列交换机上配置网络地址转换 (NAT)。

先决条件

要求

尝试进行此配置之前，请确保满足以下要求：

使用的组件

本文档中的信息基于以下配置：Cisco Catalyst 6500 系列交换机，带 Supervisor 引擎 720，运行 Cisco IOS® 软件版本 12.2(18)SXD6；Cisco Catalyst 6500 系列交换机，带 Supervisor 引擎 II，运行 Cisco CatOS 软件版本 8.4(4)。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

相关产品

本配置也可用于 Cisco Catalyst 6000 系列交换机。

规则

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

配置

本部分提供有关如何配置本文档所述功能的信息。

注意：使用命令查找工具(仅限注册客户)可获取有关本节中使用的命令的详细信息。

网络图

本文档使用以下网络设置：

nat-cat665k-configex.gif

注意：此配置中使用的IP编址方案在Internet上不可合法路由。这些地址是在实验室环境中使用的 RFC 1918 地址。

Cisco IOS 配置

在本配置示例中，配置 NAT 用于重载到接口 FastEthernet 4/4 IP 地址。这意味着多个内部本地地址可以动态转换为相同的全局地址。在这种情况下，将地址分配到接口 FastEthernet 4/4。

另外，NAT 是静态配置的，因此源自本地地址 10.10.10.2 上 TCP 端口 25 (SMTP) 的数据包将转换到接口 FastEthernet 4/4 IP 地址 TCP 端口 2525。由于这是静态NAT条目，外部的电子邮件客户端可以发送SMTP数据包到全局地址172.16.10.64。外部端口已选择为2525以防止任何拒绝服务攻击。

使用本地模式的 Catalyst 6500 
6509sup720#show running-config 
 Building configuration...
 Current configuration : 7524 bytes
 !
 version 12.2
 service timestamps debug datetime
 service timestamps log datetime msec localtime
 service password-encryption
 service counters max age 10
 !
 hostname 6509sup720
 !
 boot system sup-bootflash:s72033-psv-mz.122-18.SXD6.bin
 !username maui-nas-05 password cisco

 !
no ip domain-lookup
!
no mls flow ip
no mls flow ipv6
spanning-tree mode pvst
!
redundancy
 mode sso
 main-cpu
!
!
interface FastEthernet4/4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface FastEthernet 4/4 with an IP address and as a !--- NAT outside interface.

!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!

ip nat inside source list 100 interface FastEthernet 4/4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface FastEthernet 4/4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


!--- Refer to ip nat inside source for more details !--- on the command.

!
!
ip classless
no ip http server
!

!--- ACL 100 permits only the desired traffic for translation.

access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any
!
line con 0
transport input none
line vty 0 4 
!
end

CatOS 配置

对于在混合模式下运行的交换机，您需要先在 Supervisor 上配置 VLAN，然后在 MSFC 上应用 NAT 配置。您无需使用外部端口接口，而是需要配置接口 VLAN，这是因为在混合模式下您无法指定特定端口的 IP 地址。

管理引擎（交换机处理器）上混合模式配置的Catalyst 6500 

!--- Configure VLAN 2, VLAN 3 and VLAN 4 on the Supervisor.


!--- Add VLAN 2.

Catalyst6500> (enable) set vlan 2
VLAN 2 configuration successful


!--- Add VLAN 3.

Catalyst6500> (enable) set vlan 3
VLAN 3 configuration successful


!--- Add VLAN 4.

Catalyst6500> (enable) set vlan 4
VLAN 4 configuration successful


!--- Assign port fa4/4 to VLAN 4.

Catalyst6500> (enable) set vlan 4 4/4
VLAN 4 modified.
VLAN 1 modified.
VLAN  Mod/Ports
---- -----------------------
4     4/4
Catalyst6500> (enable)

MSFC（路由处理器）上混合模式配置的Catalyst 6500 
MSFC#show running-config
Building configuration...

Current configuration : 1024 bytes
!
version 12.1
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
boot system flash bootflash:c6msfc2-jk2o3sv-mz.121-26.E1.bin
!
ip subnet-zero
!
!
!
ip ssh time-out 120
ip ssh authentication-retries 3
redundancy
 high-availability
 single-router-mode
!
!         
!
!
!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!
interface Vlan4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface VLAN 4 with an IP address and as a NAT outside !--- interface.

!
ip nat inside source list 100 interface Vlan4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface Vlan4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


ip classless
no ip http server
!
access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any

!--- ACL 100 permits only the desired traffic for translation.

!
!
line con 0
line vty 0 4
 no login
!
!
end

验证

使用本部分可确认配置能否正常运行。

命令输出解释程序（仅限注册用户）(OIT) 支持某些 show 命令。使用 OIT 可查看对 show 命令输出的分析

  • show ip nat translations — 显示处于活动状态的 NAT 转换。

    Cat6k#show ip nat translations 
Pro Inside global      Inside local       Outside local      Outside global
tcp 172.16.10.64:2525  10.10.10.2:25        ---                  ---

  • show ip access-list - 显示所有当前 IP 访问列表的内容。

    Cat6k#show ip access-lists 
Extended IP access list 100
    permit ip 10.10.10.0 0.0.0.255 any (32 matches)
    permit ip 10.10.20.0 0.0.0.255 any (22 matches)
    deny ip any any

  • show ip nat statistics - 显示 NAT 统计数据。

故障排除

本部分提供的信息可用于对配置进行故障排除。

故障排除命令

命令输出解释程序（仅限注册用户）(OIT) 支持某些 show 命令。使用 OIT 可查看对 show 命令输出的分析。

注意：在使用debug命令之前，请参阅有关Debug命令的重要信息。

  • debug ip nat - 显示由 IP NAT 功能转换的 IP 数据包的相关信息。

    Cat6k#debug ip nat
IP NAT debugging is on
Cat6k#
*Mar  1 01:40:47.692 CET: NAT: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [80]
*Mar  1 01:40:47.720 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [80]
*Mar  1 01:40:47.720 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [81]
*Mar  1 01:40:47.748 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [81]
*Mar  1 01:40:47.748 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [82]
*Mar  1 01:40:47.784 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [82]
*Mar  1 01:40:47.784 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [83]
*Mar  1 01:40:47.836 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [83]
*Mar  1 01:40:47.836 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [84]
*Mar  1 01:40:47.884 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [84]

  • clear ip nat translation * - 从转换表中清除动态网络地址转换 (NAT)。

相关命令

  • ip nat - 表示由该接口发起或发往该接口的数据流需要经过 NAT。

  • ip nat inside destination - 启用内部目的地地址的 NAT。

  • ip nat inside source - 启用内部源地址的 NAT。

  • ip nat outside source - 启用外部源地址的 NAT。

相关信息

修订历史记录

版本 发布日期 备注
1.0
01-Aug-2007
初始版本

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品