本檔案介紹執行Cisco IOS® XE的路由器上設定VRF感知軟體基礎架構(VASI)網路位址轉譯(NAT)。
本文件沒有特定需求。
本文件所述內容不限於特定軟體和硬體版本。本檔案適用於執行Cisco IOS XE的所有思科路由器和交換器。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路運作中,請確保您瞭解任何指令可能造成的影響。
在Cisco IOS XE上運行的裝置不支援傳統的VRF間NAT配置,如Cisco IOS裝置上的配置。通過VASI實施實現了對Cisco IOS XE上的VRF間NAT的支援。
VASI能夠為虛擬路由和轉發(VRF)例項之間流動的流量配置IPsec、防火牆和NAT等服務。
VASI通過配置VASI對實現,其中對中的每個介面與不同的VRF例項相關聯。VASI虛擬介面是需要在這兩個VRF例項之間交換的任何資料包的下一跳介面。基於兩個介面索引自動完成配對,以便將vasileft介面自動配對到vasileght介面。任何進入vasileft介面的資料包都會自動轉發到其配對的vasileght介面。

當在同一裝置上配置了VRF間VASI時,資料包流按以下順序發生:
這些場景描述基本的VRF間NAT配置。

聖何塞:
interface GigabitEthernet0/0/0 ip address 192.168.1.1 255.255.255.0 ip route 0.0.0.0 0.0.0.0 192.168.1.2
孟買:
vrf definition VRF_LEFT rd 1:1 ! address-family ipv4 exit-address-family vrf definition VRF_RIGHT rd 2:2 ! address-family ipv4 exit-address-family interface GigabitEthernet0/0/0 vrf forwarding VRF_LEFT ip address 192.168.1.2 255.255.255.0 interface GigabitEthernet0/0/1 vrf forwarding VRF_RIGHT ip address 172.16.1.2 255.255.255.0
雪梨:
interface GigabitEthernet0/0/0 ip address 172.16.1.1 255.255.255.0
每個VASI介面與不同的VRF例項配對。
interface vasileft1 vrf forwarding VRF_LEFT ip address 10.1.1.1 255.255.255.252 interface vasiright1 vrf forwarding VRF_RIGHT ip address 10.1.1.2 255.255.255.252
在本示例中,NAT將配置以下要求:
在大多數情況下,WAN介面將位於此拓撲中的傳出VRF(VRF_RIGHT)上。在這種情況下,可以在vasright和WAN介面之間配置NAT;vasileft從vasileght介面傳入的流量配置為NAT內部,而WAN介面將配置為NAT外部介面。
在此場景中,我們將靜態路由用於VRF之間的流量。目標172.16.0.0子網的靜態路由在指向vasright介面的VRF_LEFT上配置,而源子網192.168.0.0的另一個路由在指向vasright介面的VRF_RIGHT上配置。
附註:不要配置NAT將源IP地址轉換為WAN介面IP地址;路由器將返回流量視為發往其自身,並且不會將流量轉發到VASI介面。
靜態 NAT:
!--- Interface configuration interface vasiright1 vrf forwarding VRF_RIGHT ip address 10.1.1.2 255.255.255.252 ip nat inside interface GigabitEthernet0/0/1 vrf forwarding VRF_RIGHT ip address 172.16.1.2 255.255.255.0 ip nat outside !--- Static route configuration ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2 ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1 !--- NAT configuration ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT
驗證:
Bombay#sh ip nat translations vrf VRF_RIGHT Pro Inside global Inside local Outside local Outside global --- 172.16.1.5 192.168.1.1 --- --- icmp 172.16.1.5:8 192.168.1.1:8 172.16.1.1:8 172.16.1.1:8 tcp 172.16.1.5:47491 192.168.1.1:47491 172.16.1.1:23 172.16.1.1:23 Total number of translations: 3
動態 NAT:
!--- Interface configuration interface vasiright1 vrf forwarding VRF_RIGHT ip address 10.1.1.2 255.255.255.252 ip nat inside interface GigabitEthernet0/0/1 vrf forwarding VRF_RIGHT ip address 172.16.1.2 255.255.255.0 ip nat outside !--- Static route configuration ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2 ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1 !--- Access-list configuration Extended IP access list 100 10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1 20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1 30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1 !--- NAT configuration ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24 ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload
附註:不支援將成對的兩個VASI介面都配置為外部介面。
驗證:
Bombay#sh ip nat translations Pro Inside global Inside local Outside local Outside global icmp 172.16.1.5:1 192.168.1.1:15 172.16.1.1:15 172.16.1.1:1 tcp 172.16.1.5:1024 192.168.1.1:58166 172.16.1.1:23 172.16.1.1:23 Total number of translations: 2
NAT也可以只配置在左側,即VRF_LEFT,並在流量傳送到VRF_RIGHT之前進行NAT轉換。VRF_LEFT上的傳入介面被視為NAT內部介面,vasileft 1被配置為NAT外部介面。
在此場景中,我們將靜態路由用於VRF之間的流量。目標172.16.0.0子網的靜態路由在指向vasright介面的VRF_LEFT上配置,而源NATted IP 172.16.1.5的另一個路由在指向vasright介面的VRF_RIGHT上配置。
靜態 NAT:
!--- Interface configuration interface GigabitEthernet0/0/0 vrf forwarding VRF_LEFT ip address 192.168.1.2 255.255.255.0 ip nat inside interface vasileft1 vrf forwarding VRF_LEFT ip address 10.1.1.1 255.255.255.252 ip nat outside !--- Static route configuration ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2 ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1 !--- NAT configuration ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT
驗證:
Bombay#sh ip nat translations vrf VRF_LEFT Pro Inside global Inside local Outside local Outside global --- 172.16.1.5 192.168.1.1 --- --- icmp 172.16.1.5:5 192.168.1.1:5 172.16.1.1:5 172.16.1.1:5 tcp 172.16.1.5:35414 192.168.1.1:35414 172.16.1.1:23 172.16.1.1:23 Total number of translations: 3
動態 NAT:
!--- Interface configuration interface GigabitEthernet0/0/0 vrf forwarding VRF_LEFT ip address 192.168.1.2 255.255.255.0 ip nat inside interface vasileft1 vrf forwarding VRF_LEFT ip address 10.1.1.1 255.255.255.252 ip nat outside !--- Static route configuration
ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2 ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1 !--- Access-list configuration Extended IP access list 100 10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1 20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1 30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1 !--- NAT configuration ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24 ip nat inside source list 100 pool POOL vrf VRF_LEFT overload
驗證:
Bombay#sh ip nat translations vrf VRF_LEFT
Pro Inside global Inside local Outside local Outside global icmp 172.16.1.5:1 192.168.1.1:4 172.16.1.1:4 172.16.1.1:1 tcp 172.16.1.5:1024 192.168.1.1:27593 172.16.1.1:23 172.16.1.1:23 Total number of translations: 2
使用本節內容,確認您的組態是否正常運作。
目前尚無適用於此組態的具體疑難排解資訊。
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
3.0 |
09-Sep-2026
|
重新認證 — 更新的Alt文本和格式 |
2.0 |
16-Oct-2023
|
已更新「相關資訊」部分和格式。 |
1.0 |
17-Nov-2015
|
初始版本 |