在IOS XE上配置VRF感知軟體基礎架構NAT

下載選項

  • PDF     (414.0 KB)
    在多種裝置上使用 Adobe Reader 檢視
已更新: 2026 年 9 月 9 日
文件 ID:200255

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本檔案介紹執行Cisco IOS® XE的路由器上設定VRF感知軟體基礎架構(VASI)網路位址轉譯(NAT)。

必要條件

需求

本文件沒有特定需求。

採用元件

本文件所述內容不限於特定軟體和硬體版本。本檔案適用於執行Cisco IOS XE的所有思科路由器和交換器。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

在Cisco IOS XE上運行的裝置不支援傳統的VRF間NAT配置，如Cisco IOS裝置上的配置。通過VASI實施實現了對Cisco IOS XE上的VRF間NAT的支援。

VASI能夠為虛擬路由和轉發(VRF)例項之間流動的流量配置IPsec、防火牆和NAT等服務。

VASI通過配置VASI對實現，其中對中的每個介面與不同的VRF例項相關聯。VASI虛擬介面是需要在這兩個VRF例項之間交換的任何資料包的下一跳介面。基於兩個介面索引自動完成配對，以便將vasileft介面自動配對到vasileght介面。任何進入vasileft介面的資料包都會自動轉發到其配對的vasileght介面。

VASI的工作

Working of VASI Diagram

當在同一裝置上配置了VRF間VASI時，資料包流按以下順序發生：

  1. 封包進入屬於VRF 1的物理介面。
  2. 轉發資料包之前，會在VRF 1路由表中執行轉發查詢。Vasileft1被選為下一跳，生存時間(TTL)值從資料包中遞減。通常，根據VRF中的預設路由選擇轉發地址。但是，轉發地址也可以是靜態路由或獲知的路由。資料包將傳送到vasileft1的出口路徑，然後自動傳送到vasileght1入口路徑。
  3. 當資料包進入vasiright1時，在VRF 2路由表中執行轉發查詢，並再次遞減TTL（此資料包的第二次遞減）。
  4. VRF 2將封包轉送到實體介面。

設定

這些場景描述基本的VRF間NAT配置。

網路圖表

VRF Left, VRF Right Network Diagram

初始配置

聖何塞：

interface GigabitEthernet0/0/0
 ip address 192.168.1.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 192.168.1.2

孟買：

vrf definition VRF_LEFT
 rd 1:1
 !
 address-family ipv4
 exit-address-family

vrf definition VRF_RIGHT
 rd 2:2
 !
 address-family ipv4
 exit-address-family

interface GigabitEthernet0/0/0
  vrf forwarding VRF_LEFT
  ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/0/1
 vrf forwarding VRF_RIGHT
 ip address 172.16.1.2 255.255.255.0

雪梨：

interface GigabitEthernet0/0/0
 ip address 172.16.1.1 255.255.255.0

VASI介面配置

每個VASI介面與不同的VRF例項配對。

interface vasileft1
 vrf forwarding VRF_LEFT
 ip address 10.1.1.1 255.255.255.252

interface vasiright1
 vrf forwarding VRF_RIGHT
 ip address 10.1.1.2 255.255.255.252

NAT配置

在本示例中，NAT將配置以下要求：

  1. 靜態NAT — 將源IP 192.168.1.1轉換為172.16.1.5。
  2. 動態NAT — 將192.168.1.0/24的源子網轉換為172.16.1.5。

案例1 - Vasiright上的NAT

在大多數情況下，WAN介面將位於此拓撲中的傳出VRF(VRF_RIGHT)上。在這種情況下，可以在vasright和WAN介面之間配置NAT;vasileft從vasileght介面傳入的流量配置為NAT內部，而WAN介面將配置為NAT外部介面。

在此場景中，我們將靜態路由用於VRF之間的流量。目標172.16.0.0子網的靜態路由在指向vasright介面的VRF_LEFT上配置，而源子網192.168.0.0的另一個路由在指向vasright介面的VRF_RIGHT上配置。

note-icon

附註：不要配置NAT將源IP地址轉換為WAN介面IP地址；路由器將返回流量視為發往其自身，並且不會將流量轉發到VASI介面。

靜態 NAT:

!--- Interface configuration

interface vasiright1
 vrf forwarding VRF_RIGHT
 ip address 10.1.1.2 255.255.255.252
 ip nat inside

interface GigabitEthernet0/0/1
 vrf forwarding VRF_RIGHT
 ip address 172.16.1.2 255.255.255.0
 ip nat outside


!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2
ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1


!--- NAT configuration

ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_RIGHT

驗證：

Bombay#sh ip nat translations vrf VRF_RIGHT
Pro        Inside global     Inside local       Outside local    Outside global
---        172.16.1.5        192.168.1.1        ---              ---
icmp       172.16.1.5:8      192.168.1.1:8      172.16.1.1:8     172.16.1.1:8
tcp        172.16.1.5:47491  192.168.1.1:47491  172.16.1.1:23    172.16.1.1:23
Total number of translations: 3

動態 NAT:

!--- Interface configuration

interface vasiright1
 vrf forwarding VRF_RIGHT
 ip address 10.1.1.2 255.255.255.252
 ip nat inside

interface GigabitEthernet0/0/1
 vrf forwarding VRF_RIGHT
 ip address 172.16.1.2 255.255.255.0
 ip nat outside


!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2
ip route vrf VRF_RIGHT 192.168.0.0 255.255.0.0 vasiright1 10.1.1.1


!--- Access-list configuration
Extended IP access list 100
 10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1
 20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1
 30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1


!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24
ip nat inside source list 100 pool POOL vrf VRF_RIGHT overload
note-icon

附註：不支援將成對的兩個VASI介面都配置為外部介面。

驗證：

Bombay#sh ip nat translations
Pro      Inside global      Inside local         Outside local      Outside global
icmp     172.16.1.5:1       192.168.1.1:15       172.16.1.1:15      172.16.1.1:1
tcp      172.16.1.5:1024    192.168.1.1:58166    172.16.1.1:23      172.16.1.1:23
Total number of translations: 2

場景2 - Vasileft上的NAT

NAT也可以只配置在左側，即VRF_LEFT，並在流量傳送到VRF_RIGHT之前進行NAT轉換。VRF_LEFT上的傳入介面被視為NAT內部介面，vasileft 1被配置為NAT外部介面。

在此場景中，我們將靜態路由用於VRF之間的流量。目標172.16.0.0子網的靜態路由在指向vasright介面的VRF_LEFT上配置，而源NATted IP 172.16.1.5的另一個路由在指向vasright介面的VRF_RIGHT上配置。

靜態 NAT:

!--- Interface configuration

interface GigabitEthernet0/0/0
 vrf forwarding VRF_LEFT
 ip address 192.168.1.2 255.255.255.0
 ip nat inside

interface vasileft1
 vrf forwarding VRF_LEFT
 ip address 10.1.1.1 255.255.255.252
 ip nat outside


!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2
ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1


!--- NAT configuration
ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_LEFT

驗證：

Bombay#sh ip nat translations vrf VRF_LEFT
Pro       Inside global        Inside local         Outside local      Outside global
---       172.16.1.5           192.168.1.1          ---                ---
icmp      172.16.1.5:5         192.168.1.1:5        172.16.1.1:5       172.16.1.1:5
tcp       172.16.1.5:35414     192.168.1.1:35414    172.16.1.1:23      172.16.1.1:23
Total number of translations: 3

動態 NAT:

!--- Interface configuration

interface GigabitEthernet0/0/0
 vrf forwarding VRF_LEFT
 ip address 192.168.1.2 255.255.255.0
 ip nat inside

interface vasileft1
 vrf forwarding VRF_LEFT
 ip address 10.1.1.1 255.255.255.252
 ip nat outside


!--- Static route configuration

ip route vrf VRF_LEFT 172.16.0.0 255.255.0.0 vasileft1 10.1.1.2
ip route vrf VRF_RIGHT 172.16.1.5 255.255.255.255 vasiright1 10.1.1.1


!--- Access-list configuration

Extended IP access list 100
 10 permit tcp 192.168.1.0 0.0.0.255 host 172.16.1.1
 20 permit udp 192.168.1.0 0.0.0.255 host 172.16.1.1
 30 permit icmp 192.168.1.0 0.0.0.255 host 172.16.1.1


!--- NAT configuration

ip nat pool POOL 172.16.1.5 172.16.1.5 prefix-length 24
ip nat inside source list 100 pool POOL vrf VRF_LEFT overload

驗證：

Bombay#sh ip nat translations vrf VRF_LEFT
Pro      Inside global      Inside local        Outside local    Outside global
icmp     172.16.1.5:1       192.168.1.1:4       172.16.1.1:4     172.16.1.1:1
tcp      172.16.1.5:1024    192.168.1.1:27593   172.16.1.1:23    172.16.1.1:23
Total number of translations: 2

驗證

使用本節內容，確認您的組態是否正常運作。

  1. 檢查是否將動態/靜態路由配置為在兩個VRF例項之間路由流量。
  2. 檢查是否已為正確的VRF配置了NAT。

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

相關資訊

修訂記錄

修訂 發佈日期 意見
3.0
09-Sep-2026
重新認證 — 更新的Alt文本和格式
2.0
16-Oct-2023
已更新「相關資訊」部分和格式。
1.0
17-Nov-2015
初始版本
TAC Authored

由思科工程師貢獻

  • Rohit Nair
    Solutions Engineer

這份文件是否有所幫助？

Feedback意見

讓思科協助您