Cisco: настройка NAT статического и динамического

В настоящее время многие компании используют оборудование Cisco для построения своих сетей. Одна из важнейших функций, которые предоставляют маршрутизаторы Cisco - это NAT (Network Address Translation) или трансляция сетевых адресов.

Обзор NAT

NAT (Network Address Translation) - технология трансляции сетевых адресов, позволяющая узлам локальной сети получать доступ к глобальной сети Интернет, используя зарезервированный диапазон частных IP-адресов.

Основные задачи, которые решает NAT:

• Предоставление доступа в Интернет для устройств с частными IP-адресами
• Экономия глобальных IP-адресов
• Сокрытие структуры локальной сети извне

Существует несколько разновидностей NAT:

1. Статический NAT (Static NAT) - статическая трансляция одного частного IP-адреса в один глобальный
2. Динамический NAT (Dynamic NAT) - динамическая трансляция частных адресов в выделенный пул глобальных
3. NAT с перегрузкой (PAT/Overloading NAT) - трансляция множества частных адресов в один глобальный с использованием портов

Подготовка к настройке NAT на Cisco

Перед тем как приступить к непосредственной настройке NAT на маршрутизаторах Cisco, необходимо выполнить некоторые подготовительные действия:

1. Определить интерфейсы, которые будут внутренними (inside) и внешними (outside) для NAT
2. Зарезервировать пул частных IP-адресов для внутренней сети
3. Зарезервировать пул глобальных IP-адресов, которые будут использоваться для трансляции
4. Создать списки доступа ACL, определяющие какой трафик подлежит трансляции

Например, на схеме ниже интерфейс FastEthernet 0/0 определен как внутренний, а Serial 0/0/1 - как внешний:

В качестве пула частных IP-адресов выделен диапазон 192.168.0.0/24. Этот диапазон используется во внутренней сети для адресации компьютеров и серверов. В качестве пула глобальных адресов зарезервирован блок 200.200.200.224/29, адреса из которого будут использоваться для NAT.

Настройка статического NAT на Cisco

Для настройки статического NAT на маршрутизаторах Cisco используется команда ip nat inside source static. Синтаксис команды:

ip nat inside source static локальный_IP глобальный_IP

Например, чтобы преобразовать локальный IP-адрес 192.168.0.10 в глобальный 200.200.200.225, нужно ввести:

ip nat inside source static 192.168.0.10 200.200.200.225

Полный пример конфигурации статического NAT на маршрутизаторе Cisco:

interface FastEthernet0/0 ip address 192.168.0.1 255.255.255.0 ip nat inside exit interface Serial0/0/1 ip address 200.200.200.226 255.255.255.248 ip nat outside exit ip nat inside source static 192.168.0.10 200.200.200.225 

Такая конфигурация обеспечивает статическую трансляцию адреса 192.168.0.10 внутренней сети в 200.200.200.225 при обращении к внешней сети Интернет.

Настройка динамического NAT на Cisco

В отличие от статического NAT, при использовании динамического NAT осуществляется трансляция частных IP-адресов в выделенный пул глобальных адресов. Команда для настройки:

ip nat inside source list ACL_НОМЕР pool НАЗВАНИЕ_ПУЛА

Где ACL_НОМЕР - это номер списка доступа ACL, определяющего какой трафик подлежит трансляции, а НАЗВАНИЕ_ПУЛА - имя ранее созданного пула глобальных адресов. Пример конфигурации динамического NAT:

access-list 1 permit 192.168.0.0 0.0.0.255 ip nat pool NAT-POOL 200.200.200.241 200.200.200.248 netmask 255.255.255.248 ip nat inside source list 1 pool NAT-POOL 

Здесь список доступа ACL разрешает трансляцию трафика из подсети 192.168.0.0/24, пул NAT-POOL содержит 8 глобальных IP-адресов для трансляции.

Также в Cisco есть возможность назначить трансляцию сразу на определенный интерфейс (перегрузка, overloading):

ip nat inside source list 1 interface Serial 0/0/1 overload 

В этом случае весь трафик из подсети 192.168.0.0/24 будет транслироваться в IP-адрес интерфейса Serial 0/0/1.

Варианты настройки NAT на Cisco

Кроме отдельной настройки статического и динамического NAT существует несколько дополнительных вариантов использования NAT в зависимости от поставленных задач.

Одновременная настройка статического и динамического NAT

Если требуется обеспечить статическую трансляцию для конкретных IP-адресов и динамическую трансляцию для остальных адресов, можно скомбинировать статический и динамический NAT.

Использование NAT в переходный период

NAT удобно использовать, когда происходит замена оборудования в сети, но не все устройства еще переконфигурированы на новые IP-адреса. Статический NAT позволит обращаться к старым и новым адресам одновременно.

NAT для сетей с пересекающейся адресацией

Если в результате слияния компаний или подключения нового офиса возникли конфликты IP-адресации, NAT решает эту проблему, изолируя внутренние сети друг от друга при сохранении возможности взаимодействия.

Проверка работы NAT на Cisco

После выполнения настройки NAT на маршрутизаторах Cisco важно проверить, что трансляция работает правильно. Для этого можно воспользоваться несколькими методами.

Команды проверки конфигурации NAT

Для просмотра текущей конфигурации NAT на маршрутизаторе используется команда:

show ip nat translations

Эта команда отобразит активные записи трансляции с указанием исходных локальных и транслированных глобальных IP-адресов и портов.

Анализ таблиц трансляции

Более детальная информация о работе NAT содержится в таблицах трансляции. Просмотреть их можно командами:

show ip nat translations verbose show ip nat statistics 

Здесь будет представлена статистика по количеству активных трансляций, используемым портам, соответствию протоколов и многое другое.

Использование сетевых анализаторов

С помощью сетевого анализатора трафика, например Wireshark, можно захватить и проанализировать отдельные пакеты до и после трансляции NAT и убедиться в правильности преобразования IP-адресов и портов.

Рекомендации по настройке NAT Cisco

Чтобы обеспечить эффективную работу и надежность NAT на оборудовании Cisco, рекомендуется придерживаться следующих правил:

• Не использовать в списках доступа ACL параметр permit any - это может перегрузить процессор маршрутизатора
• Выделять отдельный пул глобальных IP-адресов под NAT, не использовать адрес интерфейса маршрутизатора
• Настраивать таймауты для динамических трансляций NAT, чтобы они не занимали ресурсы неограниченно долго

При планировании конфигурации NAT следует также учитывать особенности работы некоторых протоколов через NAT.

Особенности работы NAT с различными протоколами

При использовании NAT на маршрутизаторах Cisco нужно учитывать совместимость с различными сетевыми протоколами.

NAT и протокол FTP

Для корректной работы NAT с протоколом FTP требуется включение функции NAT ALG, которая отслеживает передачу IP-адресов и портов в FTP-сессии и выполняет их трансляцию.

ip nat service list ftp interface FastEthernet0/1

NAT и протокол IPSec

При использовании протокола IPSec через NAT возникают сложности, так как в нем задействованы зашифрованные IP-адреса. В некоторых случаях помогает настройка NAT-T (NAT Traversal).

NAT и протокол SIP

Для IP-телефонии по протоколу SIP требуются дополнительные настройки ALG и статических трансляций на маршрутизаторах Cisco.

Кроме того, при работе через NAT могут возникать проблемы с игровыми приложениями и видеоконференцсвязью. В этих случаях также помогают специальные методы настройки на оборудовании Cisco.

Методы оптимизации производительности NAT

Поскольку NAT может оказывать существенную нагрузку на процессор маршрутизатора Cisco, важно грамотно спланировать и настроить конфигурацию для оптимальной производительности.