Cisco ONS 15454 et NAT

Introduction

Ce document décrit les différents types de traduction d'adresses de réseau (NAT) et mappe chaque type de NAT à la version logicielle ONS 15454 appropriée qui prend en charge ce type.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Cisco ONS 15454

• CCT

• NAT 

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Toutes les versions de Cisco ONS 15454

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

Dans de nombreux cas sur le terrain, différents scénarios NAT sont en jeu et ne fonctionnent pas correctement. Vous pouvez identifier la plupart de ces scénarios à l'aide des symptômes. La plupart des problèmes découlent de l'incapacité de l'élément de réseau (NE) à établir une connexion à nouveau avec la station de travail Cisco Transport Controller (CTC).

Souvent, lorsque CTC ne prend pas en charge une configuration particulière de NAT, CTC abandonne et se reconnecte régulièrement aux noeuds à des intervalles spécifiques. Dans les versions plus récentes, CTC peut se remettre des déconnexions sans quitter la vue. Dans de telles versions, vous pouvez remarquer ce problème lors de l'interaction avec le noeud via CTC.

Les mêmes symptômes se produisent également en raison de configurations incorrectes du pare-feu externe où les listes d'accès déterminent la sécurité. Les listes d’accès ne permettent pas à l’entreprise de réseau d’initier certaines connexions vers ou depuis des adresses IP et/ou des ports définis, vers la station de travail CTC. Des déconnexions fréquentes peuvent également se produire lorsque les paramètres d'expiration du pare-feu externe sont trop courts.

Pour des exemples de listes d'accès de pare-feu que vous pouvez utiliser avec l'ONS 15454, reportez-vous à la section External Firewalls du manuel de référence de Cisco ONS 15454, version 5.0.

NAT 

La fonction NAT permet à un seul périphérique, par exemple un routeur, d’agir en tant qu’agent entre Internet et un réseau local. Cette section explique les différents types de NAT.

Pour plus d'informations, consultez RFC 2663 - Terminologie et considérations du traducteur d'adresses réseau IP.

NAT traditionnel

La fonction NAT traditionnelle permet aux hôtes d’un réseau privé d’accéder de manière transparente aux hôtes du réseau externe. La NAT traditionnelle initie des sessions sortantes à partir du réseau privé.

Cette section décrit brièvement les deux variantes de la NAT traditionnelle :

• NAT de base : La fonction NAT de base réserve un bloc d’adresses externes. La NAT de base utilise ces adresses pour traduire les adresses des hôtes dans un domaine privé lorsque les hôtes lancent des sessions avec le domaine externe.

• Traduction de port d'adresse réseau (NAPT) : Le NAPT étend la notion de traduction d'un pas de plus. NAPT traduit également les identificateurs de transport, par exemple les numéros de port TCP et UDP, et les identificateurs de requête ICMP. Cette traduction multiplexe les identificateurs de transport d’un certain nombre d’hôtes privés dans les identificateurs de transport d’une seule adresse externe.

  Remarque : NAPT est également appelé PAT (Port Address Translation).

NAT bidirectionnel

Un périphérique du réseau externe initie une transaction avec un périphérique interne. Afin de permettre cette initiation, la version de base de NAT a été améliorée pour inclure des fonctionnalités avancées. Cette amélioration est généralement appelée NAT bidirectionnelle, mais est également appelée NAT bidirectionnelle et NAT entrante. Avec une NAT bidirectionnelle, vous pouvez lancer des sessions à partir d'hôtes du réseau public et du réseau privé. Les adresses réseau privées sont liées à des adresses uniques au niveau mondial, de manière statique ou dynamique, lorsque vous établissez des connexions dans les deux directions.

Les performances de la NAT sur les transactions entrantes sont plus difficiles que la NAT sortante. La raison en est que le réseau interne connaît généralement l'adresse IP des périphériques externes, car ces périphériques sont publics. Cependant, le réseau externe ne connaît pas les adresses privées du réseau interne. Même si le réseau externe connaît les adresses IP des réseaux privés, vous ne pouvez jamais spécifier ces adresses IP comme cible d'un datagramme IP que vous lancez depuis l'extérieur, car elles ne sont pas routables.

Vous pouvez utiliser l'une de ces deux méthodes pour résoudre le problème d'adresse cachée :

• Mappage statique

• Système de noms de domaine TCP/IP (DNS)

Remarque : Dans ce document, la NAT bidirectionnelle implique la NAT de base, mais la NAT de base n'implique pas la NAT bidirectionnelle.

NAT double

Deux fois NAT est une variante de NAT. Deux fois la NAT modifie les adresses source et de destination lorsqu’un datagramme croise des domaines d’adresse. Ce concept contraste avec la NAT traditionnelle et la NAT bidirectionnelle, qui ne traduisent qu'une seule des adresses (source ou destination).

Compatibilité ONS 15454 et NAT

Ce tableau présente la compatibilité ONS 15454 et NAT :

Type de NAT	Voir CTC	Affichage de l'élément de réseau de passerelle (GNE)	Version CCT prise en charge
NAT de base	IP GNE	IP traduit	Version 3.3
NAPT	IP GNE	IP traduit	Version 4.0
NAT bidirectionnel	IP traduit	IP CTC	Version 5.0
NAT double	IP traduit	IP traduit	Version 5.0

Dépannage

En cas de problème de communication entre le NE et le CTC, la sortie de la commande fhDebug contient ce message d'erreur :

OCT 27 18:35:37.09 UTC ERROR     ObjectChange.cc:432   tEventMgr
 CORBA::NO_IMPLEMENT/0x3d0004 updating [192.168.1.100:EventReceiver].  Marking c

OCT 27 18:36:17.09 UTC DEBUG        AlarmImpl.cc:353   tEventMgr
 Removing corba client [192.168.1.100:EventReceiver] from auton msg list

Plusieurs raisons peuvent provoquer cette erreur. Cependant, si l'erreur se produit à intervalles réguliers prévisibles (généralement ~2 ou ~4 minutes), la raison peut être la présence d'un type de NAT que CTC ne prend pas en charge, ou d'un pare-feu sans les autorisations de port nécessaires.

Observez que 172.16.1.100 est l'adresse IP de la station de travail CTC et 10.1.1.1 est l'adresse NAT (voir Figure 1).

Figure 1 - Topologie

Voici la sortie partielle de la commande inetstatShow :

-> inetstatShow
Active Internet connections (including servers)
PCB     Typ Rx-Q Tx-Q Local Address     Foreign Address (state)
------- --- ---- ---- ----------------- --------------- -------
2145984 TCP    0   0 10.10.10.10:1052   10.1.1.1:1029   SYN_SENT
21457f8 TCP    0   0 10.10.10.10:80     10.1.1.1:1246   TIME_WAIT
2145900 TCP    0   0 10.10.10.10:57790  10.1.1.1:1245   ESTABLISHED --- ISP assigned address
21453d8 TCP    0   0 10.10.10.10:80     10.1.1.1:1244   TIME_WAIT
2144f34 TCP    0   0 10.10.10.10:80     10.1.1.1:1238   TIME_WAIT
2144eb0 TCP    0   0 10.10.10.10:1080   10.1.1.1:1224   ESTABLISHED --- ISP assigned address

Ce résultat ne montre aucune preuve de cette adresse. Le résultat indique l’adresse publique utilisée par le FAI, qui est la preuve d’un scénario NAT traditionnel.

Pour identifier la NAT bidirectionnelle et la NAT double, vous avez besoin d'une trace de renifleur à partir du même segment de réseau que la station de travail CTC. Idéalement, un renifleur qui fonctionne sur la station de travail CTC est le mieux adapté.

Informations connexes

• Manuel de référence Cisco ONS 15454, version 5.0
• Support et documentation techniques - Cisco Systems