Esempio di configurazione di NAT sugli switch Catalyst 6500/6000

Introduzione

Questo documento spiega come configurare Network Address Translation (NAT) sugli switch Cisco Catalyst serie 6500/6000.

Prerequisiti

Requisiti

Prima di provare questa configurazione, accertarsi di soddisfare i seguenti requisiti:

• Familiarità con il funzionamento del NAT.

  Per ulteriori informazioni, fare riferimento a Come funziona NAT.

• Familiarità con i comandi da utilizzare per configurare il protocollo NAT su un router.

  Per ulteriori informazioni sui comandi, consultare il documento sulla configurazione di Network Address Translation: Per iniziare.

Componenti usati

Per la stesura del documento, sono stati usati switch Cisco Catalyst serie 6500 con Supervisor Engine 720 con software Cisco IOS® versione 12.2(18)SXD6 e switch Cisco Catalyst serie 6500 con Supervisor Engine II con software CatOS versione 8.4(4).

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Questa configurazione può essere utilizzata anche con gli switch Cisco Catalyst serie 6000.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Configurazione

In questa sezione vengono presentate le informazioni necessarie per configurare le funzionalità descritte più avanti nel documento.

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Esempio di rete

Nel documento viene usata questa impostazione di rete:

Nota: gli schemi di indirizzamento IP utilizzati in questa configurazione non sono legalmente instradabili su Internet. Si tratta degli indirizzi RFC 1918 utilizzati in un ambiente lab.

Configurazioni Cisco IOS

Nell'esempio di configurazione, il protocollo NAT è configurato per il sovraccarico sull'indirizzo IP dell'interfaccia Fast Ethernet 4/4. Ciò significa che più indirizzi locali interni possono essere convertiti in modo dinamico nello stesso indirizzo globale. In questo caso, l'indirizzo assegnato all'interfaccia Fast Ethernet 4/4.

Inoltre, il protocollo NAT è configurato in modo statico in modo che i pacchetti provenienti dall'indirizzo locale 10.10.10.2 con porta TCP 25 (SMTP) vengano convertiti nell'interfaccia Fast Ethernet 4/4 indirizzo IP porta TCP 2525. Poiché si tratta di una voce NAT statica, i client di posta elettronica esterni possono originare pacchetti SMTP all'indirizzo globale di 172.16.10.64. La porta esterna è stata scelta come 2525 per impedire attacchi Denial of Service.

6509sup720#show running-config 
 Building configuration...
 Current configuration : 7524 bytes
 !
 version 12.2
 service timestamps debug datetime
 service timestamps log datetime msec localtime
 service password-encryption
 service counters max age 10
 !
 hostname 6509sup720
 !
 boot system sup-bootflash:s72033-psv-mz.122-18.SXD6.bin
 !username maui-nas-05 password cisco

 !
no ip domain-lookup
!
no mls flow ip
no mls flow ipv6
spanning-tree mode pvst
!
redundancy
 mode sso
 main-cpu
!
!
interface FastEthernet4/4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface FastEthernet 4/4 with an IP address and as a !--- NAT outside interface.

!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!

ip nat inside source list 100 interface FastEthernet 4/4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface FastEthernet 4/4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


!--- Refer to ip nat inside source for more details !--- on the command.

!
!
ip classless
no ip http server
!

!--- ACL 100 permits only the desired traffic for translation.

access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any
!
line con 0
transport input none
line vty 0 4 
!
end

Configurazioni CatOS

Per gli switch in modalità ibrida, è necessario configurare prima le VLAN sul Supervisor e quindi applicare la configurazione NAT sull'MSFC. Anziché avere un'interfaccia della porta esterna, è necessario configurare un'interfaccia VLAN in quanto, in modalità ibrida, non è possibile specificare un indirizzo IP per una particolare porta.

!--- Configure VLAN 2, VLAN 3 and VLAN 4 on the Supervisor.


!--- Add VLAN 2.

Catalyst6500> (enable) set vlan 2
VLAN 2 configuration successful


!--- Add VLAN 3.

Catalyst6500> (enable) set vlan 3
VLAN 3 configuration successful


!--- Add VLAN 4.

Catalyst6500> (enable) set vlan 4
VLAN 4 configuration successful


!--- Assign port fa4/4 to VLAN 4.

Catalyst6500> (enable) set vlan 4 4/4
VLAN 4 modified.
VLAN 1 modified.
VLAN  Mod/Ports
---- -----------------------
4     4/4
Catalyst6500> (enable)

MSFC#show running-config
Building configuration...

Current configuration : 1024 bytes
!
version 12.1
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Router
!
boot system flash bootflash:c6msfc2-jk2o3sv-mz.121-26.E1.bin
!
ip subnet-zero
!
!
!
ip ssh time-out 120
ip ssh authentication-retries 3
redundancy
 high-availability
 single-router-mode
!
!         
!
!
!
interface Vlan2
 ip address 10.10.10.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 2 with an IP address and as a NAT inside !--- interface.

!
interface Vlan3
 ip address 10.10.20.1 255.255.255.0
 ip nat inside

!--- Defines interface VLAN 3 with an IP address and as a NAT inside !--- interface.

!
interface Vlan4
 ip address 172.16.10.64 255.255.255.0
 ip nat outside

!--- Defines interface VLAN 4 with an IP address and as a NAT outside !--- interface.

!
ip nat inside source list 100 interface Vlan4 overload

!--- Specifies the translation for inside workstations and !--- servers to access the outside world.

ip nat inside source static tcp 10.10.10.2 25 interface Vlan4 2525

!--- Specifies the static mapping for the outside email clients !--- to access the inside email server.


ip classless
no ip http server
!
access-list 100 permit ip 10.10.10.0 0.0.0.255 any
access-list 100 permit ip 10.10.20.0 0.0.0.255 any

!--- ACL 100 permits only the desired traffic for translation.

!
!
line con 0
line vty 0 4
 no login
!
!
end

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

Lo strumento Output Interpreter (solo utenti registrati) supporta alcuni comandi show. Usare l'OIT per visualizzare un'analisi dell'output del comando show

• show ip nat translation: visualizza le traduzioni NAT attive.

  Cat6k#show ip nat translations 
  Pro Inside global      Inside local       Outside local      Outside global
  tcp 172.16.10.64:2525  10.10.10.2:25        ---                  ---    

• show ip access-list: visualizza il contenuto di tutti gli elenchi degli accessi IP correnti.

  Cat6k#show ip access-lists 
  Extended IP access list 100
      permit ip 10.10.10.0 0.0.0.255 any (32 matches)
      permit ip 10.10.20.0 0.0.0.255 any (22 matches)
      deny ip any any 

• show ip nat statistics: visualizza le statistiche NAT.

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Comandi per la risoluzione dei problemi

Lo strumento Output Interpreter (solo utenti registrati) (OIT) supporta alcuni comandi show. Usare l'OIT per visualizzare un'analisi dell'output del comando show.

Nota: consultare le informazioni importanti sui comandi di debug prima di usare i comandi di debug.

• debug ip nat: visualizza le informazioni sui pacchetti IP convertiti dalla funzionalità IP NAT.

  Cat6k#debug ip nat
  IP NAT debugging is on
  Cat6k#
  *Mar  1 01:40:47.692 CET: NAT: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [80]
  *Mar  1 01:40:47.720 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [80]
  *Mar  1 01:40:47.720 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [81]
  *Mar  1 01:40:47.748 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [81]
  *Mar  1 01:40:47.748 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [82]
  *Mar  1 01:40:47.784 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [82]
  *Mar  1 01:40:47.784 CET: NAT*: s=10.10.20.2->172.16.10.4, d=172.16.150.2 [83]
  *Mar  1 01:40:47.836 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.20.2 [83]
  *Mar  1 01:40:47.836 CET: NAT*: s=10.10.10.2->172.16.10.4, d=172.16.150.2 [84]
  *Mar  1 01:40:47.884 CET: NAT*: s=172.16.150.2, d=172.16.10.4->10.10.10.2 [84]

• clear ip nat translation * - Elimina le traduzioni dinamiche NAT (Network Address Translation) dalla tabella di traduzione.

Comandi correlati

• ip nat - Indica che il traffico proveniente da o destinato all'interfaccia è soggetto a NAT.

• ip nat inside destination: abilita NAT dell'indirizzo di destinazione interno.

• ip nat inside source: abilita NAT dell'indirizzo di origine interno.

• ip nat external source: abilita NAT dell'indirizzo di origine esterno.

Informazioni correlate

• Matrice di supporto di Network Address Translation sugli switch Catalyst
• Pagina di supporto NAT
• Switch Cisco Catalyst serie 6500
• Supporto dei prodotti LAN
• Supporto della tecnologia di switching LAN
• Documentazione e supporto tecnico – Cisco Systems