Днес ще изучаваме PAT (Превод на адреси на портове), технология за транслация на IP адреси чрез портове, и NAT (Превод на мрежови адреси), технология за трансформиране на IP адреси на транзитни пакети. PAT е частен случай на NAT. Ще разгледаме три теми:
— приватни или вътрешни (вътрешномрежови, локални) IP адреси и публични или външни IP адреси;
— NAT и PAT;
— настройка на NAT/PAT.
Нека започнем с вътрешните адреси Private IP. Знаем, че те се делят на три класа: A, B и C.
Вътрешните адреси от клас A обхващат диапазона «десятки» от 10.0.0.0 до 10.255.255.255, а външните – диапазона от 1.0.0.0 до 9.255.255.255 и от 11.0.0.0 до 126.255.255.255.
Вътрешните адреси от клас B обхващат диапазона от 172.16.0.0 до 172.31.255.255, а външните – от 128.0.0.0 до 172.15.255.255 и от 172.32.0.0 до 191.255.255.255.
Вътрешните адреси от клас C обхващат диапазона от 192.168.0.0 до 192.168.255.255, а външните – от 192.0.0 до 192.167.255.255 и от 192.169.0.0 до 223.255.255.255.
Адресите от клас A са адреси /8, от клас B — /12 и от клас C — /16. Така че, външните и вътрешните IP адреси от различни класове заемат различни диапазони.
Нееднократно сме обсъждали каква е разликата между приватните и публичните IP адреси. В общи линии, когато имаме рутер и група от вътрешни IP адреси, при опит за изход в интернет, рутерът ги конвертира във външни IP адреси. Вътрешните адреси се използват единствено в локални мрежи, а не в интернет.
Ако с помощта на командния ред проуча мрежовите параметри на компютъра си, ще видя своя вътрешен LAN IP адрес 192.168.1.103.
За да разбера своя публичен IP адрес, мога да използвам интернет услуга от типа «Кой е моят IP?» Както виждате, външният адрес на компютъра 78.100.196.163 се различава от неговия вътрешен адрес.
Във всички случаи моят компютър е видим в интернет точно по външния IP адрес. И така, вътрешният адрес на моя компютър е 192.168.1.103, а външният — 78.100.196.163. Вътрешният адрес се използва само за локална свързаност, с него не можете да излезете в интернет, за което ви е нужен публичен IP адрес. Можете да си спомните защо беше направено разделението на приватни и публични адреси, като прегледате видеоурока Ден 3.
Нека разгледаме какво е NAT. Съществуват три типа NAT: статичен, динамичен и «препълнен» NAT, или PAT.
В Cisco има 4 термина, които описват NAT. Както вече споменах, NAT е механизъм за преобразуване на вътрешни адреси във външни. Ако устройство, свързано с интернет, получи пакет от друго устройство в локалната мрежа, то просто ще отхвърли този пакет, тъй като формата на вътрешния адрес не съответства на формата на адресите, използвани в глобалната интернет мрежа. Затова устройството трябва да получи публичен IP адрес, за да може да излезе в интернет.
Първият термин е Inside Local, който означава IP адреса на хоста във вътрешната, локална мрежа. Попросту казано, това е основният адрес на източника, например 192.168.1.10. Вторият термин, Inside Global, представлява IP адреса на локалния хост, под който той е видим във външната мрежа. В нашия случай това е IP адресът на външния порт на рутера 200.124.22.10.
Можем да кажем, че Inside Local е частен IP адрес, а Inside Global – публичен IP адрес. Запомнете, че терминът Inside се използва по отношение на източника на трафик, а Outside – по отношение на предназначението на трафика. Outside Local е IP адресът на хоста във външната мрежа, под който той е видим за вътрешната мрежа. Попросту казано, това е адресът на получателя, видим от вътрешната мрежа. Пример за такъв адрес е IP адресът 200.124.22.100 на устройство, намиращо се в интернет.
Outside Global е IP адресът на хоста, видим във външната мрежа. В повечето случаи адресите Outside Local и Outside Global изглеждат однакво, защото дори след преобразуването IP адресът на назначението остава видим за източника такъв, какъвто е и преди преобразуването.
Нека разгледаме какво представлява статичният NAT. Статичният NAT означава взаимно еднозначно преобразуване на вътрешни IP адреси във външни или преобразуване "едно към едно". Когато устройствата изпращат трафик в интернет, техните вътрешни адреси Inside Local се преобразуват във външни адреси Inside Global.
В нашата локална мрежа има 3 устройства и когато те се опитват да излязат в интернет, всяко от тях получава свой собствен адрес Inside Global. Тези адреси са статично присвоени на източниците на трафик. Принципът "едно към едно" означава, че ако в локалната мрежа има 100 устройства, те получават 100 външни адреса.
NAT се появи, за да спаси Интернет, в който свършваха публичните IP адреси. Благодарение на NAT много компании и много мрежи могат да имат един общ външен IP адрес, в който ще се преобразуват локалните адреси на устройствата при свързване с Интернет. Можете да кажете, че в този случай статичният NAT не предлага никаква икономия на адреси, тъй като на сто локални компютри се присвояват сто външни адреса, и ще бъдете абсолютно прави. Въпреки това, статичният NAT предлага и редица предимства.
Например, имаме сървър с вътрешен IP адрес 192.168.1.100. Ако някое устройство от Интернет иска да се свърже с него, то няма да може да направи това, използвайки вътрешния адрес за местоназначение; необходимо е да използва външния адрес на сървъра 200.124.22.3. Ако в рутерa е настроен статичен NAT, целият трафик, адресиран до 200.124.22.3, автоматично се пренасочва към 192.168.1.100. По този начин се осигурява външен достъп до устройствата на локалната мрежа, в този случай до уеб сървъра на компанията, което може да бъде необходимо в определени случаи.
Нека разгледаме динамичния NAT. Той е много подобен на статичния, но не присвоява постоянни външни адреси на всяко локално устройство. Например, имаме 3 локални устройства и само 2 външни адреса. Ако второто устройство иска да излезе в интернет, ще му бъде присвоен първият свободен IP адрес. Ако след него уеб сървър иска да излезе в интернет, рутерът ще му присвои втория наличен външен адрес. Ако след това първото устройство иска да излезе във външната мрежа, няма да има наличен IP адрес за него и рутерът ще отхвърли неговия пакет.
Можем да имаме стотици устройства с вътрешни IP адреси, и всяко от тези устройства може да излезе в интернет. Но тъй като нямаме статично присвояване на външни адреси, едновременно могат да излязат в интернет не повече от 2 устройства от стотици, защото имаме само два динамично назначавани външни адреса.
В устройствата Cisco е предвидено фиксирано време за преобразуване на адреси, по подразбиране равно на 24 часа. То може да бъде променено на 1, 2, 3 или 10 минути, или на всякакво удобно за вас време. След изтичането на това време външните адреси се освобождават и автоматично се връщат в пулът на адресите. Ако в този момент първото устройство иска да излезе в интернет и някой външен адрес се окаже достъпен, то ще го получи. Рутерът съдържа NAT таблица, която се обновява динамично, и докато времето за преобразуване не е изтекло, назначеният адрес остава за устройството. Инак казано, динамичният NAT работи по принципа: „който е дошъл пръв, него обслужват“.
Нека разгледаме какво представлява натовареният NAT, известен още като PAT. Това е най-разпространеният тип NAT. В домашната ви мрежа може да съществуват множество устройства – компютри, смартфони, лаптопи, таблети, и всички те се свързват с рутера, който има един външен IP адрес. Точно затова PAT позволява на множество устройства с вътрешни IP адреси да излизат в интернет едновременно под един външен IP адрес. Това е възможно, защото всеки частен, вътрешен IP адрес използва определен номер на порт по време на сеанса на свързване.
Предположим, че имаме един публичен адрес 200.124.22.1 и множество локални устройства. При излизане в интернет всички тези хостове ще получат един и същ адрес 200.124.22.1. Единственото, което ще ги отличава, е номерът на порта.
Ако помните обсъждането на транспортния слой, знаете, че транспортният слой съдържа номера на портовете, а номерът на порта на източника представлява произволно число.
Предположим, че в външната мрежа има хост с IP адрес 200.124.22.10, който е свързан с интернет. Ако компютър 192.168.1.11 иска да се свърже с компютър 200.124.22.10, той ще създаде произволен порт на източника 51772. Портът на целевия компютър във външната мрежа ще бъде 80.
Когато рутерът получи пакета от локалния компютър, насочен към външната мрежа, той пренасочва локалния адрес Inside Local в адреса Inside Global 200.124.22.1 и присвоява номер на порта 23556. Пакетът ще достигне до компютъра 200.124.22.10, който трябва да изпрати обратно отговор в съответствие с процедурата за ръкостискане, при което целта ще бъде адрес 200.124.22.1 и порт 23556.
Рутерът разполага с таблица за транслация NAT, затова, след като получи пакет от външен компютър, той ще определи адреса Inside Local, който съответства на Inside Global адреса 192.168.1.11: 51772, и ще прехвърли пакета. След това връзката между двата компютъра може да се счита за установена.
В същото време може да имате стотици устройства, които използват един и същ адрес 200.124.22.1 за свързване, но с различни портове, което позволява на всички тях да излязат в интернет едновременно. Ето защо PAT е толкова популярен начин за транслация.
Нека разгледаме настройката на статичен NAT. За всяка мрежа първо е необходимо да се определят входния и изходния интерфейси. На схемата е показан рутер, през който се предава трафикът от порт G0/0 към порт G0/1, т.е. от вътрешната мрежа към външната мрежа. По този начин имаме входен интерфейс 192.168.1.1 и изходен интерфейс 200.124.22.1.
За настройка на NAT преминаваме към интерфейса G0/0 и задаваме параметрите ip address 192.168.1.1 255.255.255.0 и указваме, че този интерфейс е входен, като използваме командата ip nat inside.
По аналогичен начин настройваме NAT на изходния интерфейс G0/1, указвайки ip address 200.124.22.1, маска на подсетите 255.255.255.0 и ip nat outside. Запомнете, че преобразуването на динамичния NAT винаги се извършва от входния към изходния интерфейс, от inside към outside. Разбира се, че за динамичния NAT отговорът се връща към входния интерфейс през изходния, но при инициирането на трафик задейства именно посоката in-out. В случай на статичен NAT инициацията на трафика може да се случи в която и да е от двете посоки – in-out или out-in.
Следващата стъпка е да съставим таблица за статичен NAT, където на всеки локален адрес отговаря отделен глобален адрес. В нашия случай имаме 3 устройства, затова таблицата ще се състои от 3 записа, в които се указва Inside Local IP адреса на източника, който се преобразува в Inside Global адрес: ip nat inside static 192.168.1.10 200.124.22.1.
По този начин, в статичния NAT вие ръчно задавате преобразуването за всеки адрес на локалния хост. Сега ще премина към Packet Tracer и ще извърша описаните по-горе настройки.
Отгоре имаме сървър 192.168.1.100, по-долу се намира компютър 192.168.1.10 и най-отдолу е компютър 192.168.1.11. Порт G0/0 на рутера Router0 има IP адрес 192.168.1.1, а порт G0/1 – 200.124.22.1. В "облака", изобразяващ интернет, съм поставил Router1, на който съм присвоил IP адрес 200.124.22.10.
Влизам в настройките на Router1 и въвеждам командата debug ip icmp. Сега, веднага щом пингът достигне това устройство, в прозореца на настройките ще се появи съобщение за отстраняване на грешки, показващо какъв е пакетът.
Започваме с настройките на рутер Router0. Преминавам в режим на глобални настройки и активирам интерфейса G0/0. След това въвеждам командата ip nat inside, след което преминавам на интерфейса g0/1 и въвеждам командата ip nat outside. По този начин зададох входни и изходни интерфейси за рутера. Сега ми трябва ръчно да настроя IP адресите, т.е. да прехвърля в настройките редовете от предишната таблица:
Ip nat inside source static 192.168.1.10 200.124.22.1
Ip nat inside source static 192.168.1.11 200.124.22.2
Ip nat inside source static 192.168.1.100 200.124.22.3
Сега ще пингна Router1 от всяко от нашите устройства и ще видя какви IP адреси ще покаже полученото пинг съобщение. За целта разполагам отворено CLI прозорец за рутер R1 в дясната част на екрана, за да виждам съобщенията за отстраняване на грешки. Сега преминавам в командния терминал на PC0 и пингвам адрес 200.124.22.10. След това в прозореца се появява съобщение, че пингът е получен от IP адрес 200.124.22.1. Това означава, че локалният IP адрес на компютъра 192.168.1.10 е бил преобразуван в глобален адрес 200.124.22.1.
Същото правя и с следващия локален компютър и виждам, че неговият адрес е преобразуван в 200.124.22.2. След това изпращам пинг от сървъра и виждам адрес 200.124.22.3.
Така, когато трафикът от устройството в локалната мрежа достигне рутера, на който е настроен статически NAT, рутерът в зависимост от таблицата преобразува локалния IP адрес в глобален и изпраща трафика към външната мрежа. За да проверя таблицата NAT, въвеждам командата show ip nat translations.
Сега можем да прегледаме всички преобразования, които извършва рутерът. В първата колона Inside Global е адресът на устройството преди транслацията, тоест този адрес, под който устройството е видимо от външната мрежа; следва адресът Inside Local, а именно адресът на устройството в локалната мрежа. Третата колона показва Outside Local, а четвъртата – адрес Outside Global, като и двата адреса са еднакви, защото не подлагаме на трансформация IP адреса на целта. Както виждате, след няколко секунди таблицата се изчисти, тъй като в Packet Tracer е зададен кратък тайм-аут за пинг.
Мога да пингвам от рутера R1 сървъра на адрес 200.124.22.3, и ако отново премина към настройките на рутера, мога да видя, че таблицата отново се напълни с четири реда пинг с преобразуван адрес на целта 192.168.1.100.
Както вече казах, дори ако настъпи тайм-аут на транслацията, при иницииране на трафик от външен източник механизмът NAT автоматично се активира. Това се случва само при използване на статично NAT.
Сега нека разгледаме как работи динамичното NAT. В нашия пример имаме 2 публични адреса за три устройства в локалната мрежа, но те могат да бъдат десетки и стотици такива частни хостове. Въпреки това, едновременно в интернет могат да излизат само 2 устройства. Нека видим в какво се състои разликата между статичното и динамичното NAT, освен това.
Както и в предишния случай, първо трябва да определим входните и изходните интерфейси на рутера. След това създаваме нещо като списък за достъп, но това не е ACL, за който говорихме в предишния урок. Този списък за достъп се използва за идентифициране на трафика, който желаем да преобразуваме. Тук се появява нов термин ‘interesting traffic’ или ‘интересен трафик’. Това е трафик, който ви интересува по някаква причина, и когато този трафик отговаря на условията на списъка за достъп, той попада под действие на NAT и се преобразува. Този термин може да се приложи към трафика в много случаи, например в случая с VPN ‘интересен’ е трафикът, който ще бъде пуснат през VPN тунела.
Трябва да създадем ACL, който идентифицира интересния трафик, в нашия случай това е трафикът на цялата мрежа 192.168.1.0, заедно с указването на обратната маска 0.0.0.255.
След това трябва да създадем NAT пул, за което използваме командата ip nat pool и посочваме пул от IP адреси 200.124.22.1 200.124.22.2. Това означава, че предоставяме само два външни IP адреса. След това в командата се използва ключовата дума netmask и се въвежда маската на подсетия 255.255.255.252. Последният октет на маската е (255 — брой на адресите в пула – 1), така че ако имате 254 адреса в пула, маската на подсетия ще бъде 255.255.255.0. Това е много важен параметър, затова при настройката на динамично NAT внимавайте да въведете правилната стойност за netmask.
След това използваме команда, която стартира механизма на NAT: ip nat inside source list 1 pool NWKING, където NWKING е името на пула, а list 1 означава списък за достъп ACL номер 1. Запомнете — за да работи тази команда, първо е необходимо да се създаде пул от динамични адреси и списък за достъп.
И така, при нашите условия първото устройство, желаещо да влезе в интернет, може да го направи, второто устройство също, но третото ще трябва да чака, докато се освободи един от адресите в пула. Настройката на динамично NAT се състои от 4 стъпки: определяне на входния и изходния интерфейс, определяне на "интересния" трафик, създаване на NAT пул и самата настройка.
Сега ще преминем към Packet Tracer и ще опитаме да настроим динамично NAT. Първо трябва да изтрием настройките за статично NAT, за което последователно въвеждаме командите:
no Ip nat inside source static 192.168.1.10 200.124.22.1
no Ip nat inside source static 192.168.1.11 200.124.22.2
no Ip nat inside source static 192.168.1.100 200.124.22.3.
След това създавам списък за достъп List 1 за цялата мрежа с командата access-list 1 permit 192.168.1.0 0.0.0.255 и формирам NAT пула с помощта на командата ip nat pool NWKING 200.124.22.1 200.124.22.2 netmask 255.255.255.252. В тази команда посочих името на пула, адресите, които влизат в него, и мрежовата маска.
След това посочвам какъв е NAT – вътрешен или външен, и източника, от който NAT трябва да черпи информация, в нашия случай това е list, с командата ip nat inside source list 1. След това системата ще даде подсказка – необходим ли е целия пул или определен интерфейс. Избирам pool, тъй като имаме повече от 1 външен адрес. Ако изберете interface, ще трябва да посочите порт с конкретен IP адрес. В крайна сметка командата ще изглежда така: ip nat inside source list 1 pool NWKING. В момента този пул се състои от два адреса 200.124.22.1 200.124.22.2, но вие спокойно можете да ги променяте или добавяте нови адреси, които не са свързани с конкретен интерфейс.
Трябва да се уверите, че вашата таблица за маршрутизиране е актуализирана, така че всеки от IP адресите в пула да бъде насочен към това устройство, иначе няма да получите обратния трафик. За да се уверим, че настройките работят, ще повторим процедурата за пинговане на облачния рутер, която направихме за статичния NAT. Ще отворя прозореца на рутера Router 1, за да виждам съобщенията в режим на отстраняване на неисправности, и ще го пингвам от всяко от 3-те устройства.
Виждаме, че всички адреси на източниците, от които идват пакетите с пинг, съответстват на настройките. В същото време пингът от компютъра PC0 не минава, защото му липсва свободен външен адрес. Ако влезете в настройките на Router 1, ще видите, че в момента се използват адресите на пула 200.124.22.1 и 200.124.22.2. Сега ще изключа транслацията и ще видите как редовете изчезват един след друг. Отново ще стартирам пинг от компютъра PC0 и, както виждате, сега всичко работи, защото успя да получи освободилия се външен адрес 200.124.22.1.
Как можете да изчистите таблицата NAT и да отмените зададеното преобразуване на адреси? Влизате в настройките на рутера Router0 и въвеждате командата clear ip nat translation * с „звездичка“ в края на реда. Ако сега погледнете състоянието на преобразуването с помощта на командата show ip nat translation, системата ще ни покаже празен ред.
За преглед на статистиката за NAT се използва командата show ip nat statistics.
Това е много полезна команда, благодарение на която можете да разберете общия брой на динамичните, статичните и разширените NAT/PAT трансформации. Виждате, че то е равно на 0, тъй като изчистихме данните от предишната команда. Тук се показват входните и изходните интерфейси, броят на успешните и неуспешните трансформации hits и misses (броят на неуспехите е свързан с липсата на свободен външен адрес за вътрешен хост), името на списъка с достъп и пулът.
Сега ще преминем към най-популярния вид преобразуване на IP адреси – разширен NAT, или PAT. За настройка на PAT трябва да следвате същите стъпки, както за настройка на динамичен NAT: да определите входния и изходния интерфейси на рутера, да идентифицирате 'интересния' трафик, да създадете NAT пул и да настроите PAT. Можем да създадем същия пул от няколко адреса, както и в предишния случай, но това не е необходимо, тъй като в PAT постоянно се използва един и същ външен адрес. Разликата между настройката на динамичен NAT и PAT е само в ключовата дума overload, с която завършва последната настройвателна команда. След въвеждането на тази дума, динамичният NAT автоматично се преобразува в PAT.
Освен това, вие използвате само един адрес в пула NWKING, например 200.124.22.1, но го указвате два пъти като начален и краен външен адрес със сетевата маска 255.255.255.0. Можете да направите по-просто, използвайки вместо реда ip nat 1 pool NWKING 200.124.22.1 200.124.22.1 netmask 255.255.255.0 параметъра source interface и фиксирания адрес 200.124.22.1 на интерфейса G0/1. В този случай всички локални адреси при изход в интернет ще бъдат преобразувани в този IP адрес.
В пула също може да се използва всеки друг IP адрес, не е задължително да отговаря на конкретен физически интерфейс. Въпреки това, в този случай трябва да се уверите, че всички рутери в мрежата могат да насочват отговорния трафик към избраното от вас устройство. Недостатък на NAT е, че не може да се използва за прозрачно адресиране, тъй като докато обратният пакет се върне до локалното устройство, неговият динамичен NAT IP адрес може да се е променил. Тоест, трябва да сте сигурни, че избраният IP адрес ще остане достъпен през цялото време на сесията.
Нека да видим това чрез Packet Tracer. Първо трябва да премахна динамичния NAT с командата no Ip nat inside source list 1 NWKING и да изтрия NAT пула с командата no Ip nat pool NWKING 200.124.22.1 200.124.22.2 netmask 225.255.255.252.
След това трябва да създам PAT пул с командата Ip nat pool NWKING 200.124.22.2 200.124.22.2 netmask 225.255.255.255. Този път използвам IP адрес, който не принадлежи на физическото устройство, защото физическото устройство има адрес 200.124.22.1, а аз искам да използвам 200.124.22.2. В нашия случай това работи, защото имаме локална мрежа.
След това конфигурирам PAT с командата Ip nat inside source list 1 pool NWKING overload. След въвеждането на тази команда активираме преобразуването на адреси PAT. За да проверя коректността на конфигурацията, отивам до нашите устройства, сървъра и два компютъра, и пингвам от компютъра PC0 Router1 на адрес 200.124.22.10. В прозореца за настройки на рутера се виждат отладъчни редове, в които се показва, че източникът на пинга, както очаквахме, е IP адресът 200.124.22.2. От този адрес идва и пингът, изпратен от компютъра PC1 и сървъра Server0.
Нека да видим какво се случва в таблицата за преобразуване на рутера Router0. Виждате, че всичките преобразувания са успешни, всяко устройство получава свой собствен порт и всички локални адреси са свързани с Router1 чрез IP адреса на пула 200.124.22.2.
Използвам командата show ip nat statistics, за да прегледам статистиката на PAT.
Виждаме, че общият брой на преобразуванията или транслациите на адреси е 12, виждаме характеристиките на пула и друга информация.
Сега ще направя още нещо — ще въведа командата Ip nat inside source list 1 interface gigabit Ethernet g0/1 overload. Ако след това пингна рутера от компютъра PC0, ще видите, че пакетът е дошъл от адреса 200.124.22.1, тоест от физическия интерфейс! Това е по-лесен начин: ако не искате да създавате пул, което става често при използване на домашни рутери, можете да използвате IP адреса на физическия интерфейс на рутера като външен NAT адрес. Именно така най-често става преобразуването на адреса на вашия частен хост за публичната мрежа.
Днес разгледахме много важна тема, затова е необходимо да се упражнявате в нея. Използвайте Packet Tracer, за да проверите теоретичните си познания при решаването на практически задачи по конфигуриране на NAT и PAT. Приближаваме се към края на изучаването на темата ICND1 — първия изпит от курса CCNA, затова вероятно следващият видеоурок ще бъде посветен на обобщаването.
Благодарим ви, че останахте с нас. Харесват ли ви нашите статии? Искате ли да видите повече интересни материали? Подкрепете ни, като направите поръчка или ни препоръчате на познати. 30% отстъпка за потребителите на Хабра на уникален аналог на entry-level сървъри, който създадохме специално за вас: (с налични опции за RAID1 и RAID10, до 24 ядра и до 40GB DDR4).
Dell R730xd на половин цена? Всичко това само при нас в Нидерландия! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — от 99 $! Чете се за това
Източник: habr.com
