सिस्को पर एनएटी। भाग 1

शुभ दोपहर, साथियों!



मंच पर कई सवालों (पोस्ट के अंत में लिंक), श्रोताओं और सहयोगियों से देखते हुए, सिस्को राउटर्स पर NAT का काम (मैं फ़ायरवॉल को छोड़ दूंगा , फेडिया ने सिस्को एएसए के अपने लेखों की श्रृंखला में अपने काम को पर्याप्त रूप से वर्णित किया है) खराब रूप से वर्णित है, इसलिए मैं कोशिश करूँगा। इस तकनीक के अधिकांश रूपों में अपने अनुभव और अपनी समझ का वर्णन करें। मैं एक व्यापक विवरण और 100% सटीकता का नाटक नहीं करता, लेकिन यह किसके लिए दिलचस्प है - बिल्ली के नीचे वेल्ड करने के लिए।





इसलिए, विवरण की संरचना के लिए हम एनएटी क्या है की परिभाषा से निपटेंगे।



परिभाषा। NAT (नेटवर्क एड्रेस ट्रांसलेशन) नेटवर्क एड्रेस के अनुवाद के लिए एक तकनीक है, अर्थात IP पैकेट हेडर में स्पूफिंग पते (कभी-कभी यह टीसीपी / यूडीपी हेडर में पोर्ट भी बदल सकता है, लेकिन बाद में और भी बहुत कुछ)।



दूसरे शब्दों में, एक राउटर से गुजरने वाला एक पैकेट अपने स्रोत और / या गंतव्य पते को बदल सकता है।



इसकी आवश्यकता क्यों है ?

1. लैन से पहुंच प्रदान करने के लिए, जहां निजी आईपी पते सबसे अधिक उपयोग किए जाते हैं, इंटरनेट पर, जहां केवल वैश्विक आईपी पते ही रूट किए जाते हैं।

2. ( कुछ हद तक ) नेटवर्क टोपोलॉजी को छिपाने के लिए और नेटवर्क में प्रवेश के लिए कुछ प्रकार के सुरक्षात्मक अवरोध पैदा करना (हम इस पर बाद में एक उदाहरण के साथ चर्चा करेंगे)।



NAT अलग हो सकता है :) और हालाँकि इस बारे में पहले ही बहुत कुछ लिखा जा चुका है, एक विशिष्ट पते पर NAT के बारे में प्रश्नों के साथ शुरुआती भेजने की इच्छा है, इसलिए मैं कुछ वर्गीकरण दूंगा।

1. स्टेटिक NAT - स्टेटिक NAT एक पते और दूसरे के बीच एक अद्वितीय पत्राचार स्थापित करता है। दूसरे शब्दों में, जब राउटर से गुजरते हैं, तो एड्रेस (एस) को कड़ाई से निर्दिष्ट पते में बदल दिया जाता है, वन-टू-वन। (उदाहरण के लिए, 10.1.1.1 को हमेशा 11.1.1.1 और इसके विपरीत, लेकिन कभी भी 12.1.1.1 द्वारा प्रतिस्थापित नहीं किया जाता है)। इस तरह के प्रसारण का एक रिकॉर्ड अनिश्चित काल तक संग्रहीत किया जाता है, जब तक कि कॉन्फ़िगरेशन में एक रेखा नहीं होती है।

2. डायनेमिक NAT - एक राउटर से गुजरते समय, एक नए पते को डायनामिक रूप से पूल (इंग्लिश पूल) नामक कुछ पतों से चुना जाता है। प्रसारण रिकॉर्ड कुछ समय के लिए रखा जाता है ताकि प्रतिक्रिया पैकेट को पताकर्ता तक पहुंचाया जा सके। यदि इस प्रसारण के लिए कुछ समय के लिए कोई ट्रैफ़िक नहीं है, तो प्रसारण हटा दिया जाता है और पता पूल पर वापस आ जाता है। यदि आप अनुवाद बनाना चाहते हैं, लेकिन पूल में कोई मुफ्त पते नहीं हैं, तो पैकेट को छोड़ दिया जाता है। दूसरे शब्दों में, यह अच्छा होगा यदि आंतरिक पतों की संख्या पूल में पतों की संख्या से थोड़ी बड़ी थी, अन्यथा बाहर तक पहुंच के साथ समस्याओं की एक उच्च संभावना है।

3. अधिभार या पैट के साथ गतिशील NAT । यह लगभग गतिशील एनएटी के समान ही काम करता है, लेकिन साथ ही साथ परिवहन परत की क्षमताओं का उपयोग करते हुए एक-से-एक अनुवाद है। नीचे दिए गए उदाहरण में इस पर अधिक।



चूंकि मैं सबसे अधिक बार सिस्को हार्डवेयर के साथ काम करता हूं, इसलिए मैं इस लेख में वर्णन करूंगा कि हार्डवेयर के इन टुकड़ों पर एनएटी के लिए कार्य और संभव विकल्पों की विशेषताएं क्या हैं।

आइए देखें कि इस मामले में हमारे पास क्या है।

1. स्रोत NAT

सबसे आम और काफी सरल विकल्प। मान लें कि हमारे पास ऐसी टोपोलॉजी है:





दूसरे शब्दों में

a) आंतरिक पतों का सबनेट - 10.0.0.0/8

b) बाहरी पतों का सबनेट - 11.0.0.0/8



और हम किसी भी तरह आंतरिक पतों को बाहरी पतों पर ट्रांसलेट करना चाहते हैं जब राउटर से ट्रैफिक बहता है।

इसके लिए क्या आवश्यक है?

1. हम स्पष्ट रूप से बताते हैं कि हम क्या प्रसारित करना चाहते हैं। यानी क्या यातायात और क्या मेजबान से।

2. हम स्पष्ट रूप से इंगित करते हैं कि हम क्या अनुवाद करना चाहते हैं, अर्थात बाहरी पते का पूल (या स्थिर अनुवाद के लिए एकमात्र पता)।

3. हम आंतरिक और बाहरी इंटरफ़ेस को चिह्नित करते हैं।

4. प्रसारण चालू करें।



पैराग्राफ 3 में, मैं अपने आप को और अधिक विस्तार से रहने की अनुमति देता हूं, क्योंकि यह यहां है कि गलतफहमी अक्सर होती है।

यह कैसे काम करता है?

तो, मान लें कि हमने तय किया कि हम 11 वें में पूरे 10 वें नेटवर्क को एक पूरे के रूप में प्रसारित करेंगे। हम उन्हें तदनुसार सेट करते हैं (सेटिंग्स बाद में, पहले सिद्धांत)। और हमारे इंटरफेस को आंतरिक (अंदर) और बाहरी (बाहर) के रूप में चिह्नित किया।

अब, चलो पता लगाते हैं कि एनएटी स्रोत के अंदर क्या करता है। वास्तव में, कार्रवाई का आधा नाम में नाम दिया गया है :) अर्थात्: अंदर आने वाला पैकेज स्रोत को बदलता है :)। लेकिन याद रखें, हमने इस तथ्य के बारे में बात की थी कि प्रतिक्रिया पैकेट हमारे आंतरिक मेजबान तक पहुंचने चाहिए? यह क्रिया का दूसरा भाग है: एक पैकेट के लिए जो बाहर की तरफ आता है , गंतव्य बदल जाता है।



लाइव प्रसारण पर विचार करें।

1. ट्रैफ़िक के अंदर आने वाले एक इंटरफ़ेस के रूप में चिह्नित, अगर यह मेल खाता है कि हम क्या अनुवाद करना चाहते हैं, संभवतः के रूप में चिह्नित किया गया है। यह अक्सर माना जाता है कि इस समय प्रसारण हो रहा है, लेकिन ऐसा नहीं है।

2. अगला चरण, ट्रैफ़िक को रूट किया गया है (PBR और सामान्य)। और अगर उसी समय ट्रैफ़िक को बाहर के रूप में चिह्नित इंटरफ़ेस पर निर्देशित किया जाता है - केवल तभी एक प्रसारण होता है। यदि अनुवाद गतिशील है, तो राउटर अनुवाद तालिका में अपनी उपस्थिति की जांच करता है। यदि यह नहीं है, तो यह पैदा करता है, अगर यह पहले से ही है, तो यह निष्क्रियता काउंटर को रीसेट करता है। यदि पैकेट एक इंटरफ़ेस पर आउटपुट पर जाता है जो बाहर के रूप में चिह्नित नहीं है, तो अनुवाद नहीं होता है।



अब रिवर्स प्रसारण ।

1. लाइव प्रसारण के विपरीत, बाहरी इंटरफ़ेस के लिए ट्रैफ़िक, पहली बार NAT के संपर्क में है। यदि अनुवाद मौजूद है (चाहे गतिशील या स्थिर), तो स्रोत स्रोत NAT के मामले में, इसका गंतव्य बदलता है। और उसके बाद ही यातायात को रूट किया जाता है और गंतव्य पर पुनर्निर्देशित किया जाता है।



इसलिए, काम के तंत्र को ध्यान में रखते हुए अंदर या बाहर इंटरफेस को चिह्नित करना आवश्यक है।



रिमार्क्स और कोरोलरीज ।

1. रिवर्स ट्रांसलेशन के लिए, किसी भी इंटरफ़ेस पर अंदर का लेबल होना आवश्यक नहीं है। वैसे भी, यदि कोई लाइव प्रसारण मौजूद है, तो रिवर्स प्रसारण रूटिंग से पहले काम करेगा। लेकिन ऐसा प्रसारण कब मौजूद होगा, क्योंकि हमने चर्चा की कि लाइव प्रसारण बनाने के लिए ट्रैफ़िक को अंदर के इंटरफ़ेस से गुज़रना होगा? यहाँ से

2. राउटर का ट्रैफिक स्वयं प्रसारित होता है यदि यह बाहर के रूप में चिह्नित इंटरफ़ेस पर जाता है और NAT नियम को संतुष्ट करता है । और कितना उपयोगी, इतना खतरनाक। एक ओर, हम किसी अन्य की तरह राउटर ट्रैफ़िक प्रसारित कर सकते हैं। दूसरी ओर, बहुत से लोग ट्रैफ़िक का वर्णन किसी भी परमिट के रूप में प्रसारित करना चाहते हैं, लेकिन फिर, उदाहरण के लिए, राउटिंग प्रोटोकॉल पैकेट प्रसारित किए जाएंगे, जो विफलता का कारण बन जाएगा।

3. इंटरफेस जैसे लूपबैक राउटर को किसी अन्य की तरह व्यवहार किया जाता है, हम उन्हें अंदर या बाहर के रूप में चिह्नित कर सकते हैं, उन पर ट्रैफिक लपेट सकते हैं और इससे लाभ प्राप्त कर सकते हैं :)



अब सामान्य विन्यास देखते हैं, और फिर कुछ और विशेष मामले।

स्रोत NAT कॉन्फ़िगरेशन के अंदर

स्रोत के अंदर गतिशील NAT

1. इंगित करें कि क्या प्रसारित किया जाए। ऐसा करने के लिए, ट्रैफ़िक को सूचीबद्ध करने वाली एक्सेस-लिस्ट बनाएं। उदाहरण के लिए, हमारे मामले में एक पंक्ति पर्याप्त है:

(config)# access-list 100 permit ip 10.0.0.0 0.255.255.255 any





रिमार्क । ACL में अस्वीकार्य रेखाएँ हो सकती हैं। एक आम ग़लतफ़हमी के विपरीत, इस लाइन को संतुष्ट करने वाला ट्रैफ़िक नहीं गिरता है, लेकिन बस प्रसारण नहीं होता है। इसके अलावा, ACL को मानक और विस्तारित, क्रमांकित और नाम दिया जा सकता है।

2. शुरू और अंत पते निर्दिष्ट करते हुए, पते का एक पूल बनाएं। उदाहरण के लिए, इस तरह:

(config)# ip nat pool NAME_OF_POOL 11.1.1.10 11.1.1.20 netmask 255.255.255.0





टिप्पणी ।

1. पूल में शुरू और अंत पते मेल खा सकते हैं, फिर प्रसारण 1 पते पर होगा।

2. नेटमास्क विकल्प, हालांकि अनिवार्य है, मेरी राय में एक अशिष्टता है। यह आपको पूल में उन पतों की श्रेणी से बाहर निकालने की अनुमति देता है जो उन पते हैं जो सबनेट पते हैं या इस मुखौटा के साथ प्रसारण करते हैं।

3. हम इंटरफेस को चिह्नित करते हैं। हमारे मामले में, यह पर्याप्त है

(config)# interface fa 0/0

(config-if)# ip nat inside





और

(config)# interface fa 0/1

(config-if)# ip nat outside







4. वास्तविक प्रसारण बनाएं:

ip nat inside source list 100 pool NAME_OF_POOL







वॉइला :) अगर हम अब, उदाहरण के लिए, मेजबान 10.1.1.1 से मेजबान 11.1.1.2 तक, हम निम्नलिखित अनुवाद प्राप्त करते हैं:

Router#sh ip nat translations

Pro Inside global Inside local Outside local Outside global

tcp 11.1.1.10:55209 10.0.1.1:55209 11.1.1.2:23 11.1.1.2:23







दिलचस्प है, हालांकि स्रोत पोर्ट और गंतव्य पोर्ट स्पष्ट रूप से तालिका में लिखे गए हैं, अनुवाद पूरी तरह से पते के लिए बनाया गया है। और अनुवाद तालिका में उसके जीवन की अवधि के लिए, बाहर के पैकेट एक बाहरी पते (वैश्विक के अंदर) में जा सकते हैं

उदाहरण के लिए, बाहरी नेटवर्क में हमारे वैश्विक में कुछ पते से पिंग सफल होगा (प्रसारण की अवधि के लिए):

R4#ping 11.1.1.10

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 11.1.1.10, timeout is 2 seconds:

!!!!!





दूसरे शब्दों में, एक निश्चित होस्ट के लिए एक बार एक प्रसारण खोला जाता है, जिसके बाद यह बाहर से किसी भी पते के लिए कुछ समय के लिए मान्य होता है।

अधिभार के साथ स्रोत के भीतर गतिशील NAT

पी। 1,2 और 3 - पिछले भाग की तरह।

4. हम वास्तविक प्रसारण बनाते हैं:

ip nat inside source list 100 pool NAME_OF_POOL overload





हम देखते हैं कि केवल एक शब्द जोड़ा गया है: अधिभार। लेकिन इसने प्रसारण योजना को महत्वपूर्ण रूप से बदल दिया है।

जैसा कि कहा गया है, PAT कई-में-बहुत कम या यहां तक ​​कि कई-में-एक प्रसारण है। लेकिन एक कनेक्शन के ट्रैफ़िक को दूसरे से अलग करने में सक्षम होने के लिए, राउटर न केवल आईपी पते, बल्कि टीसीपी / पीपीडी पोर्ट भी बदलेगा।

रिमार्क । बंदरगाहों के साथ काम करने की योजना (जब स्रोत बदल जाता है, जब गंतव्य) आईपी पते के साथ काम करने की योजना के समान है।

दूसरे शब्दों में, जब अंदर से पहुंच होती है, तो स्रोत आईपी और स्रोत पोर्ट बदलते हैं, इसका एक अनुवाद अनुवाद तालिका में दर्ज किया जाता है। रिवर्स प्रसारण के साथ, सब कुछ दूसरे तरीके से बदल जाता है।



आइए देखें कि क्या बदल गया है:

R3#sh ip nat translations

Pro Inside global Inside local Outside local Outside global

tcp 11.1.1.11:21545 10.0.1.1:21545 11.1.1.2:23 11.1.1.2:23

tcp 11.1.1.11:49000 10.0.2.1:49000 11.1.1.2:23 11.1.1.2:23





हम देखते हैं कि विभिन्न आंतरिक पते (10.0.1.1 और 10.0.2.1) एक बाहरी (11.1.1.11) में अनुवादित किए गए थे।



टिप्पणी ।

1. ऐसा लगता है कि स्रोत-बंदरगाह को बदला नहीं गया था, जैसा कि वादा किया गया था, एक गड़बड़ :)। वास्तव में, राउटर सभी उपलब्ध साधनों द्वारा स्रोत पोर्ट को रखने की कोशिश कर रहा है। विशेष रूप से, यदि अंदर वैश्विक पता बंदरगाह पहले से ही कब्जा कर लिया गया था, तो यह पूल में अगला पता लेगा और व्यस्तता के लिए अपने बंदरगाह की जांच करेगा। और बस एक मुफ्त बंदरगाह के साथ पता नहीं अगले अगले एक ले जाएगा।

2. इस तरह के अनुवाद का व्यवहार सामान्य गतिशील NAT के व्यवहार से भिन्न होता है जिसमें बाहर से लेकर वैश्विक पते तक पहुंच असंभव है। पीएटी का उपयोग करते समय मैंने कुछ बढ़ी हुई सुरक्षा के बारे में बात की थी, यही मेरा मतलब है लगभग सभी कनेक्शन हमारे नेटवर्क के भीतर से शुरू किए गए हैं, और केवल उनके उत्तर हमें बाहर से आ सकते हैं।

3. अगर हमें प्रदाता से पते का एक पूरा ब्लॉक नहीं मिला है, लेकिन एक दुर्भाग्यपूर्ण पता, जिसे तुरंत राउटर के बाहरी इंटरफ़ेस को सौंपा गया है, तो आप बगीचे को एक पते में पूल के साथ ब्लॉक नहीं कर सकते, लेकिन इस तरह से लिखें:

(config)# ip nat inside source list 100 interface fa0/1 overload

स्रोत के अंदर स्थिर NAT और PAT

स्थैतिक प्रसारण के बारे में बहुत कुछ कहा गया है, आइए अंत में उनकी चर्चा करें।



इसकी आवश्यकता क्यों है?

हमने चर्चा की कि यदि, गतिशील NAT के मामले में, PAT के मामले में अनुवाद नहीं हुआ, तो बाहर से पहुँच संभव नहीं है। यदि गतिशील NAT के मामले में भी अनुवाद बनाया जाता है, तो अंदर का वैश्विक पता बदल सकता है। और किसी बाहरी पते पर हमारे आंतरिक मेजबान से संपर्क करना असंभव है।

फिर भी, ऐसी स्थितियां होती हैं जब कॉर्पोरेट नेटवर्क के अंदर एक सर्वर होता है, जिसमें एक बाहरी बाहरी पते के माध्यम से बाहर तक पहुंच महत्वपूर्ण है। इस स्थिति में, आप इसे वैश्विक पता बताकर सीधे इंटरनेट पर सेट कर सकते हैं। लेकिन अक्सर यह बहुत सुविधाजनक नहीं होता है, उदाहरण के लिए, सुरक्षा कारणों से। और ऐसे मामलों में, स्थिर NAT बचाव के लिए आता है।



यह एक दो-तरफ़ा और निरंतर प्रसारण बनाता है। इसलिए हमारा मेजबान हमेशा एक बाहरी पते पर उपलब्ध होगा और यह प्रसारण प्रसारण तालिका के समय से बाहर नहीं जाएगा।

वास्तविक सेटिंग।

तुरंत एक प्रसारण बनाएं:

(config)# ip nat inside source static 10.0.1.1 11.1.1.21





हम इंटरफेस और वॉइला को चिह्नित करते हैं!

R3#sh ip nat translations

Pro Inside global Inside local Outside local Outside global

icmp 11.1.1.21:14 10.0.1.1:14 11.1.1.2:14 11.1.1.2:14

--- 11.1.1.21 10.0.1.1 --- ---





जैसा कि आप देख सकते हैं, दो प्रविष्टियाँ दिखाई दीं - एक स्थायी, दूसरी (विशुद्ध रूप से सूचनात्मक) - अस्थायी, अंदर से बाहर ट्रैफ़िक के कारण।

रिमार्क । ऐसी सूचनात्मक प्रविष्टियों की उपस्थिति को कमांड द्वारा अक्षम किया जा सकता है

(config)# no ip nat create flow-entries







आगे बढ़ो। अक्सर ऐसा होता है कि आपको एक पूरे पते को उजागर करने की आवश्यकता नहीं होती है, लेकिन केवल एक पोर्ट (उदाहरण के लिए, एक www सर्वर के लिए 80 वां)। कोई समस्या नहीं है, आप कुछ बंदरगाहों के लिए एक स्थिर पैट अनुवाद बना सकते हैं:

(config)# ip nat inside source static tcp 10.0.1.1 80 11.1.1.21 80

(config)# ip nat inside source static udp 10.0.1.1 5060 11.1.1.21 7877





हम देखते हैं कि एक ही बाहरी पते के बंदरगाहों को अलग-अलग आंतरिक बंदरगाहों को अग्रेषित किया जा सकता है, और पोर्ट ट्रांसलेशन को प्रबंधित करना भी संभव है।



अंत में, मैं यह जोड़ना चाहूंगा कि आप NAT के लिए कमांड के साथ विभिन्न टाइमआउट बदल सकते हैं

Router(config)#ip nat translation ?

arp-ping-timeout Specify timeout for WLAN-NAT ARP-Ping

dns-timeout Specify timeout for NAT DNS flows

finrst-timeout Specify timeout for NAT TCP flows after a FIN or RST

icmp-timeout Specify timeout for NAT ICMP flows

max-entries Specify maximum number of NAT entries

port-timeout Specify timeout for NAT TCP/UDP port specific flows

pptp-timeout Specify timeout for NAT PPTP flows

routemap-entry-timeout Specify timeout for routemap created half entry

syn-timeout Specify timeout for NAT TCP flows after a SYN and no

further data

tcp-timeout Specify timeout for NAT TCP flows

timeout Specify timeout for dynamic NAT translations

udp-timeout Specify timeout for NAT UDP flows







स्वैच्छिक लेख निकला, इसे कई भागों में विभाजित करना होगा। बेशक, एनएटी के स्रोत के बारे में कई बार चर्चा और लिखी जा चुकी है, लेकिन मुझे उम्मीद है कि शुरुआती लोग भी लेख में कुछ उपयोगी नहीं पाएंगे। हमें कुछ आधार से शुरू करना था, एक प्रसिद्ध व्यक्ति के रूप में।



अगले लेख में, हम गंतव्य NAT के अंदर चर्चा करेंगे, जब तक कि निश्चित रूप से लेख प्रतिक्रिया और समर्थन नहीं पाता।



निष्ठा से,

पोडकोपायेव इल्या



PS मैं लेख को सुधारने और अशुद्धियों / त्रुटियों को सुधारने के लिए सुझाव के लिए खुला हूं।

PPS लिंक:

1. मंच साइट anticisco.ru

2. सिस्को NAT संचालन के आदेश