👵🏼 🚵🏻 👩🏾‍💻 सिस्को पर एनएटी। भाग २ 🤘 ⏰ 🔘

शुभ दोपहर फिर से, साथियों!

मैं सिस्को, टीके पर एनएटी के बारे में लेखों की एक श्रृंखला जारी रखता हूं। पिछले लेख में सभी को कुछ सकारात्मक समीक्षाएं मिलीं।

इस लेख में, हम देखेंगे, जैसा कि वादा किया गया था, एनएटी गंतव्य के अंदर। कौन परवाह करता है - बिल्ली के नीचे वेलकम।

आगे पढ़ने से पहले - एक अस्वीकरण : सहकर्मियों, मैं समझता हूं कि हर कोई सामान्य रूप से सिस्को से संबंधित नहीं है, विशेष रूप से सीएलआई, और विशेष रूप से सिसकारी। लेकिन आइए अब भी होलीवार्स न करें और चर्चा को और रचनात्मक बनाएं, विशेष रूप से इस लेख और वर्णित तकनीक पर चर्चा करें। चूंकि ब्लॉग विषयगत है, तो लेख अपने विषय में है। और एक और अनुरोध, आइए हम राय की शुद्धता से असहमत न हों। :) सब कुछ, विषयांतर के लिए खेद है।

इस प्रकार,

गंतव्य के अंदर NAT

वास्तव में, NAT का एक बहुत ही विदेशी रूप विशेष रूप से टीसीपी प्रोटोकॉल पर चलने वाले सर्वरों के बीच लोड संतुलन के लिए बनाया गया है। वास्तविक जीवन में, यह सूर्य ग्रहण से अधिक सामान्य नहीं है :)

और गहराई तक चलते हैं ।

1. तो, यह प्रसारण केवल तभी काम करता है जब कनेक्शन इंटरफ़ेस के बाहर से (इंटरफ़ेस के लिए इस तरह के शब्द के लिए खेद है) और प्रतिक्रिया ट्रैफ़िक के लिए। लेकिन अगर अंदर से यातायात शुरू किया जाता है, तो प्रसारण नहीं होगा।

2. ऐसे NAT केवल TCP प्रोटोकॉल के लिए काम करता है।

हमें ऐसे आनन्द की आवश्यकता क्यों है ?

मान लें कि हमारे पास एक दर्जन वेब सर्वर हैं जिनमें 10.0.0.1 से लेकर 10.0.0.10 तक के पते हैं। एक ही साइट सभी सर्वरों पर कताई कर रही है (या बल्कि, यह सिर्फ एक फ्रंटएंड सर्वर हो सकता है) और उनके पास एक पोर्ट भी है, जो सादगी के लिए है - 80 (HTTP)।

11.1.1.1:80 को बाहर से ग्राहक हमारी '' स्मीयर '' साइट पर टैप कर रहे हैं।

और हम आरआर (गोल रॉबिन) के सिद्धांत के अनुसार उनके बीच लोड को संतुलित करना चाहते हैं, अर्थात्। ताकि प्रत्येक अगला ग्राहक बाहर से वैश्विक पते से हमारे राउटर तक पहुंच सके, अगले सर्वर को इस दर्जन (एक सर्कल में) से एक्सेस करेगा।

यह चालाक एनएटी यहां मदद करेगा।

यह कैसे काम करता है ?

1. लाइव प्रसारण । तार्किक और अभ्यस्त अपेक्षाओं के विपरीत, इस प्रकार के लाइव प्रसारण के लिए एनएटी के स्रोत के तर्क के आधार पर, वह है जो बाहर से अंदर तक पहुंचने पर बनाया जाता है। जब टीसीपी (और केवल यह, मैं दोहराता हूं) ट्रैफ़िक बाहरी इंटरफ़ेस पर दिखाई देता है, तो ट्रैफ़िक को पहली बार एनएटी के अंदर के गंतव्य के अनुपालन के लिए जांचा जाता है। यदि यह मेल खाता है, तो गंतव्य पता अगले पूल में बदल जाता है और प्रसारण प्रसारण की सूची में दर्ज किया जाता है। उसके बाद, पहले से परिवर्तित गंतव्य पते के साथ एक पैकेट रूट किया जाता है।

___

UPD : गैर- TCP ट्रैफ़िक को पूल में पहले पते पर भेजा जाएगा। टिप्पणी के लिए धन्यवाद। Ilya_Drey

2. उल्टा प्रसारण । फिर, चारों ओर बहुत कुछ। रिवर्स प्रसारण अंदर-बाहर हो रहा है। और यहां, रूटिंग पहले काम करता है, अगर यह अंदर से बाहर तक ट्रैफ़िक फेंकता है और अनुवाद तालिका में एक समान प्रविष्टि है - पैकेट रिले है।

टिप्पणी ।

1. स्थैतिक के अंदर स्रोत NAT और स्थिर स्रोत PAT के विपरीत, राउटर एक वैश्विक पते के लिए ARP अनुरोधों का जवाब नहीं देता है, जब तक कि निश्चित रूप से यह पता उसके इंटरफ़ेस को नहीं सौंपा गया है। इसलिए, आपको इसे माध्यमिक के रूप में इंटरफ़ेस में जोड़ना पड़ सकता है।

2. जैसा कि एनएएस के अंदर के स्रोत के मामले में, राउटर का ट्रैफ़िक भी प्रसारित होता है, भले ही अंदर का इंटरफ़ेस न हो।

3. पी। 2 की कोरोलरी: यदि कोई अंदरूनी इंटरफेस नहीं हैं, तो केवल राउटर का ट्रैफिक ही प्रसारित होता है।

आइए अब देखें कि यह कैसे कॉन्फ़िगर किया गया है ।

1. तो, पहले हम एक पूल बनाते हैं। पूल में पते हमारे सर्वर के पते हैं।

(config)# ip nat pool NAME_OF_POOL 10.0.0.1 10.0.0.10 netmask 255.255.255.0 type rotary

मैंने विशेष रूप से रोटरी शब्द पर प्रकाश डाला - इस प्रकार के NAT के लिए, पूल को घूर्णी होना चाहिए (यानी हम केवल संकेत देते हैं कि पते एक के बाद एक लिए जाएंगे

एक सर्कल में, अन्यथा पूल के अंत तक पहुंचने पर अगला पैकेट गिरा दिया जाएगा)।

2. एक एक्सेस-लिस्ट बनाएं जो प्रसारित होने के लिए ट्रैफ़िक आवंटित करेगा। विशेष रूप से इसे विस्तारित किया गया:

(config)# access-list 100 permit tcp any host 11.1.1.1 eq www

यानी हम अपने वैश्विक पते और यहां तक कि एक विशिष्ट बंदरगाह (टीसीपी!) के लिए निर्देशित यातायात प्रसारित करेंगे।

3. हम प्रसारण बनाते हैं, बहुत कम चीजें बची हैं:

(config)# ip nat inside destination list 100 pool NAME_OF_POOL

4. और इंटरफेस को चिह्नित करें (जहां सर्वर अंदर है, जहां बाहरी दुनिया बाहर है)

(config)# int fa0/0 
      

        
        
        
      

     (config-if)# ip nat inside 
      

        
        
        
      

     (config-if)# int fa0/1 
      

        
        
        
      

     (config-if)# ip nat outside

और अब, हम अपने सर्वर पर कॉल की तस्वीर देख सकते हैं:

R3#sh ip nat translations 
      

        
        
        
      

     Pro Inside global Inside local Outside local Outside global 
      

        
        
        
      

     tcp 11.1.1.1:80 10.0.0.1:80 11.1.1.251:18747 11.1.1.251:18747 
      

        
        
        
      

     tcp 11.1.1.1:80 10.0.0.2:80 11.1.1.250:52943 11.1.1.250:52943

हम देखते हैं कि वैश्विक पते का एक ही बंदरगाह (अर्थात् 11.1.1.180) अलग-अलग पते पर अनुवादित किया गया था।

___

UPD : स्वाभाविक रूप से, ट्रैफ़िक संतुलित-प्रति-सत्र है, जो सही तरीके से काम करने के लिए TCP के लिए आवश्यक है। टिप्पणी के लिए धन्यवाद। Ilya_Drey

टिप्पणी ।

1. आप वैश्विक पते के कुछ पोर्ट को अन्य सर्वर पोर्ट (उदाहरण के लिए, 80 वें से 8080 वें) तक रीडायरेक्ट नहीं कर सकते, पोर्ट मेल खाते हैं। अगर आपको वास्तव में जरूरत है, तो आप एक लूपबैक को हुक कर सकते हैं, इसे एक ट्रांसपोर्ट पोर्ट के साथ सामान्य स्थैतिक PAT के अंदर पहले से ही ट्रांसलेट कर सकते हैं, वहां से पहले ही सर्वर के अंदर नैट का उपयोग करके। और यह पूरी तरह से असंभव है (यह भावना कि आप नेट सक्षम का उपयोग भी कर सकते हैं - आप कर सकते हैं) यदि सर्वर पर एक ही प्रोटोकॉल विभिन्न बंदरगाहों (कहीं 80 में और कहीं 8080 में, उदाहरण के लिए) का जवाब देता है। लेकिन अगर किसी को एक शॉट की जरूरत है, लिखो, मैं यह पता लगाने की कोशिश करूंगा।

2. अगर दो अनुवाद कॉन्फ़िगर किए गए हैं - एक अंदर का गंतव्य, ऊपर जैसा, और दूसरा - एक ही सर्वर के लिए स्रोत डायनेमिक पैट के अंदर, यानी ट्रैफ़िक के लिए जो उनके बाहर जाता है, लेकिन रिवर्स प्रसारण में नहीं आता है (उदाहरण के लिए, रिपॉजिटरी के लिए सर्वर एक्सेस के लिए):

ip nat inside source list 110 interface FastEthernet0/1 overload 
      

        
        
        
      

     access-list 110 permit ip 10.0.0.0 0.0.0.255 any

हम देखते हैं कि वे ओवरलैप करते हैं, अर्थात्। 80 वें पोर्ट से सर्वरों की प्रतिक्रिया को गंतव्य के अंदर एक रिवर्स प्रसारण और एक सीधे स्रोत के अंदर से गुजरना चाहिए (वैसे, दोनों रूटिंग के बाद ही काम करेंगे)। इस मामले में, रिवर्स प्रसारण जीतता है और सब कुछ उम्मीद के मुताबिक काम करेगा।

3. आप NAT गंतव्य के अंदर स्थैतिक नहीं बना सकते। ऐसा करने के लिए, NAT स्रोत के अंदर स्थैतिक का उपयोग करें।

निष्कर्ष में । संक्षेप में, मैं एक बार फिर निम्नलिखित पर ध्यान देना चाहता हूं:

1. इनसाइड डेस्टिनेशन NAT - एड्रेस ट्रांसलेशन टेक्नोलॉजी फॉर बैलेंसिंग।

2. हालांकि इंटरफेस को उसी तरह से लेबल किया जाता है जैसे कि NAT स्रोत के अंदर, आगे और रिवर्स प्रसारण की दिशा विपरीत होती है।

3. NAT प्राथमिकताएँ (अंदर-से-बाहर और बाहर से अंदर) स्रोत NAT के समान हैं।

4. यदि ट्रैफ़िक को अंदर-बाहर करने की दिशा में शुरू किया जाता है, तो इसे प्रसारित नहीं किया जाता है (जब तक कि आप पहले से ही नेट के अंदर मुड़ नहीं गए हों)।

मैंने लेख को अधिभार नहीं देने का फैसला किया, इसलिए हम अगले लेख में बाहर के स्रोत NAT को देखेंगे।

परंपरा से - मैं इच्छाओं और सुझावों के लिए खुला हूं। अब तक मैंने नीति-NAT को सूची में देखा है।

सिस्को पर एनएटी। भाग २

गंतव्य के अंदर NAT

More articles: