История страницы

...

Функция Destination NAT (DNAT) состоит в преобразовании выполняет преобразование IP-адреса назначения у в заголовках пакетов, проходящих через сетевой шлюз. DNAT используется применяется для перенаправления трафика, идущего адресованного на некоторый «виртуальный» IP-адрес в публичной публичном сегменте сети, на «реальный» сервер IP-адрес сервера, расположенного в локальной сети , находящийся за сетевым шлюзом.

Пример настройки

Задача:

организовать публичный доступа к серверу, находящемуся в частной сети и не имеющему публичного сетевого адреса;
сервер доступен по адресу: 192.0.2.1012/24;

Рисунок 6 — Схема реализации Destination NAT

...

Блок кода

cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2
  
security zone SYNC
exit
security zone DMZLAN
exit
security zone WAN
exit
  
bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit
  
interface gigabitethernet 1/0/12
  security-zone WANLAN
  ip address 203192.0.1132.254/24
  vrrp id 3
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/12
  security-zone WANLAN
  ip address 203192.0.1132.253/24
  vrrp id 3
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit
  
security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair WAN self
  rule 1
    action permit
    enable
  exit
exit

Решение:

Сконфигурируем необходимые сетевые интерфейсы для подключения к DMZ-серверу с указанием их принадлежности к зоне безопасностиСконфигурируем интерфейс в сторону DMZ-сервера в зоне безопасности DMZ:

Блок кода

title	ESR-1

ESR-1(config)# interface gigabitethernet 1/0/21
ESR-1(config-subifif-gi)# security-zone DMZ 
ESR-1(config-if-subifgi)# ip address 192.0.23.2541/24
ESR-1(config-subifif-gi)# vrrp id 102
ESR-1(config-if-subifgi)# vrrp ip 192203.0.2113.1252/24
ESR-1(config-subifif-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp authentication key ascii-text encrypted 88B11079B51D
ESR-1(config-subifif-gi)# vrrp authentication algorithm md5
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-subifgi)# exit
ESR-1(config)# interface gigabitethernet 2/0/21
ESR-1(config-subifif-gi)# security-zone DMZ 
ESR-1(config-if-subifgi)# ip address 192.0.3.2.253/24
ESR-1(config-subifif-gi)# vrrp id 102
ESR-1(config-if-subifgi)# vrrp ip 192203.0.2113.1252/24
ESR-1(config-subifif-gi)# vrrp group 1
ESR-1(config-subif-if-gi)# vrrp authentication key ascii-text encrypted 88B11079B51D
ESR-1(config-if-gi)# vrrp authentication algorithm md5
ESR-1(config-subifif-gi)# vrrp
ESR-1(config-if-gi)# exit

Создадим профиль адресов публичной сети:

Блок кода

title	ESR-1

ESR-1(config)# object-group network EXTERNAL_VIPS
ESR-1(config-object-group-network)# ip address-range 192203.180.4113.2252
ESR-1(config-object-group-network)# ip address-range 192.18.5.2
ESR-1(config-object-group-network)# exit

Создадим профиль портовпрофиль адресов DMZ-сервера:

Блок кода

title	ESR-1

ESR-1(config)# object-group servicenetwork SERVER_DMZINTERNAL
ESR-1(config-object-group-servicenetwork)# ip portaddress-range 80192.0.2.12
ESR-1(config-object-group-servicenetwork)# exit

Войдем в режим конфигурирования DNAT и создадим пул адресов, в которые будут транслироваться адреса пакетов, поступающие на адреса 192.18.4.2 и 192.18.5.2 из внешней сетиДобавим правило, которое проверяет применение правил исключительно к пакетам, поступающим из зоны WAN. Набор правил включает требования соответствия по адресу назначения (match destination-address) и протоколу. Дополнительно в наборе определено действие (action destination-nat), которое применяется к данным, удовлетворяющим указанным критериям:

Блок кода

title	ESR-1

ESR-1(config)# nat destination  security zone-pair WAN DMZ
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-dnat-security-zone-pair-rule)# poolaction SERVER_DMZpermit
ESR-1(config-security-zone-dnatpair-poolrule)# ipmatch address 192.0.2.10protocol icmp
ESR-1(config-dnat-pool)# exit

Создадим набор правил «DNAT», в соответствии с которыми будет производиться трансляция адресов. В атрибутах набора укажем, что правила применяются только для пакетов, пришедших из зоны WAN. Набор правил включает в себя требования соответствия данных по адресу и порту назначения (match destination-address, match destination-port) и по протоколу. Кроме этого, в наборе задано действие, применяемое к данным, удовлетворяющим всем правилам (action destination-nat):

Блок кода

title	ESR-1

ESR-1(config-dnat)# ruleset DNAT_SERVER_DMZsecurity-zone-pair-rule)# match destination-address object-group INTERNAL
ESR-1(config-security-zone-pair-rule)# match destination-nat
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-dnat-rulesetsecurity-zone-pair-rule)# from zone WAN exit
ESR-1(config-dnatsecurity-zone-rulesetpair)# rule 1
ESR-1(config-dnat-rule)# match exit

Создадим пул исходных NAT-адресов, в который будут транслироваться адреса пакетов, поступающих на виртуальный IP-адрес (VIP), назначенный WAN-интерфейсу:

Блок кода

title	ESR-1

protocol tcp
ESR-1(config-dnat-rule)# matchnat destination-address object-group EXTERNAL_VIPS 
ESR-1(config-dnat-rule)# match destination-port object-group SERVER_DMZ pool DMZ
ESR-1(config-dnat-rulepool)# actionip destination-nat pool SERVER_DMZ address 192.0.2.12
ESR-1(config-dnat-rulepool)# enable 
exit

Просмотр таблицы NAT трансляций осуществляется посредством следующей команды:

(config-dnat-rule)# exit ESR-1(config-dnat-ruleset)# rule 2 ESR-1(config-dnat-rule)# match protocol udp ESR-1(config-dnat-rule)# match destination-address object-group EXTERNAL_VIPS ESR-1(config-dnat-rule)# match destination-port object-group SERVER_DMZ ESR-1(config-dnat-rule)# action destination-nat pool SERVER_DMZ ESR-1(config-dnat-rule)# enable ESR-1(config-dnat-rule)# exit ESR-1(config-dnat-ruleset)# exit ESR-1(config-dnat)# exit

Блок кода

title	ESR-1

Для пропуска трафика, идущего из зоны WAN в DMZ, создадим еще одно правило. Пропускать следует только трафик, прошедший преобразование DNAT:

ESR-1# show ip nat translations 
Prot   Inside source           Inside destination      Outside source          Outside destination     Pkts         Bytes        
----   ---------------------   ---------------------   ---------------------   ---------------------   ----------   ----------   
icmp   203.0.113.1             192.0.2.12              203.0.113.1             203.0.113.252           --           --

Блок кода

title	ESR-1

ESR-1(config)# security zone-pair WAN DMZ 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# match destination-nat 
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit 
ESR-1(config-security-zone-pair)# exit

Настройка BGP

Протокол BGP предназначен для обмена информацией о достижимости подсетей между автономными системами (далее АС), то есть группами маршрутизаторов под единым техническим управлением, использующими протокол внутридоменной маршрутизации для определения маршрутов внутри себя и протокол междоменной маршрутизации для определения маршрутов доставки пакетов в другие АС. Передаваемая информация включает в себя список АС, к которым имеется доступ через данную систему. Выбор наилучших маршрутов осуществляется исходя из правил, принятых в сети.

...

Блок кода

title	ESR-1

cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit

hostname ESR-1 unit 1
hostname ESR-2 unit 2

security zone SYNC
exit
security zone LAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
  enable
exit

interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    match protocol vrrp
    enable
  exit
  rule 2
    action permit
    match protocol ah
    enable
  exit
exit

Решение:

Сконфигурируем необходимые сетевые интерфейсы:

...

Блок кода

title	ESR-1

cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit

hostname ESR-1 unit 1
hostname ESR-2 unit 2

security zone SYNC
exit
security zone LAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
  enable
exit

interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    match protocol vrrp
    enable
  exit
  rule 2
    action permit
    match protocol ah
    enable
  exit
exit

Решение:

Сконфигурируем необходимые сетевые интерфейсы:

...

Дерево страниц

Сравнение версий

Старая версия 56

Новая версия 57

Ключ

Пример настройки

Задача:

Решение:

Решение:

Решение: