Cisco NAT-Haarnadel

Ich habe einen Cisco-Router konfiguriert NAT (4 statische NAT und dynamische NAT). Mein Problem ist, dass ich mit öffentlichen IP-Adressen aus dem internen Netzwerk nicht auf interne Server zugreifen kann.

Ich weiß, wo das Problem liegt. Ich habe viel bei Google nach diesem Problem gesucht und festgestellt, dass die meisten Firewall / Router diese Situation automatisch behandeln.

Im Fall von Cisco ist NAT-Haarnadel die Lösung (ich weiß nicht, ob ich richtig bin). Wie kann ich das machen?.

Ich muss über die IP-Adresse 202.192.68.235von meinem PC auf den Server zugreifen , kann dies aber nicht.

NVI NATs wurden bereits von Aaron D. angesprochen.

Hier sind die relevanten Konfigurationsbits eines Arbeitsbeispiels. Es wurde auf einem CISCO881 mit IOS 15.4 (3) M6a durchgeführt

Outside network: 172.19.31.0 /24   on  FastEthernet4
Inside network:  172.19.140.0 /23  on VLAN141/SVI141
exposed host:    172.19.141.24
external port:   2222
internal port:   22

Schnittstellenkonfiguration:

interface FastEthernet4
 ip address 172.19.31.2 255.255.255.0
 ip nat enable

interface Vlan141
 ip address 172.19.140.1 255.255.254.0
 !
 ! hairpinning did not work until ip redirects were disabled
 !
 no ip redirects
 ip nat enable

NAT ACL:

ip access-list standard ACLv4_SUBNET141
 permit 172.19.140.0 0.0.1.255

NAT-Regeln:

ip nat source static tcp 172.19.141.24 22 interface FastEthernet4 2222
ip nat source list ACLv4_SUBNET141 interface FastEthernet4 overload

In einer Nussschale:

1. Stellen Sie die relevanten Schnittstellen auf "ip nat enable" anstelle von "ip nat in / external" ein und ändern Sie die NAT-Regeln geringfügig.
2. Stellen Sie sicher, dass eine ausgehende Richtlinie im NVI-NAT-Stil vorhanden ist. Andernfalls kann der haarspinnende Host keine Verbindung zu ausgehenden Daten oder Haarnadeln herstellen.
3. Deaktivieren Sie IP-Weiterleitungen auf der "Innen" -Schnittstelle, oder das Haarnadeln (zumindest nicht vom Host selbst) funktioniert nicht.

Achtung: NVI NAT kann die CPU von Low-End-Routern wie der 800er-Serie SEHR belasten. Wo mein alter 881 früher mit klassischem NAT 50-60 Mbit / s liefern konnte, sank der Durchsatz bei Umstellung auf NVI auf 20-30 Mbit / s und die CPU leuchtete unter Last rot.

Dies war auch der Fall, wenn die zu haarsträubende Übersetzung nicht tatsächlich verwendet wurde, sondern nur mit Datenverkehr, der der normalen ausgehenden NAT-Regel "Schnittstelle ... Überlastung" entspricht.

Auf einem ASA ist das ziemlich einfach. Ich denke, Sie können Nat / NVI auf einem Router so einrichten, dass Sie das erreichen, was Sie wollen.

Versuchen Sie Folgendes: Cisco Router Easy Hairpin NAT

Dies ist ein Fall der Portweiterleitung an dasselbe Netzwerk. Für solche DMZ-Setups wird Hairpinning bevorzugt oder es muss lokales DNS für solche internen Server aufgelöst werden. Abgesehen von ihnen gibt es eine gleichwertige Lösung dafür.

Die Lösung besteht darin, eine DNAT-Regel für Ihre LAN-Zone zu haben, damit das Paket mit der Ziel-IP 202.192.68.235 vom lokalen Client in 10.0.6.35 übersetzt und vom Router an dasselbe Netzwerk zurückgeleitet werden kann.

Das Problem ist jedoch erneut, dass der Server versucht, direkt auf den Client zu antworten , da er zum selben Netzwerk gehört. Damit der Server dem Client über den Router antwortet, müssen wir eine SNAT-Regel hinzufügen , die die Quelle zum Router macht.

Ihre SNAT-Regel sollte sehr spezifisch sein, sodass sie nur für Datenverkehr gilt, der aus dem lokalen Subnetz stammt und für 10.0.6.35 bestimmt ist. Dies wird Ihr Problem sicher lösen.

Zusammenfassend müssen Sie eine DNAT- und eine SNAT-Regel für die LAN-Schnittstelle hinzufügen.