Lab Static NAT

[dangquangminh]

Đây là sơ đồ topology minh họa cho bài lab Static NAT:

• SRV1 (10.10.2.20) nằm trong mạng LAN private.
• R1 có 2 interface: Inside (10.10.2.1) và Outside (198.51.100.2). Đây là nơi ta cấu hình Static NAT.
• R2 đóng vai trò ISP gateway.
• Internet kết nối ra ngoài và có SRV2 (public host) để test truy cập vào SRV1 qua NAT.

👉 Với sơ đồ này, học viên dễ hình dung luồng dữ liệu:

• SRV1 dùng NAT để ra Internet.
• SRV2 từ Internet có thể truy cập vào SRV1 thông qua địa chỉ 198.51.100.2.

🛠 Lab: Cấu hình Static NAT trên Cisco Router


Trong mô hình mạng này, router R1 đóng vai trò biên (border router) kết nối mạng nội bộ (LAN private IPv4) ra Internet (public IPv4). Chúng ta sẽ cấu hình Static NAT để máy chủ nội bộ SRV1 (10.10.2.20) có thể dùng địa chỉ công cộng 198.51.100.2, cho phép vừa truy cập Internet vừa được bên ngoài truy cập vào.

---

🔹 Bước 1: Cấu hình địa chỉ IP công cộng cho R1


Trên R1, gán địa chỉ IP do ISP cấp cho interface Ethernet0/3:
R1(config)# interface Ethernet0/3 R1(config-if)# ip address 198.51.100.2 255.255.255.0 R1(config-if)# no shutdown
👉 Lệnh no shutdown rất quan trọng để bật interface.

---

🔹 Bước 2: Kiểm tra cấu hình


Dùng lệnh show ip interface brief để xác nhận địa chỉ:
R1# show ip interface brief
Kết quả mong đợi: Ethernet0/3 đã có IP 198.51.100.2 và trạng thái up/up.

---

🔹 Bước 3: Cấu hình Default Route


Để R1 có thể gửi gói tin ra Internet, cấu hình default route với next-hop là R2:
R1(config)# ip route 0.0.0.0 0.0.0.0 <IPv4_R2>
👉 Thay <IPv4_R2> bằng địa chỉ thật của interface R2 kết nối đến R1.

---

🔹 Bước 4: Kiểm tra bảng định tuyến

R1# show ip route
Bạn sẽ thấy dòng S* 0.0.0.0/0 [1/0] via <IPv4_R2> xuất hiện.

---

🔹 Bước 5: Kiểm tra kết nối trong LAN


Từ SRV1 (10.10.2.20) ping SRV2. Ping sẽ thất bại, vì SRV1 chưa có NAT để đi ra ngoài.

---

🔹 Bước 6: Chuẩn bị NAT trên R1


Khai báo đâu là inside và đâu là outside interface cho NAT:
R1(config)# interface Ethernet0/1 R1(config-if)# ip nat inside R1(config)# interface Ethernet0/3 R1(config-if)# ip nat outside

⚠ Lưu ý: Khi gõ lệnh ip nat inside/outside, router có thể mất vài giây để khởi tạo NVI (NAT Virtual Interface).

---

🔹 Bước 7: Tạo Static NAT mapping


Map địa chỉ private của SRV1 (10.10.2.20) với địa chỉ public (198.51.100.2):
R1(config)# ip nat inside source static 10.10.2.20 198.51.100.2

---

🔹 Bước 8: Xem bảng NAT translation

R1# show ip nat translations
Ban đầu bảng NAT trống, nhưng sẽ có entry khi lưu lượng được phát sinh.

---

🔹 Bước 9: Kiểm tra kết nối từ SRV1


Từ SRV1, ping ra ngoài (ví dụ đến SRV2 hoặc một host Internet).
Nếu NAT đúng, ping sẽ thành công.

---

🔹 Bước 10: Kiểm tra bảng NAT sau khi có lưu lượng

R1# show ip nat translations
Bạn sẽ thấy mapping Inside local 10.10.2.20 ↔ Inside global 198.51.100.2.

---

🔹 Bước 11: Kiểm tra từ bên ngoài (SRV2 → SRV1)


Từ SRV2, telnet vào SRV1 bằng địa chỉ global:
telnet 198.51.100.2
Username: admin
Password: Cisco123

Nếu thành công → NAT hoạt động cả inbound và outbound.

---

🔹 Bước 12: Kiểm tra bảng NAT khi có Telnet


Trên R1:
R1# show ip nat translations
Sẽ có session TCP (Telnet) hiển thị trong bảng NAT.

---

🔹 Bước 13: Kết thúc Telnet


Từ SRV2 gõ exit để đóng phiên telnet.
Trên R1, bảng NAT sẽ xoá entry sau khi session kết thúc.

---

📌 Giải thích thêm

• Static NAT luôn ánh xạ cố định 1:1 giữa địa chỉ private và public.
• Nó thường dùng cho server trong LAN cần công khai dịch vụ ra Internet (web, mail, VPN, Telnet...).
• Khác với Dynamic NAT hay PAT, Static NAT không thay đổi mapping, nên bên ngoài có thể truy cập vào bên trong một cách ổn định và dự đoán được.

👉 Ví dụ thực tế: Doanh nghiệp có Web Server nội bộ (10.1.1.10) và muốn khách hàng Internet truy cập qua địa chỉ public (203.0.113.5). Static NAT là giải pháp chuẩn.