Tweet
1. Mục tiêu bài thực hành
Sau khi hoàn thành bài lab này cần nắm được:
Hiểu được vai trò của NAT trong hệ thống mạng doanh nghiệp.
Phân biệt được địa chỉ Inside Local, Inside Global, Outside Local và Outside Global.
Cấu hình được NAT trên Router Cisco.
Kiểm tra và xác nhận quá trình dịch địa chỉ diễn ra thành công.
Xử lý được các lỗi NAT thường gặp trong thực tế.
2. Phân tích mô hình
Trong mô hình này sẽ có hai vùng mạng chính:
Mạng nội bộ (Inside Network)
Đây là mạng LAN của doanh nghiệp sử dụng địa chỉ Private IP.
Ví dụ:
192.168.1.0/24
10.10.10.0/24
172.16.1.0/24
Các máy tính trong mạng này không thể truy cập Internet trực tiếp vì địa chỉ Private không được định tuyến trên Internet.
Mạng ngoài (Outside Network)
Đây là mạng ISP hoặc Internet sử dụng địa chỉ Public IP.
Ví dụ:
200.1.1.0/24
203.0.113.0/24
Router biên sẽ thực hiện việc chuyển đổi địa chỉ Private sang Public trước khi gói tin được gửi ra ngoài.
3. Tư duy trước khi cấu hình NAT
Trước khi nhập bất kỳ lệnh nào, cần xác định chính xác:
Bước 1: Interface nào là Inside
Thông thường đây là cổng kết nối về mạng LAN.
Ví dụ:
GigabitEthernet0/0
Bước 2: Interface nào là Outside
Thông thường đây là cổng kết nối lên ISP hoặc Internet.
Ví dụ:
GigabitEthernet0/1
Bước 3: Mạng nào cần được NAT
Ví dụ:
192.168.1.0/24
Bước 4: Sử dụng địa chỉ Public nào để dịch
Có thể là:
Một địa chỉ Public duy nhất.
Một dải địa chỉ Public.
Chính địa chỉ IP của interface WAN.
4. Cấu hình NAT
Bước 1: Khai báo cổng Inside
interface GigabitEthernet0/0
ip nat inside
Lệnh này thông báo cho Router biết đây là phía mạng nội bộ.
Bước 2: Khai báo cổng Outside
interface GigabitEthernet0/1
ip nat outside
Lệnh này thông báo cho Router biết đây là phía kết nối ra Internet.
Bước 3: Tạo Access-list xác định mạng cần NAT
access-list 1 permit 192.168.1.0 0.0.0.255
ACL này không dùng để lọc lưu lượng.
Mục đích duy nhất của nó là xác định những địa chỉ nào được phép thực hiện NAT.
Đây là lỗi mà rất nhiều học viên thường nhầm lẫn.
Bước 4: Cấu hình NAT Overload
ip nat inside source list 1 interface GigabitEthernet0/1 overload
Ý nghĩa:
Các địa chỉ nằm trong ACL số 1 sẽ được NAT.
Sử dụng địa chỉ IP của cổng GigabitEthernet0/1 làm địa chỉ Public.
Cho phép nhiều máy tính cùng sử dụng một địa chỉ Public thông qua việc phân biệt bằng Port Number.
Đây chính là kỹ thuật PAT mà hầu hết doanh nghiệp hiện nay đang sử dụng.
5. Kiểm tra kết nối
Sau khi cấu hình hoàn tất, thực hiện kiểm tra từ máy tính trong mạng LAN.
Ví dụ:
ping 8.8.8.8
Nếu nhận được Reply thì NAT đã hoạt động.
6. Kiểm tra bảng NAT trên Router
Xem bảng chuyển đổi NAT
show ip nat translations
Ví dụ kết quả:
Pro Inside global Inside local Outside local Outside global
icmp 200.1.1.2 192.168.1.10 8.8.8.8 8.8.8.8
Giải thích:
Inside Local - IP thật của máy trong LAN
Inside Global - IP Public sau khi NAT
Outside Local - Địa chỉ đích nhìn từ phía nội bộ
Outside Global - Địa chỉ Public thực tế của đích
Xem thống kê NAT
show ip nat statistics
Kỹ sư vận hành thường sử dụng lệnh này để kiểm tra:
Có bao nhiêu bản ghi NAT đang tồn tại.
Số lượng gói tin được dịch.
Interface nào đang đóng vai trò Inside và Outside.
7. Xóa bảng NAT
Trong quá trình thực hành thường phải xóa cache NAT để kiểm tra lại.
clear ip nat translation *
Sau đó thực hiện ping lại để quan sát quá trình tạo mới bản ghi NAT.
Đây là thao tác gần như bắt buộc khi troubleshooting NAT.
8. Các lỗi thường gặp
Quên cấu hình ip nat inside
Ping ra ngoài thất bại.
Không xuất hiện bản ghi NAT.
Kiểm tra:
show run interface g0/0
Quên cấu hình ip nat outside
Không sinh Translation Table.
ACL khai báo sai subnet
Ví dụ:
access-list 1 permit 192.168.10.0 0.0.0.255
Trong khi mạng thực tế là:
192.168.1.0/24
Đây là lỗi phổ biến nhất trong các bài thi thực hành.
Thiếu Default Route
Router không biết gửi lưu lượng ra ISP bằng đường nào.
Kiểm tra:
show ip route
Nếu chưa có cần cấu hình:
ip route 0.0.0.0 0.0.0.0 200.1.1.1
9. Quy trình Troubleshooting NAT thực tế
Khi NAT không hoạt động, mình thường kiểm tra theo đúng thứ tự sau:
Bước 1
Kiểm tra kết nối Layer 3:
ping gateway
ping ISP
Bước 2
Kiểm tra định tuyến:
show ip route
Bước 3
Kiểm tra Inside và Outside:
show run | include ip nat
Bước 4
Kiểm tra ACL:
show access-list
Bước 5
Kiểm tra Translation Table:
show ip nat translations
Nếu bảng NAT không sinh bản ghi thì gần như chắc chắn lỗi nằm ở ACL hoặc cấu hình Inside/Outside.
10. Kết luận
Sau bài lab này, người thực hành cần nhớ một tư duy rất quan trọng:
NAT không phải là cấu hình vài dòng lệnh rồi kết thúc.
NAT thực chất chỉ trả lời cho ba câu hỏi:
Gói tin đi từ đâu?
Gói tin đi ra đâu?
Địa chỉ nào sẽ được thay đổi?
Nếu trả lời được ba câu hỏi này thì dù là Static NAT, Dynamic NAT hay PAT, việc cấu hình chỉ còn là chuyển tư duy đó thành câu lệnh trên Router Cisco.
Sau khi hoàn thành bài lab này cần nắm được:
Hiểu được vai trò của NAT trong hệ thống mạng doanh nghiệp.
Phân biệt được địa chỉ Inside Local, Inside Global, Outside Local và Outside Global.
Cấu hình được NAT trên Router Cisco.
Kiểm tra và xác nhận quá trình dịch địa chỉ diễn ra thành công.
Xử lý được các lỗi NAT thường gặp trong thực tế.
2. Phân tích mô hình
Trong mô hình này sẽ có hai vùng mạng chính:
Mạng nội bộ (Inside Network)
Đây là mạng LAN của doanh nghiệp sử dụng địa chỉ Private IP.
Ví dụ:
192.168.1.0/24
10.10.10.0/24
172.16.1.0/24
Các máy tính trong mạng này không thể truy cập Internet trực tiếp vì địa chỉ Private không được định tuyến trên Internet.
Mạng ngoài (Outside Network)
Đây là mạng ISP hoặc Internet sử dụng địa chỉ Public IP.
Ví dụ:
200.1.1.0/24
203.0.113.0/24
Router biên sẽ thực hiện việc chuyển đổi địa chỉ Private sang Public trước khi gói tin được gửi ra ngoài.
3. Tư duy trước khi cấu hình NAT
Trước khi nhập bất kỳ lệnh nào, cần xác định chính xác:
Bước 1: Interface nào là Inside
Thông thường đây là cổng kết nối về mạng LAN.
Ví dụ:
GigabitEthernet0/0
Bước 2: Interface nào là Outside
Thông thường đây là cổng kết nối lên ISP hoặc Internet.
Ví dụ:
GigabitEthernet0/1
Bước 3: Mạng nào cần được NAT
Ví dụ:
192.168.1.0/24
Bước 4: Sử dụng địa chỉ Public nào để dịch
Có thể là:
Một địa chỉ Public duy nhất.
Một dải địa chỉ Public.
Chính địa chỉ IP của interface WAN.
4. Cấu hình NAT
Bước 1: Khai báo cổng Inside
interface GigabitEthernet0/0
ip nat inside
Lệnh này thông báo cho Router biết đây là phía mạng nội bộ.
Bước 2: Khai báo cổng Outside
interface GigabitEthernet0/1
ip nat outside
Lệnh này thông báo cho Router biết đây là phía kết nối ra Internet.
Bước 3: Tạo Access-list xác định mạng cần NAT
access-list 1 permit 192.168.1.0 0.0.0.255
ACL này không dùng để lọc lưu lượng.
Mục đích duy nhất của nó là xác định những địa chỉ nào được phép thực hiện NAT.
Đây là lỗi mà rất nhiều học viên thường nhầm lẫn.
Bước 4: Cấu hình NAT Overload
ip nat inside source list 1 interface GigabitEthernet0/1 overload
Ý nghĩa:
Các địa chỉ nằm trong ACL số 1 sẽ được NAT.
Sử dụng địa chỉ IP của cổng GigabitEthernet0/1 làm địa chỉ Public.
Cho phép nhiều máy tính cùng sử dụng một địa chỉ Public thông qua việc phân biệt bằng Port Number.
Đây chính là kỹ thuật PAT mà hầu hết doanh nghiệp hiện nay đang sử dụng.
5. Kiểm tra kết nối
Sau khi cấu hình hoàn tất, thực hiện kiểm tra từ máy tính trong mạng LAN.
Ví dụ:
ping 8.8.8.8
Nếu nhận được Reply thì NAT đã hoạt động.
6. Kiểm tra bảng NAT trên Router
Xem bảng chuyển đổi NAT
show ip nat translations
Ví dụ kết quả:
Pro Inside global Inside local Outside local Outside global
icmp 200.1.1.2 192.168.1.10 8.8.8.8 8.8.8.8
Giải thích:
Inside Local - IP thật của máy trong LAN
Inside Global - IP Public sau khi NAT
Outside Local - Địa chỉ đích nhìn từ phía nội bộ
Outside Global - Địa chỉ Public thực tế của đích
Xem thống kê NAT
show ip nat statistics
Kỹ sư vận hành thường sử dụng lệnh này để kiểm tra:
Có bao nhiêu bản ghi NAT đang tồn tại.
Số lượng gói tin được dịch.
Interface nào đang đóng vai trò Inside và Outside.
7. Xóa bảng NAT
Trong quá trình thực hành thường phải xóa cache NAT để kiểm tra lại.
clear ip nat translation *
Sau đó thực hiện ping lại để quan sát quá trình tạo mới bản ghi NAT.
Đây là thao tác gần như bắt buộc khi troubleshooting NAT.
8. Các lỗi thường gặp
Quên cấu hình ip nat inside
Ping ra ngoài thất bại.
Không xuất hiện bản ghi NAT.
Kiểm tra:
show run interface g0/0
Quên cấu hình ip nat outside
Không sinh Translation Table.
ACL khai báo sai subnet
Ví dụ:
access-list 1 permit 192.168.10.0 0.0.0.255
Trong khi mạng thực tế là:
192.168.1.0/24
Đây là lỗi phổ biến nhất trong các bài thi thực hành.
Thiếu Default Route
Router không biết gửi lưu lượng ra ISP bằng đường nào.
Kiểm tra:
show ip route
Nếu chưa có cần cấu hình:
ip route 0.0.0.0 0.0.0.0 200.1.1.1
9. Quy trình Troubleshooting NAT thực tế
Khi NAT không hoạt động, mình thường kiểm tra theo đúng thứ tự sau:
Bước 1
Kiểm tra kết nối Layer 3:
ping gateway
ping ISP
Bước 2
Kiểm tra định tuyến:
show ip route
Bước 3
Kiểm tra Inside và Outside:
show run | include ip nat
Bước 4
Kiểm tra ACL:
show access-list
Bước 5
Kiểm tra Translation Table:
show ip nat translations
Nếu bảng NAT không sinh bản ghi thì gần như chắc chắn lỗi nằm ở ACL hoặc cấu hình Inside/Outside.
10. Kết luận
Sau bài lab này, người thực hành cần nhớ một tư duy rất quan trọng:
NAT không phải là cấu hình vài dòng lệnh rồi kết thúc.
NAT thực chất chỉ trả lời cho ba câu hỏi:
Gói tin đi từ đâu?
Gói tin đi ra đâu?
Địa chỉ nào sẽ được thay đổi?
Nếu trả lời được ba câu hỏi này thì dù là Static NAT, Dynamic NAT hay PAT, việc cấu hình chỉ còn là chuyển tư duy đó thành câu lệnh trên Router Cisco.
Attached Files