CÂU LỆNH CẤU HÌNH NAT TRÊN THIẾT BỊ ROUTER CISCO
4 - ĐỊNH NGHĨA VỀ NAT
CÁC THỨC VÀ CÁC CÂU LỆNH CẤU HÌNH NAT TRÊN THIẾT BỊ ROUTER CISCO
I. ĐỊNH NGHĨA VỀ NAT (Network Address Translation):
Để hiểu chính xác và Chi tiết về "NAT", cần làm rõ một số khái niệm trong NAT (Network Address Translation - Chuyển đổi địa chỉ mạng) của thiết bị Mạng Cisco:
NAT là gì
NAT là quá trình chuyển đổi địa chỉ IP từ một mạng sang một mạng khác, hay nói chi tiết hơn NAT là quá trình chuyển đổi địa chỉ IP nội bộ thành đia chỉ IP WAN để truy cập Internet (NAT thường được sử dụng để cho phép các thiết bị trong mạng cục bộ (LAN) có địa chỉ IP riêng (private IP) truy cập Internet thông qua địa chỉ IP công cộng (public IP)).
Các thuật ngữ liên quan đến NAT của Cisco:
Inside Local: Địa chỉ IP của thiết bị trong mạng LAN trước khi được NAT.
Inside Global: Địa chỉ IP công cộng sau khi thiết bị trong mạng LAN được NAT.
Outside Local: Địa chỉ IP của thiết bị bên ngoài mạng LAN khi nó xuất hiện trong mạng LAN.
Outside Global: Địa chỉ IP thực tế của thiết bị trên mạng bên ngoài (Internet).
"NAT (bên ngoài) của thiết bị Cisco" thường đề cập đến:
Giao diện "outside" trên Router Cisco:
Đây là giao diện kết nối với mạng bên ngoài (Internet).
Lệnh "ip nat outside" được sử dụng để cấu hình giao diện này.
Địa chỉ IP công cộng (Outside Global):
Đây là địa chỉ IP mà các thiết bị trên Internet sử dụng để liên lạc với mạng LAN.
NAT sẽ chuyển đổi địa chỉ IP riêng của thiết bị trong LAN thành địa chỉ IP công cộng này.
Tóm lại:
Khi nói về "NAT (bên ngoài) của thiết bị Mạng Cisco", chúng ta đang đề cập đến việc cấu hình Router Cisco để xử lý lưu lượng truy cập giữa mạng LAN và Internet, sử dụng địa chỉ IP công cộng.
Cụ thể là các địa chỉ IP public, trên đường đi của các gói tin từ bên trong mạng LAN, đi ra ngoài internet, hoặc các luồng gói tin từ internet vào trong mạng LAN.
II. NHỮNG PHƯƠNG PHÁP NAT TRONG THIẾT BỊ CISCO
Trước tiên muốn cấu hình NAT cho Router Cisco chúng ta cần gắn nhãn cho các interface:
FdcRcisco(config)# interface GigabitEthernet0/0
FdcRcisco(config)# ip nat inside
FdcRcisco(config)# interface GigabitEthernet0/1
FdcRcisco(config)# ip nat outside
Thiết bị Cisco hỗ trợ 3 loại NAT chính, với các kiểu câu lệnh tương ứng như sau:
1. Static NAT (NAT tĩnh)
Chuyển đổi một địa chỉ IP nội bộ cố định thành một địa chỉ IP công cộng cố định.
Câu lệnh:
FdcRcisco(config)# ip nat inside source static <địa-chỉ-IP-riêng> <địa-chỉ-IP-công-cộng>
VÍ DỤ: Kịch bản giả định
Server nội bộ: IP: 192.168.1.11
IP công cộng: IP: 203.0.113.100 (do ISP cấp)
LAN interface: GigabitEthernet0/0 – 192.168.1.1
WAN interface: GigabitEthernet0/1 – 203.113.100.21
Cấu hình NAT tĩnh: Cấu hình IP cho các interface
FdcRcisco(config)# interface GigabitEthernet0/0
FdcRcisco(config)# ip address 192.168.1.1 255.255.255.0
FdcRcisco(config)# ip nat inside
FdcRcisco(config)# no shutdown
FdcRcisco(config)# interface GigabitEthernet0/1
FdcRcisco(config)# ip address 203.113.100.21 255.255.255.0
FdcRcisco(config)# ip nat outside
FdcRcisco(config)# no shutdown
Cấu hình NAT tĩnh để ánh xạ IP công cộng đến IP server nội bộ
FdcRcisco(config)# ip nat inside source static 192.168.1.11 203.113.100.21
GIẢI THÍCH
Khi có người từ Internet truy cập 203.0.113.100, Router sẽ chuyển tiếp lưu lượng về 192.168.1.100.
Tất cả các port được ánh xạ toàn bộ (có thể giới hạn theo port nếu muốn).
Tùy chọn: NAT tĩnh theo cổng (Port Forwarding)
Nếu bạn chỉ muốn mở một port cụ thể (ví dụ: Web Server chạy trên HTTP – port 80), dùng:
FdcRcisco(config)# ip nat inside source static tcp 192.168.1.11 80 203.113.100.21 80
Nghĩa là: chuyển tiếp mọi gói TCP gửi đến 203.113.100.21:80 vào 192.168.1.11:80.
2. Dynamic NAT (NAT động)
Chuyển đổi một dải địa chỉ IP riêng thành một dải địa chỉ IP công cộng, một dải ip Công Công (Pool) được cấu hình sẵn. (Pool = Một dải IP Công cộng)
A. Định nghĩa Pool địa chỉ IP công cộng:
FdcRcisco(config)# ip nat pool POOLNAME <start-ip> <end-ip> netmask <subnet-mask>
B. Tạo access list để xác định dải IP nội bộ được NAT:
FdcRcisco(config)# access-list 1 permit 192.168.1.0 0.0.0.255
C. Áp dụng NAT:
FdcRcisco(config)# ip nat inside source list 1 pool POOLNAME
VÍ DỤ: Kịch bản giả định
Có một dải IP WAN: MYPOOL 203.113.100.19 203.113.100.21 netmask 255.255.255.0
Mang nội bộ: 192.168.10.0/24
Giao diện LAN trên Router: GigabitEthernet0/0
Giao diện WAN trên Router: GigabitEthernet0/1
Phương pháp NAT: (NAT động)
FdcRcisco(config)# interface GigabitEthernet0/0
FdcRcisco(config)# ip nat inside
FdcRcisco(config)# interface GigabitEthernet0/1
FdcRcisco(config)# ip nat outside
FdcRcisco(config)# ip nat pool MYPOOL 203.113.100.19 203.113.100.21 netmask 255.255.255.0
FdcRcisco(config)# access-list 1 permit 192.168.10.0 0.0.0.255
FdcRcisco(config)# ip nat inside source list 1 pool MYPOOL
3. PAT (Port Address Translation) – NAT overload
Nhiều địa chỉ IP nội bộ dùng chung một địa chỉ IP công cộng bằng cách phân biệt qua port.
Câu lệnh:
FdcRcisco(config)# ip nat inside source list <access-list> interface <interface> overload
VÍ DU: Kịch bản
Mạng nội bộ: 192.168.1.0/24
Router có 2 Interface:
GigabitEthernet0/0 kết nối vào mạng nội bộ (LAN) – IP: 192.168.1.1
GigabitEthernet0/1 kết nối ra Internet (WAN) – IP: 203.113.100.19 (địa chỉ công cộng)
Cấu hình mẫu: Gán IP cho các interface
FdcRcisco(config)# interface GigabitEthernet0/0
FdcRcisco(config)# ip address 192.168.1.1 255.255.255.0
FdcRcisco(config)# ip nat inside
FdcRcisco(config)# no shutdown
FdcRcisco(config)# interface GigabitEthernet0/1
FdcRcisco(config)# ip address 203.113.100.19 255.255.255.0
FdcRcisco(config)# ip nat outside
FdcRcisco(config)# no shutdown
Tạo access list để xác định dải mạng nội bộ
FdcRcisco(config)# access-list 1 permit 192.168.1.0 0.0.0.255
Áp dụng NAT Overload (PAT)
FdcRcisco(config)# ip nat inside source list 1 interface GigabitEthernet0/1 overload
Giải thích nhanh:
ip nat inside & ip nat outside: đánh dấu interface là trong hoặc ngoài mạng.
access-list 1: chọn dải IP nội bộ cần NAT.
overload: cho phép nhiều IP dùng chung một IP công cộng bằng cách tách biệt qua port.
4. Kiểm tra và Gỡ lỗi:
FdcRcisco# show ip nat translations: Hiển thị các bản dịch NAT hiện tại.
FdcRcisco# show ip nat statistics: Hiển thị thống kê NAT.
FdcRcisco# clear ip nat translation *: Xóa tất cả các bản dịch NAT.
FdcRcisco# debug ip nat: Bật gỡ lỗi NAT.
