Exercice NAT dynamique
Configuration NAT dynamique Cisco IOS
Il est temps de configurer un NAT dynamique où nous utilisons un pool d'adresses IP
pour la traduction. Je vais utiliser une topologie assez simple avec deux hôtes et un
routeur qui effectuera le NAT :
Cette fois, nous avons 2 routeurs hôtes sur le côté gauche et j'utilise un autre sous-
réseau. Préparons les routeurs hôtes :
Host1(config)#no ip routing
Host1(config)#default gateway 192.168.123.3
Host2(config)#no ip routing
Host2(config)#ip default-gateway 192.168.123.3
L'étape suivante consiste à configurer NAT :
NAT(config)#interface fastEthernet 0/0
NAT(config-if)#ip nat inside
NAT(config)#interface fastEthernet 1/0
NAT(config-if)#ip nat outside
Tout d’abord, nous allons configurer les interfaces internes et externes correctes. Je vais
maintenant créer un pool d'adresses IP que nous pouvons utiliser pour la traduction :
NAT(config)#ip nat pool MYPOOL 192.168.23.10 192.168.23.20 prefix-
length 24
La ip nat poolcommande nous permet de créer un pool. J'appelle le mien « MYPOOL
» et j'utilise l'adresse IP 192.168.23.10 jusqu'à 192.168.23.20. Nous pouvons maintenant
sélectionner les hôtes que nous souhaitons traduire :
NAT(config)#access-list 1 permit 192.168.123.0 0.0.0.255
La liste d'accès ci-dessus correspond au réseau 192.168.123.0 /24. C'est là que se
trouvent host1 et host2. La dernière étape consiste à rassembler la liste d'accès et le
pool :
NAT(config)#ip nat inside source list 1 pool MYPOOL
La commande ci-dessus sélectionne la liste d'accès 1 comme source et nous la
traduirons dans le pool appelé « MYPOOL ». Cela garantit que host1 et host2 sont
traduits en une adresse IP de notre pool. Vérifions maintenant notre configuration !
Host1#ping 192.168.23.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.23.3, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/12/28 ms
Host1 peut envoyer une requête ping au serveur Web. Jetons maintenant un coup d'œil
à notre routeur NAT :
NAT#show ip nat translations
Pro Inside global Inside local Outside local Outside
global
icmp 192.168.23.10:3 192.168.123.1:3 192.168.23.3:3
192.168.23.3:3
--- 192.168.23.10 192.168.123.1 --- ---
Comme vous pouvez le voir ci-dessus, host1 a été traduit en adresse IP 192.168.23.10.
Envoyons maintenant du trafic depuis l'hôte 2 pour voir la différence dans notre table
NAT…
Host2#ping 192.168.23.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.23.3, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/9/16 ms
NAT#show ip nat translations
Pro Inside global Inside local Outside local Outside
global
icmp 192.168.23.10:4 192.168.123.1:4 192.168.23.3:4
192.168.23.3:4
--- 192.168.23.10 192.168.123.1 --- ---
icmp 192.168.23.11:2 192.168.123.2:2 192.168.23.3:2
192.168.23.3:2
--- 192.168.23.11 192.168.123.2 --- ---
Et comme vous pouvez le voir, host2 a été traduit en adresse IP 192.168.2.11. Excellent,
notre NAT dynamique fonctionne ! Au cas où vous vous poseriez la question… que
signifient les adresses internes globales, internes locales, externes locales et externes
globales ? Laissez-moi vous expliquer :
Inside global se trouve l'adresse IP sur l'interface extérieure de votre routeur
effectuant le NAT.
Inside local est l'adresse IP de l'un de vos hôtes internes qui est traduite avec
NAT.
En dehors du local se trouve l'adresse IP de l'appareil que vous essayez
d'atteindre, dans notre exemple, le serveur Web (Web1).
Hors global se trouve également l'adresse IP de l'appareil que vous essayez
d'atteindre, dans notre exemple, le serveur Web (Web1).
Pourquoi les adresses IP externes locales et globales externes sont-elles les mêmes ?
Avec NAT, il est possible de traduire bien plus que simplement de « l'intérieur » vers «
l'extérieur ». Il est possible de créer une entrée dans notre routeur NAT qui, chaque fois
qu'un des hôtes envoie un ping à une adresse IP (disons 5.5.5.5), sera transmise à
Web1. Dans cet exemple, le « serveur Web externe » est vu « localement » par nos
hôtes comme 5.5.5.5, et non 192.168.23.3.
