در این مطلب اصطلاحات NAT ، هر سه نوع با کانفیگ کامل، Port Forwarding ، ترکیب با چند ISP ، دستورهای بررسی و اشتباه‌های رایج را مرور می‌کنیم.

اصطلاحات NAT

برای هر نوع NAT ، اول مشخص کنید کدام اینترفیس رو به شبکه داخلی (inside) و کدام رو به اینترنت (outside) است:

interface GigabitEthernet0/0/0
 description WAN to ISP
 ip address 203.0.113.2 255.255.255.248
 ip nat outside
!
interface GigabitEthernet0/0/1
 description LAN
 ip address 192.168.1.1 255.255.255.0
 ip nat inside

PAT (Overload) : اینترنت همه کاربران با یک IP

رایج‌ترین سناریو: ۱۰۰ کلاینت با یک IP معتبر. روتر برای تفکیک اتصال‌ها، پورت مبدأ را هم ترجمه می‌کند؛ به همین دلیل به آن PAT یا NAT Overload می‌گویند. این همان چیزی است که در نسخه قدیمی این مطلب با عنوان Static NAT آمده بود:

ip access-list standard NAT-LAN
 permit 192.168.1.0 0.0.0.255
!
ip nat inside source list NAT-LAN interface GigabitEthernet0/0/0 overload

کلمه overload یعنی PAT. بدون آن، روتر فقط به تعداد IPهای معتبر اتصال هم‌زمان می‌تواند بسازد. اگر لینک PPPoE دارید، به‌جای اینترفیس فیزیکی نام Dialer1 را بگذارید (ببینید کانفیگ PPPoE Dialer).

Static NAT : سرور داخلی با IP معتبر ثابت

وب‌سرور داخلی 192.168.1.10 باید از اینترنت با IP معتبر 203.0.113.10 در دسترس باشد. در Static NAT ترجمه دائمی و دوطرفه است؛ هم ترافیک خروجی سرور با این IP دیده می‌شود و هم ترافیک ورودی به این IP به سرور می‌رسد:

ip nat inside source static 192.168.1.10 203.0.113.10

IP معتبر باید از بلوکی باشد که ISP به شما داده و به روتر شما مسیریابی می‌کند (در این مثال 203.0.113.0/29). Static NAT همه پورت‌های سرور را در معرض اینترنت می‌گذارد؛ حتماً پشت آن فایروال یا ACL داشته باشید.

Port Forwarding (Static PAT)

اگر فقط یک IP معتبر دارید و می‌خواهید فقط پورت‌های مشخصی از آن به سرورهای مختلف برسد:

! HTTPS to the web server
ip nat inside source static tcp 192.168.1.10 443 interface GigabitEthernet0/0/0 443
! RDP on a non-standard port to an admin PC
ip nat inside source static tcp 192.168.1.50 3389 interface GigabitEthernet0/0/0 43389

ترکیب Port Forwarding با PAT کاملاً رایج است؛ همان IP هم برای اینترنت کاربران استفاده می‌شود و هم پورت‌های مشخص به سرورها می‌رود.

Dynamic NAT

اگر یک بلوک IP معتبر دارید و می‌خواهید هر کلاینت (بدون ترجمه پورت) یک IP معتبر موقت بگیرد:

ip nat pool PUBLIC-POOL 203.0.113.3 203.0.113.6 netmask 255.255.255.248
ip nat inside source list NAT-LAN pool PUBLIC-POOL

با ۴ IP در pool ، فقط ۴ کلاینت هم‌زمان می‌توانند بیرون بروند. این حالت امروز کمتر استفاده می‌شود؛ بیشتر برای برنامه‌هایی که با ترجمه پورت مشکل دارند. با افزودن overload به انتهای خط، همان pool به‌صورت PAT استفاده می‌شود.

مقایسه

NAT با دو ISP

وقتی دو لینک اینترنت دارید، ترافیکی که از ISP-B خارج می‌شود باید با IP همان ISP ترجمه شود؛ این کار با route-map و match interface انجام می‌شود. کانفیگ کامل همراه Failover خودکار را در سیسکو IP SLA آورده‌ایم.

بررسی و عیب‌یابی

R1# show ip nat translations
Pro Inside global        Inside local        Outside local     Outside global
tcp 203.0.113.2:51234    192.168.1.25:51234  8.8.8.8:443       8.8.8.8:443
--- 203.0.113.10         192.168.1.10        ---               ---
R1# show ip nat statistics
R1# clear ip nat translation *
R1# debug ip nat

پرسش‌های متداول

NAT امنیت می‌دهد؟
PAT به‌طور ضمنی اتصال‌های ورودی ناخواسته را نمی‌پذیرد، اما فایروال نیست. Static NAT همه پورت‌های سرور را در معرض می‌گذارد و حتماً باید فایروال داشته باشد.

NAT روی سوئیچ لایه ۳ هم ممکن است؟
روی Catalyst 9300 با لایسنس Network Advantage از IOS XE 16.12.1 بله، با محدودیت‌هایی؛ ببینید روتینگ توسط سوئیچ سیسکو.

برای IPv6 هم NAT لازم است؟
در طراحی رایج IPv6 خیر؛ هر دستگاه آدرس سراسری دارد و امنیت با فایروال تأمین می‌شود.

منابع

• RFC 3022 – Traditional IP Network Address Translator
• Configure and Verify NAT on Catalyst 9000 Switches

مشاوره با AKA NET

برای راه‌اندازی NAT ، انتشار سرورها و اتصال چند ISP روی روترهای سیسکو با آکانت (AKA NET) تماس بگیرید.