¶ Общая настройка механизма трансляции NAT EI
Для настройки механизма трансляции адресов необходимо в главном меню выбрать пункт «Трансляция адресов – NAT EI». В новом окне в таблице «Настройка механизма трансляции сетевых адресов» отображаются текущие настройки.
Для активации механизма трансляции необходимо установить флаг «Включить механизм трансляции». После активации флага будут доступны как основные, так и дополнительные параметры настройки. Параметры для настройки механизма трансляции представлены ниже в таблице:
| Название параметра | Описание |
| Количество сессий | Параметр определяет максимальное количество сессий NAT, которые могут отслеживаться устройством. При достижении максимального значения сессий NAT доступ пользователей из локального сегмента во внешний будет заблокирован. Значение по умолчанию 1000 сессий. |
| Количество пользователей | Параметр определяет количество уникальных локальных хостов, которые могут использовать механизм трансляции адресов. Значение по умолчанию 100. |
| Количество сессий для одного пользователя | Параметр определяем максимальное количество сессий для одного уникального хоста. Значение по умолчанию 100 |
| Действие по умолчанию | Параметр определяет действие по умолчанию. |
| Output-feature | Параметр определяет режим работы NAT. При включенном параметре указание локального интерфейса не требуется. |
| Локальные интерфейсы |
Параметр определяет локальный сетевой интерфейс. Для добавления сетевого интерфейса в механизм трансляции необходимо выбрать его из перечня доступных и нажать на кнопку “Добавить”. |
| Внешние интерфейсы |
Параметр определяет внешний сетевой интерфейс. Для добавления сетевого интерфейса в механизм трансляции необходимо выбрать его из перечня доступных и нажать на кнопку “Добавить”. |
| Сетевые адреса |
Параметр определяет сетевой адрес или перечень сетевых адресов, которые будут использоваться механизмом трансляции для подмены адреса источника. Для добавления сетевого адреса необходимо задать его в соответствующем поле и нажать на кнопку добавить. Для добавления диапазона сетевых адресов необходимо в соответствующие поля добавить сетевой адрес начала и конца диапазона и нажать на кнопку “Добавить”. |
| Сетевые адреса интерфейсов |
Параметр определяет сетевой интерфейс или перечень сетевых интерфейсов, которые будут использоваться механизмом трансляции для подмены адреса источника. При этом с заданного сетевого интерфейса(-ов) механизм трансляции будет использовать первый сетевой адрес, который задан на сетевом интерфейсе. Для добавления сетевого интерфейса в механизм трансляции необходимо выбрать его из перечня доступных и нажать на кнопку “Добавить”. |
| Сетевые порты | Параметр определяет диапазон сетевых портов, используемый для трансляции адресов. Для добавления диапазона портов в механизм трансляции необходимо указать начальный и конечный порты в соответствующих полях. Для установки значения по умолчанию необходимо установить флаг «Использовать порты по умолчанию». |
После задания всех необходимых параметров необходимо нажать на кнопку “Сохранить”.
¶ Правила трансляции
Для настройки правил трансляции необходимо нажать на кнопку «Добавить». Параметры описаны ниже в таблице:
| Название параметра | Описание |
| Протокол | Параметр определяет один из доступных протоколов any/tcp/udp/icmp, который будет задан в правиле трансляции. |
| Локальный адрес | Параметр определяет локальный сетевой адрес, на который будет перенаправлен сетевой трафик, который идет из внешнего сегмента сети, в локальный сегмент сети. |
| Локальный порт/ID | Параметр определяет локальный сетевой порт для протокола tcp, udp или icmp, на который будет перенаправлен сетевой трафик, который идет из внешнего сегмента сети, в локальный сегмент сети. |
| Внешний адрес (интерфейс) | Параметр определяет внешний сетевой интерфейс. При выборе этого параметра с заданного сетевого интерфейса будет взят первый сетевой адрес, который будет использоваться как внешний адрес. |
| Внешний адрес | Параметр определяет внешний сетевой адрес, на который будет приходить сетевой трафик из внешнего сегмента сети с дальнейшей трансляцией на локальный сетевой адрес. |
| Внешний порт/ID | Параметр определяет внешний сетевой порт для протокола tcp, udp или icmp, на который будет приходить сетевой трафик из внешнего сегмента сети с дальнейшей трансляцией на локальный сетевой адрес и локальный сетевой порт. |
¶ Просмотри информации о работе механизма трансляции
В настоящий момент на устройстве МКСЗ «Diamond Next» доступна возможность просматривать информации о механизме трансляции сетевых адресов в консольном формате. Для просмотра информации необходимо подключиться к устройству по протоколу ssh и перейти на уровень “data plane”. Ниже представлен перечень команд и описание их работы.
| Команда | Описание |
| sh nat44 ei timeouts |
Команда позволяет вывести временные таймеры, которые определяют время жизни сессий.
|
| sh nat44 ei sessions | Команда позволяет вывести информацию о распределении сессий и их количеству по рабочим потокам. |
| sh nat44 ei addresses | Команда позволяет вывести информацию об адресах, используемых для трансляции. |
| sh nat44 ei interfaces | Команда позволяет вывести информацию об используемых интерфейсах. |
| sh nat44 ei static mappings | Команда позволяет вывести информацию о настроенных статических отображениях. |
vpp# sh nat44 ei timeouts
udp timeout: 300sec
tcp-established timeout: 7440sec
tcp-transitory timeout: 240sec
icmp timeout: 60sec
vpp# sh nat44 ei sessions
NAT44 sessions:
-------- thread 0 vpp_main: 0 sessions --------
-------- thread 1 vpp_wk_0: 0 sessions --------
-------- thread 2 vpp_wk_1: 0 sessions --------
-------- thread 3 vpp_wk_2: 0 sessions --------
dve# sh nat44 ei addresses
NAT44 pool addresses:
192.168.10.1
tenant VRF: 0
0 busy other ports
0 busy udp ports
0 busy tcp ports
0 busy icmp ports
192.168.10.2
tenant VRF: 0
0 busy other ports
0 busy udp ports
0 busy tcp ports
0 busy icmp ports
192.168.10.3
tenant VRF: 0
0 busy other ports
0 busy udp ports
0 busy tcp ports
0 busy icmp ports
dve# sh nat44 ei interfaces
NAT44 interfaces:
FortyGigabitEthernet17/0/0 in
FortyGigabitEthernet17/0/1 out
dve# sh nat44 ei static mappings
NAT44 ei static mappings:
TCP local 172.20.1.90:80 external 194.135.68.242:80 vrf 0
TCP local 172.20.1.90:443 external 194.135.68.242:443 vrf 0
¶ Примеры конфигураций
Настройка In Out интерфейсов. Используется для маскировки внутренних IP-адресов хостов при их выходе во внешние сети.
- Принцип работы: При прохождении пакета из локальной сети во внешнюю, устройство заменяет приватный IP-адрес отправителя на один из пул-адресов (или единственный адрес) внешнего интерфейса.
Пример настройки представлен на рисунке:
Настройка Output-feature. Используется для маскировки внутренних IP-адресов хостов при их выходе во внешние сети.
- Принцип работы: При прохождении пакета во внешнюю сеть, устройство заменяет приватный IP-адрес отправителя на единственный адрес внешнего интерфейса.
Пример настройки представлен на рисунке:
Настройка Port Forwarding (статический DNAT с изменением порта). Частный случай DNAT, позволяющий перенаправлять внешние запросы к определенному порту устройства на конкретный порт хоста внутри локальной сети.
- Принцип работы: Например, внешний запрос на публичный_IP:8080 устройство может перенаправить на внутренний веб-сервер 192.168.1.10:80. Это позволяет «публиковать» наружу отдельные сервисы (web, SSH, RDP), сохраняя сам сервер глубоко в приватной сети.
Пример настройки представлен на рисунке:
