Hỏi về : IP nat inside destination

[tilucsi]

Mọi người cho mình hỏi, mình có cấu hình như sau:

R1------------------------R2-----------------------R3
f0/0-------------------f0/0--s1/0-----------------s1/0
192.168.1.1---192.168.1.2 ---172.16.1.2----172.16.1.3

Trên R1 chỉ có command : ip route 0.0.0.0 0.0.0.0 192.168.1.2
Trên R3 chỉ có command : ip route 0.0.0.0 0.0.0.0 172.16.1.2

Trên R2 :
f0/0 : ip nat inside
s1/0: ip nat outside

access-list 1 permit 172.16.1.5
ip nat pool POOL 172.16.1.3 172.16.1.3 prefix 24 type rotery

ip nat inside destination list 1 pool POOL

------------------------------------------------------
Trên R1 mình ping 172.16.1.5 , nhưng R2 không NAT được, xin hỏi mình có có cấu hình thiếu gì không ??

[dangquangminh]

hi

cái pool định nghĩa đúng không? Chính xác là pool được định nghĩa như thế nào?

[tilucsi]

em định nghĩa pool đúng mà thầy

[dangquangminh]

hi

sao bạn tí không thực hiện ip nat inside source list 1 POOL?

lý do nào mà tí định nat theo destination?

[tilucsi]

Em muốn như sau : những packet từ R1 gửi đến 172.16.1.5 sẽ bị R2 thay đổi, gửi đến 172.16.1.3 .

[dangquangminh]

bạn tí theo cái thread này với mình đến tận cùng luôn nhé.

câu hỏi 1: Theo bạn, địa chỉ 172.16.1.3 là:

a/ địa chỉ inside local
b/ địa chỉ inside global
c/ địa chỉ outside local
d/ địa chỉ outside global

bạn chọn đáp án nào?

câu hỏi 2: theo bạn, địa chỉ 172.16.1.5 là:

a/ địa chỉ inside local
b/ địa chỉ inside global
c/ địa chỉ outside local
d/ địa chỉ outside global

Sau khi bạn trả lời xong hai câu hỏi này, mình sẽ trao đổi tiếp.

[tilucsi]

Theo em thì:
172.16.1.3 la outside local
172.16.1.5 la outside global

[dangquangminh]

ok đồng ý. Như vậy bây giờ bạn tí lực sĩ cần đổi địa chỉ đích của gói tin khi gói tin đi từ bên trong ra bên ngoài.

như vậy có hai lệnh để bạn tí lucsi xem xét:

1. #ip nat inside source list

và

2. ip nat outside source list

Chức năng của hai lệnh này khác nhau như sau:

ip nat outside source list:
- translates the source of the IP packets that are traveling outside to inside.
- translates the destination of the IP packets that are traveling inside to outside .

ip nat inside source list
- translates the source of IP packets that are traveling inside to outside.
- translates the destination of the IP packets that are traveling outside to inside

Bạn tí nghĩ sao nếu bạn dùng ip nat outside source list 1 pool POOL?
nghĩa là dùng ip nat outside thay cho ip nat inside?

[tilucsi]

Em đã dùng thử ip nat outside source , nhưng em muốn xài ip nat inside destination . Mục đích của ip nat inside destination không phải xài trong trường hợp này huh thầy ?

[five]

Theo em thì:
172.16.1.3 la outside local
172.16.1.5 la outside global

ip nat inside destination list 1 pool POOL

Góp ý một chút chỗ này, bạn đã xác định rõ 2 địa chỉ trên là outside hết, như vậy, chỗ này bạn dùng câu lệnh: ip nat inside destination list 1 pool POOL thì làm sao mà NAT được???? Câu lệnh ip nat inside có ý nghĩa là sẽ bật (enable) NAT trên các địa chỉ inside mà thôi!!! :)

[harmonylove]

Theo em thì:
172.16.1.3 la outside local
172.16.1.5 la outside global

172.168.1.3 là outside global chứ? vì nó là địa chỉ thực (của R3) nên có ý nghĩa global. Còn 172.16.1.5 chỉ là 1 địa chỉ đại diện cho 172.16.1.3 (dùng map nó với 172.16.1.3) thì nó chỉ có ý nghĩa local đối với mạng inside thôi mà.

Chủ đề này hay thế mà lại bỏ vô mục CCIE làm tớ... ngại ko dám xem :D (vì trình độ mình mới CCNA thôi àh)

theo tớ thì sử dụng ip nat outside source cũng có gì đó không ổn :confused: để tớ về chạy dynamips kiểm thử. Riêng cái ip nat inside destination nếu theo tớ đoán thì đó là việc translate địa chỉ đích của packet đi từ inside => outside (cái lệnh này chưa học), nếu đúng thế thì việc dùng lệnh này để đáp ứng yêu cầu chuyển địa chỉ đích của packet từ 172.16.1.5 => 172.16.1.3 là có thể được. Tuy nhiên trước khi router thực hiện NAT destination thì nó phải tiến hành "lọc" những đích nào được phép NAT (thông qua access-list), mà để "duyệt" địa chỉ đích thì buộc ta phải sử dụng extended access-list chứ nhỉ? nếu bác dùng standard ACL trong trường hợp này chắc là không được rồi!

Và cuối cùng xin phép được hỏi anh Minh cái type rotary là gì? :confused: tác dụng?

[tilucsi]

To harmony: minh da nghien cuu roi, hien gio chi co 1 cach la dung ip nat outside soure static .

ip nat inside destination khong dung trong truong hop nay ( su dung standar access-list la chinh xac vi` minh da xac dinh la destination roi ma`) . Ip nat inside destination dung cho TCP-load balancing

[harmonylove]

To harmony: minh da nghien cuu roi, hien gio chi co 1 cach la dung ip nat outside soure static .

ip nat inside destination khong dung trong truong hop nay ( su dung standar access-list la chinh xac vi` minh da xac dinh la destination roi ma`) . Ip nat inside destination dung cho TCP-load balancing

Nhất trí với bác là dùng nat outside thì ok, mình đã về thử rồi, và dùng pool cũng ok luôn, không nhất thiết phải là static, có điều access-list của bác phải là permit 172.16.1.3 chứ ko phải là 192.168.1.1 (vì NAT bên outside). Và nhất trí luôn việc sử dụng standard access-list, bởi vụ NAT chỉ "áp" access-list đối với các địa chỉ đã được chỉ định NAT mà ko cần quan tâm nó là sources hay destination gì cả! :). Điều cần tớ cần bác nhất trí là: 172.16.1.5 = outside local, 171.16.1.3 = outside global.

Tớ cũng đã tìm hiểu về nat inside destination và qua đó kết luận rằng có 3 loại NAT:
1. ip nat inside source: dùng để map một (hoặc nhiều) địa chỉ inside local thành một (hay nhiều) địa chỉ inside global, áp dụng khi ta muốn mạng bên ngoài (outside) nhìn thấy 1 host bên trong (inside) như là 1 host hợp lệ trên internet.
2. ip nat outside source: dùng để map một host có địa chỉ hợp lệ bên ngoài (outside global, trong ví dụ này là 172.16.1.3) thành một host mang địa chỉ chỉ có ý nghĩa đối với mạng bên trong (outside local, vd: 172.168.1.5)
3. ip nat inside destination: dùng để map một (hoặc nhiều) host thực bên trong (inside, thường là 1 server) thành một host ảo (virtual server) mang địa chỉ có ý nghĩa global để mạng bên ngoài có thể truy cập đến được thông qua địa chỉ đó. Trường hợp load balancing như bác nói tức là 1 địa chỉ inside global map với nhiều địa chỉ inside local (nhiều server)

Như vậy yêu cầu của bác lọt vào trường hợp 2: Muốn ping 1 địa chỉ hợp lệ outside (172.16.1.3) thông qua ping 1 địa chỉ ảo (172.16.1.5)

ghi chú: địa chỉ hợp lệ tức là địa chỉ có ý nghĩa global, hay là 1 địa chỉ thực trên internet, được cấp bởi ISP hay tổ chức gì đó... :)

[tilucsi]

cai ip nat outside source chi dung duoc pool khi o ben ngoai khoi tao session truoc . Con cai vu outside local, global da'nh che^'t tui cung kg thay doi i' kien hehehe.

[harmonylove]

cai ip nat outside source chi dung duoc pool khi o ben ngoai khoi tao session truoc . Con cai vu outside local, global da'nh che^'t tui cung kg thay doi i' kien hehehe.

ok! nhất trí về vụ nat outside dùng pool luôn, tất nhiên ở bên ngoài phải khởi tạo session trước thì mới tạo ra bảng mapping, còn cái outside local & outside global tại sao bác ko thay đổi ý kiến? tại sao bác cho là 172.16.1.5 = outside global còn 172.16.1.3 = outside local?