【任务四】：转换内部地址在NAT中使用ROUTE-MAP
4 k# R! {6 h* Z& @( j在这个任务中，你将配置NAT使用ROUTE-MAP进行数据包匹配。大家在看见看到，当价钱使用NAT时不使用overloading地址，这个地址转换表仅仅包含本地和全局地址。当你配置NAT使用ROUTE-MAP时，这个地址转换条目将包含内部和外部（本地和全局）地址条目和TCP、UDP端口信息。这种地址转换条目使路由器可以识别不同的会话。0 R9 O' ^7 ~+ \ W: P/ m
T" U' Y+ S6 @3 Q* M7 X! O
实验过程：+ Z3 m8 [6 N! |1 `# [6 l
+ G; U4 N& M N! m) `第一步：数据包应该进行基于目的地址的转换。到TFTP服务器和到网络核心的数据包应该还是被转换到192.168.x.0/24或192.168.xx.0/24，但是到其他边界路由器的数据包应该被转换到10.x.0.0子网中。这个地址将使用在本地到其他边界路由器的S1接口和其他出现在路由表中的路由（直连的路由是自动的进入路由表）。为了防止先前的拒绝，PxR1将使用地址范围10.x.0.64-95/24和PxR2将使用地址范围10.x.0.97-127/24.使用ROUTE-MAP作为基于目的地址的地址转换条件器。你的ROUTE-MAP配置应该与下列类似：
; x l6 }# ?8 |* @ e, yRoute-map TO_BBR permit 10
1 Z K6 L" i f+ P1 ]Match ip address 100. u9 M6 s& G3 r6 a! p5 A
!2 d( s, |' _# }' k0 U6 M
Route-map TO_POD permit 10. [ [8 y( \+ Z! j- }
Match ip address 101& Y0 G9 u- j8 ]8 E8 w
p. ?' l! Y2 {) F$ G3 D3 j第二步：删除以前的NAT命令，加入新的NAT命令使用ROUTE-MAP进行地址转换。你的配置与下列类似：
2 L! d- ~: g G& b5 fP2R1(conf)#no ip nat inside source list 100 pool BBR. C* H' d6 Y+ ^$ {% }
P2R1(conf)#no ip nat inside source list 101 pool POD& O! t& M# T6 x( |
P2R1(conf)#ip nat inside source route-map TO_BBR pool BBR
- g% K/ W( Q5 ` q8 fP2R1(conf)#ip nat inside source route-map TO_POD pool POD 提示： 如果路由器指出”%Dynamic mapping in use, cannot remove”，请返回特权模式，然后输入clear ip nat trans * 删除所有动态映射。第三步：从内部路由器PING边界路由器和TFTP服务器，验正先前的步骤是成功的。打开debug ip nat命令在边界路由器上，查看地址翻译细节。你的路由器显示应该与下面类似：! ~7 n2 h% ^( h6 W4 y( ^
Rack01R1#ping 10.254.0.254 7 G, e8 y9 {" [- T, d1 L
Type escape sequence to abort.
: v6 S, g$ {0 o% bSending 5, 100-byte ICMP Echos to 10.254.0.254, timeout is 2 seconds:/ H2 w7 W: b. l w! L/ u' y
!!!!!
# g% T. S8 [ Z" PSuccess rate is 100 percent (5/5), round-trip min/avg/max = 4/5/8 ms
5 z* x* j' H0 t% \+ v在边界路由器上，使用Debug ip nat detail命令：: o, W2 p- v6 @3 _) _
*Mar 1 03:04:00.443: NAT*: s=10.254.0.254, d=192.168.1.1->10.1.1.3 [55449]
5 |- O0 v. J H. Z9 ]*Mar 1 03:04:00.451: NAT: map match TO_BBR
" J4 V5 L. J; M0 T$ f" b*Mar 1 03:04:00.455: NAT: map match TO_BBR
" Q- v1 [- P1 O! y; [+ g3 x# `3 }*Mar 1 03:04:00.459: NAT: i: icmp (10.1.1.3, 6711) -> (10.254.0.254, 6711) [61]! |; S' D8 g% t9 E
*Mar 1 03:04:00.463: NAT: s=10.1.1.3->192.168.1.1, d=10.254.0.254 [61]
8 ?4 M) W/ d# }' D. c0 L*Mar 1 03:04:00.523: NAT*: o: icmp (10.254.0.254, 6711) -> (192.168.1.1, 6711)
/ d. h9 a' y, [5 i( k8 D( U. s) U8 F4 O) b
在内部路由器上，PING其他的边界路由器：/ r, W, `2 K/ M; }+ t
P1R3#ping 10.1.0.2. f- w1 o6 k7 g$ f
Type escape sequence to abort.6 \3 V2 z, r5 z' R$ B: {
Sending 5, 100-byte ICMP Echos to 10.254.0.254, timeout is 2 seconds:
0 q3 @5 z8 y, i0 o!!!!!
$ l" L: }7 v- U' n5 k% t! ?( pSuccess rate is 100 percent (5/5), round-trip min/avg/max = 4/5/8 ms |
发表于 2012-8-3 20:20:19
楼主