M21. Network Address Translation

Transcription

1 M21 Network Address Translation

2 Network Address Translation NAT Processus qui change l'adresse réseau par une autre dans un paquet IP Permet de mettre en relation un paquet privé et un paquet public

3 Network Address Translation Principe Les hôtes interne (inside) avec des adresses privées transmettent des paquets vers le routeur NAT Les adresses privées sont converties en adresse IP publique légale, autorisant les paquets à circuler sur le réseau public (Internet)

4 Network Address Translation Schéma de fonctionnement A B data port src port dst ip src ip inside local outside global

5 NAT: le point de vue Selon votre point de vue, il existe deux position: inside: côté intérieur du réseau les adresses IP de votre réseau outside: côte extérieur du réseau les adresses IP hors de votre réseau

6 NAT: le point de vue Votre réseau possède donc: une adresse inside local: couramment appelée "adresse privée" une adresse inside global: votre "adresse privée" convertie en "adresse publique"

7 NAT: le point de vue réseau de inside local (ex.: ) réseau de inside global (ex.: ) ISP inside local L'adresse IP de l'hôte local, telle qu'elle est visible dans le réseau local inside global L'adresse IP de l'hôte local, telle qu'elle est visible dans le réseau extérieur

8 NAT: le point de vue réseau de outside local (ex.: ) réseau de outside global (ex.: ) ISP outside local L'adresse IP de l'hôte distant, telle qu'elle est visible dans le réseau local outside global L'adresse IP de l'hôte distant, telle qu'elle est visible dans le réseau extérieur

9 NAT Avantages & Inconvénients Réduit les incidents dues au chevauchement d'adresses Accroît la flexibilité lors d'une connexion à l'internet Evite la renumérotation des adresses si le réseau change La traduction introduit une fonction de commutation Perte de la traçabilité IP de bout-en-bout Certaines applications ne fonctionnent pas avec le NAT validé

10 NAT Avantages & Inconvénients Tous les hôtes internes n'ont pas besoin d'un accès externe au même moment NAT permet d'associer un grand nombre d'adresse d'hôtes avec des adresses privées à un pool réduit d'adresses globales n adresses inside local m adresses inside global (m<<n)

11 NAT Avantages & Inconvénients NAT est une solution pour les organisations dont le nombre d'adresses croit très vite NAT cache la structure du réseau interne NAT n'est pas un parefeu NAT évite les accès direct aux hôtes internes SAUF si ils ont une correspondance permanente dans la table de translation Exemple: un serveur web adresse privée associée de manière statique à une adresse publique Les hôtes Internet ou les DNS utilisent l'adresse publique

12 Types de NAT NAT statique NAT dynamique NAT overloading ou PAT (Port Address Translation) NAT statique de réseaux en chevauchement

13 NAT Statique Correspondance une à une entre des adresses publiques et des adresses privées inside local inside global

14 NAT Statique: implémentation Cisco Définition du NAT (config)#ip nat inside source static local_inside global_inside Classification des interfaces (config)#interface type number (config-if)#ip nat inside (config)# interface type number (config-if)#ip nat outside

15 NAT Dynamique Correspondance de plusieurs à plusieurs entre un ensemble d'adresse IP (utilisation d'une ACL) une adresse IP appartenant à un groupe (pool) prédéfini d'adresses globales pool inside global

16 NAT Dynamique : implémentation Cisco Adresses locales soumises au NAT (config)#access-list 1 permit Définition du pool d'adresses globales (config)#ip nat pool name start_ip end_ip

17 NAT Dynamique : implémentation Cisco Définition du NAT (config)#ip nat inside source list accesslist_number pool name Classification des interfaces (config)#interface type number (config-if)#ip nat inside (config)# interface type number (config-if)#ip nat outside

18 NAT Dynamique (mode Overload), ou PAT Correspondance plusieurs à une adresse globale Utilisation de ports différents pour différencier les flux inside local inside global : : :6002

19 PAT : implémentation Cisco Adresses locales soumises au NAT (config)#access-list 1 permit Définition du NAT (config)#ip nat inside source list accesslist_number interface type number overload Classification des interfaces (config)#interface type number (config-if)#ip nat inside (config)# interface type number (config-if)#ip nat outside

20 NAT Statique de réseaux en chevauchement Un hôte possède une adresse appartenant à un réseau extérieur 3 serveur DNS x.x.x.x : Requête DNS SA= DA=x.x.x.x Q=B? 2: Requête DNS SA= DA=x.x.x.x Q=B? 3: Réponse DNS SA=x.x.x.x DA= Q=(B?) R=(B= ) 4: Réponse DNS SA=x.x.x.x DA= Q=(B?) R=(B= ) 5: Message vers C SA= DA= M="bonjour" 6: Message vers C SA= DA= M="bonjour"

21 NAT overlap: implémentation Cisco Idem méthode static avec des adresses IP du même réseau en inside et en outside

22 NAT et répartition de charge Principe: Réduire la charge d'un service sur un ensemble de machines réelles Fonctionne sur les flux tcp Les datagrammes entrant qui satisfont l'acl se voit remplacé l'adresse IP destination par un pool d'adresse (hôtes réels) L'affectation se fait pour toute nouvelle connexion seulement (pas de changement sur une session!)

23 NAT et répartition de charge inside outside Hôtes réels Hôte virtuel : SA= DA= SYN prot inside local inside global outside global 2: SA= DA= SYN outside local tcp 3: SA= :23 DA= :23 [SYN] :3128 ACK 4: SA= DA= [SYN] ACK :3128 tcp : : : :4153 tcp hussenet :23 l : : :5142

24 NAT Load Distribution: Implémentation Cisco Adresses locales soumises au NAT (config)#access-list 1 permit Définition du pool d'adresses réelles (config)#ip nat pool name start_ip end_ip {netmask netmask prefix-length length } type rotary Définition du NAT (config)#ip nat inside destination-list access-listnomber pool name

25 Vérifications Affichage de la table de translation Routeur# show ip nat translations Debogage Routeur#debug ip nat