Travaux pratiques 5.3.8 Configuration des fonctions NAT et du protocole DHCP avec l interface de ligne de commande IOS Désignation du routeur Routeur 1 Nom du routeur Client Routeur 2 FAI S/O Adresse Fast Ethernet 0 et masque de sous réseau 192.168.1.1 255.255.255.0 Adresse Serial 0 et masque de sous-réseau 209.165.200.225 Type d interface 255.255.255.224 ETCD S/O 209.165.200.226 255.255.255.224 LETTD Adresse de bouclage 209.165.200.1 255.255.255.224 Objectifs Configurer un routeur Client et un hôte pour le protocole DHCP Configurer un routeur d abonné pour une NAT surchargée ou Traduction d adresses de port (PAT) Vérifier le protocole DHCP et les traductions d adresses de réseau au sein du réseau du client au FAI Contexte / Préparation Installez un réseau similaire à celui représenté dans le schéma de topologie. Tout routeur répondant aux exigences indiquées dans ce schéma en matière d interface peut être utilisé, par exemple les routeurs 800, 1600, 1700, 1800, 2500, 2600 ou une combinaison de ces routeurs. Reportez-vous au tableau Relevé des interfaces de routeur qui se trouve à la fin de ce document pour déterminer les identifiants d interface à utiliser en fonction de l équipement disponible. Selon le modèle de routeur, le résultat peut différer quelque peu de ce qui est montré dans ces travaux pratiques. Leurs étapes doivent être exécutées sur chaque routeur, sauf indication contraire. Ce document contient des informations publiques Cisco. Page 1 sur 8
Ressources requises : Deux routeurs, un avec des interfaces Ethernet et série, et l autre avec une interface série Un ordinateur Windows XP Câble droit Ethernet de catégorie 5 (PC1 à commutateur) Câble série Null Câbles console (de PC 1 aux routeurs R1 et R2) Accès à l'invite de commandes PC Accès à la configuration réseau TCP/IP du PC À partir du PC, démarrez une session HyperTerminal au routeur. REMARQUE : Suivez les instructions de la section «Effacement et rechargement du routeur» qui se trouvent à la fin de ce document. Exécutez ces étapes sur tous les routeurs utilisés dans ces travaux pratiques avant de continuer. REMARQUE : Routeurs SDM : Si la configuration initiale a été supprimée d un routeur SDM, SDM ne s affiche plus par défaut lors du redémarrage du routeur. Il est alors nécessaire de créer une configuration de routeur de base à l aide des commandes IOS. Reportez-vous à la procédure décrite à la fin de ces travaux pratiques ou contactez votre formateur. Étape 1 : Câblage et configuration des routeurs a. En fonction du schéma de topologie, connectez le PC, le commutateur et les routeurs à l aide du câblage approprié. b. Configurez chaque routeur avec les paramètres suivants : nom d hôte, accès et mot de passe de console, accès et mot de passe vty et mot de passe secret actif. Si nécessaire, reportez-vous aux Travaux pratiques 5.3.5, «Configuration des paramètres de base de routeur avec l ILC IOS» pour obtenir des instructions sur le paramétrage des noms d hôte, mots de passe et adresses d interface. c. Configurez les interfaces de routeur avec l adresse IP et le masque appropriés. Vérifiez que les interfaces sont utilisables et peuvent envoyer une requête ping à une interface ou un hôte directement connecté. d. Configurez le routeur FAI avec une adresse de bouclage servant à tester le routeur du client. L adresse de bouclage représente un réseau distant. ISP(config)#interface loopback 0 ISP(config-if)#ip address 209.165.200.1 255.255.255.224 Étape 2 : Configuration d une route par défaut sur le routeur du client a. Sur le routeur du client, configurez une route par défaut qui pointe vers le FAI. Tous les paquets destinés aux réseaux qui ne se trouvent pas dans la table de routage du client sont transmis au routeur du FAI, qui comporte une table de routage bien plus grande et des connexions vers d autres fournisseurs Internet. Notez comment cette route par défaut utilise l adresse IP du routeur voisin comme dernier numéro. Customer(config)#ip route 0.0.0.0 0.0.0.0 209.165.200.226 b. Pourquoi une route par défaut n est-elle pas utilisée sur le FAI? Une route par défaut sur le routeur FAI serait une mauvaise configuration si elle pointait vers un site de client. Toute route ne figurant pas dans la table de routage du FAI serait envoyée automatiquement au routeur du client. Bien entendu, ce dernier ne saurait pas quoi faire du paquet et l enverrait sur la route par défaut du routeur du client, qui est le FAI. Il se produirait alors une boucle de routage. Ce document contient des informations publiques Cisco. Page 2 sur 8
Étape 3 : Configuration et test du pool DHCP a. Sur le routeur du client, configurez un pool DHCP pour les clients internes. Customer(config)#ip dhcp excluded-address 192.168.1.1 Customer(config)#ip dhcp pool INTERNAL Customer(dhcp-config)#network 192.168.1.0 255.255.255.0 Customer(dhcp-config)#domain-name abc-xyz-widgets.inc Customer(dhcp-config)#default-router 192.168.1.1 b. Sur le PC hôte du client, cliquez sur Démarrer > Panneau de configuration > Connexions réseau pour vérifier que la carte réseau est bien configurée pour DHCP. Si nécessaire, ouvrez une invite de commandes et entrez les commandes ipconfig /release et ipconfig /renew. c. Sur le PC hôte du client, ouvrez une invite de commandes. Cliquez sur Démarrer > Exécuter, puis tapez cmd et appuyez sur la touche Entrée. Vous pouvez également cliquer sur Démarrer > Tous les programmes > Accessoires > Invite de commandes. Envoyez la commande ipconfig /all. d. Quelle adresse IP est envoyée au PC? e. Quelle est l adresse MAC du PC hôte? f. À partir du PC hôte, envoyez une requête ping à la passerelle par défaut (l interface Ethernet du routeur). La requête ping a-t-elle abouti? Effectuez un dépannage si nécessaire et ne continuez pas tant que la requête ping n aboutit pas. Étape 4 : Affichage de la liaison DHCP sur le routeur du client a. Pour voir la combinaison d adresse IP et d adresse matérielle de l hôte (MAC) attribuée par le serveur DHCP dans le routeur, entrez la commande show ip dhcp binding sur le routeur du client. Customer#show ip dhcp binding IP address Client-ID/ Lease expiration Type Hardware address 192.168.1.2 0100.0bdb.04a5.cd May 26 2007 11:19 AM Automatic b. L adresse IP et l adresse matérielle affichées correspondent-elles à celles enregistrées pour le PC hôte à l étape 3? Étape 5 : Configuration des fonctions NAT/PAT a. Sur le routeur du client, utilisez la commande access-list pour identifier les adresses qui doivent être traduites. Le numéro de réseau est déclaré, mais au lieu d être suivi d un masque normal comme c est généralement le cas, il est suivi d un masque générique (0.0.0.255). Customer(config)#access-list 1 permit 192.168.1.0 0.0.0.255 b. Sur le routeur du client, définissez à quel endroit la fonction NAT doit rechercher les adresses IP à traduire (la liste source 1 se rapporte à la liste d accès 1 que vous venez de créer). Définissez également quelle adresse IP de l interface utiliser comme adresse réelle pour chaque paquet à destination de l interface série passant par l interface FastEthernet. Le paramètre overload à la fin de la commande illustrée cidessous signifie que l adresse IP du port série est utilisée et que les numéros de port sont utilisés pour effectuer le suivi des paquets. De façon réaliste, environ 4 000 adresses peuvent être traduites avec cette méthode, bien qu il soit techniquement possible d en traduire encore plus. Customer(config)#ip nat inside source list 1 interface serial 0/0 overload c. Appliquez la fonction NAT aux interfaces internes et externes. Customer(config)#interface serial 0/0 Customer(config-if)#ip nat outside Customer(config-if)#exit Customer(config)#interface fastethernet 0/0 Ce document contient des informations publiques Cisco. Page 3 sur 8
Customer(config)#ip nat inside Customer(config)#end Étape 6 : Test des fonctions NAT/PAT a. À partir de l invite de commandes du PC hôte, envoyez une requête ping à l adresse de bouclage du routeur du FAI. ping 209.165.200.1 b. La requête ping a-t-elle abouti? Sinon, effectuez le dépannage nécessaire. c. Sur le routeur du client, entrez la commande pour vérifier la traduction NAT. Customer#show ip nat translation Pro Inside global Inside local Outside local Outside global icmp 209.165.200.225:512 192.168.1.2:512 209.165.200.1:512 209.165.200.1:512 d. Indiquez les adresses IP suivantes : Quelle est l adresse IP globale interne affichée? Quelle est l adresse IP locale interne affichée? Quelle est l adresse IP locale externe affichée? Quelle est l adresse IP globale externe affichée? e. Sur le routeur du FAI, configurez le routeur pour qu il affiche tous les paquets ICMP qui y entrent. ISP#debug ip icmp ICMP packet debugging is on f. À l invite de commande du PC hôte, envoyez une requête ping continue. ping 209.165.200.1 t g. Sur le routeur du FAI, notez l affichage des informations de débogage. ISP# 00:49:10: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:11: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:12: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:13: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:14: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:15: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 00:49:16: ICMP: echo reply sent, src 209.165.200.1, dst 209.165.200.225 h. Quelle est l'adresse IP source de la réponse ICMP? i. Quelle est l'adresse IP de destination de la réponse ICMP? j. Est-ce que ce débogage confirme ou infirme le fait que des adresses IP internes sont cachées et comment pouvez-vous le savoir? k. Sur le PC hôte, arrêtez le ping en appuyant sur CTRL-X. l. Sur le routeur du FAI, arrêtez le processus de débogage. Notez que le routeur prend quelques instants pour cesser d afficher les résultats. ISP#undebug all Ce document contient des informations publiques Cisco. Page 4 sur 8
Étape 7 : Effacement des traductions NAT a. À l invite de commandes du PC hôte du client, ouvrez une session Telnet au routeur FAI. telnet 209.165.200.226 Cette session Telnet crée une autre traduction sur le routeur du client. b. Sur le routeur du client, entrez la commande pour vérifier la traduction NAT. Customer#show ip nat translation Pro Inside global Inside local Outside local Outside global tcp 209.165.200.225:1297 192.168.1.2:1297 209.165.200.226:23 209.165.200.226:23 Les numéros de port des adresses Internet peuvent être différents parce qu il s agit de numéros de port sources générés de manière aléatoire. c. Fermez la fenêtre de commande sur le PC hôte du client pour mettre fin à la session Telnet. d. Sur le routeur du client, entrez la commande pour vérifier la traduction NAT. Customer#show ip nat translation e. La traduction pour le PC hôte du client est-elle toujours active sur le routeur du client? Les traductions NAT restent actives durant différentes périodes, en fonction du type de traduction. Les traductions NAT TCP peuvent rester actives jusqu à 24 heures par défaut. Les traductions de port possèdent des limites de temps plus brèves, mais peuvent tout de même rester actives pendant plusieurs minutes voire heures après l expiration de la session entre les deux hôtes. Les temporisations par défaut pour UDP vont de 1 minute à 5 minutes. Pour plus d informations sur les temporisations NAT, consultez le livre blanc «Cisco IOS Network Address Translation Overview» sur le site Web Cisco.com. http://cisco.com/en/us/tech/tk648/tk361/technologies_white_paper09186a0080091cb9.shtml f. Sur le routeur du client, entrez la commande pour effacer toutes les traductions NAT actives du routeur. Customer#clear ip nat translation * Vérifiez que la traduction pour le PC hôte du client n est plus active sur le routeur du client. Étape 8 : Remarques générales a. Quel serait l un des avantages de l utilisation de la méthode NAT présentée dans ces travaux pratiques par rapport à une configuration statique illustrée dans ce cursus? b. Citez un cas où une société ne doit pas utiliser de NAT/PAT. Ce document contient des informations publiques Cisco. Page 5 sur 8
Effacement et rechargement du routeur a. Passez en mode d exécution privilégié à l aide de la commande enable. Router>enable b. À l invite du mode d exécution privilégié, entrez la commande erase startup-config. Router#erase startup-config Vous obtenez le message suivant : Erasing the nvram filesystem will remove all files! Continue? [confirm] c. Appuyez sur Entrée pour confirmer. La réponse est : Erase of nvram: complete d. En mode d exécution privilégié, entrez la commande reload. Router(config)#reload Vous obtenez le message suivant : System configuration has been modified. Save? [yes/no]: e. Tapez n, puis appuyez sur Entrée. Vous obtenez le message suivant : Proceed with reload? [confirm] f. Appuyez sur Entrée pour confirmer. La première ligne de la réponse est la suivante : Reload requested by console. Après le rechargement du routeur, la ligne suivante s affiche : Would you like to enter the initial configuration dialog? [yes/no]: g. Tapez n, puis appuyez sur Entrée. Vous obtenez le message suivant : Press RETURN to get started! h. Appuyez sur Entrée. Le routeur est prêt et les travaux pratiques peuvent commencer. Ce document contient des informations publiques Cisco. Page 6 sur 8
Modèle de routeur Relevé des interfaces de routeur Interface Ethernet 1 Interface Ethernet 2 Interface série 1 Interface série 2 800 (806) Ethernet 0 (E0) Ethernet 1 (E1) 1600 Ethernet 0 (E0) Ethernet 1 (E1) Serial 0 (S0) Serial 1 (S1) 1700 Fast Ethernet 0 (FA0) 1800 Fast Ethernet 0/0 (FA0/0) Fast Ethernet 1 (FA0) Fast Ethernet 0/1 (FA0/1) Serial 0 (S0) Serial 1 (S1) Serial 0/0 (S0/0) Serial 0/0/1 (S0/0/1) 2500 Ethernet 0 (E0) Ethernet 1 (E1) Serial 0 (S0) Serial 1 (S1) 2600 Fast Ethernet 0/0 (FA0/0) Fast Ethernet 0/1 (FA0/1) Serial 0/0 (S0/0) Serial 0/1 (S0/1) REMARQUE : Pour connaître la configuration exacte du routeur, reportez-vous aux interfaces. Vous pourrez ainsi identifier le type du routeur ainsi que le nombre d interfaces qu il comporte. Il n'est pas possible de répertorier de façon exhaustive toutes les combinaisons de configurations pour chaque type de routeur. En revanche, le tableau fournit les identifiants des combinaisons d'interfaces possibles pour chaque périphérique. Ce tableau ne comporte aucun autre type d interface, même si un routeur particulier peut en contenir un. L exemple de l interface RNIS BRI pourrait illustrer ceci. La chaîne de caractères entre parenthèses est l'abréviation normalisée qui permet de représenter l'interface dans une commande IOS. Configuration IOS de base du routeur SDM pour activer SDM Si la configuration initiale est supprimée d un routeur SDM, SDM ne s affiche plus par défaut lors du redémarrage du routeur. Il est alors nécessaire de créer une configuration de base comme suit. Pour plus d informations au sujet de la configuration et de l utilisation de SDM, consultez le SDM Quick Start Guide : http://www.cisco.com/en/us/products/sw/secursw/ps5318/products_quick_start09186a0080511c89.h tml#wp44788 1) Définissez l adresse IP Fa0/0 du routeur (il s agit de l interface à laquelle un PC se connecte au moyen d un navigateur pour activer SDM. L adresse IP du PC doit être réglée sur 10.10.10.2 255.255.255.248). REMARQUE : Il est possible qu'un routeur SDM autre que le 1841 requière une connexion à un port différent pour accéder à SDM. Router(config)# interface Fa0/0 Router(config-if)# ip address 10.10.10.1 255.255.255.248 Router(config-if)# no shutdown 2) Activez le serveur HTTP/HTTPS du routeur, en utilisant les commandes Cisco IOS suivantes : Router(config)#ip http server Router(config)#ip http secure-server Router(config)#ip http authentication local Ce document contient des informations publiques Cisco. Page 7 sur 8
3) Créez un compte utilisateur avec le niveau de privilège 15 (activer les privilèges). Router(config)# username <username> privilege 15 password 0 <password> Remplacez <username> et <password> par le nom d utilisateur et le mot de passe que vous souhaitez configurer. 4) Configurez SSH et Telnet pour la connexion locale et le niveau de privilège 15 : Router(config)# line vty 0 4 Router(config-line)# privilege level 15 Router(config-line)# login local Router(config-line)# transport input telnet Router(config-line)# transport input telnet ssh Router(config-line)# exit Ce document contient des informations publiques Cisco. Page 8 sur 8