Tiếp theo chuỗi bài viết về NAT, trong bài viết này, chúng ta sẽ cùng nhau khảo sát về kỹ thuật NAT overload. Như thường lệ, việc khảo sát được tiến hành thông qua một bài lab ví dụ .

Sơ đồ

Mô tả

Trên hình 1 là mô hình lab mô phỏng một mạng doanh nghiệp có một đường truyền đi Internet. Trong đó:

• R1, R2 là các router thuộc về mạng nội bộ của doanh nghiệp (mạng Private):

• Router R2 đóng vai trò là router biên, thực hiện cung cấp đường ra Internet cho các thiết bị bên trong.
• Router R1 sử dụng các sub – interface đấu nối đến các VLAN của mạng doanh nghiệp và thực hiện định tuyến giữa các VLAN; trong đó VLAN 10 là VLAN đặt server, các VLAN 20 và 30 là các VLAN người dùng.

• Router Server được sử dụng để giả lập một server đặt tại VLAN 10, Server này sẽ được public lên môi trường Internet thông qua một IP Public được cấp bởi ISP.
• Router ISP giả lập môi trường Internet và đóng vai trò là gateway của ISP đấu nối xuống mạng doanh nghiệp để cung cấp đường đi Internet; Loopback 0 được tạo thêm trên ISP để giả lập một subnet trên Internet.
• Quy hoạch IP cho sơ đồ được chỉ ra như hình 1. Ngoài ra, ISP được cấu hình để rót về cho doanh nghiệp này một dải IP Public thuộc subnet 199.99.9.0/29 để phục vụ cho việc đi Internet của doanh nghiệp.

Trên mô hình lab này, chúng ta sẽ cùng nhau khảo sát việc sử dụng NAT overload để cung cấp việc đi Internet cho các user trên các VLAN, đồng thời thực hiện public server trên VLAN 10 lên Internet bằng Static NAT. Như vậy, các user sẽ đi Internet thông qua một số địa chỉ public được chỉ định và server sẽ được hosting lên mạng bằng một địa chỉ public tĩnh khác.

Thực hiện

Bước 1: Xây dựng mô hình ban đầu:

• Cấu hình đặt các địa chỉ IP trên các kết nối giữa các router theo quy hoạch IP đã được chỉ ra.
• R1 và R2 thực hiện chạy định tuyến EIGRP 100 đảm bảo mọi địa chỉ trong mạng thấy nhau. R2 cấu hình một default – route đi Internet và quảng bá default route này vào trong.
• R1 tạo các sub – interface đấu nối đến các VLAN 10, 20, 30 và thực hiện đặt IP trên các sub – interface tương ứng như được chỉ ra trên hình 1.
• Cấu hình router Server giả lập server của subnet 192.168.10.0/24 , nhận địa chỉ là 192.168.10.2.
• Cấu hình router ISP rót về cho mạng doanh nghiệp range IP 199.99.9.0/29.

Cấu hình

Đầu tiên, ta đặt IP cho các các thiết bị:

 

Tiếp theo, ta thực hiện chạy định tuyến EIGRP 100 trên các router R1 và R2 để đảm bảo các địa chỉ trên các mạng nội bộ thấy nhau và có thể đi được Internet:

Cấu hình router giả lập server của VLAN 10:

Cấu hình ISP rót subnet 199.99.9.0/29 xuống cho doanh nghiệp:

Khi một ISP rót một range IP nào đó cho doanh nghiệp, ISP sẽ đảm bảo về mặt định tuyến rằng mọi gói tin trên Internet đi đến range này sẽ được chuyển tới tay router biên của mạng doanh nghiệp. Trong trường hợp của bài lab này, chúng ta chỉ cần cấu hình một route tĩnh cho subnet 199.99.9.0/29 như ở trên để giả lập tình huống “rót IP public cho doanh nghiệp”.

Kiểm tra

Chúng ta cùng kiểm tra cấu hình ban đầu đã thực hiện.

Định tuyến nội bộ đã hội tụ:

R2 đã đi đến được các VLAN 10, 20 và 30:

Bên ngoài vùng Public, các địa chỉ public đi đến được nhau:

Bước 2: Public server 192.168.10.2 lên môi trường Internet

• Thực hiện cấu hình trên R2 đảm bảo các user trên Internet có thể truy nhập đến Server bằng cách đi đến địa chỉ 199.99.9.2.

Cấu hình

Ta thực hiện cấu hình NAT trên router R2 để đáp ứng yêu cầu đặt ra:

Để public một server nội bộ lên Internet, chúng ta thực hiện NAT tĩnh địa chỉ nội bộ của server này ở bên trong mạng thành một địa chỉ public tĩnh được cấp bởi ISP; trong bài lab này là 192.168.10.2 được NAT thành 199.99.9.2. Lúc này, các user trên Internet muốn đi đến server này sẽ thực hiện truy nhập đến địa chỉ public 199.99.9.2. Ta nói địa chỉ 199.99.9.2 là địa chỉ đại diện của server trên Internet. Các user trong mạng nội bộ vẫn thực hiện truy nhập đến server này bằng địa chỉ nội bộ 192.168.10.2.

Kỹ thuật Static NAT này đã được khảo sát chi tiết trong bài viết số 2 về chuyên đề NAT nên ta sẽ không phân tích kỹ hơn trong bài viết này. Việc public server bằng Static NAT được lặp lại trong bài lab này chỉ với mục đích làm phong phú thêm kịch bản lab. Chúng ta không khảo sát lại kỹ thuật Static NAT.

Kiểm tra

Sau khi cấu hình xong, chúng ta thực hiện một số thao tác kiểm tra.

Trước hết, chúng ta quan sát bảng NAT của router R2:

Ta có thể từ một host bên ngoài ping đến được server bên trong thông qua IP đại diện 199.99.9.2:

Server 192.168.10.2 cũng có thể đi Internet được bằng cách sử dụng địa chỉ public 199.99.9.2:

Bước 3: NAT overload thành địa chỉ cổng outside

• Cấu hình NAT để tất cả các địa chỉ còn lại trong mạng nội bộ có thể đi được Internet bằng cách sử dụng địa chỉ đấu nối trên cổng outside F0/1 của router biên R2.

Cấu hình

Ta cấu hình NAT overload trên R2 để thực hiện yêu cầu trên:

Như đã trình bày trong bài viết lý thuyết tổng quan, NAT overload cho phép NAT nhiều địa chỉ bên trong thành một địa chỉ bên ngoài bằng cách sử dụng thêm thông số port trong thao tác NAT.  Do đó, ta còn gọi NAT overload là PAT (Port Address Translation). Trong ví dụ này, chúng ta thực hiện NAT toàn bộ các địa chỉ bên trong thành địa chỉ IP đấu nối trên cổng F0/1 của R2. Để mô tả “tất cả các địa chỉ bên trong”, chúng ta sử dụng một access – list permit tất cả (“access-list 1 permit any”). Tiếp theo, chúng ta chỉ việc yêu cầu router NAT ACL “tất cả” này thành địa chỉ cổng outside F0/1 của router (“ip nat inside source list 1 interface f0/1 overload”).

Kiểm tra

Ta thực hiện kiểm tra rằng các địa chỉ bên trong mạng nội bộ đã đi được Internet:

Bảng NAT trên router R2 cho thấy rằng các địa chỉ nội bộ đã được NAT thành địa chỉ đấu nối:

Từ bảng NAT ta thấy, tuy tất cả các địa chỉ bên trong đều được NAT chung thành một địa chỉ đấu nối nhưng các session khác nhau được NAT sử dụng các port khác nhau nên chúng được phân biệt hoàn toàn và không ảnh hưởng đến nhau.

Ta cũng để ý rằng NAT overload không tạo ra các entry NAT non – extendable như với Dynamic NAT nên các host từ bên ngoài không thể khởi tạo kết nối đến các host bên trong mà chỉ có thể đi đến các host bên trong thông qua kết nối trả về cho các kết nối đã khởi tạo trước đó từ các host bên trong.

Bước 4: NAT overload với pool

Hiệu chỉnh lại cấu hình NAT overload đã thực hiện đảm bảo yêu cầu sau:

• VLAN 20 sẽ đi Internet bằng địa chỉ 199.99.9.3 trong range IP được cấp bởi ISP.
• VLAN 30 sẽ đi Internet bằng địa chỉ 199.99.9.4 trong range IP được cấp bởi ISP.
• Các user khác vẫn tiếp tục đi Internet bằng địa chỉ trên cổng outside của R2.

Cấu hình

Trên R2:

Một yêu cầu đặt ra khi doanh nghiệp có nhiều địa chỉ IP public được cấp phát là họ muốn sử dụng các IP public khác nhau cho các subnet khác nhau ở bên trong đi Internet thay vì chỉ sử dụng một địa chỉ bên ngoài cho tất cả các địa chỉ bên trong như đã thực hiện ở bước 3. Điều này giúp doanh nghiệp tận dụng được tất cả các IP được cấp phát cũng như có thể thực hiện tốt hơn các vấn đề về quản lý và bảo mật.

Giải pháp được sử dụng cho trường hợp này là ta có thể chia range IP public được cấp thành nhiều pool và thực hiện NAT các subnet nội bộ thành các pool tương ứng, từ đó mỗi subnet sẽ đi Internet bằng cách sử dụng IP public trong pool riêng của mình. Trong ví dụ đang xét, chúng ta tạo pool VLAN 20 chứa địa chỉ 199.99.9.3 dành riêng cho subnet của VLAN 20 và pool VLAN 30 chứa địa chỉ 199.99.9.4 dành riêng cho subnet của VLAN 30. Kế tiếp, chúng ta viết các ACL 20 và 30 đề cập đến các subnet IP của VLAN 20 và 30 rồi thực hiện NAT các ACL này thành các pool tương ứng đã khai báo. Điểm khác biệt so với NAT pool của cấu hình Dynamic NAT one – to – one là trong trường hợp này ta dùng thêm tùy chọn “overload” cho các câu lệnh NAT để cho phép NAT một ACL nhiều địa chỉ thành một pool ít địa chỉ hơn.

Kiểm tra

Ta thực hiện kiểm tra cấu hình NAT đã thực hiện.

Thực hiện đi Internet từ VLAN 20:

Quan sát bảng NAT trên R2:

Ta thấy rằng VLAN 20 đã sử dụng địa chỉ 199.99.9.3 để đi Internet.

Ta tiếp tục kiểm tra với việc đi Internet của VLAN 30:

Ta thấy rằng VLAN 30 đã sử dụng địa chỉ 199.99.9.4 đúng theo yêu cầu đặt ra.

Ta cũng thử kiểm tra rằng các IP thuộc các subnet khác vẫn đi Internet bằng cách sử dụng IP public trên cổng outside:

Như vậy, việc đi Internet của các user trong mạng nội bộ đã diễn ra đúng theo yêu cầu đặt ra.

Trên đây, chúng ta đã thực hiện xong một kịch bản lab ví dụ về triển khai NAT trong mạng doanh nghiệp; trong đó, server của doanh nghiệp được public lên Internet bằng Static NAT còn các user còn lại đi Internet bằng cách sử dụng chung một IP Public thông qua NAT overload. Ta cũng thực hiện giải pháp chia tải trên các IP Public thông qua NAT overload các pool khác nhau cho nhiều subnet nội bộ khác nhau. Trong các bài viết sắp tới, chúng ta sẽ tiếp tục tìm hiểu một số kỹ thuật khác thường được sử dụng trong NAT.

TRUNG TÂM WAREN