CCP (Cisco Config Pro) - cấu hình router cisco thông qua GUI

Lab này mình sẽ giả lập router cisco thông qua GNS3, và liên kết với CCP nhé.


Link tải CCP:  Tại đây.


Chuận bị đồ hình, 

Kết quả kết nối,

Sau khi cài đặt CCP và Java,

Tiến hành cấu hình Java,

Chạy CCP với quyền administrator

Tick chọn checkbox,

Điền thông tin Router  muốn kết nối bao gồm, ip address, user và password xác thực. Sau đó nhấn vào Discover.

Kết quả kết nối,

Ta khảo sát cấu hình DHCP service cho Router C2961 nhé,

Bạn cũng có thể save lại thành file cấu hình txt nhé.

Show Run trong GNS3, ta thấy config đã được thực thi.

Kết thúc bài lab.

Open Port (Port Forwarding) trong Router cisco

Có rất nhiều dịch vụ trong mạng Lan khi triển khai hệ thống, nhà quảng trị cần Openport ra ngoài để tiện cho việc bảo trì, nâng cấp hệ thống như Remote Desktop Connection, SSH, Web server, FTP....

Xây dựng đồ hình sau:

Trên router Web,


hostname Web
!

!
interface FastEthernet0/1
 ip address 172.16.18.3 255.255.255.0
 duplex auto
 speed auto
!

ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 172.16.18.1
!
!
ip http server //gia lap web server

Trên router SSH



hostname SSH
!

!
enable password enablepass
!

ip domain name dotech.vn  //muc dich dung te tao key rsa

!
!
username cisco password 0 123456 //thong tin chung thuc ssh
!

ip ssh version 2
!
!
!
!
!
interface FastEthernet0/0
 ip address 172.16.18.2 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 172.16.18.1
!
!
line vty 0 4  //5 phien ket noi cung 1 luc
 login local
 transport input ssh
!

Trên router NAT


hostname NAT
!
!
!
interface FastEthernet0/0
 ip address 10.10.10.1 255.255.255.252
 ip nat outside


!
interface FastEthernet1/0
 ip address 172.16.18.1 255.255.255.0
 ip nat inside


!
!

ip nat inside source static tcp 172.16.18.2 22 10.10.10.1 22 // openport dich vu ssh
ip nat inside source static tcp 172.16.18.3 80 10.10.10.1 8080 //openport dich vu web
!

Trên Router Remote 


hostname Remote
!

!
!
!
interface FastEthernet0/0
 ip address 10.10.10.2 255.255.255.252
 !

!

Tiến hành kiểm tra kết quả,

-Dịch vụ web,

Remote#telnet 10.10.10.1 8080
Trying 10.10.10.1, 8080 ... Open

Phiên kết nối phía client hiện thị như sau,


Web#sh ip http server connection

HTTP server current connections:
local-ipaddress:port  remote-ipaddress:port in-bytes   out-bytes
    172.16.18.3:80         10.10.10.2:56152 6          0

-Dịch vụ SSH,


 Remote#ssh -l cisco 10.10.10.1
Password:

SSH>en
Password:
SSH#




 

Wmware Workstation pro và GNS3

Thực tế, ta có thể liên kết cloud thông qua interface loopback của windows cho mục đích xây dựng lab GNS3, các dịch vụ cần thiết như http server, thực hành Access control lists...

Nhưng, sẽ rất bất tiện và không chuyên nghiệp, mình sẽ hướng dẫn các bạn cài wmware workstation pro và cấu hình interface giao tiếp với GNS3.

Sau khi tải về từ trang chủ và cài đặt như 1 phần mềm thông thường,

Ta cài wmware XP sp3 để giả lập host,

Vào menu File chọn New Virtual Machine,

Chọn source ISO,

Điền serial key cài đặt windows Xp,

Sau khi hoàn tất, ta vào tắt chế độ Firewall trong Windows Xp để giao thức Ping (ICMP) hoạt động tốt mà không bị lỗi timeout khi triển khai labs GNS3.

Vào control panel thao tác như ảnh,

 

 Thêm interface ảo cho (dùng cho kết nối Cloud trong GNS3)

Chọn change settings,

Bạn có thể add nhiều interfaces nếu cần,

Ok, ở trên mình thêm interface VMnet2,
Bây giờ ta tiến hành kết nối WMware và GNS3 nhé,

Nối dây, ta chọn interface VMnet2,

Xây dựng đồ hình lab sau, lựa chọn giao thức định tuyến phù hợp Static route, Rip v2, OSPF....

Kết quả,

Giả lập http server trong GNS3

Một số trường hợp bạn cần test ACL khi học CCNA, ta cần giả lập http server.

Xây dựng đồ hình lab sau:

Đặt IP cho card loopback

Các lệnh giả lập sau cho R1,

R1(config)#ip http server // có thể dùng ip http secure-server

R1(config)#ip http authentication local
R1(config)#ip http port 80

---Tạo user xác thực,

 R1(config)#user abc privilege 15 password 12345


Thực hiện ping trên windows

 Kết quả test đăng nhập,

ACL - Access Control Lists

Access control list (ACL) là một danh sách các câu lệnh được áp đặt vào các cổng (Interface) của thiết bị mạng. Danh sách này chỉ ra loại packet nào được chấp nhận và loại packet nào bị hủy bỏ. Người ta ví ACLs như 1 chính sách của Firewall.
 

+STANDARD ACL

- standard ACL thiết lập  permit or deny trafiic dựa vào địa chỉ nguồn. Nó là dạng căn bản.

Cấu trúc lệnh:  

ACL number for the standard ACLs has to be between 1–99 and 1300–1999.

R1(config)# access-list ACL_NUMBER permit|deny host IP_ADDRESS|IP_ADDRESS WILDCARD_MASK|any

Lưu ý:

-Sau câu lệnh permit mặc định là deny, ta không cần thêm lệnh deny.
-Sau câu lệnh deny là mặc định deny tất cả, nên ta cần phải thêm permit phía sau lệnh deny. 

Ta khảo sát dạng Standard ACLs thông qua đồ hình sau:

Cấu hình các PCs trong LAN, và interface cho Router.

PC-1> ip 20.20.20.2/24 20.20.20.1

PC-2> ip 10.10.10.2/24 10.10.10.1

PC-3> ip 30.30.30.5/24 30.30.30.1

interface FastEthernet0/0

 ip address 20.20.20.1 255.255.255.0

 duplex auto

 speed auto

!

interface FastEthernet0/1

 ip address 10.10.10.1 255.255.255.0

 duplex auto

 speed auto

!

interface FastEthernet1/0

 ip address 30.30.30.1 255.255.255.0

 duplex auto

 speed auto

Tiến hành permit subnet 10.10.10.0/24 truy cập đến Server, mặc định nó sẽ deny các subnet khác.

R1(config)#access-list 1 permit 10.10.10.0 0.0.0.255 

==>chỉ cho phép subnet 10 truy cập đến server.

Ta áp lên interface f1/0 theo chiều out

R1(config-if)#ip access-group 1 out

Ta kiểm tra lại kết quả trên PC1, và PC2

PC-1> ping 30.30.30.5

*20.20.20.1 icmp_seq=1 ttl=255 time=10.000 ms (ICMP type:3, code:13, Communicati                                on administratively prohibited)

*20.20.20.1 icmp_seq=2 ttl=255 time=2.001 ms (ICMP type:3, code:13, Communicatio                                n administratively prohibited)

*20.20.20.1 icmp_seq=3 ttl=255 time=1.000 ms (ICMP type:3, code:13, Communicatio                                n administratively prohibited)

*20.20.20.1 icmp_seq=4 ttl=255 time=4.000 ms (ICMP type:3, code:13, Communicatio                                n administratively prohibited)

*20.20.20.1 icmp_seq=5 ttl=255 time=9.000 ms (ICMP type:3, code:13, Communicatio                                n administratively prohibited)

PC-2> ping 30.30.30.5

84 bytes from 30.30.30.5 icmp_seq=1 ttl=63 time=19.001 ms

84 bytes from 30.30.30.5 icmp_seq=2 ttl=63 time=13.001 ms

84 bytes from 30.30.30.5 icmp_seq=3 ttl=63 time=19.001 ms

84 bytes from 30.30.30.5 icmp_seq=4 ttl=63 time=12.000 ms

84 bytes from 30.30.30.5 icmp_seq=5 ttl=63 time=20.001 ms

Kết quả như mong đợi, làm ngược lại nhé, nhưng có 1 điều thú vị ở đay khi bạn dùng câu lệnh deny thì phải permit ở cuối ACL. Không thì ACL sẽ block tát cả các subnets khác trong LAN

R1(config)#access-list 2 deny 10.10.10.0 0.0.0.255

R1(config)#access-list 2 permit any

R1(config-if)#ip access-group 2 out

==> chỉ cho phép subnet 20 truy cập đến server.

Kiểm tra kết quả,

PC-1> ping 30.30.30.5

84 bytes from 30.30.30.5 icmp_seq=1 ttl=63 time=19.001 ms

84 bytes from 30.30.30.5 icmp_seq=2 ttl=63 time=12.001 ms

84 bytes from 30.30.30.5 icmp_seq=3 ttl=63 time=20.001 ms

84 bytes from 30.30.30.5 icmp_seq=4 ttl=63 time=12.000 ms

84 bytes from 30.30.30.5 icmp_seq=5 ttl=63 time=20.001 ms

PC-2> ping 30.30.30.5

*10.10.10.1 icmp_seq=1 ttl=255 time=8.000 ms (ICMP type:3, code:13, Communication administratively prohibited)

*10.10.10.1 icmp_seq=2 ttl=255 time=10.001 ms (ICMP type:3, code:13, Communication administratively prohibited)

*10.10.10.1 icmp_seq=3 ttl=255 time=9.001 ms (ICMP type:3, code:13, Communication administratively prohibited)

*10.10.10.1 icmp_seq=4 ttl=255 time=10.000 ms (ICMP type:3, code:13, Communication administratively prohibited)

*10.10.10.1 icmp_seq=5 ttl=255 time=4.000 ms (ICMP type:3, code:13, Communication administratively prohibited)

-EXTENDED ACL 

Thiết lập permit or deny traffic dựa vào địa chỉ nguồn, địa chỉ đích cùng với các giao thức tcp/udp/icmp trafic. Nó là dạng nâng cao, chi tiết.

Cấu trúc lệnh:

-Theo số,

Router(config)#access-list ACL_Identifier_number permit|deny IP_protocol

source_address  source_wildcard_mask [protocol_information] destination_address destination_wildcard_mask [protocol_information]

-Theo tên,

Router(config)#ip access-list extended ACL_name_number

Router(config-ext-acl)# permit|deny IP_protocol source_IP_address wildcard_mask [protocol_information] destination_IP_address wildcard_mask [protocol_information] 

Xây dựng đồ hình lab,

Yêu cầu: windows Xp không thể telnet đến R2, nhưng có thể duyệt web qua R2.

Cấu hinh cơ bản,

-IP cho Windows XP sp3,

Cầu hình IP cho PC1,

Cấu hình R1,

!
interface FastEthernet0/0
 ip address 10.10.10.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 20.20.20.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet1/0
 no ip address
 shutdown
 duplex auto
 speed auto
!
ip forward-protocol nd
ip route 30.30.30.0 255.255.255.0 FastEthernet0/1 //static route

Cấu hình R2,

enable password @123 //pass enable cho phep tenet
 
 line vty 0 4
 password 12345 //password telnet
 login


!
username abc privilege 15 password 0 abc123
archive
 log config
  hidekeys
!
!
!
ip http server
ip http authentication local!
ip tcp synwait-time 5
!
!
!
!
interface FastEthernet0/0
 ip address 30.30.30.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet0/1
 ip address 20.20.20.2 255.255.255.0
 duplex auto
 speed auto
!
ip forward-protocol nd
ip route 10.10.10.0 255.255.255.0 FastEthernet0/1 .//static route
!
!

Từ window XP kiểm tra telnet và dịch dụ web đến R2 thông qua IP 20.20.20.2


Kích hoạt dịch vụ telnet trên Window XP,

Kết quả telnet thành công,

Duyệt web đến R2,

Triễn khai ACL extended,

Yêu cầu: windows Xp không thể telnet đến R2, nhưng có thể duyệt web qua R2.

Cấu hình trên R2,


R2(config)# access-list 100 deny  tcp host 10.10.10.2 host 20.20.20.2 eq telnet
R2(config)# access-list 100 permit tcp any any
 
Áp lên interface f0/1 của R2,

R2(config)# interface FastEthernet0/1
R2(config-if)#ip access-group 100 in

 Kiểm tra kết quả- như mong đợi.

VPN site to site (IPsec)

Từ mô hình thực tế, ta xây dựng đồ hình lab sau trên GNS3.

Cấu hình VPN rất đơn giản qua 2 pha,

Pha 1:  Configure ISAKMP (ISAKMP Phase 1)
Pha 2: Configure IPSec  (ISAKMP Phase 2, ACLs, Crypto MAP)

Trải qua 5 bước thiết lập,

Bước 1: Host A ping 1 traffic sang host B
Bước 2: Hai router đàm phán thiết lâp IKE pha 1
Bước 3:Tiếp tục đàm phán thiết lâp IKE pha 2
Bước 4: Trao đổi thông tin thông qua đường hầm IPSEC.
Bước 5: Kết thúc quá trình trao đổi và chấm dứt tunnel IPSEC

Các thiết lệnh thiết lập căn bản ban đầu,

-Trên PC1,

PC-1> ip 10.10.10.2/24 10.10.10.1

-Trên PC2,

PC-2> ip 20.20.20.2/24 20.20.20.1

-Trên Router R1,

 --------------------Default gate của LAN.

R1(config)#int f0/1
R1(config-if)#ip add 10.10.10.2 255.255.255.0
R1(config-if)#no shut

-------------------IP public ta thuê từ ISP (1.1.1.1)

R1(config-if)#int f0/0
R1(config-if)#ip add 1.1.1.1 255.255.255.0
R1(config-if)#no shut

-Trên Router R2,

--------------------Default gate của LAN.

R2(config)#int f0/1
R2(config-if)#ip add 20.20.20.2 255.255.255.0
R2(config-if)#no shut

 -------------------IP public ta thuê từ ISP (1.1.1.2)

R2(config-if)#int f0/0
R2(config-if)#ip add 1.1.1.2 255.255.255.0
R2(config-if)#no shut

Cấu hình các thông số đàm phán Phase 1 cho 2 router,

• Kiểu mã hóa
• Thuật toán băm MD5 để xác thực
• Kiểu xác thực
• Group DH sử dụng để trao đổi khóa
• Lifetime: Quy đinh thời gian sống của đường hầm

Trên Router R1,

R1(config)#  crypto isakmp policy 1

R1(config-isakmp)# encr 3des

R1(config-isakmp)# hash md5

R1(config-isakmp)# authentication pre-share

R1(config-isakmp)# group 2

R1(config-isakmp)# lifetime 86400 

Trên Router R2,

R2(config)# crypto isakmp policy 1

R2(config-isakmp)# encr 3des

R2(config-isakmp)# hash md5

R2(config-isakmp)# authentication pre-share

R2(config-isakmp)# group 2

R2(config-isakmp)# lifetime 86400

 Xác định thông tin key và peer.

Trên R1,

R1(config)# crypto isakmp key firewallcx address 1.1.1.2

Trên R2,

R2(config)# crypto isakmp key firewallcx address 1.1.1.1

Tạo ACL cho 2 chi nhánh tham gia VPN.

Trên R1,

R1(config)# ip access-list extended VPN-TRAFFIC
R1(config-ext-nacl)# permit ip 10.10.10.0 0.0.0.255 20.20.20.0 0.0.0.255

 Trên R2,

R2(config)# ip access-list extended VPN-TRAFFIC

R2(config-ext-nacl)# permit ip 20.20.20.0 0.0.0.255 10.10.10.0 0.0.0.255

-Cấu hình thông số cho Phase 2  cho 2 router,

 -Tạo IP set transform

 R1(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac

 R2(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac

-Tạo cryto map 

Trên  R1,

R1(config)# crypto map CMAP 10 ipsec-isakmp

R1(config-crypto-map)# set peer 1.1.1.2

R1(config-crypto-map)# set transform-set TS

R1(config-crypto-map)# match address VPN-TRAFFIC

 Trên R2,

R2(config)# crypto map CMAP 10 ipsec-isakmp

R2(config-crypto-map)# set peer 1.1.1.1

R2(config-crypto-map)# set transform-set TS

R2(config-crypto-map)# match address VPN-TRAFFIC

Gán cryto map lên interface của ip public

Trên R1,

R1(config)# interface FastEthernet0/0

R1(config- if)# crypto map CMAP

Trên R2,

 R2(config)# interface FastEthernet0/0

R2(config- if)# crypto map CMAP

Để PC từ các chi nhánh có thể ping thấy nhau ta cầu static router,

R1(config)# ip route 0.0.0.0 0.0.0.0 FastEthernet0/0

R2(config)# ip route 0.0.0.0 0.0.0.0 FastEthernet0/0

 Tiến hành thiết lập kết nối, từ PC1 ta thực hiện ping sang PC2.

PC-1> ping 20.20.20.2
20.20.20.2 icmp_seq=1 timeout
20.20.20.2 icmp_seq=2 timeout
84 bytes from 20.20.20.2 icmp_seq=3 ttl=62 time=28.005 ms
84 bytes from 20.20.20.2 icmp_seq=4 ttl=62 time=28.030 ms
84 bytes from 20.20.20.2 icmp_seq=5 ttl=62 time=28.076 ms

Kết quả show các lệnh VPN trên các Router

Xem thiết lập kết nối.

 
R1#sh crypto session

Crypto session current status

Interface: FastEthernet0/0
Session status: UP-ACTIVE
Peer: 1.1.1.2 port 500
  IKE SA: local 1.1.1.1/500 remote 1.1.1.2/500 Active
  IPSEC FLOW: permit ip 10.10.10.0/255.255.255.0 20.20.20.0/255.255.255.0
        Active SAs: 2, origin: crypto map

R1#sh crypto isakmp sa
 
IPv4 Crypto ISAKMP SA
dst             src             state          conn-id slot status
1.1.1.2         1.1.1.1         QM_IDLE           1001    0 ACTIVE

IPv6 Crypto ISAKMP SA

 R2#sh crypto session

Crypto session current status

Interface: FastEthernet0/0
Session status: UP-ACTIVE
Peer: 1.1.1.1 port 500
  IKE SA: local 1.1.1.2/500 remote 1.1.1.1/500 Active
  IPSEC FLOW: permit ip 20.20.20.0/255.255.255.0 10.10.10.0/255.255.255.0
        Active SAs: 2, origin: crypto map

R2#sh crypto isakmp sa

 
IPv4 Crypto ISAKMP SA
dst             src             state          conn-id slot status
1.1.1.2         1.1.1.1         QM_IDLE           1001    0 ACTIVE

IPv6 Crypto ISAKMP SA 

Xem các gói tin đóng gói mã hóa và giải mã,

R1#sh crypto ipsec sa

interface: FastEthernet0/0
    Crypto map tag: CMAP, local addr 1.1.1.1

   protected vrf: (none)
   local  ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (20.20.20.0/255.255.255.0/0/0)
   current_peer 1.1.1.2 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 20, #pkts encrypt: 20, #pkts digest: 20
    #pkts decaps: 22, #pkts decrypt: 22, #pkts verify: 22

 Kết thúc bài lab

--------- ĐÂU CHỈ CÓ THẾ?

Trên thực tế ta thường triển khai công nghệ VPN cùng với PPPOE tức là người dùng trong LAN vừa muốn truy cập internet vừa truy cập VPN phía chi nhánh khác. Vậy phải làm sau đây?

Thông thường ta thường cấu hình ACL để NAT overload phục vụ việc quay số PPPOE như sau:

R1(config)# ip nat inside source list 100 interface fastethernet0/0 overload

R1(config)# access-list 100 permit ip 10.10.10.0 0.0.0.255 any

R1(config)# access-list 100 remark

Nếu như vậy, từ host A khi ping đén host 20.20.20.2 (PC2 đầu xa) thì phương thức NAT overload vẫn được thực thi 1 cách vô nghĩa, ta hãy phân luồn traffic ACL như sau

--Dùng cho VPN

--Dùng cho quay số PPPOE 

===> Chỉ NAT overload cho packets nào ra internet, deny (không NAT overload) packets nào đến VPN đầu xa.

 

R1(config)# access-list 100 remark -=[Define NAT Service]=-

R1(config)# access-list 100 deny ip 10.10.10.0 0.0.0.255 20.20.20.0 0.0.0.255 //không thực thi NAT overload

R1(config)# access-list 100 permit ip 10.10.10.0 0.0.0.255 any //ra internet luôn thực thi NAT overload

R1(config)# access-list 100 remark_--[END]

R1(config)# ip nat inside source list 100 interface fastethernet0/1 overload

NAT-Network Address Translation

NAT là kĩ thuật cho phép ánh xạ một hoặc 1 dãy IP từ một miền sang một hoặc 1 dãy IP ngoại miền.

Static NAT.

Cho phép router chuyển đổi one-to-one từ địa chỉ inside local sang outside global.

Xây dựng đồ hình.

Phía client

R2(config)#hostname client
client(config)#int f0/0
client(config-if)#ip add 10.10.10.1 255.255.255.0
client(config-if)#no shut


client(config-if)#int f1/0
client(config-if)#ip add 192.168.0.1 255.255.255.0
client(config-if)#no shut

Phía ISP

ISP(config)#int f0/0
ISP(config-if)#ip add 20.20.20.1 255.255.255.0
ISP(config-if)#no shut

ISP(config-if)#int f1/0

ISP(config-if)#ip add 192.168.0.2 255.255.255.0

ISP(config-if)#no shut

Đặt IP cho 2 PC1-2

PC-1> ip 10.10.10.2/24 10.10.10.1

PC-2> ip 20.20.20.2/24 20.20.20.1

----------Cấu hình NAT trên router client

client(config-if)#int f0/0
client(config-if)#ip nat inside

client(config-if)#int f1/0
client(config-if)#ip nat outside

client(config)#ip nat inside source static 10.10.10.2 113.161.160.15

--------Cấu hình route cho Client và ISP

client(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.2

ISP(config)#ip route 113.161.160.15 255.255.255.255 192.168.0.1

Phía Client trước khi ping ta bật chế độ debug,

Phía ISP, khi ping về client ta phải ping IP public, nếu ping IP private thì Destination host unreachable vì bảng route của ISP chỉ có route về client bằng IP public
Tiến hành kiểm tra kết quả,

ISP#sh ip route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

       E1 - OSPF external type 1, E2 - OSPF external type 2

       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

       ia - IS-IS inter area, * - candidate default, U - per-user static route

       o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

       + - replicated route, % - next hop override Gateway of last resort is not set

      20.0.0.0/8 is variably subnetted, 2 subnets, 2 masks

C        20.20.20.0/24 is directly connected, FastEthernet0/0

L        20.20.20.1/32 is directly connected, FastEthernet0/0

      113.0.0.0/32 is subnetted, 1 subnets

S        113.161.160.15 [1/0] via 192.168.0.1

      192.168.0.0/24 is variably subnetted, 2 subnets, 2 masks

C        192.168.0.0/24 is directly connected, FastEthernet1/0

L        192.168.0.2/32 is directly connected, FastEthernet1/0

client#debug ip nat

IP NAT debugging is on

PC-1> ping 20.20.20.2

84 bytes from 20.20.20.2 icmp_seq=1 ttl=62 time=36.002 ms

84 bytes from 20.20.20.2 icmp_seq=2 ttl=62 time=40.003 ms

84 bytes from 20.20.20.2 icmp_seq=3 ttl=62 time=29.002 ms

84 bytes from 20.20.20.2 icmp_seq=4 ttl=62 time=29.001 ms

84 bytes from 20.20.20.2 icmp_seq=5 ttl=62 time=29.001 ms

client#sh ip nat translations

Pro     Inside global                    Inside local       Outside local      Outside global
icmp 113.161.160.15:23975 10.10.10.2:23975 20.20.20.2:23975  20.20.20.2:23975
icmp 113.161.160.15:24487 10.10.10.2:24487 20.20.20.2:24487  20.20.20.2:24487
icmp 113.161.160.15:24999 10.10.10.2:24999 20.20.20.2:24999  20.20.20.2:24999
icmp 113.161.160.15:25255 10.10.10.2:25255 20.20.20.2:25255  20.20.20.2:25255
icmp 113.161.160.15:25511 10.10.10.2:25511 20.20.20.2:25511  20.20.20.2:25511

client#

*Dec 24 16:11:50.859: NAT: Entry assigned id 22

*Dec 24 16:11:50.859: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [41687]

*Dec 24 16:11:52.859: NAT: Entry assigned id 23

*Dec 24 16:11:52.859: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [41688]

*Dec 24 16:11:53.891: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [41687]

*Dec 24 16:11:53.891: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [41688]

*Dec 24 16:11:54.859: NAT: Entry assigned id 24

*Dec 24 16:11:54.859: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [41689]

*Dec 24 16:11:54.891: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [41689]

PC-2> ping  10.10.10.2

*20.20.20.1 icmp_seq=1 ttl=255 time=39.002 ms (ICMP type:3, code:1, Destination host unreachable)

*20.20.20.1 icmp_seq=2 ttl=255 time=9.000 ms (ICMP type:3, code:1, Destination host unreachable)

*20.20.20.1 icmp_seq=3 ttl=255 time=9.001 ms (ICMP type:3, code:1, Destination host unreachable)

*20.20.20.1 icmp_seq=4 ttl=255 time=9.001 ms (ICMP type:3, code:1, Destination host unreachable)

*20.20.20.1 icmp_seq=5 ttl=255 time=9.000 ms (ICMP type:3, code:1, Destination host unreachable)

PC-2> ping 113.161.160.15

84 bytes from 113.161.160.15 icmp_seq=1 ttl=62 time=28.001 ms

84 bytes from 113.161.160.15 icmp_seq=2 ttl=62 time=29.001 ms

84 bytes from 113.161.160.15 icmp_seq=3 ttl=62 time=21.001 ms

84 bytes from 113.161.160.15 icmp_seq=4 ttl=62 time=29.002 ms

84 bytes from 113.161.160.15 icmp_seq=5 ttl=62 time=29.002 ms

client#

Dec 24 16:21:35.211: NAT: Entry assigned id 32

*Dec 24 16:21:35.211: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [42272]

*Dec 24 16:21:35.215: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [42272]

*Dec 24 16:21:36.239: NAT: Entry assigned id 33

*Dec 24 16:21:36.239: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [42273]

*Dec 24 16:21:36.247: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [42273]

*Dec 24 16:21:37.263: NAT: Entry assigned id 34

*Dec 24 16:21:37.263: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [42274]

*Dec 24 16:21:37.267: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [42274]

*Dec 24 16:21:38.291: NAT: Entry assigned id 35

*Dec 24 16:21:38.291: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [42275]

*Dec 24 16:21:38.295: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [42275]

*Dec 24 16:21:39.323: NAT: Entry assigned id 36

*Dec 24 16:21:39.323: NAT*: s=20.20.20.2, d=113.161.160.15->10.10.10.2 [42276]

*Dec 24 16:21:39.327: NAT*: s=10.10.10.2->113.161.160.15, d=20.20.20.2 [42276]

NAT overload with public pool

Nat pool: cho phép chuyển đổi các IP nội bộ thành 1 IP trong dãy IP public.

Xây dựng đồ hình lab

Cấu hình cho các PC,

PC-1> ip 20.20.20.2/24 20.20.20.1
PC-2> ip 10.10.10.2/24 10.10.10.1
PC-3> ip 30.30.30.2/24 30.30.30.1

Trên router R1,

interface FastEthernet0/0
 ip address 192.168.1.1 255.255.255.0
 ip nat outside
 duplex full
!
interface FastEthernet1/0
 ip address 20.20.20.1 255.255.255.0
 ip nat inside
 speed auto
 duplex auto
!
interface FastEthernet1/1
 ip address 10.10.10.1 255.255.255.0
 ip nat inside
 speed auto
 duplex auto
!
interface FastEthernet2/0
 ip address 30.30.30.1 255.255.255.0
 ip nat inside
 duplex full
!
ip nat pool NATPOOL 172.16.18.12 172.16.18.16 netmask 255.255.255.0
ip nat inside source list 1 pool NATPOOL overload //thực hiện NAT overload với NAT pool.
ip forward-protocol nd
!
!
no ip http server
no ip http secure-server
!
access-list 1 permit any //định nghĩa ACL cho phép tất cả các subnet 10,20,30.
!
!

 Trên router R2,


      interface FastEthernet0/0
      ip address 192.168.1.2 255.255.255.0
       duplex full
      !
     ip forward-protocol nd
      !
      !
     no ip http server
     no ip http secure-server
    ip route 172.16.18.0 255.255.255.0 192.168.1.1 

Thực hiện debug trên R1,

R1#debug ip nat

Tiến hành ping -t các PC 1,2,3 đến IP 192.168.1.2

R1#
*Jan 28 20:28:13.507: NAT: Entry assigned id 1254
*Jan 28 20:28:13.507: NAT*: ICMP id=27907->1024
*Jan 28 20:28:13.507: NAT*: s=20.20.20.2->172.16.18.12, d=192.168.1.2 [877]
*Jan 28 20:28:13.535: NAT*: ICMP id=1024->27907
*Jan 28 20:28:13.535: NAT*: s=192.168.1.2, d=172.16.18.12->20.20.20.2 [877]
R1#
*Jan 28 20:28:14.563: NAT: Entry assigned id 1255
*Jan 28 20:28:14.563: NAT*: ICMP id=28163->1025
*Jan 28 20:28:14.563: NAT*: s=20.20.20.2->172.16.18.12, d=192.168.1.2 [878]
*Jan 28 20:28:14.587: NAT*: ICMP id=1025->28163
*Jan 28 20:28:14.587: NAT*: s=192.168.1.2, d=172.16.18.12->20.20.20.2 [878]
R1#
*Jan 28 20:28:15.643: NAT: Entry assigned id 1256
*Jan 28 20:28:15.643: NAT*: ICMP id=28419->1026
*Jan 28 20:28:15.643: NAT*: s=20.20.20.2->172.16.18.12, d=192.168.1.2 [879]
*Jan 28 20:28:15.659: NAT*: ICMP id=1026->28419
*Jan 28 20:28:15.659: NAT*: s=192.168.1.2, d=172.16.18.12->20.20.20.2 [879]
R1#
*Jan 28 20:28:16.699: NAT: Entry assigned id 1257
*Jan 28 20:28:16.699: NAT*: ICMP id=28931->1027
*Jan 28 20:28:16.699: NAT*: s=20.20.20.2->172.16.18.12, d=192.168.1.2 [880]
*Jan 28 20:28:16.727: NAT*: ICMP id=1027->28931
*Jan 28 20:28:16.727: NAT*: s=192.168.1.2, d=172.16.18.12->20.20.20.2 [880]
R1#
*Jan 28 20:28:17.767: NAT: Entry assigned id 1258
*Jan 28 20:28:17.767: NAT*: ICMP id=29187->1028
*Jan 28 20:28:17.767: NAT*: s=20.20.20.2->172.16.18.12, d=192.168.1.2 [881]
*Jan 28 20:28:17.803: NAT*: ICMP id=1028->29187
*Jan 28 20:28:17.803: NAT*: s=192.168.1.2, d=172.16.18.12->20.20.20.2 [881]
R1#
*Jan 28 20:28:24.591: NAT: Entry assigned id 1259
*Jan 28 20:28:24.591: NAT*: ICMP id=30723->1029
*Jan 28 20:28:24.591: NAT*: s=30.30.30.2->172.16.18.12, d=192.168.1.2 [888]
*Jan 28 20:28:24.623: NAT*: ICMP id=1029->30723
*Jan 28 20:28:24.623: NAT*: s=192.168.1.2, d=172.16.18.12->30.30.30.2 [888]
R1#
*Jan 28 20:28:25.667: NAT: Entry assigned id 1260
*Jan 28 20:28:25.667: NAT*: ICMP id=31235->1030
*Jan 28 20:28:25.667: NAT*: s=30.30.30.2->172.16.18.12, d=192.168.1.2 [889]
*Jan 28 20:28:25.695: NAT*: ICMP id=1030->31235
*Jan 28 20:28:25.695: NAT*: s=192.168.1.2, d=172.16.18.12->30.30.30.2 [889]
R1#
*Jan 28 20:28:26.735: NAT: Entry assigned id 1261
*Jan 28 20:28:26.735: NAT*: ICMP id=31491->1031
*Jan 28 20:28:26.735: NAT*: s=30.30.30.2->172.16.18.12, d=192.168.1.2 [890]
*Jan 28 20:28:26.767: NAT*: ICMP id=1031->31491
*Jan 28 20:28:26.767: NAT*: s=192.168.1.2, d=172.16.18.12->30.30.30.2 [890]
R1#
*Jan 28 20:28:27.803: NAT: Entry assigned id 1262
*Jan 28 20:28:27.803: NAT*: ICMP id=31747->1032
*Jan 28 20:28:27.803: NAT*: s=30.30.30.2->172.16.18.12, d=192.168.1.2 [891]
*Jan 28 20:28:27.835: NAT*: ICMP id=1032->31747
*Jan 28 20:28:27.835: NAT*: s=192.168.1.2, d=172.16.18.12->30.30.30.2 [891]
R1#
*Jan 28 20:28:28.871: NAT: Entry assigned id 1263
*Jan 28 20:28:28.871: NAT*: ICMP id=32003->1033
*Jan 28 20:28:28.871: NAT*: s=30.30.30.2->172.16.18.12, d=192.168.1.2 [892]
*Jan 28 20:28:28.903: NAT*: ICMP id=1033->32003
*Jan 28 20:28:28.903: NAT*: s=192.168.1.2, d=172.16.18.12->30.30.30.2 [892]
R1#
*Jan 28 20:28:57.855: NAT: Entry assigned id 1264
*Jan 28 20:28:57.855: NAT*: ICMP id=39427->1034
*Jan 28 20:28:57.855: NAT*: s=10.10.10.2->172.16.18.12, d=192.168.1.2 [922]
*Jan 28 20:28:57.883: NAT*: ICMP id=1034->39427
*Jan 28 20:28:57.883: NAT*: s=192.168.1.2, d=172.16.18.12->10.10.10.2 [922]