Olá Pessoal,
Já ouvi muitos dos meus amigos, falarem que na prova CCNA, o assunto NAT às vezes gera um certo pânico
ou dúvida.
Antes de tudo, é importante que você treine (e treine muito) fazendo laboratórios através do GNS3 (dynamips)
ou Packet Tracer e caso esteja na dúvida sobre como e quando utilizar um tipo especifico de NAT leia e releia
os conceitos referentes a essa técnologia.
O que é NAT?
O NAT (Network Address Translation) está definido na RFC 1631 e é muito popular nos dias atuais. O NAT é
uma das soluções paleativas criadas para retardar a exaustão dos endereços públicos IPv4 na Internet e hoje é
utilizado em diversos tipos de situações , como por exemplo para conectar uma rede privada a outra.
Tipos de NAT
Existem diversos modelos de NAT que você precisa conhecer, então irei dividir o assunto em 6 tipos distintos
de NAT para que você possa entender cada um.
Static NAT: É o primeiro que iremos detalhar. O NAT estático foi criado principalmente
para permitir que hosts de uma rede privada sejam acessívis através da Internet, através da utilização de IP’s
públicos reais. O NAT estático pode oferecer um certo risco se não for configurado adequadamente, pois uma
configuração mal feita pode deixar sua rede ou um determinado serviço exposto a ataques na Internet.
Em resumo podemos dizer que o NAT estático permite o mapeamento de um endereço público para um
endereço privado. Em bom português, isso significa que você pode ter um host de sua rede privada com seu
próprio endereço IP público na Internet. Este tipo de NAT geralmente é utilizado, quando uma empresa possui
Web Servers, FTP Servers, Mail Servers, DNS Servers etc… e precisa que estes serviços sejam acessiveis via
Internet. Veja um exemplo básico na figura 1.1 abaixo.
Figura 1.1
Dynamic NAT: O NAT dinâmico é o segundo sobre o qual iremos falar. A diferença básica
entre o NAT dinâmico e o NAT estático é que o NAT estático provê um mapeamento que chamamos “one-to-
one internal” para um IP público. O NAT dinâmico faz o mapeamento dos Hosts de uma rede privada para um
range de endereços públicos disponiveis. Confuso? Não se preocupe tentarei esclarecer um pouco mais.
Quando falamos de NAT estático já entendemos que para cada endereço de uma rede privada que precisar
acessar ou ser acessado via Internet, será mapeado para um endereço IP público. Este IP público mapeado para
o endereço de dee rede privada será capaz então, de se comunicar com o resto do mundo.
Através do NAT dinâmico nós também fazemos o mapeamento de hosts de uma rede privada para endereços
válidos na Internet, porém o mapeamento não é estático, o que significa que para cada sessão de nossos hosts
internos, um endereço IP público de um “Pool” de endereços IP’s que tenha sido reservado pela operadora será
mapeado para o host que estiver acessando a Internet.
Existem algumas limitações como por exemplo: Se sua rede privada tiver 254 hosts o número de endereços IP’s
públicos reservado pela operadora deverá ser compatível com a quantidade de hosts de sua rede interna. Porque
isso? Simples. Suponha que sua rede tenha 254 hosts e sua operadora reservou para você apenas 100 endereços
IP’s válidos. 100 hosts conseguiriam navegar na Internet sem problemas, porém o host 101 não teria mais um
endereço IP público disponível para navegar na Internet, tendo que então aguardar a liberação de endereço IP
válido.
Veja na figura 1.2
Overloading: O NAT overload é o método mais comum utilizado em todas as redes
privadas que se conectam a Internet. Isso devido à forma como ele funciona.
Se você utiliza um roteador, um Firewall, Microsoft’s Internet sharing ou qualquer outro
programa que seja capaz de fazer com que toda sua rede acesse a Internet utilizando uma única conexão, saiba
que você está utilizando o NAT Overload.
Figura 1.3
Agora vamos detalhar o diagrama acima: Note que temos um host em nossa rede interna com endereço IP
[Link] e este está enviando um pacote para a Internet, mais especificamente para o endereço do site UOL
([Link]). A porta 80 indica que estamos tentando acessar a Página web do site UOL, visto que esta é a
porta padrão para publicação de Web Servers na [Link] o pacote original passou através do Router, o
endereço IP de origem do Host é mudado pelo router de [Link] para [Link] . No entanto note que
as portas não são mudadas em nenhum momento.
A razão pela qual o endereço IP de origem é alterado é obvia: O endereço IP público deve ser colocado no
campo de endereço IP de origem, para que o servidor de destino que estamos tentando acessar, saiba de onde a
requisição está vindo, para que então possa responder ao endereço de [Link] podem pensar que este
exemplo é muito parecido com o comportamento de um router realizando NAT estático, e se você está
pensando desta forma, está 100% [Link] pensar um seguinte: Se você tiver dois hosts em sua rede
Interna e quiser que estes sejam acessiveis via Internet, teria que disponibilizar uma quantidade de endereços
IP’s públicos equivalentes, porque o NAT estático faz o mapeamento de um endereço público para cada host da
rede privada, o que é uma limitação e um desperdicio de endereços IP’s, principalmente falando-se em termos
de IPv4, já escassos.O NAT Overload supera essa limitação permitindo a utilização de um único endereço IP
público para todos os hosts de uma rede privada, mas utilizando-se das 65535 portas disponiveis a fim de
identificar cada host dentro de uma rede privada. A tabela onde são colocados os dados de endereço de Origem
+ Porta, endereço de destino + Porta é chamada de Tabela de estado ou State Table
Analisando o pacote de retorno:
Agora vamos analisar juntos o que acontece quando o destino para o qual enviamos um pacote responde a nossa
solicitação, veja a figura abaixo:
Figura 1.4
Os detalhes do pacote são examinados e mostram que este veio do IP de origem [Link] Porta 80 com
destino ao endereço [Link] Porta 3000. O router então se lembra, ou melhor (Analisa sua tabela de
estado) que o host com IP [Link] localizado na rede LAN acabou de enviar um pacote para o IP
[Link], e agora a fim de determinar a qual host da rede LAN aquela “resposta” pertence, o router
cuidadosamente analisa a porta de destino.
Veja na figura abaixo, mais um exemplo, desta vez mais avançado:
Figura 1.5
Olá Pessoal,
Neste segundo post sobre NAT iremos detalhar mais alguns tipos de NAT que você deve estar familiarizado
para a prova CCNA. Claro que o objetivo não é mostrar apenas o que você deve saber para a prova, mas sim
incentivá-lo a guardar esses conceitos e utilizá-los em seu dia a dia no mercado de trabalho.
Let’s Go !!!
Representação de endereços NAT
Inside Local: Inside local são os endereços originais, comumente chamados de endereços inválidos na
Internet e que só podem ser utilizados em uma rede privada, como os endereços definidos na RFC 1918 .
Inside Global: Inside Global é um endereço IP público, válido na Internet, e utilizado para representar um
endereço de rede privada na Internet. Em resumo para que uma rede privada possa acessar a Internet a tradução
de endereços ocorrerá de: Inside Local –> Inside Global
Outside Local: Outside Local representa um host remoto hospedado dentro de uma empresa. Em resumo
trata-se do endereço de rede privada do servidor remoto. Por exemplo. Quando acessamos o endereço
[Link] esse é o endereço Público do Web Server da UOL, porém dentro da rede Interna UOL, este
mesmo servidor possui também um endereço de rede privada, que para nós será um “Outside Local”.
Outside Global: Outside Global trata-se de um host remoto, ou seja este é o endereço IP público do host
remoto o qual enxergamos na Internet e é através dele que conseguimos chegar até um determinado servidor
públicado na Internet.
Não irei abordar neste post as configurações pertinentes a cada tipo de NAT, mas nos próximos dias
publicarei um post dedicado mostrando como configurar cada um deles.
Neste post irei detalhar como realizar a configuração referente ao NAT dinâmico discutidos até esse
momento.
Cenário NAT Dinâmico
Configuração NAT Dinâmico
! Ativando NAT nas Interface externa
interface FastEthernet0/0
ip nat outside
! Ativando NAT na Interface Interna (Todos os endereços IP’s atrás da Interface Interna deste router serão
traduzidos)
interface FastEthernet0/1
ip nat inside
! Criando uma acccess-list standard que permita o acesso de toda a rede Interna [Link]/24 através da
Interface f0/1
access-list 1 permit [Link] [Link]
! Criando o Pool de endereços que será alocado para cada host que tentar acessar o host remoto
[Link]
ip nat pool NetIP-SEC [Link] [Link] netmask [Link]
! Estabelecendo tradução dinâmica baseada na Access-list 1 e no Pool de endereços NetIP-SEC
ip nat inside source list 1 pool NetIP-SEC
Realizando Testes
1º Veja que quando o host [Link] enviou um ping para o endereço [Link] (Outside Global) foi
alocado para ele o primeiro endereço IP de nosso pool chamado (NetIP-SEC) [Link].
Isso irá ocorrer para cada um dos hosts (Inside Local) que forem acessar um endereço na Internet (Outside
Global), porém há uma limitação. A quantidade de endereços IP’s públicos do Pool deve ser compátivel com a
quantidade de hosts de nossa rede interna, pois se tivermos mais hosts na rede local do que endereços IP’s
públicos no pool, quando a tabela de NAT estiver completa, ou seja não houverem mais endereços disponiveis
para alocação, os próximos hosts a tentarem acessar a Internet não conseguirão, tendo então que aguardar a
liberação de um endereço IP do pool que definimos.
RT001#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp [Link]:10 [Link]:10 [Link]:10 [Link]:10
icmp [Link]:11 [Link]:11 [Link]:11 [Link]:11
icmp [Link]:12 [Link]:12 [Link]:12 [Link]:12
icmp [Link]:9 [Link]:9 [Link]:9 [Link]:9
Neste post irei detalhar como realizar a configuração referente ao NAT estático discutido nos posts anteriores
sobre NAT.
Neste cenário um servidor Web é publicado na Internet com um endereço público, pelo qual será acessado
pelos usuários da Internet.
Esta configuração gera uma entrada fixa na tabela de NAT fazendo com que o endereço IP interno [Link]
seja associado ao endereço IP global [Link].
Cenário NAT Estático
Configuração NAT estático
! Ativando NAT nas Interface externa
interface FastEthernet0/0
ip address [Link] [Link]
ip nat outside
! Ativando NAT na Interface Interna (Todos os endereços IP’s atrás da Interface Interna deste router serão
traduzidos)
interface FastEthernet0/1
ip address [Link] [Link]
ip nat inside
! Estabelecendo tradução estática para que o endereço IP Interno (inside local) [Link], seja traduzido
para o IP
(ouside global) [Link]
ip nat inside source static [Link] [Link]
! Como o servidor está acessível a partir da Internet é recomendável que você crie uma Access-list extendida
para permitir que
apenas o serviço para o qual o server é dedicado seja acessado. No nosso caso estamos publicando na Internet
um WebServer (HTTP)
que responde através da porta 80.
ip access-list extended WebServer
permit tcp any host [Link] eq www
Realizando Testes
1º Veja que logo após a configuração vamos realizar um checagem a fim de vermos a associação entre o “ip
inside local” e o “ip outside global”.
Neste caso notem que tabela NAT “NAT table” irá aparecer vazia, apenas exibindo as associações.
2º A partir de um host “Any” da Internet irei realizar um acesso a porta 80 a qual liberamos através da
Access-list extendida.
3º Neste terceiro teste irei mudar a access-list e deixarei o acesso livre para qualquer protocolo. Veja uma
tentativa de acesso ICMP (ping)
4º Neste quarto e último teste note que foram feitas diversas tentativas de acesso a portas de diferentes como
23 – Telnet, 22 – SSH, e em todas as tentativas foi feito o mapeamento de um endereço Inside Global –
[Link] para o endereço Inside Local – [Link].
Cenário NAT Overload
Configuração NAT Overload
! Ativando NAT nas Interface externa
interface FastEthernet0/0
ip address [Link] [Link]
ip nat outside
! Ativando NAT na Interface Interna (Todos os endereços IP’s atrás da Interface Interna deste router serão
traduzidos)
interface FastEthernet0/1
ip address [Link] [Link]
ip nat inside
! Está será a Access-list que dará acesso a rede interna (Inside) a rede externa (Outside)
access-list 1 permit [Link] [Link]
! Estabelecendo tradução Overload para que a rede Interna (inside local) [Link]/24, acesse a Internet
utilizando o endereço IP da Interface Fastethernet 0/0 [Link] (Inside global)
ip nat inside source list 1 interface fastEthernet0/0 overload
Realizando Testes
1º Após terminarmos a configuração, fazemos uma verificação para ver se temos alguma entrada na tabela
de NAT, porém como ainda nenhuma estação de trabalho de nossa rede Interna tentou realizar um acesso, a
tabela encontra-se vazia.
2º Executamos o comando show ip nat translation pela segunda vez, e podemos ver que já existem entradas
na tabela NAT. Atente-se ao campo Inside Global e inside local.
Inside Local refere-se ao endereço IP da LAN que está realizando o acesso ao host remoto neste momento
([Link]).
Inside Global, refere-se ao endereço IP público o qual está sendo utilizado para tradução, neste caso o
endereço IP da Interface f0/0 do roteador ([Link])
Como podemos observar acima, qualquer uma das estações de trabalho de nosso diagrama que tentar acessar o
servidor remoto (199.19.10) terá seu endereço Inside local traduzido para o endereço IP público do router
RT001 ([Link]). Este método de configuração também é chamado de PAT (Port Address Translation).
Treine bastante todos os tipos de NAT existentes e assegure-se de ter entendido realmente o conceito desta
técnologia, pois no exame CCNA certamente haverá pelo menos um laboratório solicitando que você configure
um dos modelos de NAT em um roteador.
Caso tenham dúvidas sobre NAT sugiro consultarem os primeiros posts sobre o assunto para maiores
esclarecimentos.