Chapitre 1015 minIntermédiaire
NAT et PAT sur un routeur Cisco
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- utiliser le vocabulaire inside, outside, local et global ;
- configurer le PAT sur l'adresse de l'interface ;
- publier un service par NAT statique ou redirection de port ;
- lire la table de traduction et dépanner le NAT.
6 exercices corrigés1 schéma
La traduction d'adresses (NAT, Network Address Translation) remplace, dans les paquets qui sortent vers Internet, l'adresse privée de la machine interne par une adresse publique, et fait l'opération inverse sur les réponses ; le PAT (Port Address Translation, ou NAT « surchargé ») fait partager une seule adresse publique à toutes les machines en distinguant les connexions par leur port. Ce chapitre configure sur un routeur Cisco le PAT, le NAT statique et la redirection de port, à l'agence de Marseille, et explique comment lire la table de traduction.
Rappel et vocabulaire
Le principe du NAT et du PAT, leurs variantes et leurs limites sont expliqués dans le cours Réseaux : relis-le si besoin. Ici, on configure. Cisco nomme les adresses selon deux axes : inside ou outside (de quel côté du routeur se trouve la machine), local ou global (l'adresse telle qu'on la voit à l'intérieur ou à l'extérieur).
| Terme Cisco | Sens | Exemple à Marseille |
|---|---|---|
| Inside local | L'adresse réelle de la machine interne | 10.30.1.12, un poste |
| Inside global | L'adresse publique qui la représente sur Internet | 203.0.113.50, l'adresse du routeur |
| Outside global | L'adresse réelle de la machine externe | 198.51.100.80, un site web |
| Outside local | L'adresse de la machine externe vue de l'intérieur | 198.51.100.80 aussi, sauf cas rares de double traduction |
Pour une sortie classique vers Internet, seul le couple inside local → inside global change.
L'accès Internet de Marseille
L'agence de Marseille a son propre accès fibre. L'opérateur lui a attribué le bloc 203.0.113.48/29 : son routeur à lui est en 203.0.113.49, R-MARSEILLE prend 203.0.113.50 sur son port Gi0/0/3, et les adresses .51 à .54 restent disponibles. Tous les réseaux de l'agence (10.30.0.0/23) sont privés : pour sortir, il faut les traduire.
Configurer le PAT
Trois étapes : marquer les interfaces, désigner les adresses à traduire, activer la traduction.
R-MARSEILLE(config)# interface GigabitEthernet0/0/3
R-MARSEILLE(config-if)# description Acces Internet local
R-MARSEILLE(config-if)# ip address 203.0.113.50 255.255.255.248
R-MARSEILLE(config-if)# ip nat outside
R-MARSEILLE(config-if)# no shutdown
R-MARSEILLE(config-if)# exit
R-MARSEILLE(config)# interface GigabitEthernet0/0/1.10
R-MARSEILLE(config-subif)# ip nat inside
R-MARSEILLE(config-subif)# interface GigabitEthernet0/0/1.20
R-MARSEILLE(config-subif)# ip nat inside
R-MARSEILLE(config-subif)# interface GigabitEthernet0/0/1.40
R-MARSEILLE(config-subif)# ip nat inside
R-MARSEILLE(config-subif)# interface GigabitEthernet0/0/1.50
R-MARSEILLE(config-subif)# ip nat inside
R-MARSEILLE(config-subif)# exit
R-MARSEILLE(config)# ip access-list standard NAT-INTERNET
R-MARSEILLE(config-std-nacl)# permit 10.30.0.0 0.0.1.255
R-MARSEILLE(config-std-nacl)# exit
R-MARSEILLE(config)# ip nat inside source list NAT-INTERNET interface GigabitEthernet0/0/3 overload
R-MARSEILLE(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.49
ip nat inside/ip nat outside: la traduction ne s'applique qu'aux paquets qui passent d'une interface inside à une interface outside, ou l'inverse. Chaque sous-interface de l'agence est inside ; l'accès Internet est outside.- L'ACL
NAT-INTERNETne filtre rien : elle désigne les adresses sources à traduire. Une ACL standard suffit. ip nat inside source list … interface … overload: traduire les sources désignées par l'ACL en l'adresse de l'interface Gi0/0/3 ;overloadactive le PAT (une adresse pour toutes les machines).- La route par défaut envoie vers l'opérateur tout ce qui n'est pas interne (chapitre 7).
Le lien vers le siège (Gi0/0/0) et celui vers Saint-Priest (Gi0/0/2) ne sont ni inside ni outside : un poste de Marseille qui ouvre un partage au siège garde son adresse 10.30.1.12. C'est indispensable : le serveur du siège doit voir la vraie adresse pour répondre, filtrer et journaliser.
Le NAT statique et la redirection de port
L'agence héberge un petit serveur de dépôt des bons de livraison, 10.30.1.165, que les transporteurs partenaires doivent joindre en HTTPS depuis Internet. Deux façons de le publier :
Le NAT statique associe en permanence une adresse publique entière à une adresse privée, dans les deux sens. Marseille dispose d'adresses publiques libres :
R-MARSEILLE(config)# ip nat inside source static 10.30.1.165 203.0.113.51
Toute connexion vers 203.0.113.51, quel que soit le port, arrive sur le serveur, et le serveur sort sur Internet avec cette adresse.
La redirection de port (NAT statique de port, ou port forwarding) ne publie qu'un port de l'adresse publique :
R-MARSEILLE(config)# ip nat inside source static tcp 10.30.1.165 443 interface GigabitEthernet0/0/3 443
Seules les connexions vers 203.0.113.50, port TCP 443, sont renvoyées vers le serveur. C'est la solution quand on n'a qu'une adresse publique, et la plus prudente dans tous les cas : on n'expose que le service nécessaire.
Si tu poses une ACL en entrée de l'interface outside, sache qu'elle est évaluée avant la traduction : elle doit viser l'adresse publique (203.0.113.50, port 443), pas l'adresse privée du serveur.
Le NAT dynamique avec un groupe d'adresses
Le NAT dynamique associe à chaque machine interne une adresse publique libre d'un groupe (pool), le temps de ses connexions :
R-MARSEILLE(config)# ip nat pool PUBLIC-MRS 203.0.113.52 203.0.113.54 netmask 255.255.255.248
R-MARSEILLE(config)# ip nat inside source list NAT-INTERNET pool PUBLIC-MRS
Avec trois adresses, trois machines seulement peuvent sortir en même temps ; la quatrième attend qu'une adresse se libère, et ses paquets sont jetés. C'est pourquoi le NAT dynamique sans overload ne se rencontre plus guère. Avec overload à la fin de la commande, le groupe fonctionne en PAT : utile quand une seule adresse ne suffit plus (des dizaines de milliers de connexions simultanées).
Lire la table de traduction
R-MARSEILLE# show ip nat translations
Pro Inside global Inside local Outside local Outside global
tcp 203.0.113.50:443 10.30.1.165:443 --- ---
tcp 203.0.113.50:51544 10.30.1.12:51544 198.51.100.80:443 198.51.100.80:443
tcp 203.0.113.50:1024 10.30.0.37:51544 198.51.100.80:443 198.51.100.80:443
udp 203.0.113.50:53211 10.30.1.161:53211 9.9.9.9:53 9.9.9.9:53
- La première ligne est la redirection permanente du port 443 vers le serveur de dépôt : pas d'adresse externe, puisqu'elle attend n'importe qui.
- Les deux suivantes sont deux connexions vers le même site, depuis deux machines qui ont choisi par hasard le même port source 51544. Le routeur a gardé le port 51544 pour la première et a pris le port 1024 pour la seconde : sans ça, il ne saurait pas à qui rendre les réponses.
- La dernière est une requête DNS du serveur
srv-mrsvers un résolveur public.
Les entrées dynamiques disparaissent après un délai d'inactivité, plus court pour UDP que pour TCP. show ip nat statistics donne le nombre de traductions, les interfaces inside et outside, les correspondances (hits) et les échecs (misses). clear ip nat translation * vide les entrées dynamiques, ce qui coupe toutes les connexions en cours : à réserver à un test.
Dépanner le NAT
| Symptôme | Cause probable | Vérification |
|---|---|---|
| Rien ne sort, la table est vide | Interfaces inside et outside inversées ou oubliées ; ACL qui ne désigne pas les bons réseaux | show ip nat statistics (liste des interfaces), show access-lists NAT-INTERNET (compteurs) |
| Un seul VLAN ne sort pas | Sa sous-interface n'est pas marquée ip nat inside, ou son réseau n'est pas dans l'ACL | show running-config interface Gi0/0/1.40 |
| Les traductions existent mais pas de réponse | Pas de route par défaut vers l'opérateur, ou l'opérateur ne route pas le bloc public vers le routeur | show ip route, ping 203.0.113.49 |
| Le service publié ne répond pas depuis Internet | Redirection vers la mauvaise adresse ou le mauvais port ; ACL d'entrée qui bloque ; pare-feu local du serveur | show ip nat translations, compteurs de l'ACL d'entrée |
| Le trafic vers le siège arrive traduit | Le lien vers le siège a été marqué ip nat outside par erreur | show ip nat statistics |
NAT et IPv6
En IPv6, chaque machine a une adresse publique : on ne traduit plus. Le routeur route, et le pare-feu filtre les connexions entrantes. Le chapitre 11 configure l'IPv6 sur les routeurs de Sorbier.
Exercices
Exercice 1 sur 6 Le vocabulaire Cisco Réussi À revoir
Le poste 10.30.1.40 de Marseille, depuis son port source 52000, consulte le site 192.0.2.80 en HTTPS. R-MARSEILLE traduit sa source en 203.0.113.50:2051. Donne l'inside local, l'inside global, l'outside local et l'outside global de cette connexion (adresse et port).
Voir la réponseMasquer la réponse de l'exercice 1
- Inside local :
10.30.1.40:52000, l'adresse et le port réels du poste. - Inside global :
203.0.113.50:2051, ce que voit le site. Le port a changé : 52000 était sans doute déjà utilisé par une autre traduction. - Outside local :
192.0.2.80:443. - Outside global :
192.0.2.80:443(identique : on ne traduit pas l'adresse du site).
Tu avais trouvé ?
Exercice 2 sur 6 Configurer le PAT d'un site Réussi À revoir
L'entrepôt de Saint-Priest obtient lui aussi un accès Internet local : interface Gi0/0/3 de R-STPRIEST, adresse 198.51.100.10/30, routeur de l'opérateur 198.51.100.9. Le réseau de l'entrepôt est 10.40.0.0/24, sur Gi0/0/2. Écris la configuration du PAT et de la route par défaut. Que deviennent la route par défaut apprise par OSPF et celle du siège ?
Voir la réponseMasquer la réponse de l'exercice 2
interface GigabitEthernet0/0/3
ip address 198.51.100.10 255.255.255.252
ip nat outside
no shutdown
interface GigabitEthernet0/0/2
ip nat inside
ip access-list standard NAT-INTERNET
permit 10.40.0.0 0.0.0.255
ip nat inside source list NAT-INTERNET interface GigabitEthernet0/0/3 overload
ip route 0.0.0.0 0.0.0.0 198.51.100.9
La route par défaut statique (distance administrative 1) l'emporte sur celle apprise par OSPF (O*E2, distance 110) : l'entrepôt sort désormais par son accès local. Le trafic vers le siège et Marseille continue de passer par les liens loués grâce aux routes OSPF, plus précises. Les liens vers Lyon et Marseille ne sont ni inside ni outside.
Tu avais trouvé ?
Exercice 3 sur 6 Lire une table de traduction Réussi À revoir
Pro Inside global Inside local Outside local Outside global
tcp 203.0.113.50:443 10.30.1.165:443 --- ---
tcp 203.0.113.50:443 10.30.1.165:443 192.0.2.15:60311 192.0.2.15:60311
tcp 203.0.113.50:6122 10.30.1.25:6122 198.51.100.80:443 198.51.100.80:443
- Que représente la première ligne ?
- Et la deuxième ?
- Le poste
10.30.1.25a-t-il conservé son port source ?
Voir la réponseMasquer la réponse de l'exercice 3
- La redirection statique du port TCP 443 de l'adresse publique vers le serveur de dépôt
10.30.1.165. - Une connexion entrante en cours : la machine
192.0.2.15(un transporteur partenaire), depuis son port 60311, s'est connectée au port 443 de203.0.113.50et a été renvoyée vers le serveur. - Oui : son port source 6122 était libre, le routeur l'a gardé dans l'adresse globale.
Tu avais trouvé ?
Exercice 4 sur 6 Pourquoi ça ne sort pas ? Réussi À revoir
Un technicien configure le PAT sur un routeur de maquette. Rien ne sort, et show ip nat translations reste vide. Sa configuration :
interface GigabitEthernet0/0/0
description Vers Internet
ip address 203.0.113.2 255.255.255.252
ip nat inside
interface GigabitEthernet0/0/1
description LAN
ip address 192.168.50.254 255.255.255.0
ip nat outside
access-list 1 permit 192.168.50.0 0.0.0.255
ip nat inside source list 1 interface GigabitEthernet0/0/0 overload
ip route 0.0.0.0 0.0.0.0 203.0.113.1
Trouve l'erreur et corrige.
Voir la réponseMasquer la réponse de l'exercice 4
Les rôles des interfaces sont inversés : le LAN (Gi0/0/1) est marqué outside et l'accès Internet (Gi0/0/0) inside. La règle traduit les sources de la liste 1 quand elles passent d'une interface inside à une outside : les paquets du LAN arrivent par une interface outside, rien n'est traduit. Correction :
interface GigabitEthernet0/0/0
no ip nat inside
ip nat outside
interface GigabitEthernet0/0/1
no ip nat outside
ip nat inside
Tu avais trouvé ?
Exercice 5 sur 6 NAT statique ou redirection ? Réussi À revoir
Le service informatique de Marseille veut rendre la caméra de l'entrée (10.30.1.140) consultable depuis Internet, « pour la regarder depuis chez soi ». Il propose ip nat inside source static 10.30.1.140 203.0.113.52.
- Qu'expose cette commande ?
- Pourquoi est-ce une mauvaise idée, même avec une redirection de port à la place ?
- Que proposes-tu à la place ?
Voir la réponseMasquer la réponse de l'exercice 5
- Tous les ports de la caméra sont joignables depuis Internet sur
203.0.113.52, dans les deux sens. - Les caméras sont des appareils peu mis à jour, souvent vulnérables, régulièrement recrutées dans des réseaux de machines piratées. Une redirection de port réduit l'exposition à un service, mais ce service reste attaquable, et la caméra est dans le réseau de l'agence : une fois compromise, elle sert de point d'entrée. Et les images d'une caméra sont des données personnelles.
- Ne rien publier : les personnes autorisées se connectent au réseau de l'entreprise par un VPN (accès distant avec authentification forte), puis consultent l'enregistreur des caméras. Voir le chapitre VPN du cours Cybersécurité des infrastructures.
Tu avais trouvé ?
Exercice 6 sur 6 Le groupe épuisé Réussi À revoir
Un routeur fait du NAT dynamique sans overload, avec le groupe 203.0.113.52 à 203.0.113.54. À 9 h, 40 postes ouvrent leur navigateur.
- Combien de postes peuvent naviguer en même temps ?
- Que voient les autres ?
- Quelle modification règle le problème sans acheter d'adresses ?
Voir la réponseMasquer la réponse de l'exercice 6
- Trois : un poste par adresse publique du groupe.
- Leurs paquets ne peuvent pas être traduits et sont jetés : les pages ne se chargent pas, jusqu'à ce qu'une traduction expire et libère une adresse.
show ip nat statisticsmontre les échecs (misses). - Ajouter
overload:ip nat inside source list NAT-INTERNET pool PUBLIC-MRS overload. Le routeur fait alors du PAT sur les trois adresses, et des milliers de connexions peuvent coexister.
Tu avais trouvé ?