Překlad IP adres nebo portu pro přístup do vnitřní sítě za routerem. Bez použití NATu by do vnitřních sítí nešlo přistupovat. Zároveň se tak šetří IPv4 adresy - pro jednu organizaci stačí jediná veřejná IP adresa pro celou vnitřní síť. Zpětný datový tok na jednotlivá zařízení realizuje právě NAT. NAT překládá lokální adresy na vnější.

Adresy NAT

Existují 4 adresy, které je nutné rozlišovat při nasazení NATu na router:

• inside local address - adresy zařízení ve vnitřní síti
• inside global address - adresy viditelné z vnějšího prostředí představující vnitřní zařízení
• outside local address - adresa zařízení na vnější síti, které je cílem komunikace
• outside global address - adresa vnějšího zařízení viditelná z vnitřní sítě

Typy NAT

Static - jedné vnitřní adrese je přiřazena jedna vnější adresy. Nutno mít dostatek veřejných adres!

Dynamic - "obdoba DHCP" - na určitý počet vnitřních adres je přiřazen menší počet vnějších adres. Ty jsou přidělovány v případě potřeby. Po dokončení požadavku na komunikaci je vnější IP adresa opět uvolněna.

Port address translation - využíváme několik nebo jedinou vnější IP adresu, požadavky na komunikaci jsou vyřizovány přes port. Postupuje se s čísly portu tak, že pro další nový požadavek je přiděleno další číslo portu. Po vyčerpání rozsahu se použita další veřejná IP adresa.

Schéma ukázkové sítě

Static NAT

Přiřazujeme dvojice IP adres k sobě - tedy na jednu vnitřní adresu potřebujeme jednu volnou vnější IP adresu. Pro několik málo přístupu z vnějšku to jde, pro větší množství by to bylo plýtvání veřejnými IP adresami. V podstatě NAT pro všechny počítače znaměná použití veřejných adres pro každý zvlášť.

Zde přiřadíme volno IP adresu 209.10.20.100 adrese počítače 192.168.0.10, druhý dostane vnější IP adresu 209.10.20.101 pro svoji 192.168.0.20. Pokud z vnějšího prostředí pingneme 209.10.20.100 - pingáme ve skutečnosti PC-LAN-1.

Konfigurace Static NAT

Router(config)#ip nat inside source static 192.168.0.10 209.10.20.100 - propojení vnější a vnitřní adresy

Router(config)#ip nat inside source static 192.168.0.20 209.10.20.101 - propojení vnější a vnitřní adresy

Router(config)#int fast 0/0

Router(config-if)#ip nat inside - určení vnitřního rozhraní routeru

Router(config)#int fast 0/0

Router(config-if)#ip nat outside - určení vnějšího rozhraní routeru

Kontrola

Router#show ip nat translation

Router#show ip nat statistics

Router#clear ip nat statistics

Dynamic NAT

Dynamický NAT řeší problém s množstvím volných veřejných IP adres tak, že pro omezený počet vnějších adres přiřadí větší množství IP adres vnitřních. Dojde tedy k jisté úspoře. NIcméně je to pořád 1 veřejná IP adresa na jedno připojení k síti z vnějšího prostředí.

Konfigurace Dynamic NAT

Router(config)#ip nat pool MUJ-NAT 215.45.85.226 215.45.85.240 netmask 255.255.255.224 - konfigurace rozsahu veřejných adres

Router(config)#access-list 50 permit 192.168.1.0 0.0.0.128 - přístup pro vymezenou síť - adresy budou moci být překládány

Router(config)#ip nat inside source list 50 pool MUJ-NAT - vytvořený ACL je přiřazen vnějším adresám z MUJ-NAT

Router(config)#int fast 0/0

Router(config-if)#ip nat inside - určení vnitřního rozhraní routeru

Router(config)#int giga 0/0

Router(config-if)#ip nat outside - určení vnějšího rozhraní routeru

Port address translation

Asi nejlepší řešení, pro jednu vnější IP adresu umožníme připojneí na port. Pak nám stačí pouze tato jedna adresa k přístupu na mnoho vnitřních IP adres.

Konfigurace Port Address Translation - konfigurace na několik vnějších adres

Rozsah adres

Router(config)#ip nat pool MUJ-PAT 209.10.20.100 209.10.20.101 netmask 255.255.255.0 - konfigurace rozsahu veřejných adres

Router(config)#access-list 50 permit 192.168.0.0 0.0.0.255 - přístup pro vymezenou síť - adresy budou moci být překládány

Router(config)#ip nat inside source list 50 pool MUJ-PAT overload - vytvořený ACL je přiřazen vnějším adresám z MUJ-PAT - klíčové slovo overload na konci řádku je rozdíl mezi Dynamic NAT a PAT!

Router(config)#int fast 0/0

Router(config-if)#ip nat inside - určení vnitřního rozhraní routeru

Router(config)#int giga 0/0

Router(config-if)#ip nat outside - určení vnějšího rozhraní routeru

Konfigurace Port Address Translation - konfigurace na jedinou vnější IP adresu

Pouze jedna veřejná IP

Router(config)#access-list 50 permit 192.168.0.0 0.0.0.255 - přístup pro vymezenou síť - adresy budou moci být překládány

Router(config)#ip nat inside source list 50 interface giga 0/0 overload - vytvořený ACL je přiřazen výstupnímu zařízení - klíčové slovo overload na konci řádku

Router(config)#int fast 0/0

Router(config-if)#ip nat inside - určení vnitřního rozhraní routeru

Router(config)#int giga 0/0

Router(config-if)#ip nat outside - určení vnějšího rozhraní routeru

Diagnostika je u všech stejná - viz Static NAT

Port forwarding

Na hraničním routeru lze nastavit přeposílání určitých paketů (dle čísla portu - např. 80) na pevnou vnitřní IP adresu.

Router(config)#ip nat inside source static tcp 192.168.1.20 80 209.10.20.1 8080 - propojení vnitřní adresy s 192.168.0.20:80 s vnější lokální adresou (vnější rozhraní routeru) 209.10.20.1:8080

Router(config)#int fast 0/0

Router(config-if)#ip nat inside - určení vnitřního rozhraní routeru

Router(config)#int giga 0/0

Router(config-if)#ip nat outside - určení vnějšího rozhraní routeru

Automatická konfigurace klienta v rámci lokální sítě. Klient (uživatel) nemusí vyplňovat konfigurací síťové karty (IP adresa, maska, brána, DNS). To je výhodou zejména u přenosných zařízení, kde by se konfigurace měnila velmi často (což u lokálního PC není takový problém).

Varinaty nastavení DHCP

• manuální konfigurace - vše se nastaví v dialogu operačního systému připojovaného zařízení
• automatická konfigurace - danému zařízení se automaticky nastaví pevná konfigurace - tam, kde je potřeba, aby mělo stejnou IP stále
• dynamická konfigurace - šetření IP adres v rámci sítě. Zařízení dostane přidělenou adresu z "poolu". Po vypnutí zařízení je adresa vrácena zpět jako volná do rozsahu. je tak možné mít postupně připojeno více zařízení, než je IP adres v síti. Příkladem může být wi-fi na PEF.

Datová komunikace DHCP

1. Klient odesílá DHCPDISCOVER - broadcast (dotaz - je tu DHCP server)
2. Server odpovídáDHCPOFFER - unicast (odpověď ano, je, dále je rezervována IP, odeslán ARP paket)
3. Klient posílá DHCPREQUEST - broadcast (potvrzení žádosti), po uplynutí doby přidělení IP adresy je poslán znovu - prodloužení pobytu v síti
4. Server posílá DHCPACK - unicast (konfigurace), i pro prodloužení

paket DHCPDISCOVER, IP adresy 0.0.0.0, UDP 67

paket DHCPOFFER, IP adresa cíle je již v hlavičce UDP 68

Konfigurace DHCP

Jako první krok vyřadíme určité IP adresy z možnosti je přídělit.

R2(config)#ip dhcp excluded-address 192.168.50.1 - tuto IP vyřazujeme - ja na routeru jako rozhraní sítě, můžeme dát i rozsah - například 192.168.50.1 192.168.50.25

R2(config)#ip dhcp pool OFFICE - vytváříme pool (skupinu volných adres) s názvem OFFICE

R2(dhcp-config)#network 192.168.50.0 255.255.255.0 - rozsah IP adres dostupných přes DHCP

R2(dhcp-config)#default-router 192.168.50.1 - výchozí brána pro klienty DHCP

R2(dhcp-config)#dns-server 192.168.40.4 - IP DNS serveru

R2(dhcp-config)#netbios-name-server 192.168.40.23 - IP NetBIOS serveru

R2(dhcp-config)#lease 0 6 0 - s časovými údaji - tři čísla - den, hodina minuta - jak dlouho je přidělená adresa platná, zde záznam vyprší po přesně 6 hodinách, je možná použít i následující zápis

R2(dhcp-config)#lease infinite - adresa bude přidělena na nekonečně dlouho (pokud bude klient zapnut)

R2(config)#service dhcp - aktivuje DHCP službu

R2(config)#no service dhcp - deaktivuje DHCP službu

DHCP z jiného routeru

Pokud je DHCP na jiném routeru, než je klient, musíme povolit prostup požadavku na DHCP přes router na další zařízení. Broadcast neprojde.

R1(config)#int fast 0/0 - zařízení z nějž může přijít DHCPDISCOVER

R1(config-if)#ip helper-address 192.168.50.1 - IP adresa DHCP serveru

R1(config-if)#end

Neposílají se pouze DHCP požadavky, ale i následující služby:

• TFTP 69
• DNS 53
• Služba time 37
• NetBIOS 137 a 138
• BOOTP 67 a 68
• TACACS 49

Pokud některou službu nechceme v tomto režimu povolit, pak to jde udělat následovně:

R1(config)#no ip forward-protocol udp 49

Naopak, pokud chceme povolit úplně jinou službu, pak je zápis následující:

R1(config)#ip forward-protocol udp 517

Konfigurace interface na routeru pro přijetí DHCP konfigurace

R1(config)#int fast 0/0

R1(config-if)#ip address dhcp

Dva stavy: PERMIT nebo DENIED - omezujeme nebo povolujeme provoz na síti. "Provide traffic flow control".

Využití ACL:

• Snížení využití sítě - podniková síť zakáže streamované video - zvýší se volná přenosová kapacita.
• Základní bezpečnost - omezení rizikových činností - například port 25.
• Omezení dostupných služeb - zákaz telnetu, ICQ, 27025, http, ...
•  

Porty

Vybrané porty

Působnost ACL je zaměřena na 3. a 4. vrstvu ISO/OSI - IP adresa zdroje nebo příjemce a číslo portu požadované služby.

VŽDY NA KONCI ACL JE "DENY ANY" - implicit deny

Rozdělení ACL

I

Inbound - na příchozí pakety

Outbound - na odchozí pakety

II

Standard - filtrace je pouze na adresu zdroje. Cílová IP a port nejsou podstatné.

R1(config)#access-list 20 deny 192.168.1.0 0.0.0.128 - zakazujeme komunikace ze sítě 192.168.1.0/25

Čísla standard ACL 0-99 a 1300-1999

Extended - kontrolují protokol, zdrojovou a cílovou adresu, TCP nebo UDP

R1(config)#access-list 110 permit tcp 192.168.1.0 0.0.0.128 any eq 80 - povolujeme komunikaci na portu 80 ze sítě 192.168.1.0/25

Čísla extended ACL 100-199 a 2000-2699

Wild card maska:

Pojmenované ACL - písmena a čísla, název by měl být psán velkými písmeny, nesmí být mezery, tečky a čárky.

ANY vs HOST

Při určování, zda povolit komunikaci nebo ji zakázat můžeme definovat pravidla pro celou síť - ANY nebo pro jednotlivá síťová zařízení - HOST

• Zápis any je zástupem 0.0.0.0 255.255.255.255 - tedy jakékoliv IP adresy
• Zápis host je zástupem 0.0.0.0 v masce adresy - tedy IP adresy právě jednoho zařízení

R1(config)#access-list 20 remark - povolení přístupu z jedné sítě mimo jedno zařízení - popis

R1(config)#access-list 20 deny host 192.168.1.14 - zákaz pro zařízení

R1(config)#access-list 20 permit 192.168.1.0 0.0.0.128 - povolení sítě

R1(config)#access-list 20 deny any - implicit deny

3P

Access list je možné definovat pro zařízení, směr komunikace a typ IP protokolu:

• One ACL per protocol (IPv4 a IPv6)
• One ACL per direction (out or in)
• One ACL per interface

Umístění ACL

Při zadávání ACL je nutné si dobře naplánovat jejich smysl. Ideálně zakreslit do schématu sítě. Umístění ACL je dáno jejich smyslem, je podstatný rozdíl mezi standard a extended ACL. ACL se umisťují na určitý interface s definováním směru působnosti.

Standard ACL - umí pouze omezovat komunikaci dle zdrojové IP adresy. Pak je tedy nutné dát standardní ACL co nejblíže CÍLI komunikace - tedy na nejbližší router k cílové síti.

Extended ACL - omezuje komunikaci mimo jiné i dle služeb (čísla portů). Pro tuto vlastnost se dává co nejblíže ke ZDROJI komunikace- tedy na nejbližší router ke zdrojové síti.

Konfigurace standardního ACL pro zařízení

R1(config)#access-list 20 remark - popis, komentování celého ACl nebo jednotlivých řádků

R1(config)#access-list 20 deny host 192.168.1.14 - zákaz pro zařízení

R1(config)#access-list 20 permit 192.168.1.0 0.0.0.128 - povolení sítě

R1(config)#access-list 20 deny any - implicit deny

R1(config)#int fast 0/0

R1(config-if)#ip access-group 1 out

Výmaz ACL

R1(config)#no access-list 20

Pojmenovaný standard ACL

R1(config)#ip access-list standard OMEZENI

R1(config-std-nacl)#deny host 192.168.11.10

R1(config-std-nacl)#permit any

R1(config-std-nacl)#exit

R1(config)#int fast 0/0

R1(config-if)#ip access-group OMEZENI out

Změna ACL

Nezle samostatně měnit řádky. Může se pouze smazat celý ACL. Jak postupovat:

1. R1#sh run | include access-list 20
2. Zkopírovat zápis do Notepadu (nebo jiného obyčejného editoru)
3. Provéz v editoru změny
4. Vymazat ACl - R1(config)#no access-list 20
5. Vložit řádky z editoru do terminálu

Druhý způsob je využít číslené označení jednotlivých zápisů.

R1#sh access-list 20

Standard IP access list20

10 deny 192.168.1.14

20 permit 192.168.1.0 0.0.0.128

30 deny all

R1#conf term

R1(config)#ip access-list stantard 20

R1(config-std-nacl)#no 10

- výmaz řádku 10

R1(config-std-nacl)#10 deny host 192.168.1.10

- nový řádek s číslem 10

R1(config-std-nacl)#15 deny host 192.168.1.15

- nový řádek s číslem 15

R1(config-std-nacl)#end

Počet zásahů ACL - počet pokusů o komunikaci, kterou ACL zakazuje

R1#sh access-list

Standard IP access list 20

10 deny 192.168.1.10 (3 match(es))

15 deny 192.168.1.15 (1 match(es))

20 permit 192.168.1.0 0.0.0.128

Permit se nesleduje, ale počet deny ano.

Výmaz počítadla

R1#clear access-list counters 20

ACL pro VTY a ACL

R1(config)#line vty 0 4

R1(config-line)#login local

R1(config-line)#transport input ssh

R1(config-line)#access-class 30 in

R1(config-line)#exit

R1(config)#access-list 30 permit 192.168.10.0 0.0.0.255

R1(config)#access-list 30 deny any

Extended ACL

R1(config)#access-list 120 permit tcp 192.168.1.0 0.0.0.255 any eq 80

nebo

R1(config)#access-list 120 permit tcp 192.168.1.0 0.0.0.255 any eq http

Schéma příkazu:

• access-list 120 - zadání ACL s číslem
• permit - povolit
• tcp - tcp spojení
• 192.168.1.0 0.0.0.255 - IP adresa nebo rozsah pro odchozí adresu
• any - IP adresa nebo rozsah pro cílovou adresu
• eq 80 (http) - služba nebo číslo portu

Příchozí spojení:

R1(config)#access-list 130 permit tcp any 192.168.20.0 0.0.0.255 eq 80 established

Zde established znamená možnost navázat spojení jako odpověď na službu - například http. Established má smysl pouze pro TCP spojení.

Extended ACL pro www:

R1(config)#ip access-list extended SURFING

R1(config-ext-nacl)#permit tcp 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.250 eq 80

R1(config-ext-nacl)#permit tcp 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.250 eq 443

R1(config-ext-nacl)#exit

R1(config)#ip access-list extended BROWSING

R1(config-ext-nacl)#permit tcp any 192.168.20.0 0.0.0.255 established

R1(config-ext-nacl)#exit

R1(config)#int fast 0/0

R1(config-if)#ip access-group SURFING in

R1(config-if)#ip access-group BROWSING OUT

Ze sítě 192.168.1.0 je povolen přístup na www (http nebo https) na síť 192.168.20.0 a zpět je povoleno přijímat spojení.

Slouží k oddělení zařízení, která jsou připojena ke switchi do skupin. Tyto skupiny jsou jako virtuální sítě odděleny a pokud není povoleno, nemají k sobě přístup - nejde ping ani jiné služby.

Důvody pro používání VLAN:

• bezpečnost - různé úrovně přístupu ke službám a zařízením pro různé uživatele - admin x zaměstnanec x návštěvník
• rychlost - omezení broadcastových paketů, menší zátež sítě
• jednotné nastavení pro skupiny uživatelů - nemusí se řešit zvlášť na každém switchi

Označení VLAN

Každá VLAN má přidělené své číslo. Základní VLAN, tedy pro zařízení, která nemají definovanou vlastní VLAN je číslo 1 - default VLAN. Rezervovaná jsou čísla 1002 - 1005. Hodnoty mezi 2 a 999 lze využít dle uvážení.

Native VLAN - pro porty, kde je využit trunk - tedy spojení s jiným switchem nebo routerem - více VLAN přes jeden datový kabel.

Management VLAN - defaultně 1, pokud definujeme jinou VLAN jako management, jsou pro zařízení, která do ní náleží, přístupné konfigurační nástroje switche.

VLAN konfigurujeme na přepínači. Každý port je možné definovat jako trunk nebo access. Třetí stav by měl být vypnuto - nepoužívaný port pro zvýšení bezpečnosti.

Trunk

Spojení mezi zařízeními (router, switch), které přenáší data z několik VLAN. Lze určit, které VLAN mohou přes daný port komunikovat. Trunk je složení oddělené komunikace jednotlivých VLAN do jednoho spojení - multiplex.

Konfigurace

SW1#show vlan brief - vypíše aktuální vlan

SW1#configure terminal

SW1(config)#vlan 20 - vytváříme VLAN s číslem 20

SW1(config-vlan)#name ADMIN - název VLAN, měl by popisovat, pro která zařízeni byla vytvořena

SW1(config-vlan)#end - a to je vše, VLAN je připravena

SW1#configure terminal

SW1(config)#interface fast 0/0 - teď přiřadíme porty naší VLAN, zde port 0/0

SW1(config-if)#switchport mode access - daný port konfigurujeme jako port pro přístup k síti

SW1(config-if)#switchport access vlan 20 - přiřazujeme port určité VLAN

SW1(config-if)#end

Vyjmutí portu z VLAN

SW1#configure terminal

SW1(config)#interface fast 0/0

SW1(config-if)#no switchport access vlan

SW1(config-if)#end

Výmaz VLAN 20

SW1#configure terminal

SW1(config)#no vlan 20

SW1(config)#end

Trunk spojení

SW1#configure terminal

SW1(config)#int fast 0/20 - výběr portu pro trunk spojení

SW1(config-if)#switchport mode trunk - nastavujeme mód portu - propojujeme přepínač-přepínač nebo přepínač-router

SW1(config-if)#switchport trunk native vlan 1 - definování nativní VLAN

SW1(config-if)#switchport trunk allowed vlan 20 - povolené VLAN pro spojení trunk linkou

SW1(config-if)#end

SW1#show interfaces fast 0/20 switchport - ověření konfigurace

Likvidace trunk na portu

SW1#configure terminal

SW1(config)#int fast 0/20

SW1(config-if)#no switchport trunk native vlan

SW1(config-if)#no switchport trunk allowed vlan 

Používání VLAN vyžaduje routování mezi nimi (pokud je to žádoucí). Je tedy nutné jej nastavit.

Jsou tři typy routování:

• legacy - router má připojeno tolik spojení (na patřičný počet interface), kolik je definováno VLAN - každá VLAN je tedy připojena jedním fyzickým rozhraním
• router-on-a-stick - router je připojen k síti jedním zařízením, které je virtuálne rozděleno, každá VLAN má svůj sub-interface s vlastní IP adresou
• multilayer-switch - na síti je přítomen switch, který zvládá operace na 3. vrstvě ISO/OSI - umí routovat
•  

Read more: CCNA2 06 - VLAN