Hairpinning NAT NAT

Eu tenho um NAT de roteador Cisco configurado (4 estático e dinâmico). Meu problema é que não consigo acessar servidores internos usando endereços IP públicos da rede interna.

Eu sei qual é o problema. Pesquisei bastante no Google sobre esse problema e aprendi que a maioria dos firewalls / roteadores lidam com essa situação automaticamente.

No caso da Cisco, o hairpinning NAT é uma das soluções (não sei se estou correto). Como eu posso fazer isso?.

preciso acessar o servidor usando o endereço IP 202.192.68.235do meu PC, mas não consigo.

O NAT da NVI já foi criado por Aaron D.

Aqui estão os bits de configuração relevantes de um exemplo de trabalho. Foi feito em um CISCO881 com IOS 15.4 (3) M6a

Outside network: 172.19.31.0 /24   on  FastEthernet4
Inside network:  172.19.140.0 /23  on VLAN141/SVI141
exposed host:    172.19.141.24
external port:   2222
internal port:   22

Configuração da interface:

interface FastEthernet4
 ip address 172.19.31.2 255.255.255.0
 ip nat enable

interface Vlan141
 ip address 172.19.140.1 255.255.254.0
 !
 ! hairpinning did not work until ip redirects were disabled
 !
 no ip redirects
 ip nat enable

ACL NAT:

ip access-list standard ACLv4_SUBNET141
 permit 172.19.140.0 0.0.1.255

Regras NAT:

ip nat source static tcp 172.19.141.24 22 interface FastEthernet4 2222
ip nat source list ACLv4_SUBNET141 interface FastEthernet4 overload

Em poucas palavras:

1. defina as interfaces relevantes como "ip nat enable" em vez de "ip nat in / outside" e modifique ligeiramente as regras do NAT.
2. verifique se há uma política de saída no estilo NAT da NVI, ou o host flexível não será capaz de conectar a saída ou o grampo a ele próprio.
3. desabilite os redirecionamentos de IP na interface "interna" ou o hairpinning (pelo menos não do próprio host) não funcionará.

Cuidado: O NVI NAT pode ser MUITO desgastante na CPU de roteadores low-end como a série 800. Onde meu antigo 881 costumava fornecer 50-60Mbit / s com NAT clássico, a mudança para NVI fazia com que a taxa de transferência caísse para 20-30Mbit / s e faria com que a CPU ficasse vermelha quando sob carga.

Esse também foi o caso quando a tradução a ser bloqueada não estava realmente em uso, apenas com o tráfego correspondente à regra NAT de saída "interface ... sobrecarga" normal.

Em um ASA, isso é bastante fácil. Em um roteador, acho que você pode configurar o Nat / NVI para alcançar o que deseja.

Tente isto: Cisco Router Easy Hairpin NAT

Este é um caso de encaminhamento de porta para a mesma rede. Para essas configurações da DMZ, é preferível usar hairpinning ou ter DNS local para resolver esses servidores internos. Além deles, existe uma solução equivalente para isso.

A solução é ter a regra DNAT para sua zona LAN também, para que o pacote com destino ip 202.192.68.235 do cliente local possa ser convertido para 10.0.6.35 e roteado de volta para a mesma rede pelo roteador.

Mas, novamente, o problema é que o servidor tentará responder diretamente ao cliente, pois ele pertence à mesma rede. Agora, para fazer o servidor responder ao cliente via roteador , precisamos adicionar uma regra SNAT que tornaria a fonte como roteador.

Sua regra SNAT deve ser muito específica, de forma que se aplique apenas ao tráfego proveniente da sub-rede local e destinado à 10.0.6.35. Isso resolverá o seu problema com certeza.

Para resumir, você deve adicionar uma regra DNAT e uma regra SNAT para a interface da LAN.