NAT determinístico

Benefícios do NAPT determinístico

• Elimina a necessidade de registro de tradução de endereços, porque um endereço IP é sempre mapeado para o mesmo endereço IP externo e intervalo de portas, e o mapeamento reverso de um determinado endereço IP externo traduzido e porta é sempre mapeado para o mesmo endereço IP interno.

Entendendo algoritmos NAPT determinísticos

A eficácia da implementação do NAPT determinístico depende da análise dos requisitos do assinante. O tamanho do bloco fornecido indica quantas portas serão disponibilizadas para cada endereço de assinante de entrada do intervalo na from cláusula especificada na regra NAT aplicável. O algoritmo de alocação calcula um valor de deslocamento para determinar o endereço IP e a porta de saída. Um algoritmo reverso é usado para derivar o endereço do assinante de origem.

Observação:

Para rastrear assinantes sem usar logs, um ISP deve usar um algoritmo reverso para derivar um endereço de assinante (origem) de um endereço convertido.

As seguintes variáveis são usadas no cálculo direto (endereço IP do assinante privado para o endereço IP público) e no cálculo reverso (endereço IP público para endereço IP do assinante privado):

• Pr_Prefix — Qualquer endereço de assinante IPv4 pré-NAT.

• Pr_Port— Qualquer porta de protocolo pré-NAT.

• Block_Size — Número de portas configuradas para estarem disponíveis para cada Pr_Prefix.

  Se block-size estiver configurado como zero, o método para calcular o tamanho do bloco será calculado da seguinte forma:

  tamanho do bloco = int(64512/ceil[(Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix)])

  em que 64512 é o intervalo máximo de portas disponível por endereço IP público.

• Base_PR_Prefix — Primeiro endereço de assinante IPv4 pré-NAT utilizável em uma from cláusula da regra NAT.

• Base_PU_Prefix — Primeiro endereço IPv4 assinante pós-NAT utilizável configurado no pool de NAT.

• Pu_Port_Range_Start — Primeira porta pós-NAT utilizável. Este é 1024.

• Pr_Offset — O deslocamento do endereço IP pré-NAT que está sendo convertido do primeiro endereço assinante IPv4 pré-NAT utilizável em uma from cláusula da regra NAT. PR_Offset = Pr_Prefix – Base_Pr_Prefix.

• PR_Port_Offset — Deslocamento do endereço IP pré-NAT multiplicado pelo tamanho do bloco. PR_Port_Offset = Pr_Offset * Block_Size.

• Pu_Prefix — Endereço pós-NAT para um determinado Pr_Prefix.

• Pu_Start_Port — Porta de início pós-NAT para um fluxo de uma determinada Pr_Prefix

• Pu_Actual_Port — Porta pós-NAT vista em um fluxo reverso.

• Nr_Addr_PR_Prefix — Número de endereços IPv4 assinante pré-NAT utilizáveis em uma from cláusula cláusula da regra NAT.

• Nr_Addr_PU_Prefix — Número de endereços IPv4 pós-NAT utilizáveis configurados no pool de NAT.

• Rounded_Port_Range_Per_IP — Número de portas disponíveis para cada endereço IP pós-NAT. Rounded_Port_Range_Per_IP = ceil[(Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix)] * Block_Size.

• Pu_Offset — Deslocamento do endereço IP pós-NAT do primeiro endereço pós-NAT utilizável. Pu_Offset = Pu_Prefix – Base_Pu_Prefix.

• Pu_Port_Offset— Deslocamento da porta pós-NAT de 1024 adicionado ao produto do deslocamento do endereço IP pós-NAT e o número de portas disponíveis para cada endereço IP pós-NAT. Pu_Port_Offset = (Pu_Offset * Rounded_Port_Range_Per_IP) + (Pu_Actual_Port – Pu_Port_Range_Start).

Uso do algoritmo — Suponha a seguinte configuração:

Tradução direta

1. Pr_Offset = Pr_Prefix – Base_Pr_Prefix

2. Pr_Port_Offset = Pr_Offset * Block_Size

3. Rounded_Port_Range_Per_IP = ceil[(Nr_Addr_PR_Prefix/Nr_Addr_PU_Prefix)] * Block_Size

4. Pu_Prefix = Base_Public_Prefix + piso (Pr_Port_Offset / Rounded_Port_Range_Per_IP)

5. Pu_Start_Port = Pu_Port_Range_Start + (Pr_Port_Offset % Rounded_Port_Range_Per_IP)

Usando a configuração de exemplo e assumindo um fluxo de assinante originado de 10.1.1.250:5000:

1. Pr_Offset = 10.1.1.250 – 10.1.0.1 = 505

2. Pr_Port_Offset = 505 * 249 = 125.745

3. Rounded_Port_Range_Per_IP = ceil[(65, 533/254)] * 249 = 259 * 249 = 64.491

4. Pu_Prefix = 32.32.32.1 + andar (125.745 / 64.491) = 32.32.32.1 +1 = 32.32.32.2

5. Pu_Start_Port = 1.024 + (125.745% 64.491) = 62278

   • 10.1.1.250 é traduzido para 32.32.32.2.

   • A porta inicial é 62278. Há 249 portas disponíveis para o assinante com base no tamanho do bloco configurado. O intervalo de portas disponível abrange as portas 62278 a 62526 (inclusive).

   • O fluxo específico 10.1.1.250:5000 atribui aleatoriamente qualquer uma das portas em seu intervalo porque a alocação aleatória foi especificada.

Tradução reversa

1. Pu_Offset = Pu_Prefix – Base_Pu_Prefix

2. Pu_Port_Offset = (Pu_Offset * Rounded_Port_Range_Per_IP) + (Pu_Actual_Port – Pu_Port_Range_Start)

3. Subscriber_IP = Base_Pr_Prefix + piso (Pu_Port_Offset / Block_Size)

A translação inversa é determinada da seguinte forma. Suponha um fluxo retornando a 32.32.32.2:62278.

1. Pu_Offset = 32.32.32.2 – 32.32.32.1 = 1

2. Pu_Port_Offset = (1 * 64.491) + (62.280 - 1024) = 125.747

3. Subscriber_IP = 10.1.0.1 + andar (125.747 / 249) = 10.1.0.1 + 505 = 10.1.1.250

   Observação:

   Na tradução reversa, apenas o endereço IP privado original pode ser derivado, e não a porta original em uso. Isso é suficientemente granular para os requisitos de aplicação da lei.

Depois de configurar o NAPT determinístico, você pode usar os comandos e show services nat deterministic-nat nat-port-block para mostrar o show services nat deterministic-nat internal-host mapeamento direto e reverso. No entanto, os mapeamentos serão alterados se você reconfigurar o tamanho determinístico do bloco de alocação do bloco de porta ou a cláusula da from regra NAT. Para fornecer informações históricas sobre mapeamentos, recomendamos que você escreva scripts que possam mostrar mapeamentos específicos para configurações anteriores.

Restrições determinísticas do NAPT

Ao configurar o NAPT determinístico, você deve estar ciente das seguintes restrições. A violação de qualquer restrição resulta em um erro de confirmação. As restrições e suas mensagens de erro são mostradas na Tabela 1.

Tabela 1: Restrições de confirmação determinísticas do NAPT

Restrição	Mensagem de erro
O número total de blocos NAT determinísticos deve ser maior ou igual aos endereços de from cláusula configurados. Isso significa que o valor Rounded_Port_Range_Per_IP deve ser menor ou igual a 64.512.	O número de endereços e a combinação de blocos de porta no pool NAT é menor que o número de endereços na cláusula 'from'
Os endereços IPv6 não devem ser usados na cláusula determinística NAT pool/from.	Endereço IP inválido no pool p1 com tipo de tradução deterministic-napt44 OU Já existe um intervalo configurado com o intervalo de endereços v4
Os from endereços das cláusulas devem ser os mesmos se o mesmo pool de NAT determinístico for usado em vários termos/regras. Apenas um from endereço/intervalo de cláusula deve ser especificado se o mesmo pool NAT determinístico for usado em vários termos/regras.	Com o tipo de tradução deterministic-napt44, o mesmo endereço/intervalo 'de' deve ser configurado se o pool for compartilhado por várias regras ou termos
A from cláusula deve ter pelo menos um endereço de origem.	Com o tipo de tradução deterministic-napt44, pelo menos um endereço/intervalo que não seja 'de' deve ser configurado. Erro: Falha no check-out da configuração
Não deve haver sobreposição de endereço entre except as entradas nos endereços da from cláusula.	endereço sobreposto, na cláusula 'de' entre entradas 'exceto'
Os endereços em um pool NAT usado para NAPT determinístico não devem se sobrepor aos endereços em nenhum outro pool NAT.	NAT pool det-nat-pool1 se sobrepõe ao det-nat-pool usado pelo conjunto de serviços sset_det-nat erro: falha no check-out da configuração
Um pool NAT determinístico não pode ser usado com outros tipos de tradução. Além disso, um pool NAT determinístico não pode ser usado nas regras NAPT44 determinísticas e NAPT64 NAT determinísticas.	O pool NAT determinístico não pode ser usado com outros tipos de tradução
O NAPT44 determinístico deve usar um pool de origem com configuração determinística de alocação de blocos de portas.	O NAPT44 determinístico deve usar um pool de origem com configuração determinística de alocação de blocos de portas
Se address-allocation round-robin estiver configurado, um commit resultará na exibição de um aviso indicando que essa técnica não é necessária com o tipo de tradução deterministic-napt44 e é ignorada.	O rodízio de alocação de endereços não é necessário com o tipo de tradução determinístico-napt44
O número total de endereços IP atribuídos a um pool de NAT determinístico deve ser menor ou igual a 224 (16777216).	O número de endereços no pool com tradução determinística-napt44 é limitado a no máximo 16777216(2^24)