NAT

Network address translation é uma tecnologia que nos permite resolver problemas de conectividade em redes que utilizam endereços não roteáveis ou que se sobrepõem a outros já existentes.

Na maioria dos casos NAT permite a utilização de endereços ipv4 não registados para a ligação á internet.
Os dispositivos que têm um nat configurado traduzem em tempo real os endereços privados da rede para um ou mais endereços públicos válidos. Esta tradução de endereços adiciona um nível de segurança na nossa rede pois impede a divulgação de endereços internos na rede externa.
Os dispositivos NAT também podem funcionar de forma inversa, traduzindo múltiplos endereços públicos para um ou mais endereços privados.

Vantagens do NAT:

· Eliminação de utilização de endereços públicos (registados) por cada um dos hosts que se ligam a redes externas.

· Preserva os endereços utilizando a. Multiplexagem de portas para todas as comunicações com o exterior. (permite a utilização do mesmo endereço publico por vários hosts privados).

· Permite conectividade entre redes existentes com endereços sobrepostos.

· Permite a migração de endereçamento de uma forma fácil e organizada.

Desvantagens:

· Determinados protocolos escondem os seus endereços de ip fora do header. ( embedded ip address ) Os NAT's dinâmicos necessitam de manter informação de estado que nem sempre está disponível.

· O NAT interfere com alguns sistemas de cifra e autenticação.

· Em alguns casos dificulta a análise de logs sendo necessário correlacionar esses logs com outros existentes.

Existem Vários tipos de NAT.

1.      NAT estático. Traduz um endereço único interno para um endereço específico externo. (ambos os endereços são fixos)

2.      NAT dinâmico. Traduz um endereço interno para um endereço externo temporariamente. (quando o endereço interno deixa de usar o publico este fica disponível para outras ligações. A relação contínua de um para um.)

1.      PAT estático - Á semelhança de um nat estático traduz múltiplos endereços internos para um externo mantendo a porta utilizada.

2.      PAT dinâmico (Overload). - Traduz múltiplos endereços internos para um ou mais endereços externos mantendo, se possível, a porta utilizada escolhendo para isso um dos endereços de ip externos disponíveis, caso não seja possível, utiliza a próxima porta disponível num qualquer endereço externo.

Formas de configuração:

· Nat Estático

enable

configure terminal
ip nat inside source static 192.168.1.2 209.200.160.100
interface fa 0/0 Interface com ligação ao interior
ip nat inside
interface fa0/1 Interface com ligação ao exterior
ip nat outside

· Nat Dinamico

enable

configure terminal
access list 11 permit 192.168.1.0 0.0.0.255 Criação da lista de endereços que podem ser traduzidos pelo nat
ip nat pool nomepool 209.200.160.100 209.200.160.110 prefix-lenght 24 conjunto de endereços externos que vão ser usados na tradução dos endereços internos.
ip nat inside source list 1 pool nomepool associação dos endereços internos á pool de endereços externos
int fa 0/0 interface da rede interna
ip nat inside
int fa 0/1 interface da rede externa
ip nat outside

Este nat dinâmico tem a tradução de endereços 1 para 1 ou seja só se conseguem ligar á rede externa 10 endereços internos de cada vez, visto apenas termos 10 externos na pool de endereços.

Se houver um 11 pedido este não vai ter sucesso na sua tradução para um endereço externo.

· PAT estático

enable

configure terminal
access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool nomepool 209.200.160.100 209.200.160.100 prefix-length 24
ip nat inside source list 1 pool nomepool overload
int fa0/0
ip nat inside
int fa0/1
ip nat outside

· PAT Dinamico

enable

configure terminal
access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool nomepool 209.200.160.100 209.200.160.110 prefix-length 24
ip nat inside source list 1 pool nomepool overload
int fa0/0
ip nat inside
int fa0/1
ip nat outside

Por defeito o equipamento guarda as tabelas nat por tipo de ligação algum tempo.

Aqui ficam os tempos por defeito que podem ser alterados:

· UDP - 5minutos

· TCP (sessão) - 24 horas

· SYN - 1 minuto

· FIN/RST - 1 minuto

· DNS - 1 minuto

· ICMP - 1 minuto

Por fim deixo uma configuração NAT que pode ser usada quando temos redes que se sobrepõem e cujo trafego a ser feito nat é da rede externa para a rede interna...

enable

configure terminal
access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool nomepool 192.168.1.2 192.168.1.10 prefix-length 24
ip nat outside source list 1 pool addresspool atenção ao outside em vez de inside.
interface fa 0/0
ip nat inside
interface fa 0/1
ip nat outside


Tipos de endereços de NAT

1. Inside Local - Endereço pertencente ao host interno
2. Inside Global - Endereço do host interno visualizado pelos hosts externos
3. Outside Local - Endereço externo visualizado pelos hosts internos
4. Outside Global - Endereço do host externo

VLSM - Variable-length subnet masking

Este método de subnetar redes é o mais eficiente e realístico. Pois usa todos os bits disponíveis na subnet.

Lembram-se dos endereços com subnets do tipo 255.255.255.0?
Este tipo de subnets torna-se muito dispendioso em termos de desperdício de ip's.

Por exemplo uma ligação de um router por um cabo serial apenas necessita de 2 ip's, a utilização de uma subnet deste tipo leva-nos a desperdiçar cerca de 253 ip's.

Mesmo que tenhamos a possibilidade de usar o NAT e que os endereços nunca se acabem devemos sempre ter em consideração que a nossa rede deve sempre ser desenhada da forma mais eficiente possível. É aqui que o conceito de VLSM vem á tona.

Exemplo de uma utilização do conceito de VLSM.

É nos dada uma rede classe C. 192.168.100.0/24
Temos de construir um plano de endereçamentos para esta rede utilizando o conceito de VLSM.
Para isso vamos ter de pensar da seguinte forma:

1 - Quantos bits vão ter de roubar aos Hosts para servirmos as nossas necessidades?

2 - Escolher uma subnet para o segmento de rede que tem mais hosts.

3 - Escolher o segundo segmento que tem mais hosts.

4 - Escolher o terceiro maior segmento.

5 - Determinar os endereçamentos para os links serial.

As maiores redes que temos no nosso esquema têm 50 hosts.
Logo se 2^H-2 = numero válido de hosts por subnet
temos:
2^H-2>=50
H = 6 ( 6 é o numero mais baixo válido para os 50 hosts.)

Temos de ir buscar 6 bits aos hosts ( na subnet) para poder formar a nossa rede com 50 hosts.

Então os bits da subnet vão ficar (NNHHHHHH). Vamos ter que começar a subnetar a partir daqui para podermos responder às necessidades da nossa maior rede.

Agora vamos escolher a rede para o nosso maior segmento.

Para a nossa rede temos dois (NN) para usar. Logo 2^N= Numero de redes disponíveis, como temos 2 bits para a rede então 2^2=4. Podemos ter 4 redes com 50 hosts cada. Mas só necessitamos de 1.
A primeira seria a 01HHHHHH
A segunda seria a 10HHHHHH
A terceira seria a 11HHHHHH

Se pensarmos bem então podemos ver que as redes são as seguintes:

00000000 = .0
01000000 = .64
10000000 = .128
11000000 = .192

Todas estas redes tem a mesma mascara de subnet que é 255.255.255.192 ou /26 bits.

A rede de 50 hosts vai ficar com uma destas redes. As restantes redes vão ficar com o que sobrar.

Por exemplo vamos escolher a rede.64 para a rede A.

Rede B. Necessitamos de ter uma rede que permita 27 hosts.
Escolhemos a .128 para esta tarefa.

2^H-2>=27
H=5

Necessitamos de 5 bits para poder responder às necessidades desta rede.
Então a nossa subnet vai ser 10NHHHHH.
10 Representa o padrão original da subnet que não pode ser alterado e N o bit extra para o nosso trabalho.

Então vamos ficar com as seguintes redes.

10000000 = .128
01100000 = .160

Ok encontramos a subnet para a nossa rede de 27 hots.

A nossa subnet é:

11111111.11111111.11111111.11100000 ou 255.255.255.224 ou /27

Então a nossa rede vai transformar-se

Rede A - .64/26
Rede .128/26 não vai ser usada porque foi subnetada.
Rede B - .128/27

Ok agora seguimos o mesmo procedimento para a rede seguinte.
Necessitamos de 12 hosts.

Para isto podemos usar a outra rede não usada 160/27.
Vamos subnetar esta.

Quantos bits necessitam para 12 hosts?

H=4

Então vão ter as redes

10100000 = .160
10110000 = .176

Em binário temos:

1111111.11111111.11111111.11110000 = 255.255.255.240 ou /28

Aqui podem usar estas 2 novas redes para a Rede C e para a Rede D.

Agora temos o seguinte quadro.

Rede A - .64/26
Rede 128/26 - Não usada subnetada
Rede B - .128/27
Rede 160/27 Não usada subnetada
Rede .160/28 Rede C
Rede .160/28 Rede D

Falta-nos apenas as redes dos links serial.

Para cada serial apenas necessitamos de 2 ip's ou 2 hosts.

Então para isto vamos usar a primeira rede a .0/26 que saltamos quando atribuímos o endereçamento.

2 hosts.

00NNNNHH

Podemos ter 16 redes com 2 hosts cada.

da 00000000 = .0/30 á 00111100 = .60/30

Podemos combinar este endereços da seguinte forma.

.0/26 Não pode ser usada porque foi subnetada.

.0/30 Rede E
.4/30 Rede F
.8/30 Rede G
.12/30 Rede H
.16/28 Rede disponível para futuro crescimento.
.64/26 Rede A
.128/26 Subnetada não pode ser usada
.128/27 Rede B
.160/27 Subnetada não pode ser usada
.160/28 Rede C
.176/28 Rede D
.192/26 Rede disponível para futuro crescimento.

Podemos ver que não desperdiçamos nenhum ip, que não existem ip's iguais e que ainda temos endereços reservados para crescimento futuro.