Vérification NAT et commandes Cisco
Définition
La vérification NAT consiste à utiliser les commandes Cisco IOS pour confirmer que la traduction d'adresses fonctionne correctement, diagnostiquer les problèmes de NAT et surveiller les traductions actives. Les commandes show ip nat et debug ip nat sont les outils principaux.
Contexte
La certification CCST couvre la vérification NAT car une mauvaise configuration NAT est une cause fréquente de perte de connectivité vers Internet ou vers des ressources distantes. Savoir lire les tables de traduction est essentiel pour le dépannage.
Détails techniques
Commandes de vérification
| Commande |
Description |
show ip nat translations |
Affiche toutes les traductions NAT actives |
show ip nat statistics |
Statistiques : hits, misses, pools, interfaces |
show running-config | section nat |
Affiche la configuration NAT |
debug ip nat |
Affiche les traductions en temps réel (attention en production) |
clear ip nat translation * |
Supprime toutes les traductions dynamiques |
Lecture de show ip nat translations
Router# show ip nat translations
Pro Inside global Inside local Outside local Outside global
tcp 203.0.113.5:1025 192.168.1.10:80 8.8.8.8:443 8.8.8.8:443
tcp 203.0.113.5:1026 192.168.1.11:80 93.184.216.34:80 93.184.216.34:80
--- 203.0.113.10 192.168.1.50 --- ---
| Champ |
Signification |
| Inside local |
Adresse IP privée de l'hôte interne |
| Inside global |
Adresse IP publique (après traduction) vue depuis l'extérieur |
| Outside local |
Adresse du serveur distant vue depuis l'intérieur |
| Outside global |
Adresse du serveur distant réelle |
| Pro |
Protocole (tcp, udp, icmp) |
Lecture de show ip nat statistics
Router# show ip nat statistics
Total active translations: 25 (1 static, 24 dynamic)
Peak translations: 150, occurred 2d ago
Outside interfaces: GigabitEthernet0/1
Inside interfaces: GigabitEthernet0/0
Hits: 45230 Misses: 12
Expired translations: 8920
Dynamic mappings:
-- Inside Source
access-list 10 pool NAT-POOL refcount 24
pool NAT-POOL: netmask 255.255.255.0
start 203.0.113.1 end 203.0.113.254
type generic, total addresses 254, allocated 24, misses 0
| Statistique |
Interprétation |
| Hits |
Nombre de paquets traduits avec succès |
| Misses |
Paquets qui n'ont pas trouvé de traduction (problème) |
| Total active |
Nombre de traductions en cours |
| Allocated |
Nombre d'adresses du pool actuellement utilisées |
Debug ip nat (diagnostic avancé)
Router# debug ip nat
NAT: s=192.168.1.10->203.0.113.5, d=8.8.8.8 [1234]
NAT*: s=8.8.8.8, d=203.0.113.5->192.168.1.10 [1234]
s= : translation de l'adresse source (sortant)d= : translation de l'adresse destination (retour)* indique que la traduction utilise une entrée existante dans le cache
Checklist de dépannage NAT
| Étape |
Vérification |
| 1 |
Les interfaces inside/outside sont-elles correctement marquées ? |
| 2 |
L'ACL/pool est-il correctement défini et associé ? |
| 3 |
show ip nat translations montre-t-il des entrées ? |
| 4 |
Les misses dans les statistiques augmentent-ils ? (ACL trop restrictive) |
| 5 |
La route de retour vers l'adresse Inside Global existe-t-elle ? |
Exemple concret
Les utilisateurs ne peuvent plus naviguer sur Internet. L'administrateur lance show ip nat statistics : les misses augmentent rapidement et le pool montre 254/254 adresses allouées. Le pool NAT est épuisé. Solution : migrer vers le PAT (overload) qui permet à tous les hôtes de partager une seule adresse IP publique avec des ports différents.
