Il comando 'ip static' per la configurazione del NAT
Come regolare con precisione il NAT (Network Address Translation) in un Router tramite l'interfaccia a riga di comando (CLI) utilizzando il comando ip static?
Importante
Questo articolo è destinato agli utenti esperti.
Fornisce la sintassi, la descrizione dettagliata e gli esempi del comando ip static per varie impostazioni NAT (Network Address Translation). È necessario utilizzare questo comando tramite l'interfaccia a riga di comando (CLI) del dispositivo. Dopo aver configurato il comando ip static, è necessario eseguire il comando system configuration save per salvare le impostazioni nella memoria non volatile del Router.
1. Descrizione e utilizzo del comando 'ip static'
Questo comando consente di creare un binding statico di indirizzi IP locali a quelli globali. Se interface o network corrisponde a un'interfaccia con un livello di sicurezza pubblico (il parametro security-level public è impostato nelle impostazioni dell'interfaccia nella CLI), verrà eseguita la traduzione dell'indirizzo di destinazione (DNAT). Se to-address corrisponde a un'interfaccia con un livello di sicurezza pubblico, verrà eseguita la traduzione dell'indirizzo di origine (SNAT).
Il numero di porta TCP/UDP è sempre considerato la porta di destinazione.
Se network equivale a un singolo indirizzo e tale indirizzo è uguale a to-address, questa regola vieterà la traduzione dell'indirizzo specificato, che potrebbe essere eseguita in base alle regole ip nat specificate.
Importante
Le regole ip static hanno una priorità più alta rispetto alle regole ip nat.
2. Sintassi del comando 'ip static'
ip static [ <protocol>] ( <interface› | ( <address> <mask>) ) ( <port> through <end-port> (<to-address> | <to-host> | <to-interface>) | <port> (<to-address> | <to-host> | <to-interface>) [<to-port>] | <to-address> | <to-host> | <to-interface>)
La regola può funzionare per uno dei due protocolli (tcp o udp) o per tutti i protocolli (incluso icmp). Se il tipo di protocollo tcp o udp non è specificato, non è possibile selezionare un numero di porta nella sintassi.
Esaminiamo gli esempi più comuni di configurazione di DNAT con il comando ip static.
Esempio 1. Sulla rete locale è presente un server con indirizzo IP 192.168.1.33, al quale deve essere organizzato l'accesso entro l'intervallo di porte specificato. Dopo aver creato la regola, qualsiasi richiesta all'indirizzo IP esterno del Router tramite le porte TCP da 10000 a 20000 verrà reindirizzata al server locale.
Inoltro dell'intervallo di porte TCP di destinazione dall'interfaccia esterna all'host sulla rete locale:
ip static tcp ISP 10000 through 20000 192.168.1.33
Questa regola inoltrerà le porte TCP da 10000 a 20000 all'indirizzo IP 192.168.1.33.
Esempio 2. Sulla rete locale è presente una telecamera IP con l'indirizzo 192.168.1.33, a cui è necessario accedere tramite la porta UDP 554 per visualizzare il video in streaming. Nel programma di riproduzione video, sarà necessario aprire l'indirizzo rtsp://WAN_IP:554.
Inoltro di una singola porta di destinazione UDP dall'interfaccia esterna a un host sulla rete locale:
ip static udp ISP 554 192.168.1.33
Questa regola inoltrerà la porta UDP 554 all'indirizzo IP locale 192.168.1.33.
Esempio 3. Sulla rete locale sono presenti più dispositivi che dispongono della stessa porta di controllo ed è necessario configurare l'accesso remoto a ciascuno di essi. È impossibile aprire la stessa porta esterna per host diversi contemporaneamente, quindi è necessario configurare le regole in modo che i client che accedono a porte esterne diverse vengano indirizzati al dispositivo necessario sulla rete locale.
Traduzione di una porta di destinazione TCP esterna in un'altra porta di destinazione sulla rete locale:
ip static tcp ISP 8080 192.168.1.1 80
Questa regola inoltra il traffico destinato all'interfaccia esterna sulla porta 8080 al Router sulla porta 80.
Esempio 4. Sulla rete locale è presente un server con indirizzo IP 192.168.1.33, al quale deve essere fornito l'accesso su tutte le porte.
Traduzione delle richieste su qualsiasi porta esterna a un host sulla rete locale (DMZ, server aperto)
ip static ISP 192.168.1.33
3. Di seguito sono riportati gli esempi più comuni di configurazione SNAT utilizzando il comando 'ip static':
Esempio 1. L'ISP fornisce due indirizzi IP pubblici e la sottorete Home deve essere connessa tramite un IP, mentre la sottorete Wi-Fi Ospiti deve essere connessa tramite l'altro.
Connessione della rete locale del Router tramite un'interfaccia globale con un indirizzo IP specifico:
ip static Home 180.100.100.10
Questa regola si applicherà a tutti i pacchetti provenienti dalla rete locale (Home) a tutte le interfacce globali (l'opzione Usa per accedere a Internet è abilitata nelle impostazioni dell'interfaccia) e l'indirizzo IP di origine verrà sostituito con 180.100.100.10.
Importante
Questa regola funziona indipendentemente dalla regola ip nat Home, poiché ip static ha la priorità più alta.
Esempio 2. L'ISP fornisce due indirizzi IP pubblici. C'è un server sulla rete locale che deve essere pubblicato su Internet con il proprio indirizzo IP, mentre il resto della rete viene pubblicato tramite il secondo indirizzo IP.
Collegamento di un host dalla rete locale alla rete globale con un indirizzo IP specifico (NAT 1-a-1):
ip static 192.168.1.33 255.255.255.255 180.100.100.10
Questa regola funzionerà solo per l'host locale 192.168.1.33, e uscirà attraverso l'interfaccia globale con l'indirizzo 180.100.100.10. Il resto della sottorete locale funzionerà secondo la regola ip nat Home e andrà alla rete globale con l'indirizzo IP di origine registrato sull'interfaccia esterna.
Importante
Per il NAT 1-a-1, è necessario registrare un alias nelle impostazioni dell'interfaccia globale utilizzando i seguenti comandi:
<config> interface ISP <config-if> ip alias 180.100.100.10 255.255.255.255
Esempio 3. Nella rete locale è presente un server con indirizzo IP 192.168.1.33, che deve accedere alla rete esterna con il proprio indirizzo IP per il routing classico (senza NAT).
Disabilitazione della regola SNAT per un host sulla rete locale:
ip static 192.168.1.33 255.255.255.255 192.168.1.33
Questa regola consente all'host locale con l'indirizzo 192.168.1.33 e la maschera 255.255.255.255 di accedere alle interfacce globali (WAN) con il proprio indirizzo IP locale. Il resto della sottorete locale funzionerà secondo la regola ip nat Home e si collegherà alla rete globale con l'indirizzo IP di origine registrato sull'interfaccia esterna.
Avviso
Il comando ip static può essere utilizzato per abilitare il NAT non solo tra un'interfaccia e un indirizzo IP, ma anche tra due interfacce. Ad esempio:
ip static Home ISP
Questa operazione funzionerà quando security-level public viene utilizzato su almeno una delle interfacce affinché SNAT funzioni, come menzionato all'inizio dell'articolo.
Se interface o network corrisponde a un'interfaccia con un livello di sicurezza pubblico (il parametro security-level public è impostato nelle impostazioni dell'interfaccia nella CLI), verrà eseguita la traduzione dell'indirizzo di destinazione (DNAT). Se to-address corrisponde a un'interfaccia con un livello di sicurezza pubblico, verrà eseguita la traduzione dell'indirizzo di origine (SNAT).