TP — Configuration de la NAT

R1 connecte le réseau interne du serveur (192.168.1.0/24) au réseau public (200.0.0.0/24).

conf t

! Interface LAN — réseau interne du serveur
interface g0/1
  ip address 192.168.1.1 255.255.255.0
  no shutdown

! Interface WAN — réseau public
interface s0/0/0
  ip address 200.0.0.1 255.255.255.0
  no shutdown

! Route par défaut vers le réseau externe
ip route 0.0.0.0 0.0.0.0 s0/0/0

• ip route 0.0.0.0 0.0.0.0Route par défaut — tout trafic dont la destination est inconnue est envoyé vers l'interface S0/0/0 (le réseau public).

R2 connecte le réseau clients (192.168.2.0/24) au réseau public via R1.

conf t

! Interface LAN — réseau interne clients
interface g0/0
  ip address 192.168.2.1 255.255.255.0
  no shutdown

! Interface WAN — liaison vers R1
interface s0/0/1
  ip address 200.0.0.2 255.255.255.0
  no shutdown

! Route par défaut vers R1
ip route 0.0.0.0 0.0.0.0 s0/0/1

Cette commande établit une correspondance permanente entre l'adresse privée du serveur et son adresse publique.

conf t
! Correspondance fixe : IP privée ↔ IP publique
ip nat inside source static 192.168.1.11 200.0.0.11

• inside source staticDéclare une traduction statique permanente. Elle reste dans la table NAT même si aucun trafic n'est en cours.
• 192.168.1.11Adresse locale interne — l'IP réelle du serveur sur le réseau privé.
• 200.0.0.11Adresse globale externe — l'IP publique sous laquelle le serveur est visible de l'extérieur.

Le routeur doit savoir quelle interface est côté réseau privé (inside) et quelle interface est côté réseau public (outside).

! Interface côté réseau privé (LAN serveur)
interface g0/1
  description "interface interne"
  ip nat inside

! Interface côté réseau public (WAN)
interface s0/0/0
  description "interface externe"
  ip nat outside
exit

• ip nat insideMarque l'interface comme côté réseau interne. Le trafic provenant de cette interface peut être traduit.
• ip nat outsideMarque l'interface comme côté réseau externe. Les paquets sortants reçoivent l'adresse publique, les paquets entrants sont retraduits vers l'IP privée.

Vérifier la table de traduction et les statistiques après un ping de PC21 vers SRV01.

! Afficher la table de traduction NAT
show ip nat translations

! Résultat attendu (statique, sans trafic) :
--- 200.0.0.11  192.168.1.11  ---  ---

! Résultat attendu (avec trafic ICMP en cours) :
icmp 200.0.0.11:31  192.168.1.11:31  192.168.2.21:31  192.168.2.21:31

! Afficher les statistiques NAT
show ip nat statistics

• Inside globalL'adresse publique vue de l'extérieur (200.0.0.11).
• Inside localL'adresse privée réelle du serveur (192.168.1.11).
• ---Les champs Outside sont vides si aucune session n'est active. La traduction statique reste toujours dans la table.

Définir la plage d'adresses IP publiques disponibles pour la traduction dynamique.

conf t
ip nat pool POOL-SITE02 200.0.0.128 200.0.0.130 netmask 255.255.255.0

! Méthode alternative avec préfixe (non supporté sous Packet Tracer) :
! ip nat pool POOL-SITE02 200.0.0.128 200.0.0.130 prefix-length 24

• ip nat pool NOMCrée un groupe (pool) d'adresses publiques avec un nom. Ce nom sera référencé dans la commande d'association ACL-pool.
• 200.0.0.128 200.0.0.130Plage d'adresses du pool — de la première à la dernière adresse utilisable. Ici 3 adresses disponibles.
• netmaskMasque de sous-réseau des adresses du pool. Doit correspondre au réseau public utilisé.

Cette ACL identifie quels hôtes internes sont autorisés à utiliser la NAT dynamique.

access-list 1 permit 192.168.2.0 0.0.0.255
! Un deny any implicite est ajouté automatiquement en fin de liste

• access-list 1ACL standard numérotée. Elle filtre uniquement sur l'IP source — ici tout le réseau 192.168.2.0/24.
• 0.0.0.255Wildcard mask = inverse du masque /24. Signifie : n'importe quel hôte du réseau 192.168.2.0.

Cette commande relie les hôtes autorisés (ACL) au pool d'adresses publiques pour activer la NAT dynamique.

ip nat inside source list 1 pool POOL-SITE02

• source list 1Référence l'ACL 1 — seuls les hôtes correspondant à cette ACL bénéficient de la traduction NAT.
• pool POOL-SITE02Les adresses publiques seront attribuées depuis le pool POOL-SITE02 de façon dynamique.

Avec seulement 3 adresses dans le pool, si PC21, PC22 et PC23 communiquent simultanément, toutes les adresses sont utilisées.

pool POOL-SITE02: total addresses 3, allocated 3 (100%), misses 0

! PC24 ne peut plus accéder à l'extérieur :
Request timed out.
Request timed out.

Pour supprimer les traductions dynamiques ou le pool :

! Effacer toutes les traductions dynamiques
clear ip nat translation *

! Si le pool est en cours d'utilisation, désactiver d'abord la NAT sur l'interface
interface g0/0
  no ip nat inside

! Puis supprimer le pool
no ip nat pool POOL-SITE02 200.0.0.128 200.0.0.130 netmask 255.255.255.0

Identique à la NAT dynamique mais avec le mot-clé overload qui active la surcharge NAT (PAT).

conf t
! 1. Créer le pool d'adresses publiques
ip nat pool POOL-SITE02 200.0.0.128 200.0.0.130 netmask 255.255.255.0

! 2. Définir l'ACL des hôtes autorisés
access-list 1 permit 192.168.2.0 0.0.0.255

! 3. Associer ACL + pool avec le mot-clé OVERLOAD (active la PAT)
ip nat inside source list 1 pool POOL-SITE02 overload

! 4. Déclarer les interfaces
interface g0/0
  description "interface interne"
  ip nat inside
interface s0/0/1
  description "interface externe"
  ip nat outside
exit

• overloadMot-clé clé de la PAT — informe le routeur d'utiliser les numéros de ports pour différencier les connexions. Sans ce mot-clé, c'est de la NAT dynamique classique (1 IP = 1 connexion).

La PAT à adresse unique est la plus utilisée. Elle permet aux particuliers et petites entreprises de partager l'adresse IP publique du FAI portée par l'interface de sortie du routeur.

conf t
! 1. ACL des hôtes autorisés
access-list 1 permit 192.168.2.0 0.0.0.255

! 2. Lier l'ACL directement à l'interface de sortie (pas de pool)
ip nat inside source list 1 interface S0/0/0 overload

! 3. Déclarer les interfaces
interface g0/0
  description "interface interne"
  ip nat inside
interface s0/0/1
  description "interface externe"
  ip nat outside
exit

• interface S0/0/0Au lieu d'un pool, on référence directement l'interface de sortie. L'IP publique de cette interface (souvent dynamique via DHCP) est utilisée pour la traduction.
• overloadIndispensable — active la surcharge PAT pour multiplexer toutes les connexions sur une seule IP publique via les ports.

ip nat inside source static { tcp | udp } local-IP local-port global-IP global-port [extendable]

• tcp / udpProtocole de transport à rediriger. HTTP = tcp, DNS = udp.
• local-IPAdresse IP privée de l'hôte interne hébergeant le service.
• local-portPort sur lequel le service interne écoute (ex : 80 pour HTTP).
• global-IPAdresse IP publique du routeur exposée à l'extérieur.
• global-portPort public exposé (peut être différent du port interne — ex : 8080).
• extendableOption par défaut — permet des traductions "ambiguës" (deux interfaces de sortie, etc.).

Le trafic TCP arrivant sur 200.0.0.1:8080 est automatiquement redirigé vers SRV01:80.

conf t
! Rediriger TCP port 8080 public → port 80 de SRV01
ip nat inside source static tcp 192.168.1.11 80 200.0.0.1 8080

! Déclarer les interfaces
interface g0/0
  description "interface interne"
  ip nat inside
interface s0/0/1
  description "interface externe"
  ip nat outside
exit

show ip nat translations
tcp 200.0.0.1:8080  192.168.1.11:80  ---  ---
tcp 200.0.0.1:8080  192.168.1.11:80  192.168.2.21:1031  192.168.2.21:1031

• Ligne 1La règle de redirection statique — toujours présente dans la table (comme la NAT statique).
• Ligne 2La traduction active quand PC21 accède au service. Le port d'entrée (8080) est remplacé par le port interne (80).

En IPv6, les hôtes internes peuvent communiquer directement avec l'extérieur sans traduction d'adresse.

! Activer le routage IPv6
ipv6 unicast-routing

! Interface interne (LAN)
interface g0/0
  ipv6 address 2001:db8:1::1/64
  no shutdown

! Interface externe (WAN)
interface s0/0/1
  ipv6 address 2001:db8:100::1/64
  no shutdown

• ipv6 unicast-routingActive le routage IPv6 sur le routeur. Sans cette commande, le routeur ne route pas les paquets IPv6 entre les interfaces.
• Chaque hôteReçoit une adresse IPv6 globale unique. La sécurité est assurée par des pare-feux IPv6, non par la traduction d'adresses.

Le NPTv6 traduit uniquement le préfixe IPv6 sans modifier la partie hôte. Contrairement à la NAT IPv4 : pas de ports, traduction 1 pour 1, réversible et prévisible.

! Définir les préfixes à traduire
ipv6 nat prefix INSIDE-PREFIX  2001:db8:1::/64
ipv6 nat prefix OUTSIDE-PREFIX 2001:db8:100::/64

! Activer la traduction de préfixe
ipv6 nat v6v6source INSIDE-PREFIX OUTSIDE-PREFIX

! Interface interne
interface g0/0
  ipv6 nat inside

! Interface externe
interface s0/0/1
  ipv6 nat outside

! Vérification
show ipv6 nat translations
show ipv6 nat statistics

• ipv6 nat insideIndique que le trafic provenant de cette interface doit être traduit (côté réseau interne IPv6).
• ipv6 nat outsideCôté réseau public IPv6. La combinaison inside/outside permet au routeur d'appliquer correctement la traduction de préfixe.