Možnosti IPv6 NAT Lukáš Krupčík, Martin Hruška KRU0052, HRU0079 Abstrakt: Tento dokument ukazuje možné řešení problematiky IPv6 NAT. Součástí je návrh topologií zapojení a praktické otestovaní. Kontrola funkcionality byla provedena v laboratorních podmínkách na směrovačích od firmy CISCO a ve virtualizovaných směrovačích od firmy CISCO. Klíčová slova: IPv6 NAT, IPv6, NAT-PT 1) NAT-PT... 2 2) Testovací topologie A... 3 Konfigurace... 3 Statické NAT-PT... 3 Ověření zapojení... 4 Testování pomocí příkazu... 5 3) Testovací topologie B... 6 Dynamické NAT-PT... 6 Konfigurace... 6 Ověření zapojení... 7 4) Závěr... 8 5) Použitá literatura... 8 2014/2015 1/11
1 NAT-PT NAT-PT patří mezi silné přechodové techniky, ale není náhradou za duální implementaci nebo tunelování. Místo toho může být použito v situacích, ve kterých je žádoucí přímá komunikace mezi IPv6-only a IPv4-only sítí. To by nebylo vhodné v situacích, kdy je vyžadováno připojení mezi dvěmi IPv6 sítěmi, protože by byly nutné dva body překladu, což by bylo velice neefektivní. Všechny konfigurace a překlad se provádí na směrovači NAT-PT. Ostatní zařízení v síti neví nic o existence sítě druhého protokolu a ani to, že se zde vyskytuje překlad. Směrovač NAT-PT překládá zdrojové a cílové adresy v obou směrech: od sítě IPv4 k IPv6 síti od sítě IPv6 do sítě IPv4. Z tohoto důvodu je tento směrovač dvojitě skládaný a musí mít dvě sady záznamů překladu pro tento obousměrný překlad. Nutnost DNS pro NAT-PT architekturu: Aplikace zahájí provoz z hostitelů, a DNS překládá názvy domén na IP adresy. Vzhledem k tomu, že DNS dotazy mohou překračovat směrovač NAT-PT, aplikační DNS vrstva brány (ALG) je obvykle realizována s cílem usnadnit mapování názvu na adresu. DNS-ALG překládá IPv6 adresy v DNS dotazech a odpovědi na jejich vazební IPv4 adresy. NAT-PT využívá 96-bitový IPv6 prefix sítě, proto, aby Obrázek 1 CISCO materiály směřovaly veškerou komunikaci protokolu IPv6, která musí být přeložena ve směrovači NAT-PT. Směrování IPv6 musí být nakonfigurováno tak, aby všechny pakety IPv6 adresované na tento prefix buly směrovány do zařízení NAT-PT. Když směrovač NAT-PT přijme paket IPv6 určený pro předponu NAT-PT, tak překládá paket podle nakonfigurovaných pravidel mapování. Tato předpona je také použita v překladu IPv4 adresy na IPv6 adresu. V rámci domény IPv6 jsou externí IPv4 adresy mapovány na adresy IPv6. Toto mapování se provádí staticky, nebo dynamicky. Podobně, statické a dynamické mapování může být nakonfigurováno pro překlad interních IPv6 adres na externí IPv4 adresy. 2014/2015 2/11
2 Testovací topologie A Konfigurace RA a RB - základní nastavení IPv4 sítě. (config)# interface fa0/0 (config-if)# ip address 192.168.0.1 255.255.255.0 (192.168.0.2) utdown (config)# ip route 0.0.0.0 0.0.0.0 192.168.0.3 RD a RE základní nastavení IPv6 sítě. (config)# ipv6 unicast-routing (config)# interface fa0/0 (config-if)# ipv6 address 2001:A:0:1::4/64 (::5/64) (config-if)# ipv6 enable utdown (config)# ipv6 route ::/0 2001:A:0:1::3 2014/2015 3/11
RC slouží jako hraniční router IPv4 a IPV6 sítě. Statické NAT-PT (config)# ipv6 unicast-routing (config)# interface fa0/0 (config-if)# ip address 192.168.0.3 255.255.255.0 (config-if)# ipv6 nat utdown (config)# interface fa0/1 (config-if)# ipv6 address 2001:A:0:1::3/64 (config-if)# ipv6 enable (config-if)# ipv6 nat utdown (config)# ipv6 nat prefix 2001:A:1:1::/96 [1] (config)# ipv6 nat v4v6 source 192.168.0.1 2001:A:1:1::C0A8:7B01 [2] (config)# ipv6 nat v4v6 source 192.168.0.2 2001:A:1:1::C0A8:7B02 [2] (config)# ipv6 nat v6v4 source 2001:A:0:1::4 192.168.1.4 [3] (config)# ipv6 nat v6v4 source 2001:A:0:1::5 192.168.1.5 [3] Nastavení NAT-PT prefixu globálně [1]. Nastavení statického mapování adres (1:1). Nastavení překladu z IPv4 sítě [2] a z IPv6 sítě [3]. Ověření zapojení 2014/2015 4/11
Testování pomocí příkazu RE ping 2001:A:1:1::C0A8:7B02 repeat 1 ping 2001:A:1:1::C0A8:7B01 repeat 1 RA ping 192.168.1.4 repeat 1 ping 192.168.1.5 repeat 1 2014/2015 5/11
Statické NAT-PT je poměrně jednoduché konfigurovat a jedná se o dobré řešení pro jednu nebo dvě adresy. Proto má statické NAT velkou nevýhod, není škálovatelné. Je to velmi těžkopádné vytvářet statické položky pro více zdrojů komunikujících s více destinacemi. Dynamické NAT poskytuje mnohem škálovatelnější řešení. 2014/2015 6/11
3 Testovací topologie B Dynamické NAT-PT Dynamické NAT-PT, adresy jsou přidělovány z adres, stejně jako se to děje u IPv4 dynamickým NAT. Opět platí, že příkazy mají podobnou syntaxi pro IPv4 NAT. Když směrovač NAT-PT přijme paket s IPv6 cílovou adresu libovolně přiřadí 96-bit prefix (předpona NAT-PT), to překládá paket protokolu IPv6 adresy na IPv4 adresu. Packety, které se překládají přes NAT-PT jsou filtrovány IPv6 access listem LIST, pomocí kterého se budou vybírat a následně i překládat ip adresy. Konfigurace Základní konfigurace pro R1 a R2 pro IPv4 síť R1: (config)# interface f0/1 (config-if)# ip address 172.16.123.1 255.255.255.0 R2: (config)# interface f0/1 (config-if)# ip address 172.16.123.2 255.255.255.0 Konfigurace loopbacku: (config)# interface loopback1 (config-if)# ipv6 address 102::1/64 2014/2015 7/11
Základní konfigurace pro R1 a R3 pro IPv6 síť R1: (config)# interface f0/0 (config-if)# no ip address (config-if)# ipv6 address 14::1/64 R3: (config)# interface f0/0 (config-if)# no ip address (config-if)# ipv6 address 14::4/64 Konfigurace loopbacku: (config)# interface loopback0 (config-if)# ipv6 address 104::1/64 Nyní je potřeba nakonfigurovat NAT na R1 routeru: 1) Na interfacech použijeme příkaz ipv6 nat config)# interface f0/0 (config-if)# ipv6 nat (config-if)# interface f0/1 (config-if)# ipv6 nat 2) Tyto příkazy slouží pro statické mapování překladu z IPv6 na IPv4 a naopak (pouze jako ukázka) (config)# ipv6 nat v6v4 source 14::4 172.16.123.100 (config)# ipv6 nat v4v6 source 172.16.123.2 1144::1 3) Příkaz pro překlad nad IPv6 prefixem (config)# ipv6 nat prefix 1144::/96 4) Pomocí tohoto příkazu přiřadíme do poolu IPv4 adresy, které se budou překládat (config)# ipv6 nat v6v4 pool POOL-12 172.16.12.100 172.16.12.101 prefix-length 24 (config)# ipv6 nat v6v4 pool POOL-123 172.16.123.100 172.16.123.101 prefix-length 24 5) Nabindování access listu na NAT-PT pool (config)# ipv6 access-list LOOP (config-ipv6-acl)# permit ipv6 104::/64 any (config)# ipv6 access-list LIST (config-ipv6-acl)# permit ipv6 14::/64 any 2014/2015 8/11
(config)# ipv6 nat v6v4 source list LOOP pool POOL-12 (config)# ipv6 nat v6v4 source list LIST pool POOL-123 6) Pomocí tohoto příkazu přiřadíme do poolu Ipv6 adresy, které se budou překládat (config)# ipv6 nat v4v6 pool POOL-1144 1144::1 1144::2 prefix-length 96 7) Nabindování access listu na NAT-PT pool (config)# ip access-list standard ipv4 (config-std-nacl)# permit 172.16.123.0 0.0.0.255 (config-std-nacl)# permit 172.16.12.0 0.0.0.255 (config)# ipv6 nat prefix 1144::/96 (config)# ipv6 nat v4v6 source list ipv4 pool POOL-1144 Ověření zapojení Screen z terminálu pro výpis vazeb mezi adresami. Byl použit příkaz show ipv6 nat translations. Pro otestování funkčnosti propojení byl proveden test pomocí příkazu ping, který směroval ze routeru R3 na router R2 2014/2015 9/11
4 Závěr Úkolem projektu bylo vyzkoušet možnosti IPv6 NAT. V teoretické části byla popsána technologie NAT-PT a následné otestování probíhalo na virtuálních strojích a část na reálných strojích. Na výpisech lze vidět, že je možné tuto technologii realizovat na našich školních strojích. Cíle tohoto projektu se nám tak podařilo splnit. Zvažovali jsme použití NAT64, ale při realizaci jsme narazili na problém nekompatibility se školními stroji a nepodařilo se nám zvirtualizovat funkční stroj, který podporuje NAT64. Do projektu jsme si zvolili možnost překladu IPv6 na IPv4 a překlad IPv4 na IPv6. Jedná se o nejběžnější využití IPv6 NAT. Další možnosti využití IPv6 NAT se odvíjí od této konfigurace Připojení nebo propojení kolizních privátních sítí Přístup privátní sítě do Internetu Přístup privátní sítě se zajištěním soukromí Přechod local ISP k jinému ISP 2014/2015 10/11
5 Použitá literatura [1] NAT-PT for IPv6. IP Addressing: NAT Configuration Guide, Cisco IOS Release 15M&T. [online]. [cit. 2015-05-18]. Dostupné z:http://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ipaddr_nat/configuration/15-mt/nat-15-mtbook/ip6-natpt.html [2] LabMinutes# RS0050 Cisco IPv6 NAT-PT (Part 1). http://www.labminutes.com/video/rs/ipv6. [online]. [cit. 2015-05-18]. Dostupné z:https://www.youtube.com/watch?v=oluxyagawto [3] IPv6 NAT-PT Static lab in GNS3. http://gns3vault.com/. [online].[cit. 2015-05-18]. Dostupné z: https://www.youtube.com/watch?v=-fvr2z1pzc4 [4] K. Egevang, P. Francis RFC1631 - The IP Network Address Translator (NAT) [online] 1994 [cit 1994-03- 1] Dostupné z: https://www.ietf.org/rfc/rfc1631.txt 2014/2015 11/11