Le NAT dynamique
Le NAT dynamique traduit les adresses privees en adresses publiques a la demande depuis un pool partage : architecture reseau, configuration Cisco du pool et de la liste ACL, et verification des traductions temporaires.
Introduction
Le NAT dynamique (Dynamic NAT) permet de traduire les adresses privées en adresses publiques de manière temporaire et à la demande, en utilisant un pool d’adresses publiques disponibles.
Contrairement au NAT statique : Il n’y a pas d’association fixe
L’IP publique est attribuée dynamiquement lorsqu’un hôte interne tente de sortir
Architecture utilisée
Le réseau est composé de trois PC en IP privée :
192.168.10.1
192.168.10.2
192.168.10.3Le routeur NAT possède :
- Une interface interne : 192.168.10.254
- Une interface externe : 200.1.1.1
Il dispose d’un pool dynamique de deux adresses publiques :
- 200.1.1.1
- 200.1.1.2
Ces adresses seront attribuées automatiquement et temporairement aux machines internes qui souhaitent communiquer avec Internet.
Configuration Cisco complète
Voici la configuration complète sur un routeur Cisco :
! Interfaces
interface GigabitEthernet0/0
ip address 192.168.10.254 255.255.255.0
ip nat inside
no shutdowninterface GigabitEthernet0/1
ip address 200.1.1.254 255.255.255.0
ip nat outside
no shutdown! Définir un pool d'adresses publiques
ip nat pool DYN-POOL 200.1.1.1 200.1.1.2 netmask 255.255.255.0! Définir les adresses internes autorisées à utiliser NAT
access-list 1 permit 192.168.10.0 0.0.0.255! Activer le NAT dynamique avec le pool
ip nat inside source list 1 pool DYN-POOLExplication de la configuration
Interfaces
- ip nat inside : côté LAN (réseau privé)
- ip nat outside : côté WAN (vers Internet)
ip nat poolDéfinit un pool d’adresses publiques à attribuer dynamiquement
ip nat pool DYN-POOL 200.1.1.1 200.1.1.2 netmask 255.255.255.0
access-list 1Liste les IP internes autorisées à utiliser le NAT. Ici : tout le sous-réseau 192.168.10.0/24.
ip nat inside source list 1 pool DYN-POOLAssocie les IP du LAN définies dans l’ACL au pool d’adresses publiques.
Vérification avec les commandes Cisco
Lorsqu’un ou plusieurs PC du LAN accèdent à Internet, le NAT dynamique attribue une IP du pool. On vérifie cela avec :
show ip nat translationsExemple de sortie possible :
Pro Inside global Inside local Outside local Outside global
tcp 200.1.1.1:12345 192.168.10.1:12345 8.8.8.8:80 8.8.8.8:80
tcp 200.1.1.2:12346 192.168.10.2:12346 8.8.8.8:80 8.8.8.8:80- Inside local : IP du PC interne
- Inside global : IP publique temporairement attribuée
Si un troisième PC tente de sortir alors que les deux adresses du pool sont prises, la traduction échoue (pas d’IP libre dans le pool).
Commande complémentaire
show ip nat statisticsPermet de visualiser :
- Le nombre d’adresses traduites
- Le nombre de traductions actives
- Le nom du pool et sa taille
Conclusion
Le NAT dynamique est utile lorsqu’on a :
- Plusieurs machines à faire sortir sur Internet
- Un nombre limité d’adresses publiques
- Mais qu’on n’a pas besoin d’accès entrant depuis Internet
Il permet de partager intelligemment un petit nombre d’IP publiques, à condition que le nombre d’utilisateurs simultanés ne dépasse pas le nombre d’IP dans le pool.
