Topologie de réseau physique
Description du défaut
Une fois le serveur NAT configuré sur le pare-feu FW2, PC1 ne peut pas envoyer une requête ping à l'adresse de réseau privé de PC3 en envoyant une requête ping à l'adresse de réseau public du serveur nat.
Fichiers de configuration
l FW1
#
acl number 3000
rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
#
ipsec proposal p1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
#
ike proposal 1
encryption-algorithm aes-256
dh group2
authentication-algorithm sha2-256
authentication-method pre-share
integrity-algorithm hmac-sha2-256
prf hmac-sha2-256
#
ike peer b
undo version 2
pre-shared-key %^%#Z$pF2wqe9V.VP5V>P,qLJ:R^)="-W28~N9!LWE!3%^%#
ike-proposal 1
remote-address 192.168.101.1
#
ipsec policy map1 10 isakmp
security acl 3000
ike-peer b
proposal p1
sa trigger-mode auto
#
ip route-static 0.0.0.0 0.0.0.0 10.220.6.1
ip route-static 5.5.5.0 255.255.255.0 2.2.2.2
#
security-policy
default action permit
rule name trust_to_local
source-zone trust
destination-zone local
action permit
rule name local_to_trust
source-zone local
destination-zone trust
action permit
rule name local_to_untrust
source-zone local
destination-zone untrust
destination-address 10.1.2.0 0.0.0.255
action deny
#
nat-policy
rule name no_nat
egress-interface GigabitEthernet1/0/0
source-address 10.1.1.0 mask 255.255.255.0
action no-nat
rule name nat_policy
destination-zone untrust
source-address 10.1.1.0 mask 255.255.255.0
destination-address 10.1.2.0 mask 255.255.255.0
action nat easy-ip
l FW2
nat server dc1_dc2 0 global 5.5.5.1 inside 1.1.1.1 no-reverse
#
security-policy
default action permit
rule name trust_to_local
source-zone trust
destination-zone local
action permit
rule name local_to_trust
source-zone local
destination-zone trust
action permit
rule name test
source-zone trust
destination-address 1.1.1.0 mask 255.255.255.0
#
nat-policy
rule name nat_pol
destination-zone trust
source-address 1.1.0.0 mask 255.255.0.0
destination-address 1.1.0.0 mask 255.255.0.0
action nat easy-ip
l FW3
#
acl number 3000
rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
ipsec proposal p1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
#
ike proposal 1
encryption-algorithm aes-256
dh group2
authentication-algorithm sha2-256
authentication-method pre-share
integrity-algorithm hmac-sha2-256
prf hmac-sha2-256
#
ike peer b
undo version 2
pre-shared-key %^%#OZ2Q@cbWlRZ8XTJKqc8,q^dT6kP^82qBDz)Cbx_H%^%#
ike-proposal 1
remote-address 192.168.8.1
#
ipsec policy map1 10 isakmp
security acl 3000
ike-peer b
proposal p1
sa trigger-mode auto
#
ip route-static 0.0.0.0 0.0.0.0 10.220.6.1
ip route-static 10.1.1.0 255.255.255.0 192.168.101.254
ip route-static 192.168.8.0 255.255.255.0 192.168.101.254
#
security-policy
default action permit
rule name trust_to_local
source-zone trust
destination-zone local
action permit
rule name local_to_trust
source-zone local
destination-zone trust
action permit
#
Étape 1 Vérifiez les détails de la table de session sur le FW2.
[R5U22-USG6600] display firewall session table verbose protocol icmp
2018-01-03 20:22.900
Current Total Sessions : 1
icmp VPN: public --> public ID: a58f5fad3a168fc8765a69bc3
Zone: local --> trust TTL: 00:00:20 Left: 00:00:19
Recv Interface: GigabitEthernet1/0/0
Interface: GigabitEthernet0/0/0 NextHop: 10.220.6.1 MAC:04f9-38a9-c53b
<--packets: 0 bytes: 0 ==> packets: 84 bytes: 7,056
1.1.1.1:44012[10.220.7.68:2048] --> 5.5.5.1:2048[1.1.1.1:2048] PolicyName: ---
Dans la table de session, nous pouvons obtenir les informations ci-dessous:
l L’interface indound est GigabitEthernet 1/0/0 et l’interface totale est GigabitEthernet 0/0/0.
l La traduction du serveur nat est correcte, mais la conversion de la source est fausse.
Étape 2 Vérifiez les informations sur la base d'informations de transfert (FIB).
[R5U22-USG6600] display fib 1.1.1.1
Route Entry Count: 1
Destination/Mask Nexthop Flag TimeStamp Interface TunnelID
0.0.0.0/0 10.220.6.1 GSU t[406] GE0/0/0 0x0
Vérifiez la table fib et l'interface de sortie est GE0 / 0/0, mais dans la topologie, l'interface de sortie doit être GE1 / 0/7.
Solution: Ajoutez la route statique et configurez le GE1 / 0/7 comme interface de sortie.
[R5U22-USG6600] ip route-static 1.1.1.1 32 GigabitEthernet 1/0/7
Après avoir ajouté la route statique, vérifiez la table de session et vérifiez que l'interface d'entrée et l'interface de sortie sont toutes correctes. Et le pare-feu envoie déjà les paquets inversés.
Étape 3 Effectuez le test de ping sur FW1.
[R5U9-USG6600] ping -a 1.1.1.1 -c 1000 5.5.5.1
PING 5.5.5.1 : 56 data bytes, press CTRL_C to break
Request time out
Request time out
Request time out
Request time out
Request time out
--- 5.5.5.1 ping statistics ---
5 packet(s) transmitted
0 packet(s) received
100.00% packet loss
Le test de ping échoue toujours.
Étape 4 Vérifiez la table fib sur FW2 et l'interface sortante vers 1.1.1.1 est GE1 / 0/7. Dans la topologie, l'interface sortante inverse est 1/0/0.
[R5U22-USG6600] display fib 1.1.1.1
Route Entry Count: 1
Destination/Mask Nexthop Flag TimeStamp Interface TunnelID
1.1.1.1/32 3.3.3.1 GHSU t[277467] GE1/0/7 0x0
Pour ce problème, nous pouvons utiliser la fonction redirect-reverse pour permettre le transfert des paquets et des paquets de réponse sur la même interface.
Solution: ajoutez la fonction de redirection inverse et le test du ping est correct.
#
interface GigabitEthernet1/0/0
undo shutdown
ip address 2.2.2.2 255.255.255.255.0
service-manage ping permit
redirect-reverse next-hop 2.2.2.1
Étape 5 Effectuez le test de ping de PC3 à PC1. Sur le FW3, nous pouvons voir que le tableau de session de ping est correct. Mais PC1 ne reçoit pas de paquets ping de PC3.
Vérifiez la table de session sur le FW2 et vérifiez que l'interface sortante est 1/0/7.
[R5U22-USG6600] display firewall session table verbose protocol icmp
Current Total Sessions : 1
icmp VPN: public --> public ID: a58f5fad3a168fc8765a69bc3
Zone: local --> trust TTL: 00:00:20 Left: 00:00:19
Recv Interface: GigabitEthernet1/0/7
Interface: GigabitEthernet1/0/7 NextHop: 3.3.3.1 MAC:04f9-38a9-c53b
<--packets: 0 bytes: 0 ==> packets: 84 bytes: 7,056
1.1.1.1:43990[3.3.3.2:2055] --> 5.5.5.1:2048[1.1.1.1:2048] PolicyName: ---
Vérifiez la route statique que nous avons ajoutée et découvrez que l'interface sortante pour 1.1.1.1 est GE1 / 0/7.
Pour ce scénario, nous pouvons utiliser PBR pour indiquer l'interface sortante pour chaque flux.
Solution: ajoutez le PBR et modifiez la stratégie NAT source.
Remarque : lorsque nous ajoutons le PBR, nous devons indiquer l'adresse IP source, l'adresse de destination, la zone source, la zone de destination, l'interface de sortie ou le saut suivant. La source et la destination sont la même adresse IP et la zone source est la même zone.
#
policy-based-route
rule name dc1_to_dc2
source-zone trust
destination-address 1.1.0.0 mask 255.255.0.0
action pbr next-hop 3.3.3.1
rule name dc2-to_dc1
source-zone trust
source-zone dmz
destination-address 1.1.1.0 mask 255.255.0.0
action pbr next-hop 2.2.2.1
#
Cause première
DC1 et DC2 sont le même réseau, nous devons utiliser la fonction qui consiste à transférer les paquets et les paquets de réponse sur la même interface, ainsi qu’une autre fonction de PBR. Ces deux fonctions peuvent corriger l'interface de sortie du paquet et l'interface de sortie du paquet inverse.
