NAT - הפקודות בנתבי סיסקו
ip nat inside ו-ip nat outside. בלי הסימון הנתב לא יודע איזו תעבורה לתרגם.ip nat inside source list <n> interface <outside> overload מתרגמת את כל הרשת לכתובת חיצונית אחת, וכל מחשב מקבל פורט משלו. מילת overload חשובה, כי בלעדיה כל כתובת פנימית מקבלת כתובת חיצונית נפרדת.show ip nat translations מציגה את טבלת התרגומים עם כתובת פנימית, כתובת חיצונית ופורטים. בהדגמה נראה שלמחשב שפתח חיבור מבחוץ נוצר מיפוי פורט שונה.פרקי ההרצאה: NAT - הפקודות בנתבי סיסקו
תמלול ההרצאה: NAT - הפקודות בנתבי סיסקו
הטקסט המלא של הדקות הראשונות בהרצאה «NAT - הפקודות בנתבי סיסקו» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים להרצאה השנייה הראשונה עסקה בהכנות לנת והקמנו את כל הסביבה ובהרצאה הזאת אנחנו למעשה נגדיר את הנת עצמו בנתב של סיסקו וזאת הולכת להיות גם הרצאה מעניינת כמו כל ההרצאות שלנו אני יונתן רבזין ואתם בהרצאות של מכללת פרקטיקיו ואנחנו מתמחים בהרצאות בוידאו שאתם מקבלים הביתה תמורת סכום סמלי של 350 שקלים בלבד
זה נוח זה זול וזה טוב אנחנו עצרנו בפעם הקודמת כאשר עשינו טופולוגיה כזאת שיש לנו פה ראוטר מחובר לשרת ויש לו שני תחנות עבודה אנחנו רוצים לעשות nat פה בשרת עשינו אתר אינטרנט שמראה עם איזה אייפי הגעתי יפה אז אני אומר פה לדוגמה windows 7 htp ל-888888888
זה אני ולא גוגל יפה ואתם רואים שהוא מגיע ומראה לי את האייפי שלי אם אני סתם אחליף לעצמי את ה-IP, שתראו שאני לא עובד עליכם, שזה לא מצויר בפוטושופ, נעשה לעצמי IP 2032. אז תראו, ברגע ששיניתי לעצמי IP אני עושה רפרש, הוא אומר לי שה-IP שלי צריך להיות 32. הנה רפרש כ-IP 32. יופי, נחזיר חזרה את ה-IP, וראינו שזה באמת עובד, ואותו דבר עם XP זה
עובד. עכשיו אנחנו רוצים לעבור סוף סוף לראוטר ולהתחיל להגדיר את ההגדרות של נאט אז בואו נתחיל right-click console הנה יש לי אותו פה פתוח למטה enabled conf t יופי ואנחנו רוצים לעשות נאט אנחנו רוצים לעשות בתור התחלה נאט פשוט שכל מי שפה יצא החוצה עם ה-IP הזה אוקיי כאילו
זה טווח פנימי וזאת הכתובת האינטרנטית שלי אז כל מי שיוצא החוצה מהרשת הפנימית הזאת, אני יכול אפילו לצייר פה ריבועים מאוד יפים, משהו כזה. אפשר פה לצייר ריבוע, זה יפה, כן?
איך זה עובד, אז ככה. ואז אני יכול לצייר פה ריבוע, לא, משהו כזה, כן, אני יכול לצייר פה ריבועים ולהגיד שזאת רשת פנימית, וזאת רשת חיצונית, וכל מיני שטויות כאלו.
יפה, תיילו, ואני יכול להגיד צבע, לא יודע מה, צבע כזה, זאת הרשת הפנימית, לא יודע מה. עזבו אותי משטויות בקיצור זאת רשת פנימית וזאת רשת חיצונית ואני רוצה כל מי שיוצא החוצה שיוצא עם הכתובת הזאת איך עושים את זה אז קודם כל אני צריך להיכנס לאינטרפייסים לדוגמה נתחיל בראשון ולהגיד מי זה
חיצוני ומי זה פנימי ראוטר לא מבין מה זה פנימי ומה זה חיצוני ובשביל זה יש פקודה IP NAT IP NAT בתוך אינטרפייס אני מסביר האם זה אינסייד או שזה אאוטסייד מה אצלי פנימי ומה אצלי חיצוני רצוני אז אני באינטרפס אחד אחד אתם רואים פה אחד אחד אז אני אומר לו שזה אצלי אינסייד אוקיי יופי אייפינאט אינסייד עכשיו אני צריך לעבור לאינטרפס אני אעשה אקזיט אני אגיד לכם למה אני עושה אקזיט ולא עובר
ישירות מאינטרפס כי אני אוהב שהוא משלים לי את הפקודה אני תמיד לוחץ טאב והוא משלים לי לבד את הפקודה ככה אני יודע שלא טעיתי אני אף פעם לא כותב פקודה עד הסוף אינטרפס פסט אינטרנט 1.0 וגם פה אייפינאט סימן שאלה אאוטסייד אוקיי יופי אמרתי לו מי פנימי, מי חיצוני, וזה שלב חובה כשלב ראשון בשביל לעשות נאט.
השלב הבא בשביל לעשות נאט, אוקיי, השלב הבא בשביל לעשות נאט, זה לקבוע Access List. למי עושים נאט? מי רשאי לצאת החוצה? שימו לב, זה לא לצאת החוצה, זה לעבור תהליך של נאט.
אז אני רוצה שרק Windows 7, אז בעצם שכל הרשת תוכל לצאת החוצה חוץ מ-XP. XP, אני רוצה לכתוב לו No Internet, שלא יהיה לו אינטרנט. אוקיי? זאת המטרה שלי, שלא יהיה לו אינטרנט.
למעשה אני לא חוסם אותו מראוטינג, אני חוסם אותו מנאטינג. הוא למעשה יגיע החוצה, רק הוא יגיע עם כתובת הפנימית שלו, וספק האינטרנט יתעלם ממנו.
אז access list שאני הולך לבנות, אני אחבר אותו לפעולת הנאט, אוקיי? מי שלא סגור על access list, לפי דעתי זה הרצאה, הנושא הקודם זה היה access list, אם אני זוכר את הסדר נכון באתר.
בקיצור, תראו את ה-access list באתר, לא הולך להסביר אותם פה אני הולך רק לבצע אותם אז אני עושה access list וסימן שאלה הוא שואל אותי איזה מספר אני אומר לו סטנדרט לפי השולח נניח 10 access list מספר 10 עכשיו מה אני רוצה אני רוצה לאפשר לכולם חוץ מxp אז אני מתחיל מהכי ספציפי דיניי מהוסט 192, 168, 103, אוקיי?
עכשיו, אותו דבר, אקסס ליסט 10, אני אומר פרמיט למי מותר לכל הרשת. 192, 168, 100 והסאבנט מאסק, למעשה זה לא סאבנט מאסק, זה ויילד קארד, זה בדיוק הפוך, זה כמו סאבנט מאסק, רק בדיוק הפוך, לפי דעתי זה הדבר הכי מיותר שיש, אבל אני אף אחד לא שאל אותי.
יופי, אז אני מאפשר לכל הרשת. בוא נראה. show access list. ואני רואה שיש לי access list מסוג סטנדרט לפי השולח, שאומר שורה מספר 10 זה סתם מספור של שורות, לחסום את המחשב הזה ולאפשר לכל הרשת לעבור NAT. יופי, אחרי שעשיתי שתי פעולות show running config, עשיתי למעשה שתי פעולות,
הפעולה הראשונה הייתה לבוא לכרטיס רשת ולהגיד שאתה חיצוני ולבוא לכרטיס רשת אחר ולהגיד שאתה הפנימי.
זאת הפעולה הראשונה. הפעולה השנייה הייתה לבנות access list. אני הולך עכשיו להפעיל את ה-NAT. בשביל להפעיל את ה-NAT יש לנו פקודה שנקראת IP-NAT.
ועכשיו הוא שואל אותי סימן שאלה, איזה NAT אתה רוצה? אני אומר לו, אני רוצה NAT from inside, מבפנים. כל מה שאני אגיד לך זה יהיה מבפנים החוצה, inside.
עכשיו סימן שאלה הוא ישאל אותי האם אתה רוצה עכשיו להגיד את הכתובת של הסורס מי השולח או מי היעד אני אומר סורס אוקיי איי פינת סורס הוא אומר טוב איך אתה רוצה להגיד לי את הכתובת של השולח לתת לי כתובת איי פי סטטית שזה בעצם כמו לפתוח פורט שנדבר על זה בהמשך או שאתה רוצה לתת לי רשימה access list אוקיי ליסט
אני אומר לו אני רוצה לתת לך ליסט הוא אומר טוב תן לי מספר של הרשימה ברשימה של מספר האקסס ליסט או השם שלו זוכרים שיש אקסס ליסטים עם שמות גם שזה יותר נחמד אז אני אומר לו שאקסס ליסט שלי נקרא 10 אז עוד פעם תעשה לי not מבפנים כאשר השולח נמצא באקסס ליסט מספר 10 סימן שאלה ובוא נגיד החוצה מה לעשות בחוץ אני יכול להגיד לו איזשהו פול
של כתובות חיצוניות או שאני יכול להגיד לו פשוט כרטיס רשת שדרכו יוצאים החוצה אני אגיד לו כרטיס רשת שדווקא יוצא מחוצה. הפול של כתובות זה למעשה למקרה שיש לי כמה כתובות IP חיצוניות, לא כתובת אחת כמו בבית שהחברה קנתה 8 כתובות, 30 כתובות, לא משנה כמה כתובות קנתה החברה, אתה יכול להכניס את כל הכתובות ה-IP החיצוניות בפול אחד ואז לצאת עם כתובות
ה-IP החיצוניות האלו. אני אראה לכם את זה בהמשך. אני מנסה נעד פשוט, אז אני אומר לו תצא החוצה דרך כרטיס רשת, הוא אומר איזה כרטיס רשת, פסט אינטרנט 1.0, יופי.
אז אמרתי לו תצא החוצה, נטע סלינט מבפנים כאשר השולח נמצא באקסס ליסט 10 ותצא החוצה דרך האינטרפס הזה ועכשיו הדבר הכי חשוב אוברלואוד.
אוברלואוד אומר שבאותה כתובת IP יכולים להשתמש כמה מחשבים. אם אתם שוכחים להגיד מילת אוברלואוד ולוחצים enter הוא יתפוס לכל כתובת חיצונית, רק מחשב אחד מבפנים, יעשה להם מיפוי אחד לאחד, אוקיי?
יופי. אנחנו נראה את כל האפשרויות האלו בהמשך, לאט לאט. אנחנו רואים עכשיו פקודה הכי בסיסית שיש, שהפקודה הכי בסיסית שיש אומרת לעשות nut לפי רשימה מספר 10, החוצה וזהו.
בואו נראה שזה באמת עובד. נעבור לווינדוס 7, הוא היה 102 עם הכתובת שלו, זאת אומרת השרת הזה רואה אותו בכתובת המקורית, אני עושה refresh ותראו איזה יופי, שרת רואה אותו כ-881 כאילו כביכול עם הכתובת החיצונית שלו מצוין עכשיו אנחנו נעבור ל-XP איפה ה-XP שלי הנה ה-XP שלי ה-XP שלי נמצא DENI ב-ACCESS LIST זאת אומרת הוא לא יכול לעבור NOT נעשה רפרש
רפרש ואתם רואים כמה רפרשים שאני לא עושה הוא לא עובר NOT אתם רואים הוא פשוט לא עובר NOT ולמעשה הוא הגיע לספק האינטרנט עם כתובת פנימית והוא יזרוק אותו החוצה מצוין בואו נראה עכשיו ואיך זה נראה מתוך הראוטר, הנה אנחנו בראוטר, נריץ פקודה שמראה לי
בעצם את המצב של כל טבלת הניתוב show IP not trans, show IP not translation, והנה אני רואה ששימו לב ב-tcp, 881 בכתובת הזאת זה גלובל, אתם רואים גלובל, זו הכתובת החיצונית שקיבלתי, וזאת הכתובת המקורית שבאתי איתה, זאת אומרת הוא הגיע עם כתובת 102 בפורט 49169
יצא חוצה עם אותו פורט רק בIP שונה למה הוא לא החליף לו פורטים כי הפורט היה פנוי כשאתה מגיע ב source port כשאתה שולח פאקט החוצה מפורט מסוים הוא ינסה לתת לך גם בחוץ אותו פורט אלא אם כן תפוס אם הפורט הזה היה בחוץ תפוס כי מישהו אחר ניסה לצאת איתו לפני כן אז הוא היה נותן 49,170, יופי. אז אנחנו רואים פה ממש את התרגום שהוא עשה מפה לפה וזהו, וזה
ממש מצוין, יפה. טוב, יפה, בואו עכשיו נעבור למשהו יותר מוחקב, בואו נראה מה יש לנו במצגת. סוגי נעט, עוד לא הסברתי לכם רשמית את כל סוגי הנעט.
התחלנו מפקודות, הפקודה הראשונה שראינו זה לתת לי אינטרפייס אינסייד ואאוטסייד, מחיצוני ומפנימי. אחרי זה יצרנו access list, ואמרנו למי מותר לעבור ניתוב ולמי אסור לעבור ניתוב.
והדבר האחרון שעשינו זה עשינו פקודה של not inside החוצה לנת רגיל החוצה. אוקיי זה בדיוק מה שיש לכם בבית שכל המחשבים יוצאים עם אותה כתובת IP החוצה. בוא ננסה אתם יודעים מה להוריד את ה-XP מ-access list אוקיי נבוא ל-access list וננסה לבטל את זה.
נעשה conf t no access list 10 אוקיי נבטל. נבטל את access list 10 ונעשה access list 10 חדש שאומר permit לכל הרשת 192 168 איך הרשת שלי הולכת אני כבר לא זוכר 100 100 0 עם wildcard אתם רואים הוא רוצה wildcard 0 0 0 255 זאת אומרת ה access list שלי עכשיו 10 אומר שלכולם מותר לצאת החוצה אתם רואים ב access list 10 יש שורה אחת שמותר לצאת החוצה ובוא נראה מה יקרה לxp עכשיו
אנחנו באים ל-XP עושים רפרש והנה תראו גם XP יוצא עם 8.8.1 החוצה וגם וגם Windows 7 יוצא עם 8.8.1 החוצה זה כמו שואו מיי איי פי מכירים את השואו מיי איי פי ושמראה לכם את האיי פי של המחשב בקיצור אתם רואים כל המחשבים ברשת יוצאים עם אותה כתובת איי פי מצוין עכשיו אנחנו רוצים לעשות משהו אחר אנחנו מפחדים שיהיו לנו פה המון המון מחשבים אנחנו חברה מאוד מאוד גדולה
ויש לנו כתובת IP1, ובתוך הכתובת ה-IP1 הזאת יש 65,535 פורטים.