Cisco Router NAT

[Toby12333]

Servus an alle,

ich habe hier mal eine Frage, und zwar.....

Mein Ausbildungsbetrieb hat mir ein kleines Projekt aufgetragen.

Problemstellung:

Im Betrieb setzen wir Bogenzähler ein, das Problem ist nun das die Software mit unserem ERP Programm zusammenarbeiten soll und die Firma die die Software für den Bogenzähler vertreibt zugriff auf das System haben möchte, dazu wollen sie dem Bogenzähler eine IP aus dem 192.x.x.x netz zuweisen wollen.

In unserem Betrieb wird aber das Netz 172.x.x.x benutzt und wir dürfen an den IP´s nicht viel herumschrauben.

So jetzt ist die Lösung das man einen Cisco Router kauft und das mit einer NAT löst, leider habe ich in diesem Gebiet relativ wenig Erfahrung.

Die NAT hat ja die Eigenschaft Adressinformationen in Datenpaketen durch andere ersetzen, um verschiedene Netze zu verbinden.

Hier kommt ihr ins Spiel könnt ihr mir irgendwelche Tipps,Lösungen, oder Literatur empfehlen.

Dankeschön schon im vorraus

[Eleu]

Da sich sonst keiner meldet, will ich mal einen Versuch starten

Also wenn man kommunizieren möchte, braucht man ja Sockets (layer 4)

D.h. man schickt ja ein Datenpaket mit Source IP + Port und Dest. IP + Port.

Ein Router leitet so Datenpaket weiter und trägt dabei seine eigene Source IP ein.

Damit der Router die Zuordnung der Teilnehmer von NETZ 1 zu den Teilnehmern von NETZ 2 nicht vergisst,

pflegt der Router eine NAT Tabelle.

In der Tabelle steht die IP von Teilnehmer NETZ 1 zugeordnet zur IP des Teilnehmers NETZ 2

Die Portnummer wird vom Router, beim klassischen NAT nicht verändert, sondern einfach nur übergeben.

Das bedeutet, dass in der Tabelle zu jeder IP von NETZ 1 eine IP von NETZ 2 enthalten sein muss.

An sich ja kein Problem.

Wenn das NETZ 2 aber das Internet ist, kann man sich doch vorstellen, dass wenn auf der

NETZ 1 - Seite 50 oder mehr Teilnehmer ins Internet möchten, der Provider

auch 50 Adressen auf der Public - Seite bereit stellen muss (Oder statische Routen

im Router eingetragen sein müssten).

Da Adressen im Internet knapp sind, hat man PAT , oder Source NAT entwickelt.

Es funktioniert dann so, dass es auf der Public - Seite nur noch eine IP für mehrere Teilnehmer von der

Private - Seite gibt.

Damit der Router immer noch zuordnen kann, verändert er die Port Nummer

und pflegt diese in eine PAT Tabelle.

Diese Erklärung ist sicher nicht die Beste.

Aber so verstehe ich es halt.

Vielleicht kann jemand diese Erklärung verbessern ?

Ansonsten hier mal gucken:

Network Address Translation ? Wikipedia

Gruß

Eleu

[Crash2001]

@Toby:

Kann man dem Gerät denn keine zweite IP-Adresse zuweisen? Wäre doch am einfachsten, einfach nur eine sekundäre IP-Adresse einzurichten. Dann würde man sich den Cisco Router sparen...

Da du leider nicht schreibst, wie gross das Netz ist, bzw ob Router oder L3-Switche noch dazwischen hängen wo die Firma abgreifen will und dem Gerät selber, weiss ich leider jetzt aber auch nicht, ob das so an sich möglich ist problemlos... eine Möglichkeit wäre es aber, falls es unterstützt wird.

[Eleu]

@Toby:

Kann man dem Gerät denn keine zweite IP-Adresse zuweisen? Wäre doch am einfachsten, einfach nur eine sekundäre IP-Adresse einzurichten. Dann würde man sich den Cisco Router sparen...

Das interessiert mich auch.

Wie geht das ?

Meinst Du das:

Mobile IP ? Wikipedia

Wo wird dann der Home Agent installiert ?

Auf einem x- beliebigen Rechner im 172er Netz ?

Oder übernimmt dann das Gerät das Forward Management ?

Welche Software wird dafür benötigt ?

Gruß

Eleu

[Crash2001]

Ich meinte eigentlich einfach nur eine zweite Ip Adresse zuteilen.

Das von Eleu genannte (mit Link) ist ja gar nicht notwendig, da er seine andere IP-Adresse ja behalten könnte und nur noch eine dazubekäme.

[Eleu]

Ich meinte eigentlich einfach nur eine zweite Ip Adresse zuteilen.

Das von Eleu genannte (mit Link) ist ja gar nicht notwendig, da er seine andere IP-Adresse ja behalten könnte und nur noch eine dazubekäme.

Hallo Crash2001,

dann bekommt aber der Teilnehmer, der das Gerät ansprechen will,

auch eine zweite IP aus dem 192er Subnetz zugewiesen, oder ?

Oder ganz viele Teilnehmer aus dem 172er Netz ??

Wieso sonst ursprünglich mit NAT ?

Gruß

Eleu

[Crash2001]

Derjenige der das Gerät ansprechen will, braucht keine IP aus dem 172er Netz wenn er eine aus dem 192er Netz hat, wenn es das andere Gerät dann erreichen kann. Also immer vorausgesetzt, er will wirklich nur dieses eine GErät erreichen und nciht auch noch Rechner aus dem 172er Netz.

Wieso NAT? Ganz einfach, weil man mithilfe von NAT z.B. eine IP derart maskieren kann, dass sie von der einen Seite wie eine ganz andere IP aussieht. In dem Falle könnte man dem einen GErät also vorgaukeln, dass das andere Gerät unter der IP 192.168.0.100 erreichbar wäre. In Wirklichkeit ist es dann aber z.B. nur ein NAT auf die IP Adresse 172.16.100.5.

Alle Anfragen auf 192.168.0.100 werden an 172.16.100.5 weitergeleitet 1:1.

172.16.100.5 << NAT >> 192.168.0.100 <------> Switch <------> 192.168.0.111

Sollte es aber auch so gehen, dass man eine sekundäre IP Adresse vergeben kann, dann wäre es doch nicht wirklich sinnvoll, nur für die Adressübersetzung einen Router mit NAT anzuschaffen.

Bearbeitet 7. September 2010 von Crash2001

[Eleu]

Derjenige der das Gerät ansprechen will, braucht keine IP aus dem 172er Netz wenn er eine aus dem 192er Netz hat, wenn es das andere Gerät dann erreichen kann. Also immer vorausgesetzt, er will wirklich nur dieses eine GErät erreichen und nciht auch noch Rechner aus dem 172er Netz.

Wieso NAT? Ganz einfach, weil man mithilfe von NAT z.B. eine IP derart maskieren kann, dass sie von der einen Seite wie eine ganz andere IP aussieht. In dem Falle könnte man dem einen GErät also vorgaukeln, dass das andere Gerät unter der IP 192.168.0.100 erreichbar wäre. In Wirklichkeit ist es dann aber z.B. nur ein NAT auf die IP Adresse 172.16.100.5.

Alle Anfragen auf 192.168.0.100 werden an 172.16.100.5 weitergeleitet 1:1.

172.16.100.5 << NAT >> 192.168.0.100 <------> Switch <------> 192.168.0.111

Sollte es aber auch so gehen, dass man eine sekundäre IP Adresse vergeben kann, dann wäre es doch nicht wirklich sinnvoll, nur für die Adressübersetzung einen Router mit NAT anzuschaffen.

Bin glaube ich von falschen Voraussetzungen ausgegangen.

Zum einen hatte ich angenommen, dass die Teilnehmer aus dem 172er Netz ihre Adresse behalten müssen.

Zum anderen hatte ich, um bei deinem Adressierungs - Beispiel zu bleiben, das NAT in der anderen Richtung vermutet.

Beispiel:

Pakete v. Teilnehmern im 172er Netz über NAT - Router zum Gerät im 192er Netz

172.16.100.4:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5001 192.168.0.111:2001

172.16.100.5:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5002 192.168.0.111:2001

172.16.100.6:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5003 192.168.0.111:2001

172.16.100.7:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5004 192.168.0.111:2001

172.16.100.8:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5005 192.168.0.111:2001

172.16.100.9:2000 192.168.0.111:2001 <-> Gatew.adr.1 (172.16.100.1) Gatew.adr 2 (192.168.0.1) <-> 192.168.0.1:5006 192.168.0.111:2001

Ich hoffe man versteht es.

Erste IP und Port ist immer Source. Die Zweite + Port immer Destination

Meine Vermutung war, dass man sich in dem Fall die Eingabe statischer Routen durch den Einsatz von NAT erspart.

Gruß

Eleu

Bearbeitet 7. September 2010 von Eleu

[Crash2001]

[...]Zum einen hatte ich angenommen, dass die Teilnehmer aus dem 172er Netz ihre Adresse behalten müssen.[...]

Was bitte ist an sekundäre / zusätzliche IP Adresse denn so schwer zu verstehen?

Immer natürlich vorausgesetzt es geht überhaupt.

[Eleu]

Es tut mir leid, aber wenn ich noch mal auf Deine Ausführungen zurück komme, muss ich gestehen, dass ich den Sinn der dahinter stecken soll nicht verstehe.

Derjenige der das Gerät ansprechen will, braucht keine IP aus dem 172er Netz wenn er eine aus dem 192er Netz hat, wenn es das andere Gerät dann erreichen kann. Also immer vorausgesetzt, er will wirklich nur dieses eine GErät erreichen und nciht auch noch Rechner aus dem 172er Netz.

Wenn ein ERP-PC aus dem 172er Netz eine neue IP aus dem 192er Netz bekommt,

kann er natürlich mit dem Gerät kommunizieren.

Das Gerät hätte dann ja auch eine IP aus dem 192er Netz.

Wenn auch die Subnetzmasken stimmen, sind beide im gleichen Subnetz und man braucht keinen Router und auch keine Adressumsetzung.

Du schreibst, der ERP-PC kann dann nur noch mit dem Gerät kommunizieren, weil er ja dann in deinem Beispiel keine IP mehr aus dem

172er Netz hätte.

Ich stimme Dir zu, aber was für einen Sinn sollte das Ganze dann noch haben,

wenn der ERP-PC nicht mehr mit den anderen ERP-PC`s kommunizieren kann ?

Und warum dann noch für das Gerät eine zweite IP ?

Wenn das Gerät als erste oder zweite IP eine aus dem 172er Netz bekommt,

bräuchte man an den ERP-PC`s gar nichts ändern, weil dann ja

ohnehin alle im gleichen Subnetz sind.

Wieso NAT? Ganz einfach, weil man mithilfe von NAT z.B. eine IP derart maskieren kann, dass sie von der einen Seite wie eine ganz andere IP aussieht. In dem Falle könnte man dem einen GErät also vorgaukeln, dass das andere Gerät unter der IP 192.168.0.100 erreichbar wäre. In Wirklichkeit ist es dann aber z.B. nur ein NAT auf die IP Adresse 172.16.100.5.

Alle Anfragen auf 192.168.0.100 werden an 172.16.100.5 weitergeleitet 1:1.

172.16.100.5 << NAT >> 192.168.0.100 <------> Switch <------> 192.168.0.111

O.k. wenn aber NAT, dann doch nur mit einem Router, oder ?

Sollte es aber auch so gehen, dass man eine sekundäre IP Adresse vergeben kann, dann wäre es doch nicht wirklich sinnvoll, nur für die Adressübersetzung einen Router mit NAT anzuschaffen.

Ja kann sein, was aber meine Fragen bzgl. des Sinns nicht beantworten, wenn besagter ERP-PC nur eine IP aus dem 192er Netz hat.

Gruß

Eleu

[Crash2001]

Du verdrehst das was ich sage komplett.

ICh nehm einfach mal als einfaches Beispiel an, beide Geräte wären PCs.

PC 1 bekommt eine 192er IP und eine 172er IP.

PC 2 bekommt eine 192er IP, damit er den anderen erreichen kann. Sollte er keine anderen Geräte erreichen müssen, würde das dann schon ausreichen (wenn er beispielsweise per VPN verbunden ist oder per ISDN Einwahl oder whatever.

PC1 kann dann mit PC2, sowie allen anderen PCs in dem Netz kommunizieren.

PC2 kann mit PC 1 kommunizieren.

Ob nun NAT mit einem Hardware-Router, oder aber mit einem PC als Router ist ja vollkommen egal. DAs ändert am Prinzip was dahinter steckt auch nichts.

Also genau das, was gewünscht ist, wenn cih das richtig verstanden habe.

Mach doch nicht immer alles so kompliziert, sondern denke erst einmal einfach. Verkomplizieren kann mans dann noch immer, wenn es NOTWENDIG ist.

[Eleu]

PC1 kann dann mit PC2, sowie allen anderen PCs in dem Netz kommunizieren.

PC2 kann mit PC 1 kommunizieren.

Ob nun NAT mit einem Hardware-Router, oder aber mit einem PC als Router ist ja vollkommen egal. DAs ändert am Prinzip was dahinter steckt auch nichts.

Also genau das, was gewünscht ist, wenn cih das richtig verstanden habe.

Kann natürlich sein, dass es so gemeint ist.

Wäre nett, wenn Tobi12333 uns mal aufklären würde.

Ich hatte es so verstanden, dass PC 2 eben nicht nur mit PC 1 kommunizieren

muss, sondern eben genauso wie PC 1 mit allen anderen im Netz auch.

Danke für die Info.

Gruß

Eleu