NAT

[botelho.rocha1]

Olá Pessoal,

Eu gostaria que me ajudassem no seguinte:

Tenho na minha rede Privada configurado um IP Público para que as máquinas possam sair para internet e então tenho a necessidade de configurar o NAT. Defini o número de traduções para 50000 no Router da Série 2800. Só que tenho tido várias traduções e chegam até ao limite e o Serviço de Internet pará. Para voltar ao normal tenho que fazer um "clear ip nat translation * " para que tudo volta ao normal.

Qual a solução para isso?

B.Rocha

[shbbrito]

Existe alguma razão específica para que você tenha limitado a quantidade de traduções através do comando "ip nat translation max-entries"?

Se você já constatou que a quantidade de conexões na sua rede está ultrapassando o limite pré-definido, então essa é a causa do problema. Nesse caso, você pode utilizar o comando global "no ip nat translation max-entries" para retomar o comportamento padrão do roteador que não limita o número de traduções - pelo menos não até chegar no limite real da capacidade com base nas portas de transporte (cerca de 65.000).

Obs.: É claro que se esse comportamento começou a ocorrer apenas recentemente, pode ser um indicativo de presença de algum trojan na rede interna tentando abrir múltiplas conexões com a Internet. 

Se você descobrir que alguma máquina específica está gerando muito mais conexões do que as demais na rede, é possível limitar a quantidade de traduções somente para esse host com a finalidade de preservar portas para as traduções dos outros hosts:

ip nat translation max-entries host A.B.C.D XXX

Samuel.

[botelho.rocha1]

Olá 

shbbrito

Obrigado pela resposta

A razão pelo qual limitei as traduções é que com este problema a CPU do Router vai aumentando muito rapidamente. Já solicitei ao pessoal de Helpdesk para fazer uma limpeza nas máquinas para melhor este cenário.

Tentei aplicar o comando (ip nat translation max-entries host A.B.C.D) somente para a minha máquina e algumas páginas não abriam (k k k k k k k k k k). Cheguei mesmo a conclusão que são Trojans na rede porque uma única máquina esta a fazer 1000 ou 2000 traduções

Att.

B.Rocha

[lfurtado]

Olá Botelho,

Neste caso não seria melhor realizar a configuração contemplando o Overloading (Port Address Translation ou "PAT")? Lembrando que os tipos de NAT tradicionais nos roteadores Cisco são:

• Static address translation (static NAT): permite o mapeamento um-para-um entre endereços locais e globais.
• Dynamic address translation (dynamic NAT): permite o mapeamento de endereços IP privados para endereços IP públicos, um-para-um.
• Overloading: uma forma de NAT dinâmico que mapeia múltiplos endereços IP privados para endereços IP públicos, e é o que define o Port Address Translation (PAT) ou "many-to-one". E você poderia fazer isto da seguinte forma:

Todos os endereços IP privados/internos, conforme especificados em uma NAT ACL (uma access-list usada para classificar quais endereços IP de origem deverão sofrer o NAT) podendo compartilhar um único endereço IP público, podendo ser o endereço IP da interface de saída (ex: WAN ou Internet) ou um endereço IP específico a ser definido em um NAT pool. Cenários ainda mais sofisticados podem empregar outras ferramentas para melhor controle de quais endereços IP de origem sofrerão traduções para quais IP públicos, quando se comunicando para quais destinos específicos e por qual operadora (no caso de uma dupla abordagem). Enfim, as opções são bastante flexíveis.

Confira nos links a seguir o procedimento de configuração:

IP Addressing: NAT Configuration Guide, Cisco IOS Release 12.4T
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ipaddr_nat/configuration/12-4t/nat-12-4t-book/iadnat-addr-consv.html

Cisco IOS Network Address Translation
https://www.cisco.com/c/en/us/products/collateral/security/ios-network-address-translation-nat/product_data_sheet0900aecd8064c999.html

Caso ainda tenha dúvidas, permita-nos saber!

Não deixe de avaliar as contribuições dos colaboradores da Comunidade! :-)

Cordialmente,

Leonardo Furtado

[Hugo Ferraz Teixeira · Accepted solution]

Boas malta,

Eu diria, que esse tipo de comportamento deve-se a vírus na rede, como já identificado em comments anteriores, e dessa forma a prioridade seria limpar o ou os devices que estão a provocar demasiadas sessões de NAT.

Abraço a todos.