NAT for same IP, within different VRFs, do not work simultaneously

[mickpro77]

Nous avons ce qui suit dans une révision CSR1000V VXE Version 17.3.5 :

ip nat inside source static 172.16.0.1 192.168.0.1 vrf TEST1 match-in-vrf
ip nat inside source static 172.31.0.1 192.168.0.1 vrf TEST2 match-in-vrf

Comme vous pouvez le voir, différentes adresses IP natives, dans différents VRF, mais la même adresse IP traduite.
Et bien que dans différents VRF, et soi-disant correspondants dans différents VRF, ils entrent en conflit, eh bien, ils ne sont pas en conflit à proprement parler, mais un seul peut fonctionner à la fois.
Nous avons remarqué que le premier qui est mis en place remplacera l'autre ajouté plus tard.
Et donc le premier fonctionnera, mais pas celui qui est ajouté après.
Si le premier (celui ajouté dans le premier) est retiré, le second entre alors en jeu.
Nous avons besoin des deux pour travailler simultanément.
Nous pensions que cela fonctionnerait dans différents VRF, mais malheureusement, cela ne semble pas être le cas...
Toute aide serait grandement appréciée.

Original text:
Hi,

We have the following in a CSR1000V revision VXE Version 17.3.5:

ip nat inside source static 172.16.0.1 192.168.0.1 vrf TEST1 match-in-vrf
ip nat inside source static 172.31.0.1 192.168.0.1 vrf TEST2 match-in-vrf

As you can see, different native IPs, in different VRFs, but same translated IP.
And although in different VRFs, and supposedly matching in different VRFs, they conflict, well, they don't conflict per say, but only one can work at a time basically.
We have noticed that the first one that's put in will superseed the other one added later on.
And therefore the first one will work but not the one added in after.
If the first one (the one added in the first) is taken off the second one then kicks in.

We need both to work simultaneously.
We thought that because in different VRF it would work but sadly it doesn't seem to be...
Any help would be greatly appreciated.

KR

Mike

[MHM Cisco World]

match-in-vrf vous voulez dire l'adresse IP réelle et l'adresse IP mappée est dans le même VRF, alors sont-elles dans le même VRF ??

Original text:
match-in-vrf meaning the real IP and mapped IP is in same VRF, so are it in same VRF ??

[mickpro77]

Oui, les deux adresses IP réelle et traduite existent dans les deux VRFs, mais pas dans le même nœud/périphérique évidemment.
Les deux NAT fonctionnent, mais pas simultanément, ce qui est le problème...

Original text:
Hi,

Yes both the real and translated IPs exist in both VRFs, not within the same node/device obviously though.
Both NAT work, not simultaneously though, which is the issue...

[MHM Cisco World]

 

L'en-tête IP n'a aucun champ pour VRF, ainsi le trafic vient vers l'interface avec 192.168.0.1 comme destination IP.
Maintenant, le routeur vérifiera chaque VRF et transmettra le trafic vers le bon VRF en fonction de l'interface (qui doit être configurée avec le même VRF).
Vos réseaux sont-ils complètement séparés ? Même pas le routeur qui fait du NAT, mais tous les routeurs le long du chemin ?

Original text:
the IP header have no field for VRF, so the traffic come toward interface with 192.168.0.1 as the IP destination. 
Now the router will check each VRF and forward traffic toward the right VRF according the interface (which must config with same VRF),
are your network complete separate?? not even the router that do NAT but all router along the path ??

[mickpro77]

the IP header have no field for VRF, so the traffic come toward interface with 192.168.0.1 as the IP destination. 
Now the router will check each VRF and forward traffic toward the right VRF according the interface (which must config with same VRF),

I agree, but it doesn't seem to be the case in reality.

are your network complete separate?? not even the router that do NAT but all router along the path ??

Yep

[mickpro77]

issue fixed by getting rid of nat outside (that I hadn't disclosed in my initial post, apologies), both the translations and the command on the outbound interface, and using nat inside only with "ip nat enable" instead of "ip nat inside" on inbound interface.

although translated IPs still clash/are the same both NAT work simultaneously now.

Thx everyone for your help.

KR

Mike