Quelltext der Seite bintec Router-Serien und be.IP-Serie - Hinweise zu NAT (Network Address Translation) im IPSec-Tunnel mit N:N-Übersetzung der Quell-IP-Adressen

<!--==bintec Router-Serien und be.IP-Serie - Hinweise zu NAT (Network Address Translation) im IPSec-Tunnel mit N:N-Übersetzung der Quell-IP-Adressen== -->
'''<big>bintec Router-Serien und be.IP-Serie - Hinweise zu NAT (Network Address Translation) im IPSec-Tunnel mit N:N-Übersetzung der Quell-IP-Adressen</big>'''
<!--__NOTOC__= no table of content -->

===Vorbemerkungen===
* Für IP-Traffic, der über ein IPSec-Interface ausgehend gesendet wird, sollen die Quell-IP-Adressen aus <br />einem ursprünglichen IP-Subnetzbereich in einen gleich großen neuen IP-Subnetzbereich übersetzt werden. <br />
* Vorausgesetzt wird eine bereits vorhandene IPSec-Verbindung, im Beispiel bezeichnet mit "IPSec-Tunnel1". <br />
* Im vorliegenden Beispiel wird ein bintec RS353jw mit Software-Version 10.1.27 verwendet, die Konfiguration erfolgt mittels GUI. <br />
* Andere Geräte der bintec Router-Serien und der be.IP-Serie mit vergleichbaren Software-Versionen sind teilweise identisch bzw. analog zu konfigurieren. <br />
* Exportieren Sie Ihre aktive Konfiguration in eine externe Datei, bevor Sie mit Änderungen an der Konfiguration beginnen. <br />

Die grundsätzliche Funktion von NAT (Network Address Translation) ist sehr gut in der Online-Hilfe und im Manual beschrieben: <br />
"Network Address Translation (NAT) ist eine Funktion Ihres Geräts, um Quell- und Zieladressen von IP-Paketen definiert umzusetzen. <br />
Mit aktiviertem NAT werden weiterhin IP-Verbindungen standardmäßig nur noch in einer Richtung, ausgehend (forward) zugelassen (=Schutzfunktion). <br />
Ausnahmeregeln können konfiguriert werden (in NAT-Konfiguration )." <br />

===Vorgehensweise===

Im vorliegenden Beispiel sollen die ursprünglichen Absende-IP-Adressen des Nutz-Traffics aus dem lokalen Netz 192.168.178.0/24 des Routers stammen <br />
und aufgrund von (strukturellen) Anforderungen der IPSec-Gegenseite N:N durch IP-Adressen aus dem vorgegebenen Netz 10.11.11.0/24 ersetzt werden. <br />
Die lokale IP-Adresse des Routers sei 192.168.178.115 und soll demzufolge übersetzt werden auf die neue IP-Adresse 10.11.11.115. Die dafür notwendige <br />
Konfiguration erfolgt in vier wesentlichen Schritten: <br />

# NAT am IPSec-Interface aktiveren
# Neue lokale IP-Adresse festlegen im IPSec-Peer
# Neues Quellnetz an das LAN-Interface anbinden
# Quelladressumsetzung am IPSec-Interface festlegen

====Schritt 1: NAT am IPSec-Interface aktiveren====

Die Aktivierung von NAT für die IPSec-Schnittstelle "IPSec-Tunnel1" erfolgt im GUI-Menü "Netzwerk" unter "NAT" auf dem Tab "NAT-Schnittstellen".

Beispiel für das GUI-Menü zur Aktivierung von NAT auf dem IPSec-Interface "IPSec-Tunnel1":
[[Bild:NAT_im_IPSec-Tunnel_Netz01.png|none|NAT-Aktivierung auf dem IPSec-Tunnel]]
Bild 1: GUI-Menü mit NAT-Aktivierung auf dem IPSec-Interface "IPSec-Tunnel1" (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

====Schritt 2: Neue lokale IP-Adresse festlegen im IPSec-Peer====

Zur Festlegung der neuen lokalen IP-Adresse des IPSec-Peers setzt man im GUI-Menü "VPN" unter "IPSec" auf dem Tab "IPSec-Peers" im Konfigurations-Menü des IPSec-Peers die <br />
"Lokale IP-Adresse" des Routers (im Beispiel 192.168.178.115) auf den zugeordneten Austauschwert, im Beispiel 10.11.11.115. Für das Gegenstellennetz ("entfernte IP-Adresse") <br />
sei hier die 10.10.10.0/24 vorgegeben. <br />

Beispiel für das GUI-Menü zur Festlegung der "Lokalen IP-Adresse" innerhalb der IPSec-Peer-Konfiguration:
[[Bild:NAT_im_IPSec-Tunnel_Netz02.png|none|Festlegung der "Lokalen IP-Adresse"]]
Bild 2: GUI-Menü mit Festlegung der "Lokalen IP-Adresse" innerhalb der IPSec-Peer-Konfiguration (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

====Schritt 3: Neues Quellnetz an das LAN-Interface anbinden====

Aus Sicht des IPSec soll das neue Subnetz (hier 10.11.11.0/24) ähnlich wie ein lokales Netz des Routers fungieren. Damit das IPSec ordungsgemäß damit arbeiten kann, benötigt <br />
es deshalb auch eine (vorzugsweise lokale) Route bezüglich des neuen Subnetzes. Zu diesem Zweck fügt man (vorzugsweise) beim LAN-Interface das neue Subnetz hinzu, und <br />
zwar im GUI-Menü "LAN" unter "IP-Konfiguration", "Schnittstellen" im Edit-Menü der LAN-Schnittstelle durch zusätzliche Eingabe von eigener neuer IP-Adresse / Netzmaske <br />
(hier 10.11.11.115/24) im Abschnitt "Grundlegende IPv4-Parameter". <br />

Beispiel für das GUI-Menü zum Hinzufügen des neuen Subnetzes zum LAN-Interface:
[[Bild:NAT_im_IPSec-Tunnel_Netz03.png|none|LAN-Interface mit zusätzlichem neuem Subnetz]]
Bild 3: GUI-Menü des LAN-Interfaces mit zusätzlich hinzugefügtem neuem Subnetz (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

====Schritt 4: Quelladressumsetzung am IPSec-Interface festlegen====

Zur Festlegung der gewünschten N:N-Quelladressumsetzung des in den IPSec-Tunnel ausgehend gesendeten Traffics genügt ein einziger zusätzlicher "NAT-Mapping"-Eintrag <br />
für die IPSec-Schnittstelle - hier "IPSec-Tunnel1" - mit den Angaben für originales Quellnetz (hier 192.168.178.0/24) und gleich großes neues Quellnetz (hier 10.11.11.0/24). <br />
Die Konfiguration erfolgt im GUI-Menü "Netzwerk" unter "NAT" auf dem Tab "NAT-Konfiguration" nach Klick auf "NEU". <br />

Beispiel für das GUI-Menü zur Konfiguration der N:N-Übersetzung von Quell-IP-Adressen auf einem IPSec-Interface, hier "IPSec-Tunnel1":
[[Bild:NAT_im_IPSec-Tunnel_Netz04.png|none|N:N-Übersetzung von Quell-IP-Adressen]]
Bild 4: GUI-Menü mit konfigurierter N:N-Übersetzung von Quell-IP-Adressen auf dem Interface "IPSec-Tunnel1" (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

Hinweise:<br />
Beachten Sie, dass hier für die Netzmasken von originalem Quellnetz und neuem Quellnetz zwingend gleiche Werte erforderlich sind. <br />
Beachten Sie die defaultmäßige Sperrfunktion von NAT bezüglich eingehener IP-Verbindungen, für die bei Bedarf Ausnahmeregeln einzurichten wären. <br />

===Kontrolle der Funktion der konfigurierten N:N-Quell-IP-Adressübersetzung===

Eine einfache Kontrolle der gewünschten Funktion der Quelladressübersetzung ermöglichen die Ausgaben des Kommandos "debug all&" am Prompt der Router-Konsole. <br />

Beispielausgaben mit Traffic von drei verschiedenen Ursprungs-IP-Adressen:
<PRE>
rs353jw_ks:> debug all&
13:09:23 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.178.100:13/10.11.11.100:13 -> 10.10.10.110:0
13:09:30 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.178.101:13/10.11.11.101:13 -> 10.10.10.110:0
13:09:35 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.178.102:13/10.11.11.102:13 -> 10.10.10.110:0
</PRE>
Hierbei bezeichnet "ifc 38100001" das IPSec-Interface und mit "192.168.178.100/10.11.11.100 ->" wird die Quelladressübersetzung angezeigt.<br />

===Abschlußbemerkung:===

Vergessen Sie nicht Ihre gewünschte Einstellung bootfest zu speichern und Ihre aktiven Konfigurationen regelmäßg in externe Dateien zu exportieren. <br />

===Basis===
Erstellt: 7.8.2017 <br />
Produkt: bintec Router-Serien und be.IP-Serie <br />
Release: 10.1.27 <br />
KW: 37/2017 <br />
kst <br />

[[Kategorie:VPN]]
[[Kategorie:VPN ALL-IP]]

<!-- RS-Serie, RSxx3-Serie, be.IP plus, be.IP-Serie, IPSec-Tunnel, NAT, Quelladressübersetzung, Absendeadressübersetzung -->