Quelltext der Seite bintec Router-Serien und be.IP-Serie - Hinweise zu NAT (Network Address Translation) im IPSec-Tunnel mit N:1-Übersetzung der Quell-IP-Adressen

==bintec Router-Serien und be.IP-Serie - Hinweise zu NAT (Network Address Translation) im IPSec-Tunnel mit N:1-Übersetzung der Quell-IP-Adressen==

__NOTOC__
<!--__NOTOC__= no table of content -->

===Vorbemerkungen:===

* In einen IPSec-Tunnel gesendeter (Nutz-)IP-Traffic soll mit Hilfe von NAT (Network Address Translation) eine neue Quell-IP-Adresse erhalten. <br />
* Vorausgesetzt wird eine bereits vorhandene IPSec-Verbindung, im Beispiel bezeichnet mit "IPSec-Tunnel1". <br />
* Im vorliegenden Beispiel wird ein bintec RS353jw mit Software-Version 10.1.27 verwendet, die Konfiguration erfolgt mittels GUI. <br />
* Andere Geräte der bintec Router-Serien und der be.IP-Serie mit vergleichbaren Software-Versionen sind teilweise identisch bzw. analog zu konfigurieren. <br />
* Exportieren Sie Ihre aktive Konfiguration in eine externe Datei, bevor Sie mit Änderungen an der Konfiguration beginnen. <br />

Die grundsätzliche Funktion von NAT (Network Address Translation) ist sehr gut in der Online-Hilfe und im Manual beschrieben: <br />
"Network Address Translation (NAT) ist eine Funktion Ihres Geräts, um Quell- und Zieladressen von IP-Paketen definiert umzusetzen. <br />
Mit aktiviertem NAT werden weiterhin IP-Verbindungen standardmäßig nur noch in einer Richtung, ausgehend (forward) zugelassen (=Schutzfunktion). <br />
Ausnahmeregeln können konfiguriert werden (in NAT-Konfiguration )." <br />

===Vorgehensweise:===

Im vorliegenden Beispiel sollen die ursprünglichen Absende-IP-Adressen des Nutz-Traffics aus dem (lokalen) Netz 192.168.20.0/24 des Routers <br />
stammen und aufgrund von (strukturellen) Anforderungen der IPSec-Gegenseite durch eine fest vorgegebene andere IP-Adresse ersetzt werden. <br />
Zu diesem Zweck muß im GUI-Menü "Netzwerk" unter "NAT" auf dem Tab "NAT-Schnittstellen" für die IPSec-Schnittstelle NAT aktiviert werden. <br />

Beispiel für das GUI-Menü zur Aktivierung von NAT auf dem IPSec-Tunnel:
[[Bild:NAT_im_IPSec-Tunnel_host01.png|none|NAT-Aktivierung auf dem IPSec-Tunnel]]
Bild 1: GUI-Menü mit NAT-Aktivierung auf dem IPSec-Tunnel (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

====NAT am IPSec-Interface mit Adressübersetzung N:1====

Im einfachen Fall kann es bereits genügen, alle ursprünglichen Absende-IP-Adressen durch eine einzige gemeinsame IP-Adresse zu ersetzen. <br />
Als Beispiel sollen alle IP-Adressen aus dem originalen Quellnetz 192.168.20.0/24 durch dieselbe IP-Host-Adresse 10.10.20.254 ersetzt werden. <br />
Zu diesem Zweck setzt man im GUI-Menü "VPN" unter "IPSec" auf dem Tab "IPSec-Peers" im Menü des IPSec-Peers die "Lokale IP-Adresse" auf <br />
den gewünschten Austauschwert 10.10.20.254. Für das Gegenstellennetz ("entfernte IP-Adresse") sei hier die 10.10.10.0/24 vorgegeben. <br />

Beispiel für das GUI-Menü zur Festlegung der Austauschadresse innerhalb der IPSec-Peer-Konfiguration:
[[Bild:NAT_im_IPSec-Tunnel_host02.png|none|Festlegung der Austauschadresse]]
Bild 2: GUI-Menü mit Festlegung der Austauschadresse innerhalb der IPSec-Peer-Konfiguration (hier den abschließenden Klick auf "OK" nicht vergessen!) <br />

Damit sollte die standardmäßige NAT-Adressübersetzung der Quelladresse für den ausgehenden Traffic die erwünschte Funktion erfüllen - ohne eine Konfiguration zusätzlicher NAT--Regeln. <br />

===Kontrolle der Funktion der konfigurierten N:1 Adressübersetzung der Quell-IP-Adressen:===

Eine einfache Kontrolle der Quelladressübersetzung ermöglichen die Ausgaben des Kommandos "debug all&" am Prompt der Router-Konsole. <br />

Beispielausgaben für Traffic von drei verschiedenen Ursprungs-IP-Adressen:
<PRE>
rs353jw_ks:> debug all&
19:56:18 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.20.100:13/10.10.20.254:58336 -> 10.10.10.253:0
19:56:25 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.20.101:13/10.10.20.254:41687 -> 10.10.10.253:0
19:56:31 DEBUG/INET: NAT: new outgoing session on ifc 38100001 prot 1 192.168.20.102:13/10.10.20.254:50207 -> 10.10.10.253:0
</PRE>

Hierbei bezeichnet "ifc 38100001" das IPSec-Interface und mit "192.168.20.100/10.10.20.254 ->" wird die Quelladressübersetzung angezeigt.

===Abschlußbemerkung:===

Vergessen Sie nicht Ihre gewünschte Einstellung bootfest zu speichern und Ihre aktiven Konfigurationen regelmäßg in externe Dateien zu exportieren.

===Basis:===
Erstellt: 4.8.2017 <br />
Produkt: bintec Router-Serien und be.IP-Serie <br />
Release: 10.1.27 <br />
KW: 36/2017 <br />
kst <br />

[[Kategorie:VPN]]
[[Kategorie:VPN ALL-IP]]

<!-- RS-Serie, RSxx3-Serie, be.IP plus, be.IP-Serie, NAT, Quelladressübersetzung -->