РЕШЕНИЕ Для начала рассмотрим некоторые термины, употребляемые при формирования правил NAT'a: 1) Inside Local (IL) - IP хостa во внутренней сети. 2) Inside Global (IG) - IP хоста внутренней сети, под которым он виден для внешней сети. 3) Outside Global (OG) - IP хоста во внешней сети. 4) Outside Local (OL) - IP хоста во внешней сети, под которым он виден для внутренней сети. 5) Внутренняя Сеть (IN) - Сеть, которая подключена к порту маршрутизатора, на котором прописано ip nat inside. 6) Внешняя Сеть (ON) - Сеть, которая подключена к порту маршрутизатора, на котором прописано ip nat outside. На практике, не обязательно что бы на интерфейсе фактически внутренней сети было указано ip nat inside, а на интерфейсе фактически внешней - ip nat outside. Может быть и наоборот, т.к. нат трансляции являются двухсторонними. Это влияет только на синтаксис правил. Определимся с интерфейсами... Интерфейс смотрящий в сеть с хостом А (Fa 0/0) имеет IP 172.16.1.239 и он обозначен как интерфейс внутренней сети (на нем прописано ip nat inside). Интерфейс смотрящий в сеть B (Fa 0/1) имеет IP 192.168.102.244 и обозначен как внешний интерфейс (ip nat outside). А теперь с хостами... А - хост во внутренней сети с IP 172.16.1.133, B - во внешней сети, и IP его - 172.17.0.9. Фактически же, устройство B расположено "дальше", проходя по пути еще не одну нат трансляцию и еще не один маршрутизатор. В данном примере я решил упростить схему для большей прозрачности. Теперь рассмотрим общий вид правил, которые понадобятся для двойной трансляции: 1) ip nat inside source static IL IG 2) ip nat outside source static OG OL Первым правилом мы подменяем адрес хоста во внутренней сети с серого (неизвестного внешней сети) на белый - адрес, известный внешней сети. Таким образом мы делаем хост внутренней сети, доступным для внешней. Вторым правилом - подменяем адрес устройства во внешней сети на один из адресов внутренней сети, т.к. хост А может принимать пакеты только из своей подсети. Ну вот, вроде бы все готово и можно писать конфиг:
R1#conf tR1(config)#interface Fa0/0R1(config-if)#ip address 172.16.1.239 255.255.255.0R1(config-if)#ip nat insideR1(config-if)#interface Fa0/1R1(config-if)#ip address 192.168.102.244 255.255.255.0R1(config-if)#ip nat outsideR1(config-if)#exitR1(config)#ip nat inside source static 172.16.1.133 192.168.102.133R1(config)#ip nat outside source static 172.17.0.9 172.16.1.215
А теперь проверяем... с хоста B пробуем пропингать хост А, и... в результате облом :((( Будем разбираться... запустив tcpdump на хосте А видим, что пакет приходит, и адрес источника у него правильный - 172.16.1.215, видно что сервер отвечает на этот ip, но обратный ответ до хоста B не доходит... проверив текущие нат трансляции на маршрутизаторе, видно что правила написаны правильно, адреса транслируются правильно.
R1#show ip nat translationsPro Inside global Inside local Outside local Outside global 172.16.1.215 172.17.0.9icmp 192.168.102.133:165 172.16.1.133:165 172.16.1.215:165 172.17.0.9:165 192.168.102.133 172.16.1.133
Первая и последняя строки - статические трансляции, средняя строка - текущая сессия. И теперь самое главное. Причина, по которой у меня так и не получилось проделать это в прошлый раз. Дело в том, что трансляция описанная правилом ip nat inside source ... осуществляется при прохождении пакета через интерфейс обозначенный как ip nat inside, а ip nat outside source ... через обозначенный как ip nat outside. Отсюда получается, что у пакета, исходящего из хоста B вначале попадая на интерфейс Fa0/1 (ip nat outside) меняется адрес назначения с 192.168.102.133 на 172.16.1.133, и он переправляется на Fa0/0 (ip nat inside), на котором уже транслируется адрес источника с 172.17.0.9 на 172.16.1.215. Теперь рассмотрим обратный ход пакета... Хост А отвечает, адрес назначения пакета - 172.16.1.215. Он попадает в маршрутизатор на интерфейс Fa0/0, на котором адрес источника (172.16.1.133) подменяется на 192.168.102.133 и все... для того что бы изменить адрес назначения, пакет должен пройти через интерфейс Fa0/1, но поскольку у пакета адрес назначения из его-же подсети, он не попадает на Fa0/1. Вот и есть тот затык. Решить его довольно-таки просто. Для этого нужно прописать статический маршрут для адреса 172.16.1.215 в сторону сети, расположенной за интерфейсом Fa0/1.
R1#ip route 172.16.1.215 255.255.255.255 192.168.102.24
Проверяем, и вуаляяя!.. Оба хоста могут достучаться друг до друга, что и требовалось было сделать. На этом пожалуй все. Если кому есть что добавить - милости прошу... Надеюсь это кому нибудь будет полезно, и сэкономит немного времени. P.S. Текст получился довольно-таки закручено, но по другому даж не знаю как описать :)
