O NAT da NVI já foi criado por Aaron D.
Aqui estão os bits de configuração relevantes de um exemplo de trabalho. Foi feito em um CISCO881 com IOS 15.4 (3) M6a
Outside network: 172.19.31.0 /24 on FastEthernet4
Inside network: 172.19.140.0 /23 on VLAN141/SVI141
exposed host: 172.19.141.24
external port: 2222
internal port: 22
Configuração da interface:
interface FastEthernet4
ip address 172.19.31.2 255.255.255.0
ip nat enable
interface Vlan141
ip address 172.19.140.1 255.255.254.0
!
! hairpinning did not work until ip redirects were disabled
!
no ip redirects
ip nat enable
ACL NAT:
ip access-list standard ACLv4_SUBNET141
permit 172.19.140.0 0.0.1.255
Regras NAT:
ip nat source static tcp 172.19.141.24 22 interface FastEthernet4 2222
ip nat source list ACLv4_SUBNET141 interface FastEthernet4 overload
Em poucas palavras:
- defina as interfaces relevantes como "ip nat enable" em vez de "ip nat in / outside" e modifique ligeiramente as regras do NAT.
- verifique se há uma política de saída no estilo NAT da NVI, ou o host flexível não será capaz de conectar a saída ou o grampo a ele próprio.
- desabilite os redirecionamentos de IP na interface "interna" ou o hairpinning (pelo menos não do próprio host) não funcionará.
Cuidado: O NVI NAT pode ser MUITO desgastante na CPU de roteadores low-end como a série 800. Onde meu antigo 881 costumava fornecer 50-60Mbit / s com NAT clássico, a mudança para NVI fazia com que a taxa de transferência caísse para 20-30Mbit / s e faria com que a CPU ficasse vermelha quando sob carga.
Esse também foi o caso quando a tradução a ser bloqueada não estava realmente em uso, apenas com o tráfego correspondente à regra NAT de saída "interface ... sobrecarga" normal.