Ajouter une règle NAT64

À l'aide des règles NAT64, un serveur NSX Edge effectue la traduction des adresses réseau pour autoriser le trafic depuis les sous-réseaux IPv6 externes vers les sous-réseaux IPv4 internes.

NAT64 ne prend en charge que les communications lancées par le nœud IPv6 uniquement vers un nœud IPv4 uniquement.

NAT64 prend en charge les protocoles de couche 4 suivants :

• TCP
• UDP
• ICMP
  • Demande et réponse ECHO ICMP uniquement.
  • Les erreurs ICMPv4 sont prises en charge, mais pas les erreurs ICMPv6.

Tous les paquets d'un autre type de protocole sont ignorés.

La traduction d'IPv4options, des en-têtes de routage IPv6, des en-têtes d'extension saut par saut, des en-têtes d'option de destination et des en-têtes de routage source n'est pas prise en charge. FTP n'est pas pris en charge. Les paquets fragmentés ne sont pas pris en charge.

La haute disponibilité NSX Edge n'est pas prise en charge avec NAT64. Les sessions NAT64 ne sont pas synchronisées entre les dispositifs actifs et les dispositifs en veille. Par conséquent, si un basculement se produit, la connectivité est interrompue.

Si vous avez configuré des protocoles de routage dynamique, les préfixes IPv4 sont redistribués.

Les temporisateurs suivants s'appliquent au trafic NAT64 :

Tableau 1. Temporisateurs NAT64

Protocole		Délai d'expiration
TCP	TCP-SYNC entrant	6 secondes
	TCP-ESTABLISHED	2 heures
	TCP-Trans	4 minutes
UDP		5 minutes
ICMP		1 minute

Conditions préalables

• Configurez une interface de liaison montante de la passerelle Edge Services Gateway avec une adresse sur le réseau IPv6.
• Configurez une interface interne de la passerelle Edge Services Gateway avec une adresse sur le réseau IPv4.
• Vérifiez que ces adresses ne sont pas dupliquées ailleurs dans votre environnement.

Procédure

1. Dans vSphere Web Client, accédez à Mise en réseau et sécurité (Networking & Security) > Dispositifs NSX Edge (NSX Edges).
2. Double-cliquez sur une instance de NSX Edge.
3. Cliquez sur Gérer (Manage) > NAT.
4. Dans le menu déroulant Affichage (View), sélectionnez NAT64.
5. Cliquez sur Ajouter (Add) et entrez les paramètres NAT64.

   Option	Description
   Correspondre au préfixe de destination IPv6	Entrez un préfixe réseau IPv6 (adresse réseau) ou une adresse IPv6 spécifique dans la notation CIDR. Étant donné que NAT64 assure la connectivité entre les sous-réseaux IPv6 et les sous-réseaux IPv4, dans la plupart des cas, vous pouvez entrer un préfixe réseau IPv6 à la place d'une adresse IPv6 spécifique. NAT64 utilise le préfixe réseau IPv6 que vous spécifiez dans cette zone de texte pour mapper les adresses de destination IPv4 aux adresses de destination IPv6. Le préfixe doit présenter l'une des longueurs suivantes : 32, 40, 48, 56, 64 ou 96. Par exemple, si vous utilisez le préfixe réseau /96, NAT64 ajoute l'équivalent hexadécimal de l'adresse de destination IPv4 au préfixe réseau IPv6. Reportez-vous à l'exemple de règle NAT64 après cette procédure pour obtenir un exemple. Note : Vous pouvez utiliser le préfixe 64:ff9b::/96 connu défini dans RFC 6052, ou utiliser un autre préfixe IPv6 qui n'est pas déjà utilisé dans votre environnement.
   Préfixe source IPv4 traduit	Facultatif : entrez un préfixe réseau IPv4 (adresse réseau) ou une adresse IPv4 spécifique dans la notation CIDR. Assurez-vous que le préfixe réseau IPv4 ou l'adresse IPv4 ne sont pas déjà utilisés dans votre environnement. Étant donné que NAT64 assure la connectivité entre les sous-réseaux IPv6 et les sous-réseaux IPv4, dans la plupart des cas, vous pouvez entrer un préfixe réseau IPv4 à la place d'une adresse IPv4 spécifique. NAT64 utilise une adresse IP à partir du préfixe réseau IPv4 pour traduire l'adresse source IPv6 en adresse source IPv4. Reportez-vous à l'exemple de règle NAT64 après cette procédure pour obtenir un exemple. Note : L'espace d'adressage partagé 100.64.0.0/16 IPv4 est réservé à NAT64. Vous pouvez utiliser cet espace d'adressage réservé. Si vous laissez cette zone de texte vide, la règle NAT64 utilise automatiquement l'espace d'adressage réservé lorsque vous publiez la règle.
   Description	Description facultative pour la règle.
   Activé ou Statut	Activez la règle NAT64.
   Activer la journalisation ou Journalisation	Activez la journalisation pour la règle NAT64.

6. Cliquez sur Ajouter pour enregistrer la règle.
7. Cliquez sur Publier pour que la règle prenne effet.

Exemple : Exemple de règle NAT64

Vous souhaitez que NSX Edge autorise le trafic depuis l'ordinateur Web 1 (2001 ::20/64) qui se trouve sur un réseau IPv6 externe vers la VM 1 (10.10.10.2/30), qui se trouve sur le sous-réseau IPv4 interne.

Dans cet exemple, la règle NAT64 utilise les exemples de valeurs suivants :

• Préfixe de destination IPv6 correspondant : 64:ff90::/96
• Préfixe source IPv4 traduit : 30.30.30.0/24

La capture d'écran suivante illustre la règle publiée. L'ID de la règle est généré automatiquement et peut varier dans votre environnement.

Figure 1. Définition de la règle NAT64

La règle NAT64 prend l'équivalent hexadécimal de l'adresse IPv4 de destination (10.10.10.2) et l'ajoute au préfixe réseau IPv6 (64:ff90::) pour former l'adresse de destination IPv6 64:ff90::a0a:a02.

La règle sélectionne n'importe quelle adresse IP à partir du préfixe source IPv4 traduit (30.30.30.0/24). Supposons que la règle sélectionne 30.30.30.32. NAT64 utilise cette adresse source IPv4 pour traduire l'adresse de destination 64:ff90::a0a:a02 en adresse de destination IPv4 réelle (10.10.10.2)

Une fois la règle publiée, procédez comme suit :

1. Connectez-vous à l'invite de commande de l'ordinateur Web1 et émettez une commande ping sur l'adresse de destination IPv6 64:ff90::a0a:a02. Une session nat64 est établie.
2. Connectez-vous à la CLI de NSX Edge et affichez la session nat64 en exécutant la commande show nat64 sessions.

   Protocol     IPv6-SA     IPv6-DA               SPort     DPort     IPv4_SA        IPv4-DA      SPort     DPort
   TCP          2001::20    64:ff90::a0a:a02      2055      22        30.30.30.32    10.10.10.2   2055      22