第20回 NATの技術③ vasiright & vasileft

これまでスタティックNATとダイナミックNATなど、NAT関連の記事を書いてきました。
NATの最終回である今回は、過去の現場で見かけた少しマイナーなNATの技術を備忘録も兼ねて書こうと思います。

VASIを使用したVRF間のNAT

以前こちらの記事で、一つのルーターにおいて複数のルーティングテーブルを運用するVRFを記載しました。
ルーティングテーブルを分けることで、ルーターをシェアできるのは良いことですが、支店が統合などをした際、それぞれのルーティングテーブルごとに設定を入れるのは時間もかかり、設定が多くなり複雑になってくるほど作業ミスも発生しやすくなるリスクも含んでおります。
そういう時、VRF間同士の通信を実現する技術がVASIになります。
このVASIを使用することでNATなどの通信もVRF間をまたいで実現ができます。

VASI（VRF-Aware Software インフラストラクチャ）

これはvasirightとvasileftの2つのペアで構成され、Ciscoのルーターにおいて異なるVRF間、またはVRFと非VRF間においてvasirightとvasileftのインターフェースで仮想リンクを作成し、ここを経由した通信を実現する技術です。

検証構成

VASIを使用しない場合

宛先の172.16.1.1に到達せず、pingが成立しない。

vasirightとvasileftのペアを成立させることで以下のようにpingが通る。

今回は2パターンの環境を構築し検証を行いました。

環境① VRF_TEST01⇔VRF_TEST02間のNAT通信

##ルーター設定

vrf definition VRF_TEST01
 rd 1:1
 !
 address-family ipv4
 exit-address-family
!
vrf definition VRF_TEST02
 rd 2:2
 !
 address-family ipv4
 exit-address-family
!
interface GigabitEthernet1
 vrf forwarding VRF_TEST01
 ip address 192.168.1.2 255.255.255.0
no shut
!
interface GigabitEthernet2
 vrf forwarding VRF_TEST02
 ip address 172.16.1.2 255.255.255.0
 ip nat outside
no shut
!
interface vasileft8
 vrf forwarding VRF_TEST01
 ip address 10.1.1.1 255.255.255.248
 no keepalive
!
interface vasiright8
 vrf forwarding VRF_TEST02
 ip address 10.1.1.4 255.255.255.248
 ip nat inside
 no keepalive
!
ip nat inside source static 192.168.1.1 172.16.1.5 vrf VRF_TEST02
ip route vrf VRF_TEST01 172.16.0.0 255.255.0.0 vasileft8
ip route vrf VRF_TEST02 192.168.0.0 255.255.0.0 vasiright8
!

検証結果

送信元アドレスが192.168.1.1→172.16.1.5へNAT変換が行われ通信成功。

環境③ VRF_TEST01⇔非VRF間のNAT通信

片方がVRFで、もう片方は非VRFの環境でも通信が実現するかの検証

##ルーター設定

vrf definition VRF_TEST01
 rd 1:1
 !
 address-family ipv4
 exit-address-family
!
interface GigabitEthernet1
 vrf forwarding VRF_TEST01
 ip address 192.168.1.2 255.255.255.0
no shut
!
interface GigabitEthernet2
 ip address 172.16.1.2 255.255.255.0
 ip nat outside
no shut
!
interface vasileft18
 vrf forwarding VRF_TEST01
 ip address 10.1.1.1 255.255.255.248
 no keepalive
!
interface vasiright18
 ip address 10.1.1.4 255.255.255.248
 ip nat inside
 no keepalive
!
ip nat inside source static 192.168.1.1 172.16.1.99
ip route 192.168.0.0 255.255.0.0 vasiright18
ip route vrf VRF_TEST01 172.16.0.0 255.255.0.0 vasileft18
!

検証結果

送信元アドレスが192.168.1.1→172.16.1.99へNAT変換が行われ通信成功。

参考

次回予告

これまでネットワークが続いたので、久しぶりに次回は現場での改善を記載します。
内容はCopilotを使用した業務改善について