Configuring Static NAT, Dynamic NAT and PATڕێکخستنی وەرگێڕانی جێگیری ناونیشانی ڕایەڵە، وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە و وەرگێڕانی ناونیشانی پۆرت

You already know why a router translates addresses: private addresses such as 192.168.1.2 cannot travel on the Internet, so the router swaps them for public ones. You also know the three kinds — static NAT (one fixed pair), dynamic NAT (borrowing from a pool) and PAT (many hosts share one address, told apart by port) — and the four address names (NAT and PAT: Sharing Public Addresses). This lesson types them into a Cisco router.

پێشتر دەزانیت بۆچی ڕێدۆز ناونیشان وەردەگێڕێت: ناونیشانەکانی IPـی تایبەت (Private IP address) وەک ⁦192.168.1.2⁩ ناتوانن لە ئینتەرنێتدا (Internet) بگوازرێنەوە، بۆیە ڕێدۆزەکە بە ناونیشانی گشتی دەیانگۆڕێتەوە. هەروەها سێ جۆرەکە دەناسیت — وەرگێڕانی جێگیری ناونیشانی ڕایەڵە (یەک جووتی جێگیر)، وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە (قەرزکردن لە پووڵێکی ناونیشان) و وەرگێڕانی ناونیشانی پۆرت (زۆر میوانگر (Host) یەک ناونیشان بەکار دەهێنن و بە پۆرت جیا دەکرێنەوە) — لەگەڵ چوار ناوی ناونیشانەکان (NAT و PAT: هاوبەشکردنی ناونیشانە گشتییەکان). ئەم وانەیە ئەوانە لە ڕێدۆزێکی Ciscoـدا دەنووسێت.

Every NAT configuration, whatever its kind, has the same four parts. Keep this picture in mind; each lab below fills in the parts in this order.

هەموو ڕێکخستنێکی NAT، هەر جۆرێک بێت، هەمان چوار بەشی هەیە. ئەم وێنەیە لە بیرت بێت؛ هەر تاقیکردنەوەیەکی خوارەوە بەشەکان بەم ڕیزبەندییە پڕ دەکاتەوە.

All the labs in this lesson use one small network. On the inside, PC0 (192.168.1.2) and PC1 (192.168.1.3) sit on a 2960 switch behind router R1 (an ISR 4331). On the outside, a serial link joins R1 to the ISP’s router R2, and behind R2 is Server0 (192.0.2.10). The ISP gave the company the public block 203.0.113.0/27: those are the addresses the Internet may see.

هەموو تاقیکردنەوەکانی ئەم وانەیە یەک ڕایەڵەیەکی (Network) بچووک بەکار دەهێنن. لە ناوەوە، ⁦PC0 (192.168.1.2)⁩ و ⁦PC1 (192.168.1.3)⁩ لەسەر سویچێکی (Network switch) ⁦2960⁩ن لە پشت ڕێدۆزی ⁦R1 (ISR 4331)⁩. لە دەرەوە، بەستەرێکی زنجیرەیی ⁦R1⁩ بە ڕێدۆزی ⁦R2⁩ـی دابینکەری ئینتەرنێت دەبەستێتەوە و لە پشت ⁦R2⁩ـیش ⁦Server0 (192.0.2.10)⁩ هەیە. دابینکەری ئینتەرنێت بلۆکی گشتیی ⁦203.0.113.0/27⁩ـی بە کۆمپانیاکە داوە: ئەمانە ئەو ناونیشانانەن کە ئینتەرنێت بۆی هەیە ببینێت.

Here is the lab as built in Packet Tracer: two PCs, a 2960-24TT switch, two ISR 4331 routers joined by a serial cable, and a server. The green and blue boxes are only drawings — made with the Draw Rectangle tool and a text note — but they make the lab easy to read: everything in green is inside, everything in blue is outside. The routers keep their workspace labels Router0 and Router1; we give them the host names R1 and R2.

ئەمە تاقیکردنەوەکەیە وەک لە Packet Tracerـدا دروستکراوە: دوو PC، سویچێکی ⁦2960-24TT⁩، دوو ڕێدۆزی ⁦ISR 4331⁩ کە بە کێبڵێکی زنجیرەیی بەستراون و ڕاژەکارێک. چوارگۆشە سەوز و شینەکان تەنیا وێنەن — بە ئامرازی Draw Rectangle و تێبینییەکی نووسراو کراون — بەڵام تاقیکردنەوەکە ئاسان دەکەن بۆ خوێندنەوە: هەرچی سەوزە لە ناوەوەیە و هەرچی شینە لە دەرەوەیە. ڕێدۆزەکان ناوی شوێنی کارەکەیان ⁦Router0⁩ و ⁦Router1⁩ دەمێنێت؛ ئێمە ناوەکانی میوانگری (Hostname) ⁦R1⁩ و ⁦R2⁩یان پێ دەدەین.

NAT never replaces routing — you need routes first. R1 sends everything it does not know to the ISP with a default route. R2 needs a route back to the company — but to the public block 203.0.113.0/27, not to 192.168.1.0/24: after translation, no packet on the outside ever carries a private address.

NAT هەرگیز جێی ڕێدۆزی (Routing) ناگرێتەوە — سەرەتا پێویستت بە ڕێگەکانە. ⁦R1⁩ هەموو ئەوەی نایناسێت بە ڕێگەیەکی بنەڕەتی بۆ دابینکەری ئینتەرنێت دەنێرێت. ⁦R2⁩ پێویستی بە ڕێگەیەکی گەڕانەوە هەیە بۆ کۆمپانیاکە — بەڵام بۆ بلۆکە گشتییەکەی ⁦203.0.113.0/27⁩، نەک بۆ ⁦192.168.1.0/24⁩: دوای وەرگێڕان، هیچ پاکێتێک (Packet) لە دەرەوە ناونیشانی تایبەت هەڵناگرێت.

Give the PCs their addresses with gateway 192.168.1.1 and Server0 192.0.2.10 with gateway 192.0.2.1. Now ping Server0 from PC0: Request timed out. The echo request does reach the server, but the reply is addressed to 192.168.1.2 and R2 has no route to it. That is exactly the problem NAT solves.

ناونیشان بدە بە PCـەکان لەگەڵ دەروازەی بنەڕەتی (Default gateway) ⁦192.168.1.1⁩ و بە ⁦Server0⁩ ناونیشانی ⁦192.0.2.10⁩ لەگەڵ دەروازەی بنەڕەتی ⁦192.0.2.1⁩. ئێستا لە ⁦PC0⁩ـەوە پینگ (Ping) بۆ ⁦Server0⁩ بکە: Request timed out. داواکاریی (Request) echo دەگاتە ڕاژەکارەکە، بەڵام وەڵامەکە بۆ ⁦192.168.1.2⁩ نێردراوە و ⁦R2⁩ هیچ ڕێگەیەکی بۆی نییە. ئەمە ڕێک ئەو کێشەیەیە کە NAT چارەسەری دەکات.

NAT translates only packets that cross from an inside interface to an outside interface (and their replies). So the first NAT step is always to tell R1 which interface faces the company and which faces the ISP. Without these two marks the NAT rules sit in the configuration and nothing is translated: packets leave with their private source and the replies never come back.

NAT تەنیا ئەو پاکێتانە وەردەگێڕێت کە لە نێوبەستەیەکی ناوەوەوە دەپەڕنەوە بۆ نێوبەستەیەکی دەرەوە (و وەڵامەکانیان). بۆیە یەکەم هەنگاوی NAT هەمیشە ئەوەیە بە ⁦R1⁩ بڵێیت کام نێوبەستە ڕووی لە کۆمپانیایە و کامیان ڕووی لە دابینکەری ئینتەرنێتە. بەبێ ئەم دوو نیشانەیە یاساکانی NAT لە ڕێکخستنەکەدا دەمێنن و هیچ شتێک وەرناگێڕدرێت: پاکێتەکان بە سەرچاوە تایبەتەکەیانەوە دەڕۆن و وەڵامەکان هەرگیز ناگەڕێنەوە.

Static NAT ties one inside address to one public address for good. Here PC0 (192.168.1.2) will always appear on the Internet as 203.0.113.2. The command is typed in global configuration mode:

وەرگێڕانی جێگیری ناونیشانی ڕایەڵە یەک ناونیشانی ناوەوە بۆ هەمیشە بە یەک ناونیشانی گشتییەوە دەبەستێتەوە. لێرەدا ⁦PC0 (192.168.1.2)⁩ هەمیشە لە ئینتەرنێتدا وەک ⁦203.0.113.2⁩ دەردەکەوێت. فەرمانەکە (Command) لە باری ڕێکخستنی گشتیدا (Global configuration mode) دەنووسرێت:

Read it left to right: for packets coming from the inside, change the source address, using a static pair: 192.168.1.2 ↔ 203.0.113.2. The private address always comes first. To remove the pair, type the same line with no in front.

لە چەپەوە بۆ ڕاست بیخوێنەوە: بۆ ئەو پاکێتانەی لە ناوەوە دێن، ناونیشانی سەرچاوە بگۆڕە، بە جووتێکی جێگیر: ⁦192.168.1.2 ↔ 203.0.113.2⁩. ناونیشانە تایبەتەکە هەمیشە یەکەم دێت. بۆ لابردنی جووتەکە، هەمان دێڕ بە noـەوە لە پێشیدا بنووسە.

Ping Server0 from PC0 again — now the replies arrive. On R1, show ip nat translations shows why. The static line (---) is always there. While PC0 talks, IOS adds a line for the conversation with the protocol and the ICMP identifier after each address.

دووپاتە لە ⁦PC0⁩ـەوە پینگ بۆ ⁦Server0⁩ بکە — ئێستا وەڵامەکان دێن. لەسەر ⁦R1⁩، show ip nat translations هۆکارەکەی پیشان دەدات. دێڕە جێگیرەکە (---) هەمیشە هەیە. تا ⁦PC0⁩ قسە دەکات، IOS دێڕێک بۆ گفتوگۆکە زیاد دەکات لەگەڵ پرۆتۆکۆڵەکە (Protocol) و ناسێنەری ICMP لە دوای هەر ناونیشانێک.

Now ping Server0 from PC1: it still times out. Only PC0 has a pair, so PC1’s packets leave with 192.168.1.3 and their replies are lost at R2. Static NAT is one-to-one — one public address for every inside host — which is why it is used for servers, not for a whole office.

ئێستا لە ⁦PC1⁩ـەوە پینگ بۆ ⁦Server0⁩ بکە: هێشتا کاتی بەسەر دەچێت. تەنیا ⁦PC0⁩ جووتی هەیە، بۆیە پاکێتەکانی ⁦PC1⁩ بە ⁦192.168.1.3⁩ـەوە دەڕۆن و وەڵامەکانیان لە ⁦R2⁩ ون دەبن. وەرگێڕانی جێگیری ناونیشانی ڕایەڵە یەک بۆ یەکە — یەک ناونیشانی گشتی بۆ هەر میوانگرێکی ناوەوە — بۆیە بۆ ڕاژەکارەکان بەکار دێت، نەک بۆ هەموو ئۆفیسێک.

A static pair also works from the outside in. Ping 203.0.113.2 from Server0 and PC0 answers, because R1 changes the destination 203.0.113.2 to 192.168.1.2. (Pinging 192.168.1.2 from Server0 still fails: that private address is never routed on the outside.) This is how a company publishes a web or mail server that must be reachable at a fixed public address.

جووتێکی جێگیر لە دەرەوەشەوە بۆ ناوەوە کار دەکات. لە ⁦Server0⁩ـەوە پینگ بۆ ⁦203.0.113.2⁩ بکە و ⁦PC0⁩ وەڵام دەداتەوە، چونکە ⁦R1⁩ مەبەستی ⁦203.0.113.2⁩ دەگۆڕێت بۆ ⁦192.168.1.2⁩. (پینگ بۆ ⁦192.168.1.2⁩ لە ⁦Server0⁩ـەوە هێشتا شکست دەهێنێت: ئەو ناونیشانە تایبەتە هەرگیز لە دەرەوە ڕێدۆزیی بۆ ناکرێت.) کۆمپانیا بەم شێوەیە ڕاژەکاری وێب (Web server) یان ڕاژەکاری ئیمەیڵێک بڵاو دەکاتەوە کە دەبێت لەسەر ناونیشانێکی گشتیی جێگیر دەستی پێ بگات.

Often you want to open only one service, not the whole host. Add the protocol and the ports: only TCP port 80 of 203.0.113.10 is forwarded to the web server WEB1 (192.168.1.10). This is static PAT: what a home router calls port forwarding.

زۆرجار دەتەوێت تەنیا یەک خزمەتگوزاری بکەیتەوە، نەک هەموو میوانگرەکە. پرۆتۆکۆڵ و پۆرتەکان زیاد بکە: تەنیا پۆرتی ⁦TCP 80⁩ـی ⁦203.0.113.10⁩ دەنێردرێت بۆ ڕاژەکاری وێبەکە ⁦WEB1 (192.168.1.10)⁩. ئەمە PATـی جێگیرە: ئەوەی ڕێدۆزی ماڵەوە پێی دەڵێت پێشڕۆکردنی پۆرت.

For the second lab, remove PC0’s static pair (no ip nat inside source static 192.168.1.2 203.0.113.2) and let every inside host borrow a public address from a pool of 203.0.113.20 – 203.0.113.30. Dynamic NAT needs three commands that point at each other:

بۆ تاقیکردنەوەی دووەم، جووتە جێگیرەکەی ⁦PC0⁩ لاببە (no ip nat inside source static 192.168.1.2 203.0.113.2) و با هەموو میوانگرێکی ناوەوە ناونیشانێکی گشتی لە پووڵێکی ناونیشانی ⁦203.0.113.20 – 203.0.113.30⁩ قەرز بکات. وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە پێویستی بە سێ فەرمان هەیە کە ئاماژە بە یەکتری دەکەن:

PUB is a name you choose — POOLNAME, ISP-POOL, anything — but it must be spelled the same in ip nat pool and in ip nat inside source. The netmask describes the public block the pool lives in (/27 here); prefix-length 27 says the same. Keep the static addresses (like 203.0.113.2) out of the pool.

PUB ناوێکە کە خۆت هەڵیدەبژێریت — POOLNAME، ⁦ISP-POOL⁩، هەر شتێک — بەڵام دەبێت لە ip nat pool و لە ip nat inside sourceـدا وەک یەک بنووسرێت. netmaskـەکە ئەو بلۆکە گشتییە وەسف دەکات کە پووڵی ناونیشانەکە تێیدایە (لێرەدا /27)؛ prefix-length 27 هەمان شت دەڵێت. ناونیشانە جێگیرەکان (وەک ⁦203.0.113.2⁩) لە دەرەوەی پووڵی ناونیشانەکە بهێڵەوە.

access-list 1 permit 192.168.1.0 0.0.0.255 is a standard access list. Here it does not block anything — it selects: hosts it permits are translated, everything else is left alone. The second number is a wildcard mask, not a subnet mask: a 0 bit means “this bit must match”, a 1 bit means “ignore it”. So 0.0.0.255 matches every address from 192.168.1.0 to 192.168.1.255. Wildcards are explained fully in Configuring OSPF, and access lists in Access Control Lists.

access-list 1 permit 192.168.1.0 0.0.0.255 ACLـێکی ستانداردە. لێرەدا هیچ شتێک ڕاناگرێت — هەڵدەبژێرێت: ئەو میوانگرانەی ڕێگەیان پێ دەدات وەردەگێڕدرێن، هەموو شتێکی تر وەک خۆی دەمێنێت. ژمارەی دووەم ماسکی پێچەوانەیە، نەک ماسکی ژێرڕایەڵە (Subnet mask): بیتی (Bit) 0 واتە «ئەم بیتە دەبێت وەک یەک بێت»، بیتی 1 واتە «گرنگی پێ مەدە». بۆیە ⁦0.0.0.255⁩ هەموو ناونیشانێک لە ⁦192.168.1.0⁩ـەوە تا ⁦192.168.1.255⁩ دەگرێتەوە. ماسکە پێچەوانەکان بە تەواوی لە ڕێکخستنی OSPF و ACLـەکان لە وانەی ACLـەکان: فلتەرکردنی هاتوچۆ ڕوون کراونەتەوە.

Ping Server0 from PC0, then from PC1. Each PC gets the next free address of the pool and keeps it while it is in use; a dynamic entry that stays idle times out (after 24 hours by default, unless you clear it). While traffic flows you may also see icmp or tcp lines with ports.

لە ⁦PC0⁩ـەوە پینگ بۆ ⁦Server0⁩ بکە، پاشان لە ⁦PC1⁩ـەوە. هەر PCـێک ناونیشانی بەتاڵی دواتری پووڵی ناونیشانەکە وەردەگرێت و تا بەکاری دەهێنێت هەڵیدەگرێت؛ دێڕێکی بزۆک کە بێکار بمێنێتەوە کاتی بەسەر دەچێت (بە شێوەی بنەڕەت دوای ⁦24⁩ کاتژمێر، مەگەر خۆت بیسڕیتەوە). تا هاتوچۆ هەیە لەوانەیە دێڕی icmp یان tcp لەگەڵ پۆرتەکان ببینیت.

To let many hosts share one public address, add the keyword overload. R1 then tells the conversations apart by their port numbers. There are two forms. The most common one overloads R1’s own outside interface — exactly what a home router does with the one address its ISP gives it. The other overloads the pool.

بۆ ئەوەی زۆر میوانگر یەک ناونیشانی گشتی هاوبەش بکەن، وشەی overload زیاد بکە. ئەوکات ⁦R1⁩ گفتوگۆکان بە ژمارەی پۆرتەکانیان لێک جیا دەکاتەوە. دوو شێوە هەیە. باوترینیان نێوبەستەی دەرەوەی خودی ⁦R1 overload⁩ دەکات — ڕێک ئەوەی ڕێدۆزی ماڵەوە بە تاکە ناونیشانەکەی دابینکەری ئینتەرنێت پێی دەدات دەیکات. ئەوی تر پووڵی ناونیشانەکە overload دەکات.

The capstone project uses the interface form for a whole company: Step 7: PAT to the Internet on R1.

پڕۆژەی کۆتایی شێوەی نێوبەستە بۆ هەموو کۆمپانیایەک بەکار دەهێنێت: هەنگاوی ⁦7: PAT⁩ بۆ ئینتەرنێت لەسەر ⁦R1⁩.

Open Desktop > Web Browser on PC0 and PC1 and browse to http://192.0.2.10 (Packet Tracer’s server answers HTTP by default). Every PAT entry carries the ports. Suppose both PCs happen to choose source port 1025: R1 keeps PC0 at 1025 and gives PC1 the next free port, 1026, so the two replies cannot be mixed up.

⁦Desktop > Web Browser⁩ لەسەر ⁦PC0⁩ و ⁦PC1⁩ بکەرەوە و بڕۆ بۆ http://192.0.2.10 (ڕاژەکاری Packet Tracer بە شێوەی بنەڕەت وەڵامی HTTP دەداتەوە). هەموو دێڕێکی وەرگێڕانی ناونیشانی پۆرت پۆرتەکان هەڵدەگرێت. وا دابنێ هەردوو PC بە ڕێکەوت پۆرتی سەرچاوەی ⁦1025⁩ هەڵدەبژێرن: ⁦R1 PC0⁩ لەسەر ⁦1025⁩ دەهێڵێتەوە و پۆرتی بەتاڵی دواتر، ⁦1026⁩، دەدات بە ⁦PC1⁩، بۆیە دوو وەڵامەکە تێکەڵ نابن.

PAT entries are short-lived: a UDP entry, for example, disappears after 5 minutes without traffic by default. That is normal — the next packet simply creates a new entry.

دێڕەکانی وەرگێڕانی ناونیشانی پۆرت تەمەنیان کورتە: بۆ نموونە دێڕێکی UDP بە شێوەی بنەڕەت دوای 5 خولەک بێ هاتوچۆ نامێنێت. ئەمە ئاساییە — پاکێتی دواتر بە سانایی دێڕێکی نوێ دروست دەکات.

clear ip nat translation * (privileged EXEC) removes all dynamic entries at once — static pairs stay. Use it after changing an access list or pool, so old entries do not hide the result. To see each translation as it happens, use debug ip nat; when you have seen enough, switch it off with undebug all (the same as no debug all).

clear ip nat translation * (باری مۆڵەتدار (Privileged EXEC mode)) هەموو دێڕە بزۆکەکان بەیەکجار لادەبات — جووتە جێگیرەکان دەمێنن. دوای گۆڕینی ACLـێک یان پووڵێکی ناونیشان بەکاری بهێنە، بۆ ئەوەی دێڕە کۆنەکان ئەنجامەکە نەشارنەوە. بۆ بینینی هەر وەرگێڕانێک لە کاتی ڕوودانیدا، debug ip nat بەکار بهێنە؛ کاتێک بەسەت بینی، بە undebug all بیکوژێنەرەوە (هەمان no debug all).

Next: the access list you met here as access-list 1 can do much more than pick hosts for NAT — it can filter traffic. That is the next lesson, Access Control Lists.

دواتر: ئەو ACLـەی لێرەدا وەک access-list 1 بینیت دەتوانێت زۆر زیاتر لە هەڵبژاردنی میوانگر بۆ NAT بکات — دەتوانێت هاتوچۆ فلتەر بکات. ئەمە لە وانەی داهاتوودا دەبینیت: ACLـەکان: فلتەرکردنی هاتوچۆ.