一个局域网通过NAT访问另一个地址重叠的局域网（IP方式访问）

正文共：1335 字 7 图，预估阅读时间：4 分钟

现在，我们已经可以通过调整两台设备的组合配置（地址重叠时，用户如何通过NAT访问对端IP网络？）或仅调整一台设备的配置（仅操作一台设备，如何实现本地访问另一个相同网段的私网？），来实现一个局域网通过IP地址访问另一个地址重叠的局域网。

之前的案例中，我们模拟的是专线互访，但是实际应用中，专线场景可能比较少的出现这种情况。但是现在的SD-WAN场景（SD-WAN网络中的IPsec流量是怎么转发的？我给你简单演示一下）就不一样了，出现的概率就高了很多。那在SD-WAN网络中，如果出现这种问题要怎么解决呢？

组网需求

1、某公司有两个办公点，内网网段地址均为10.1.1.0/24，现在通过SD-WAN方案将两个办公点内网打通，但是因为有生产业务，不能改变主机地址。

2、该公司拥有组网图中所有地址段的所有地址的使用权。

3、需要实现，PCA能够访问PCB。

组网图

一个局域网通过NAT访问另一个地址重叠的局域网（IP访问）

实验环境

Windows 10专业版（1909-18363.1556，16 GB内存）
HCL 3.0.1
MSR 36-20（Version 7.1.064, Release 0821P11）

配置思路

首先回顾RFC2401（IPsec：互联网协议的安全架构），我们知道IPsec仅仅是一种安全封装，他是在接口上对报文做安全封装，自身并不是接口。如果我们将前两个案例中的中间线路替换为IPsec，则在设备上行口不能再做NAT转换了，这种场景我们已经有了结论，无法实现访问。

那我们可以想一下之前的IPsec和GRE组合使用的场景，我们可以将RTA和RTB使用GRE打通，再使用IPsec进行封装即可。

配置步骤

按照配置思路，直接上使用GRE+NAT实现访问的配置，此时尚未做IPsec封装。

RTA

#
sysname RTA
#
nat static outbound 10.1.1.2 20.1.1.2
#
policy-based-route NAT permit node 1if-match acl 3402apply next-hop 13.1.1.3
#
interface GigabitEthernet0/0ip address 10.1.1.1 255.255.255.0nat static enableip policy-based-route NAT
#
interface GigabitEthernet0/1ip address 12.1.1.1 255.255.255.0
#
interface Tunnel1 mode greip address 13.1.1.1 255.255.255.0source 12.1.1.1destination 23.1.1.3nat outbound
#
ip route-static 23.1.1.0 24 12.1.1.2
#
acl advanced 3402rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

ISP

#
sysname ISP
#
interface GigabitEthernet0/0ip address 12.1.1.2 255.255.255.0
#
interface GigabitEthernet0/1ip address 23.1.1.2 255.255.255.0

RTB

#
sysname RTB
#
interface GigabitEthernet0/0ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet0/1ip address 23.1.1.3 255.255.255.0
#
interface Tunnel2 mode greip address 13.1.1.3 255.255.255.0source 23.1.1.3destination 12.1.1.1
#
ip route-static 12.1.1.0 24 23.1.1.2

验证配置

测试从PCA使用地址20.1.1.2访问PCB，发现可以访问，TTL值为253。

在RTA上查看报文处理过程。

1、从接口G0/0收到报文，源地址10.1.1.2，目的地址20.1.1.2；

2、在入接口上做NAT转换，源地址10.1.1.2，目的地址10.1.1.2；

3、匹配策略路由，将报文转发到接口Tunnel1；

4、在出接口上做NAT转换，源地址13.1.1.1，目的地址10.1.1.2，并发出报文；

5、从接口Tunnel1收到报文，源地址10.1.1.2，目的地址13.1.1.1；

6、匹配接口Tunnel1的NAT会话，做NAT转换，源地址10.1.1.2，目的地址10.1.1.2，将报文转发到接口G0/0；

7、匹配接口G0/0的NAT会话，做NAT转换，源地址20.1.1.2，目的地址10.1.1.2，并发出报文。

此时看一下RTA发出的报文，报文内容一览无遗。

那接下来就是做IPsec封装了，这里我们应该用GRE over IPsec，而且我们也看到了保护流量应该是接口Tunnel1的地址（13.1.1.1/24）到对方私网（10.1.1.2/24）的流量。直接上配置：

RTA

#
acl advanced 3403rule 0 permit ip source 13.1.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
ipsec transform-set TRANesp encryption-algorithm 3des-cbcesp authentication-algorithm sha1
#
ipsec policy nat 10 isakmptransform-set TRANsecurity acl 3403remote-address 13.1.1.3
#
ike keychain KEYpre-shared-key address 13.1.1.3 24 key simple nat
#
interface Tunnel1 mode greipsec apply policy nat

RTB

#
acl advanced 3403rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 13.1.1.0 0.0.0.255
#
ipsec transform-set TRANesp encryption-algorithm 3des-cbcesp authentication-algorithm sha1
#
ipsec policy nat 10 isakmptransform-set TRANsecurity acl 3403remote-address 13.1.1.3
#
ike keychain KEYpre-shared-key address 13.1.1.1 24 key simple nat
#
interface Tunnel2 mode greipsec apply policy nat

查看RTA发出的报文情况。