Site icon bintorosoft.com

NAT und VPN: Typische Probleme und Lösungen

Red Snapper

Computer technology 3D illustration. Computation of big data center. Cloud computing. Online devices upload and download information. Modern 3D illustration. 3D rendering

NAT und VPN sind eine häufige Problemkombination: NAT verändert IP-Adressen und Ports, während VPNs (insbesondere IPsec) Integrität, Peer-Identität und oft auch „No-NAT“-Verhalten erwarten. Typische Symptome sind: Tunnel kommt nicht hoch, Phase 2 bricht, Traffic geht nur in eine Richtung oder bestimmte Subnetze sind nicht erreichbar. Mit sauberer NAT-Exemption, korrektem NAT-T (UDP/4500) und klaren ACLs lassen sich die meisten Fälle zuverlässig lösen.

Warum NAT VPNs stören kann

NAT ändert Header-Informationen. Bei IPsec wird der Verkehr kryptografisch geschützt, wodurch Änderungen am Paket (oder am falschen Paketanteil) zu Drops führen. Zusätzlich können NAT-Geräte Protokolle ohne Ports (ESP) nicht immer sauber „tracken“.

Merker: VPN-Traffic sollte meist nicht genattet werden

IPsec Site-to-Site  →  NAT Exemption (No-NAT)  für VPN-Subnets

Typische Symptome in der Praxis

Die Fehlerbilder wiederholen sich. Wenn du das Symptom erkennst, kannst du die Ursache oft schnell eingrenzen.

Problem 1: NAT Exemption fehlt (häufigster IPsec-Killer)

Bei Site-to-Site-IPsec muss der „interessante Traffic“ (z. B. 192.168.10.0/24 ↔ 192.168.20.0/24) unverändert bleiben. Wenn PAT/Overload diesen Traffic übersetzt, matcht die Crypto ACL nicht mehr und Phase 2 scheitert oder Traffic wird gedroppt.

Fix: No-NAT für VPN-Netze (NAT Exemption) mit ACL

Die genaue Syntax hängt von NAT-Variante/IOS ab. Ein gängiges Muster ist: erst VPN-Traffic per ACL definieren und ihn von NAT ausschließen, danach allgemeines PAT für „Internet“ zulassen.

Router# configure terminal
Router(config)# ip access-list extended ACL-NO-NAT
Router(config-ext-nacl)# permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
Router(config-ext-nacl)# permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
Router(config-ext-nacl)# end

Beispielprinzip: NAT-Regeln so bauen, dass VPN zuerst greift

Router# configure terminal
Router(config)# ip access-list standard NAT_INSIDE
Router(config-std-nacl)# permit 192.168.10.0 0.0.0.255
Router(config-std-nacl)# end
Router(config)# end

Verifikation: VPN-Traffic darf keine NAT-Translation bekommen

Router# show ip nat translations
Router# show ip nat translations | include 192.168.10.|192.168.20.

Problem 2: NAT-T (NAT Traversal) nicht aktiv oder UDP/4500 blockiert

Wenn mindestens eine Seite hinter NAT sitzt, wird IPsec typischerweise in UDP/4500 gekapselt (NAT-T). Wenn UDP/4500 blockiert ist, kommt Phase 2 oft nicht stabil hoch oder der Tunnel flapped.

Fix: UDP/500 und UDP/4500 in ACLs erlauben (am Outside)

Router# configure terminal
Router(config)# ip access-list extended OUTSIDE_IN
Router(config-ext-nacl)# permit udp host 198.51.100.2 host 203.0.113.2 eq 500
Router(config-ext-nacl)# permit udp host 198.51.100.2 host 203.0.113.2 eq 4500
Router(config-ext-nacl)# permit esp host 198.51.100.2 host 203.0.113.2
Router(config-ext-nacl)# deny ip any any
Router(config-ext-nacl)# exit
Router(config)# interface gigabitEthernet0/1
Router(config-if)# ip access-group OUTSIDE_IN in
Router(config-if)# end

Hinweis: Bei NAT-T ist ESP nicht immer zwingend sichtbar

Wenn NAT-T aktiv ist, läuft die Datenebene häufig über UDP/4500 statt nativem ESP.

Problem 3: Crypto ACL und NAT-ACL passen nicht zusammen

Ein häufiger Designfehler ist, dass die Crypto ACL andere Netze/Masken matcht als die NAT-Exemption oder das Routing. Dann steht der Tunnel ggf. kurz, aber Traffic wird nicht verschlüsselt oder falsch geroutet.

Fix: Crypto-Interessensbereich und No-NAT identisch halten

Quick-Check: Welche ACLs sind im Einsatz?

Router# show running-config | include crypto map|match address
Router# show access-lists

Problem 4: Tunnel steht, aber kein Traffic (Routing/Return Path)

Wenn IKE/SA vorhanden ist, aber kein Nutztraffic durchgeht, ist es häufig kein NAT-Problem mehr, sondern Routing oder ACLs. Prüfe, ob die Remote-Subnetze via Tunnel erreichbar sind und ob der Rückweg stimmt.

Routen prüfen

Router# show ip route 192.168.20.0
Router# traceroute 192.168.20.10
Router# ping 192.168.20.10 source 192.168.10.1

Firewall/ACLs im LAN prüfen

Router# show running-config | include access-group
Router# show ip interface gigabitEthernet0/0
Router# show access-lists

Problem 5: Overlapping Subnets – NAT als Workaround

Wenn beide Standorte die gleichen privaten Netze nutzen (z. B. beide 192.168.10.0/24), funktioniert Site-to-Site-VPN ohne Adress-Umsetzung nicht sauber. In solchen Fällen wird häufig VPN-NAT (Policy NAT) verwendet, um eine Seite in ein „virtuelles“ Netz zu mappen.

Indiz im Troubleshooting

Router# show ip route 192.168.10.0
Router# show arp | include 192.168.10.

Verifikation: NAT und VPN gemeinsam prüfen

Wenn NAT und VPN zusammenspielen, musst du auf beiden Ebenen verifizieren: NAT-Translations für VPN-Traffic dürfen nicht entstehen, und IPsec muss SAs und Counters erhöhen, wenn du Traffic erzeugst.

NAT prüfen

Router# show ip nat translations
Router# show ip nat statistics

IPsec/IKE prüfen (typische Cisco-Checks)

Router# show crypto isakmp sa
Router# show crypto ipsec sa

Counters: steigen bei Ping/Traffic?

Router# clear crypto sa
Router# ping 192.168.20.10
Router# show crypto ipsec sa

Best Practices: NAT und VPN stabil betreiben

Mit diesen Regeln vermeidest du die meisten NAT/VPN-Fallen und bekommst ein reproduzierbares Design.

Quick-Reference: Checkliste (Copy & Paste)

Diese Befehle decken in kurzer Zeit die häufigsten Ursachen ab: NAT-Zonen, NAT-Regeln, Translations, ACLs sowie IPsec/IKE-Status.

show ip interface brief
show running-config | include ip nat
show access-lists
show ip nat translations
show ip nat statistics
show ip route | include 0.0.0.0|Gateway
show crypto isakmp sa
show crypto ipsec sa
ping 192.168.20.10 source 192.168.10.1
traceroute 192.168.20.10

Konfiguration speichern

Wenn VPN-SAs stabil sind, NAT-Translations für VPN-Traffic ausbleiben und die Netze bidirektional erreichbar sind, speichere die Konfiguration.

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version