🔧 Lab Troubleshooting — NAT/PAT

BUG 1 Gi0/0 (LAN) — manca ip nat inside

Perché funziona: NAT ha bisogno di sapere quale interfaccia è "interna" (inside) e quale è "esterna" (outside). Senza ip nat inside sull'interfaccia LAN, il router non sa da dove proviene il traffico da tradurre — lo ignora completamente.

BUG 2 ACL 10 — wildcard mask errata, esclude la subnet 192.168.1.0/24

Perché funziona: wildcard 0.0.0.0 matcha solo quell'indirizzo IP esatto — in questo caso 192.168.1.0 che è l'indirizzo di rete, non un host. La wildcard corretta per includere tutti gli host di una /24 è 0.0.0.255.

BUG 3 Gi0/0 (LAN) ha ip nat outside — dovrebbe essere Gi0/1 (WAN)

Perché funziona: NAT outside deve essere sull'interfaccia che si affaccia verso Internet (WAN). Con outside sulla LAN il router tentava di fare NAT al contrario — traduceva il traffico in ingresso dalla LAN come se fosse traffico pubblico in entrata, con risultati imprevedibili.

🧠 Come ragionare su un problema NAT

📋 Concetti chiave — NAT/PAT

🔍 Teoria — Bug 1: ip nat inside mancante

Come funziona il processo NAT
Quando un pacchetto arriva su un'interfaccia marcata ip nat inside, IOS sa che deve controllare se l'indirizzo sorgente corrisponde alla ACL NAT. Se corrisponde, traduce l'IP privato in pubblico. Senza il tag inside, IOS non sa che quel traffico va tradotto — lo forwardizza normalmente con l'IP privato sorgente, che Internet scarta perché non è instradabile pubblicamente.

🔍 Teoria — Bug 2: wildcard 0.0.0.0 nella ACL

Il significato di wildcard 0.0.0.0
Una wildcard di tutti zeri significa "tutti i bit devono corrispondere esattamente" — è equivalente a specificare un singolo host. Quindi permit 192.168.1.0 0.0.0.0 permette solo il pacchetto con IP sorgente esattamente 192.168.1.0, che è l'indirizzo di rete — nessun host reale ha quell'indirizzo. Risultato: zero match, zero traduzioni.

Importante: i contatori match in show ip access-lists sono il modo più rapido per scoprire questo problema — se sono a zero dopo che gli host hanno provato a navigare, la wildcard è sicuramente sbagliata.

🔍 Teoria — Bug 3: outside sull'interfaccia sbagliata

Cosa succede con inside/outside invertiti
IOS usa i tag inside/outside per determinare la direzione della traduzione. Con outside sulla LAN e nessun tag sulla WAN, il router non ha un'interfaccia outside verso cui instradare il traffico tradotto. Le traduzioni vengono create nella tabella NAT ma i pacchetti non escono correttamente verso Internet. Il sintomo tipico è: show ip nat translations mostra entry ma il ping continua a fallire.

show ip nat translations ← tabella traduzioni attive show ip nat statistics ← inside/outside, contatori show run | section nat ← ip nat inside source list show ip access-lists ← match counter = 0? wildcard errata show run | section interface ← inside/outside su ogni interfaccia show ip route ← default route verso ISP presente?

BUG 1 Gi0/0 (LAN) — missing ip nat inside

Why this works: NAT requires both an inside and an outside interface to function. Without ip nat inside on the LAN interface, the router does not know which traffic needs to be translated — it forwards packets with the private source IP, which is dropped by Internet routers.

📋 Key concept — NAT inside/outside
• Inside interface: faces the private network (LAN) → ip nat inside
• Outside interface: faces the public network (WAN/Internet) → ip nat outside
• Both are mandatory — NAT will not work without both configured
• Verify with: show ip nat statistics

BUG 2 ACL 10 — wrong wildcard mask, no hosts matched

Why this works: Wildcard mask 0.0.0.0 means "match this exact IP address only" — equivalent to a host statement. It matched only 192.168.1.0 (the network address, not a real host). The correct wildcard for /24 is 0.0.0.255, which matches all 254 usable hosts.

📋 Key concept — NAT ACL wildcard
The NAT ACL defines which source IPs are eligible for translation:
• 0.0.0.255 = entire /24 subnet ✅
• 0.0.0.0 = exact host match only ❌ (common mistake)
• Match counter = 0 in show ip access-lists → wrong wildcard

BUG 3 Gi0/0 (LAN) has ip nat outside — should be on Gi0/1 (WAN)

Why this works: The outside tag must be on the interface facing the public Internet (WAN). With outside on the LAN, the router attempted reverse NAT translation on incoming LAN traffic, causing translation failures even if entries appeared in the NAT table.

🎯