VLAN NAT con le stesse sottoreti IP

Ho un ambiente VMware in cui le VM eseguono una suite di simulazione. Il software utilizzato ha indirizzi IP hardcoded, circa 10-15 VM e stiamo eseguendo più istanze di questo software ciascuna in diversi gruppi di porte distribuite. Quindi il set di macchine virtuali SIM1 ha 192.168.1.0/24 in VLAN10 e SIM2 ha 192.168.1.0/24 in VLAN20, ecc ...

Funziona bene, non è necessario che le VM SIM1 parlino con le VM SIM2 e così via. È emerso un nuovo requisito e ora devo essere in grado di monitorare in remoto i progressi, gestire e condividere i dati da un set fisico di macchine. I PC di gestione vivranno in VLAN200 collegati a un interruttore Cisco Catalyst.

Ho uplink 4x10gbe sullo switch distribuito. Stavo per eseguirli su alcuni router Cisco da 10 GB (voglio mantenere la connettività da 10 GB alle macchine virtuali, non sono sicuro di quale modello lo farebbe) e utilizzare VRF su interfacce per ogni VLAN usando quell'interfaccia come gateway e NAT statico ogni virtuale macchina. Quindi SIM1 machine1 ha IP 192.168.1.2 che NAT sarebbe pubblicamente 10.0.10.2. Il quarto ottetto corrisponderebbe all'IP privato vm e il terzo ottetto corrisponderebbe alla VLAN. Quindi SIM2 machine1 (192.168.1.2) passerebbe da NAT a 10.0.20.2. Il lato gestionale potrebbe anche essere una sottointerfaccia su una porta diversa e vivere in VRF globale o condiviso. Per gestire la macchina SIM21 dovrei essere in grado di utilizzare 10.0.20.2. Se le rotte condivise tra VRF e NAT funzionavano.

Ho iniziato a provare a creare qualcosa di simile in GNS3 e sono stato rapidamente sopraffatto. Quindi voglio assicurarmi che il mio design sia sano o se esiste un altro modo migliore e più sano di affrontare il problema. O qualche consiglio o suggerimento su come realizzare questo?

Grazie!

Modifica: aggiunto un diagramma:

L'idea sarebbe che SIM1-S1 avrebbe NAT a 10.0.10.2, SIM1-S2 avrebbe NAT a 10.0.10.3, ecc ... SIM2-S1 avrebbe NAT a 10.0.20.2, SIM2-S2 sarebbe NAT a 10.0.20.3, ecc ...

Con un po 'di VRF-lite e VRF-aware-NAT e l'aiuto della capacità di routing del Cat-3850, ecco alcuni frammenti di configurazione che dovrebbero funzionare, o almeno portarti a metà strada lì, il tutto in base al diagramma che hai mostrato.

Alcune avvertenze:

• In questo esempio si presuppone che Cat-3850 possa agire come switch L3 e che possa instradare almeno tra subnet / vlan direttamente collegate.
• Cisco IOS e IOS-XE presentano alcune lievi differenze rispetto al NAT, specialmente quando si tratta di NATting da un VRF all'altro, potrebbero sorgere alcune domande sulle licenze. Non penso che questo ci faccia male qui, però.
• Questo è "pseudo codice" composto a mano libera, potrebbe non essere completamente copiabile e incollabile, ma dovrebbe indirizzarti verso una soluzione.
• La separazione degli ambienti SIM non viene applicata; un ambiente può "parlare" con gli indirizzi NAT degli altri. Se questo è un problema, non impostare la route predefinita in ciascun VRF (solo una route statica per il sistema di gestione o la sua sottorete), oppure utilizzare ZBFW sull'ASR-1001

Cominciamo con R1 e impostiamo le interfacce

interface fastEthernet0/0
 desc * Vmware-dSwitch *
 no ip address

interface Fasterthern0/1
 desc * Cisco-3850 Port 1* 
 no ip address

Quindi, dovrai ripetere quanto segue per ciascuna SIM o sottoambiente: Nota che l'esempio utilizza lo stesso tag VLAN su entrambi i lati di R1. Possono essere diversi per adattarsi all'ambiente VMware da un lato e all'ambiente LAN dall'altro lato.

!
! Start of per VRF or per SIMn section
!
! replace VRF names, dot1q tags, interface names as appropriate

vrf defintion VRF-SIM1
 address-family ipv4
 exit-address-family

interface fast0/0.10
 description * SIM1 inside subinterface *
 vrf forwarding VRF-SIM1
 encapsulation dot1q 10
 ip address 192.168.1.254 255.255.255.0
 ip nat inside

interface fast0/1.10
 description * SIM1 outside subinterface *
 vrf forwarding VRF-SIM1
 encapsulation dot1q 10
 ip address 10.0.10.1
! ip nat inside           <--- dear me! how could I copy&waste that one! (edited after comment)
 ip nat outside

ip nat inside source static 192.168.1.2 10.0.10.2 vrf VRF-SIM1
ip nat inside source static 192.168.1.3 10.0.10.3 vrf VRF-SIM1
ip nat inside source static 192.168.1.4 10.0.10.4 vrf VRF-SIM1

ip route vrf VRF-SIM1 0.0.0.0 0.0.0.0 fast0/1.10 10.0.10.254

!
! End of per VRF or per SIMn section
!

Nota: la parte nat potrebbe aver bisogno di qualche modifica qui, ma poiché l'interfaccia interna ed esterna sono nella stessa VRF, non credo che ci sia bisogno di più magia di configurazione.

Quindi, su Cat3850, avrai bisogno di un set di VLAN e SVI ( interface vlan) per abbinare il lato "destro" di R1:

vlan 10 
 name SIM1-TRANSIT

vlan 20
 name SIM2-TRANSIT

vlan 30
 name SIM3-TRANSIT

int g1/0/1
 desc * R1 fast0/1 *
 switchport mode trunk
 switchport nonegotiate
 switchport trunk allowed vlan 10,20,30
 spanning-tree portfast trunk

interface vlan 10
 desc * transit subnet to SIM1 *  
 ip address 10.0.10.254 255.255.255.0

interface vlan 20
 desc * transit subnet to SIM2 *  
 ip address 10.0.20.254 255.255.255.0

interface vlan 30
 desc * transit subnet to SIM3 *  
 ip address 10.0.30.254 255.255.255.0