Juniper SRX防火墙-NAT（二）（juniper认证）

Juniper SRX防火墙-NAT（二）（juniper认证）

SRX 防火墙NAT配置

为什么地址转换

NAT主要提供公网、私网IP地址之间的转换，同时也支持端口转换

NAT路由缺失、路由冲突时，可以通过转换地址来解决

安全考虑，对外隐藏服务器真实IP

SRX报文处理过程

NAT转换地址必须知道

我们需要第一步先确认、规划好对外提供转换的虚IP,(比如说公网IP）

Ø 一对一服务器端口映射：适用于就一台服务器，对外提供多个服务功能；

问题：不能从外网管理防火墙咧！

Ø 基于端口服务器端口映射：适用于多台服务器，分别对外提供多个服务功能；

可以对多台服务器来做，外网端口和服务器端口可以不一样！

Ø 内网访问公网，源NAT，即将内网地址转换为公网接口地址访问公网

注意：一个公网地址只能支持最大64000个会话

当NAT的公网地址和公网接口是在同一网段时，需要启用NAT Proxy ARP，使得SRX对端设备能够解析到此公网地址的MAC address，便于返回报文能够正常发送至SRX防火墙

Proxy ARP

当我们的公网接口地址不够用，或同段地址用完了，我们需要再向运营商申请一些公网，这些地址与接口地址，不在同一个子网段。

对端需要将本段路由指向防火墙外网接口IP墙上不需要做其他处理，可直接NAT

[edit security nat]

user@host# show

proxy-arp {

interface ge-0/0/3.10 {

address {

1.1.70.10/32 to 1.1.70.100/32;

}

NAT转换地址必须知道

当我们的公网接口地址不够用，或同段地址用完了，我们需要再向运营商申请一些公网，这些地址与接口地址，不在同一个子网段。

对端需要将本段路由指向防火墙外网接口IP墙上不需要做其他处理，可直接NAT

网络地址转换

NAT主要提供公网、私网IP地址之间的转换，同时也支持端口转换

NAT类型

两种类型的 NAT和PAT:

• 基于目的地址的NAT：包括目的地址及端口的转换

• 基于源地址的NAT：包括源IP地址及端口的转换

目的及源NAT、PAT的组合

动态与静态的地址转换

NAT类型

SRX还提供第三种NAT：Static NAT

静态地址翻译：提供双向NAT功能，由source static nat与destination static nat组合而成

目的NAT

目的NAT的两种类型：

• Static NAT：此为1对1的地址映射，此NAT没有PAT端口转换

• Rule-based NAT：基于动态地址池的地址映射，此NAT选择是否做PAT端口转换

VoIP ALGs 会动态产生allow-incoming表来允许数据进入内部网络

静态目的地址转换

Sample topology:

Enable static destination NAT to host A using a public address of 100.0.0.1/32

将内网主机10.1.10.5与公网IP地址100.0.0.1绑定做一对一的静态映射

一对一的地址转换，在NETSCREEN中称之为MIP

静态目的地址转换

具体配置如下，destination-address定义为公网IP地址

[edit security]

user@host# show

nat {

static {

rule-set r1 {

from zone untrust;

rule a {

match {

destination-address 100.0.0.1/32;

}

then {

static-nat prefix 10.1.10.5/32;

静态目的地址转换

set interfaces ge-0/0/0 unit 0 family inetaddress 222.0.0.1/27

set interfaces ge-0/0/1 unit 0 family inetaddress 192.168.1.1/24

set security natproxy-arpinterface ge-0/0/0.0 address 222.0.0.8/32

set security natproxy-arpinterface ge-0/0/0.0 address 222.0.0.7/32

set security zones security-zone untrustinterfaces ge-0/0/0.0 host-inbound-traffic system-services all

set security zones security-zone trust interfaces ge-0/0/1.0 host-inbound-traffic system-services all

set security natstaticrule-set static-natfrom zone untrust

set security nat static rule-set static-natrule 1 match destination-address222.0.0.6/32

set security nat static rule-set static-natrule 1 then static-natprefix 192.168.1.6/32

set security natstaticrule-set static-natrule 2 match destination-address222.0.0.7/32

set security natstaticrule-set static-natrule 2 then static-natprefix 192.168.1.7/32

set security natstaticrule-set static-natrule 3 match destination-address222.0.0.8/32

set security natstaticrule-set static-natrule 3 then static-natprefix 192.168.1.8/32

show security nat static rule 3

查看NAT对应关系 ，验证NAT是否被外网发起访问起命中，以排队故障

静态目的地址转换

Reverse static source NAT is automatically enabled:

内网主机192.168.1.8如果发起访问外网的请求，IP地址自动转换为222.0.0.8

Session is not created until triggered NAT与会话无直接关系，只有会话发起建立才能看到

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。