Configuração de serviços de próxima geração STATEFUL NAT64
Execute as seguintes etapas para configurar o NAT64 stateful de serviços de próxima geração
Configurando o pool de fontes para NAT64 stateful
Para configurar o pool de origem para o STATEful NAT64:
- Crie um pool de fontes.
user@host# edit services nat source pool nat-pool-name
- Definir os endereços ou sub-redes para os quais os endereços de origem são traduzidos.
[edit services nat source pool nat-pool-name] user@host# set address address-prefix
ou
[edit services nat source pool nat-pool-name] user@host# set address address-prefix to address address-prefix
Para desativar a alocação de portas redondas para todos os grupos de NAT que não especificam uma configuração
automatic (random-allocation | round-robin), configure a configuração global.[edit services nat source] user@host# set port-round-robin disable
- Para configurar uma variedade de portas a atribuir a um pool, execute o seguinte:
Nota:
Se você especificar uma variedade de portas para atribuir, a
automaticdeclaração será ignorada.- Especifique os valores baixos e altos para a porta. Se você não configurar a atribuição automática de porta, você deve configurar uma variedade de portas.
[edit services nat source pool nat-pool-name port] user@host# set range port-low to port-high
- Especifique a alocação aleatória ou a alocação redonda. A alocação redonda é o padrão.
[edit services nat source pool nat-pool-name port range] user@host# set (random-allocation | round-robin)
- Especifique os valores baixos e altos para a porta. Se você não configurar a atribuição automática de porta, você deve configurar uma variedade de portas.
- Atribua uma porta dentro da mesma faixa que a porta de entrada — de 0 a 1023 ou 1024 a 65.535. Esse recurso não estará disponível se você configurar a alocação de blocos de porta.
[edit services nat source pool nat-pool-name port] user@host# set preserve-range
- Atribua uma porta com a mesma paridade (mesmo ou estranha) que a porta de entrada. Esse recurso não estará disponível se você configurar a alocação de blocos de porta.
[edit services nat source pool nat-pool-name port] user@host# set preserve-parity
- Configure uma faixa de porta padrão global para grupos NAT que usam tradução de porta. Essa faixa de porta é usada quando um pool de NAT não especifica uma faixa de porta e não especifica a atribuição automática da porta. A faixa de portas globais pode ser de 1024 a 65.535.
[edit services nat source] user@host# set pool-default-port-range port-low to port-high
- Configure o pool de origem sem tradução de porta.
[edit services nat source pool nat-pool-name] user@host# set address-pooling no-paired
- Configure o número máximo de portas que podem ser alocadas para cada host. A faixa é de 2 a 65.535.
[edit services nat source pool nat-pool-name] user@host# set limit-ports-per-host number
- Se você quiser alocar um bloco de portas para cada assinante usar, configure a alocação de blocos de porta:
- Configure o número de portas em um bloco. O intervalo é de 1 a 64.512 e o padrão é de 128.
[edit services nat source pool nat-pool-name port] user@host# set block-allocation block-size block-size
- Configure o intervalo, em segundos, para o qual o bloco está ativo. Após o intervalo, um novo bloco é alocado, mesmo que as portas estejam disponíveis no bloco ativo. Se você definir o tempo limite para 0, os blocos de porta serão preenchidos completamente antes que um novo bloco de porta seja alocado, e o último bloco de porta permaneça ativo indefinidamente. O intervalo é de 0 a 86.400, e o padrão é 0.
[edit services nat source pool nat-pool-name port block-allocation] user@host# set active-block-timeout timeout-interval
- Especifique o período de tempo limite para mapeamentos pareados de agrupamento de endereços que usam o pool de NAT. O intervalo é de 120 a 86.400 segundos, e o padrão é de 300. Mapeamentos inativos para esse período de tempo são descartados.
[edit services nat source pool nat-pool-name] user@host# set mapping-timeout mapping-timeout
Se você não configurar
ei-mapping-timeoutpara tradução independente de endpoint, omapping-timeoutvalor será usado para tradução independente de endpoint. - Configure o número máximo de blocos que podem ser alocados em um endereço do usuário. O intervalo é de 1 a 512, e o padrão é 8.
[edit services nat source pool nat-pool-name port block-allocation] user@host# set maximum-blocks-per-host maximum-block-number
- Especifique com que frequência enviar logs de sistema provisórios para blocos de porta ativos e para blocos de porta inativos com sessões ao vivo. Isso aumenta a confiabilidade dos logs do sistema, que são baseados em UDP e podem se perder na rede. O intervalo é de 1800 a 86.400 segundos, e o padrão é 0 (os logs intermediários são desativados).
[edit services nat source pool nat-pool-name port block-allocation] user@host# set interim-logging-interval timeout-interval
- Configure o número de portas em um bloco. O intervalo é de 1 a 64.512 e o padrão é de 128.
- Especifique o período de tempo limite para as tradução independentes de endpoint que usam o pool NAT especificado. Mapeamentos inativos para esse período de tempo são descartados. O intervalo é de 120 a 86.400 segundos. Se você não configurar
ei-mapping-timeout, omapping-timeoutvalor será usado para tradução independente de endpoint.[edit services nat source pool nat-pool-name] user@host# set ei-mapping-timeout ei-mapping-timeout
- Especifique o período de tempo limite para mapeamentos pareados de agrupamento de endereços que usam o pool de NAT. O intervalo é de 120 a 86.400 segundos, e o padrão é de 300. Mapeamentos inativos para esse período de tempo são descartados.
[edit services nat source pool nat-pool-name] user@host# set mapping-timeout mapping-timeout
Se você não configurar
ei-mapping-timeoutpara tradução independente de endpoint, omapping-timeoutvalor será usado para tradução independente de endpoint. - Para permitir que os endereços IP de um pool de fonte de NAT se sobreponham com endereços IP em pools usados em outros conjuntos de serviços, configure
allow-overlapping-pools.[edit services nat] user@host# set allow-overlapping-pools
Configuração das regras de NAT para NAT64 stateful
Para o NAT64 stateful, você deve configurar uma regra de origem e uma regra de destino. Para configurar as regras de NAT para o STATEful NAT64:
- Configure o nome de regra nat de origem.
[edit services nat source] user@host# set rule-set rule-set-name rule rule-name
- Especifique a direção de tráfego à qual o conjunto de regras de NAT se aplica.
[edit services nat source rule-set rule-set-name] user@host# set match-direction (in | out | in-out)
- Especifique os endereços de origem IPv6 que são traduzidos pela regra nat.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match source-address address
- Configure o endereço de destino correspondente como 0.0.0.0/0.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match destination-address 0.0.0.0/0
- Especifique um ou mais protocolos de aplicativo aos quais a regra NAT se aplica. O número de aplicativos listados na regra não deve exceder 3072.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match application [application-name]
- Especifique o pool de origem do NAT que contém os endereços para endereços de origem traduzidos.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set then source-nat pool nat-pool-name
- Configure um mapeamento independente de endpoint, que garante que o mesmo endereço e porta externos sejam atribuídos a todas as conexões de um determinado host.
- Configure o tipo de mapeamento como independente de endpoint.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set mapping-type endpoint-independent
- Especifique listas de prefixo que contêm os hosts que podem estabelecer conexões de entrada usando o mapeamento independente de endpoint. (Listas de prefixo estão configuradas no nível de
[edit policy-options]hierarquia.)[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set filtering-type endpoint-independent prefix-list [allowed-host] except [denied-host]
- Especifique o número máximo de fluxos de entrada permitidos simultaneamente em um mapeamento independente de endpoint.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set secure-nat-mapping eif-flow-limit number-of-flows
- Especifique a direção em que o mapeamento ativo independente de endpoint é atualizado. Por padrão, o mapeamento é atualizado para fluxos ativos de entrada e saída.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set secure-nat-mapping mapping-refresh (inbound | inbound-outbound | outbound)
- Configure o tipo de mapeamento como independente de endpoint.
- Configure o nome da regra de NAT de destino.
[edit services nat destination] user@host# set rule-set rule-set-name rule rule-name
- Especifique a direção de tráfego para a qual o conjunto de regras de NAT de destino se aplica.
[edit services nat destination rule-set rule-set-name] user@host# set match-direction (in | out | in-out)
- Especifique os endereços de origem do prefixo IPv6 traduzidos pela regra NAT de destino. Use o mesmo valor que você usou para a regra de origem do NAT.
[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set match source-address address
- Especifique o prefixo usado para incorporar o endereço de destino IPv4 no endereço de destino IPv6.
[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set then destination-nat destination-prefix destination-prefix
- Configure o endereço de destino IPv6 para combinar. Este é o endereço de destino IPv4 incorporado no IPv6 usando o
destination-prefix.[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set match destination-address address
- Configure a geração de um syslog quando o tráfego corresponde às condições de regra do NAT.
[edit services nat (source | destination) rule-set rule-set-name rule rule-name then] user@host# set syslog
Configuração do conjunto de serviços para NAT64 stateful
Para configurar o conjunto de serviços para NAT64 stateful:
- Definir o conjunto de serviços.
[edit services] user@host# edit service-set service-set-name
- Configure um serviço de interface, que requer uma única interface de serviço ou um serviço de próximo salto, o que requer uma interface de serviço interna e externa.
[edit services service-set service-set-name] user@host# set interface-service service-interface interface-name
ou
[edit services service-set service-set-name] user@host# set next-hop-service inside-service-interface interface-name outside-service-interface interface-name
- Especifique os conjuntos de regras de NAT a serem usados com o conjunto de serviços.
[edit services service-set service-set-name] user@host# set nat-rule-sets rule-set-name
Limpar a broca de não fragmentar
Para evitar a criação desnecessária de cabeçalhos de fragmentação IPv6 ao traduzir pacotes IPv4 com menos de 1280 bytes, você pode especificar que o bit de não fragmentar (DF) para cabeçalhos de pacote IPv4 é liberado quando o comprimento do pacote é inferior a 1280 bytes.
[edit services nat natv6v4] user@host# set clear-dont-fragment-bit