Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

用户逻辑系统的路由、接口和 NAT

用户逻辑系统允许您配置路由协议、接口和 NAT。路由协议处理所有路由消息。当数据包发送到互联网时,NAT 是一种将计算机或计算机组的 IP 地址转换为单个公共地址的机制。有关更多信息,请参阅以下主题:

了解逻辑系统网络地址转换

网络地址转换 (NAT) 是一种修改或转换数据包标头中的网络地址信息的方法。可以转换数据包中的一个或两个源地址和目标地址。NAT 可以包括端口号和 IP 地址的转换。

可以在根或用户逻辑系统中配置静态、目标或源 NAT 的任意组合。在逻辑系统中配置 NAT 与在根系统中配置 NAT 相同。主管理员可以配置和监控主逻辑系统以及任何用户逻辑系统中的 NAT。

从 Junos OS 18.2R1 版开始,除了SRX1500、SRX5400、SRX5600和SRX5800设备上的现有支持外,SRX4100和SRX4200设备上的逻辑系统还支持 NAT 功能。

对于每个用户逻辑系统,主管理员可以为以下 NAT 资源配置最大和保留编号:

  • 源 NAT 池和目标 NAT 池

  • 源 NAT 池中的 IP 地址,带和不带端口地址转换

  • 源、目标和静态 NAT 的规则

  • 永久 NAT 绑定

  • 支持端口过载的 IP 地址

用户逻辑系统管理员可以在用户逻辑系统中通过 NAT 选项使用操作命令 show system security-profile 查看分配给用户逻辑系统的 NAT 资源数。

注意:

主管理员可以为主逻辑系统配置安全配置文件,以指定应用于主逻辑系统的 NAT 资源的最大和保留数量。在主逻辑系统中配置的资源数计入设备上可用的最大 NAT 资源数。

用户逻辑系统管理员可以在用户逻辑系统中使用 show security nat 命令查看有关用户逻辑系统的 NAT 的信息。在主逻辑系统中,主管理员可以使用相同的命令查看主逻辑系统、特定用户逻辑系统或所有逻辑系统的信息。

示例:为用户逻辑系统配置网络地址转换

此示例说明如何为用户逻辑系统配置静态 NAT。

要求

开始之前:

概述

此示例配置 示例:创建用户逻辑系统、管理员、用户和互连逻辑系统中显示的 ls-product 设计用户逻辑系统。

ls-product-design-untrust 区域的设备通过地址 12.1.1.200/32 访问 ls-product-design-trust 区域的特定主机。对于从 ls-product-design-untrust 区域(目标 IP 地址为 12.1.1.200/32)进入 ls-product-design 逻辑系统的数据包,目标 IP 地址将转换为 12.1.1.100/32。此示例配置 表 1 中描述的静态 NAT。

表 1:用户逻辑系统静态 NAT 配置

特征

名字

配置参数

静态 NAT 规则集

rs1

  • 规则 r1 以匹配目标地址为 12.1.1.200/32 的 ls-product-design-untrust 区域的数据包。

  • 匹配数据包中的目标 IP 地址已转换为 12.1.1.100/32。

代理 ARP

接口 lt-0/0/0.3 上的地址 12.1.1.200。

配置

程序

CLI 快速配置

要快速配置此示例,请复制以下命令,将其粘贴到文本文件中,删除所有换行符,更改详细信息,以便与网络配置匹配,将命令复制并粘贴到层级的 [edit] CLI 中,然后从配置模式进入 commit

逐步过程

以下示例要求您在配置层次结构中的各个级别上导航。有关如何操作的说明,请参阅 Junos OS CLI 用户指南 中的在配置模式下使用 CLI 编辑器

在用户逻辑系统中配置 NAT:

  1. 以逻辑系统管理员身份登录用户逻辑系统并进入配置模式。

  2. 配置静态 NAT 规则集。

  3. 配置与数据包匹配的规则,并转换数据包中的目标地址。

  4. 配置代理 ARP。

结果

在配置模式下,输入命令以确认 show security nat 您的配置。如果输出未显示预期的配置,请重复此示例中的配置说明,以便进行更正。

完成设备配置后,请从配置模式进入 commit

验证

要确认配置工作正常,请执行以下任务:

验证静态 NAT 配置

目的

验证是否存在与静态 NAT 规则集匹配的流量。

行动

在操作模式下,输入 show security nat static rule 命令。查看“转换命中数”字段,检查是否与规则匹配的流量。

验证 NAT 应用程序到流量

目的

验证 NAT 是否已应用于指定的流量。

行动

在操作模式下,输入 show security flow session 命令。

示例:为用户逻辑系统配置接口和路由实例

此示例说明如何为租户系统配置接口和路由实例。

要求

开始之前:

概述

此示例配置 示例:创建用户逻辑系统、管理员、用户和互连逻辑系统中显示的 ls-product 设计用户逻辑系统。

此示例配置 表 2 中描述的接口和路由实例。

表 2:用户逻辑系统接口和路由实例配置

特征

名字

配置参数

接口

ge-0/0/5.1

  • IP 地址 12.1.1.1/24

  • VLAN ID 700

路由实例

pd-vr1

  • 实例类型:虚拟路由器

  • 包括接口 ge-0/0/5.1 和 lt-0/0/0.3

  • 静态路由:

    • 13.1.1.0/24 下一跳 10.0.1.3

    • 14.1.1.0/24 下一跳 10.0.1.4

    • 12.12.1.0/24 下一跳 10.0.1.1

配置

程序

CLI 快速配置

要快速配置此示例,请复制以下命令,将其粘贴到文本文件中,删除所有换行符,更改详细信息,以便与网络配置匹配,将命令复制并粘贴到层级的 [edit] CLI 中,然后从配置模式进入 commit

逐步过程

以下示例要求您在配置层次结构中的各个级别上导航。有关如何操作的说明,请参阅 Junos OS CLI 用户指南 中的在配置模式下使用 CLI 编辑器

要配置用户逻辑系统中的接口和路由实例,

  1. 以逻辑系统管理员身份登录用户逻辑系统并进入配置模式。

  2. 为用户逻辑系统配置逻辑接口。

  3. 配置路由实例并分配接口。

  4. 配置静态路由。

结果

在配置模式下,输入和 show routing-instances 命令以确认show interfaces您的配置。如果输出未显示预期的配置,请重复此示例中的配置说明,以便进行更正。

注意:

主管理员配置 lt-0/0/0.3 接口。因此,即使您没有配置此项目,lt-0/0/0.3 配置也会显示在输出中 show interfaces

完成设备配置后,请从配置模式进入 commit

示例:为用户逻辑系统配置 OSPF 路由协议

此示例说明如何为用户逻辑系统配置 OSPF。

要求

开始之前:

概述

在此示例中,您可以为 ls-product-design 用户逻辑系统配置 OSPF,如 示例:创建用户逻辑系统、其管理员、用户和互连逻辑系统

此示例在 ls-product-design 用户逻辑系统中的 ge-0/0/5.1 和 lt-0/0/0.3 接口上启用 OSPF 路由。您可以配置以下路由策略,以将路由从 Junos OS 路由表导出到 pd-vr1 路由实例中的 OSPF:

  • ospf-redist-direct - 从直接连接的接口学习的路由。

  • ospf-redist-static - 静态路由。

  • ospf-to-ospf — 从 OSPF 学习的路由。

配置

程序

CLI 快速配置

要快速配置此示例,请复制以下命令,将其粘贴到文本文件中,删除所有换行符,更改详细信息,以便与网络配置匹配,将命令复制并粘贴到层级的 [edit] CLI 中,然后从配置模式进入 commit

逐步过程

以下示例要求您在配置层次结构中的各个级别上导航。有关如何操作的说明,请参阅 CLI 用户指南中的在配置模式下使用 CLI 编辑器。

要为用户逻辑系统配置 OSPF:

  1. 以用户逻辑系统管理员身份登录用户逻辑系统并进入配置模式。

  2. 创建接受路由的路由策略。

  3. 将路由策略应用于从 Junos OS 路由表导出到 OSPF 的路由。

  4. 在逻辑接口上启用 OSPF。

结果

在配置模式下,输入和 show routing-instances 命令以确认show policy-options您的配置。如果输出未显示预期的配置,请重复此示例中的配置说明,以便进行更正。

为简洁起想,此命令 show 输出仅包含与此示例相关的配置。系统上的任何其他配置都已替换为椭圆 (...)。

完成设备配置后,请从配置模式进入 commit

验证

确认配置工作正常。

验证 OSPF 接口

目的

验证支持 OSPF 的接口。

行动

从 CLI 中输入 show ospf interface instance pd-vr1 命令。

验证 OSPF 邻接方

目的

验证 OSPF 邻接方。

行动

从 CLI 中输入 show ospf neighbor instance pd-vr1 命令。

验证 OSPF 路由

目的

验证 OSPF 路由。

行动

从 CLI 中输入 show ospf route instance pd-vr1 命令。