源 NAT

源 NAT 是离开瞻博网络设备的数据包的源 IP 地址的转换。源 NAT 用于允许具有私有 IP 地址的主机访问公共网络。

源 NAT 仅允许为传出网络连接（例如，从专用网络到 Internet）启动连接。源 NAT 通常用于执行以下转换：

• 将单个 IP 地址转换为另一个地址（例如，为专用网络中的单个设备提供互联网访问权限）。

• 将一个连续的地址块转换为另一个相同大小的地址块。

• 将一个连续的地址块转换为另一个较小大小的地址块。

• 使用端口转换将连续的地址块转换为单个 IP 地址或较小的地址块。

• 将连续地址块转换为出口接口的地址。

转换为出口接口地址不需要地址池;所有其他源 NAT 转换都需要配置地址池。对于相同大小的地址块进行一对一和多对多转换不需要端口转换，因为池中每个要转换的地址都有一个可用的地址。

如果地址池的大小小于要转换的地址数，则可以转换的并发地址总数受地址池大小的限制，或者必须使用端口转换。例如，如果将包含 253 个地址的地址块转换为包含 10 个地址的地址池，则除非使用端口转换，否则最多可以同时连接 10 台设备。

支持以下类型的源 NAT：

• 将原始源 IP 地址转换为出口接口的 IP 地址（也称为接口 NAT）。始终执行端口地址转换。

• 将原始源 IP 地址转换为用户定义地址池中的 IP 地址，不进行端口地址转换。原始源 IP 地址与转换后的源 IP 地址之间的关联是动态的。但是，一旦建立关联，对于匹配相同 NAT 规则的新流量，同一原始源 IP 地址就会使用相同的关联。

• 使用端口地址转换将原始源 IP 地址转换为用户定义地址池中的 IP 地址。原始源 IP 地址与转换后的源 IP 地址之间的关联是动态的。即使存在关联，对于匹配相同 NAT 规则的新流量，同一原始源 IP 地址也可能会转换为其他地址。

• 通过移动 IP 地址，将原始源 IP 地址转换为用户定义地址池中的 IP 地址。这种类型的转换是一对一的静态转换，没有端口地址转换。如果原始源 IP 地址范围大于用户定义池中的 IP 地址范围，则未转换的数据包将被丢弃。

在 MX 系列设备上，如果在聚合多服务 （AMS） 接口上使用源 NAT。该 service set 命令为每个 AMS 接口创建一个单独的条目。因此，内存利用率会耗尽，如果配置其他 AMS 接口，则会导致配置提交错误。

• 中心点架构不再支持中心点会话。因此，NAT 需要维护一个 NAT 跟踪器来跟踪 IP 地址或端口分配和使用情况。NAT 跟踪器是用于管理 NAT 资源的 SPU 会话 ID 到 NAT IP 或端口映射的全局数组。

• 默认情况下，NAT 规则告警和陷阱统计信息计数器更新消息将以 1 秒的间隔从服务处理单元 （SPU） 发送到中心点，而不是根据中心点系统中的每个会话触发器更新统计信息。

• 要支持分配的特定 NAT IP 地址或端口，以便 NAT 后的 5 元组哈希与 NAT 之前的原始 5 元组哈希相同，请选择一个 NAT 端口，通过特定计算，该哈希值与原始哈希相同。因此，转发会话会减少。使用 NAT 时，反向翼将被散列到不同的 SPU。必须安装转发会话，才能将反向流量转发至会话 SPU。NAT 会尝试选择可供散列算法使用的端口，以使反向翼被散列到与初始翼相同的 SPU。因此，通过这种方法，NAT 性能和吞吐量都得到了提高。

• 为了提高 NAT 性能，IP 移位池（非 PAT 池）管理从中心点移至 SPU，以便在本地管理该池的所有本地 NAT 资源，而不是将 NAT 请求发送到中心点。因此，每秒 IP 地址移动 NAT 池连接数和吞吐量得到提高。

端口溢出突发模式允许您使用分配的端口块之外的端口。您可以配置一个突发池，其中包含 IP 地址中要为突发保留的一系列端口。

有主池和突发池类型，一旦用户达到主池中配置的限制，设备就会使用突发池。

Brust 模式支持：

1. 具有 PBA 类型突发池的确定性 NAT 源 NAT 池。

2. 具有动态网络地址端口转换 （NAPT） 类型突发池的确定性 NAT 源 NAT 池。

3. 具有 PBA 类型突发池的常规 PBA 源 NAT 池。

4. 具有动态 NAPT 类型突发池的常规 PBA 源 NAT 池。

PBA 突发类型方法—PBA 支持 APP 和非 APP 模式。

• APP 模式 — 从主池中分配端口。当超过主池的用户限制时，如果突发池中有同一 IP 地址有任何可用端口，则将创建新会话。

• 非 APP 模式 — 从主池中分配端口。当超过主池中的订阅者限制时，将使用任何可用 IP 地址和端口从突发池创建新会话。

DetNAT 突发类型方法 — 从主池中分配端口。如果突发池中的相同 IP 地址或同一 IP 地址中的所有可用端口都不可用，则将使用另一个 IP 地址创建新会话。如果突发池配置了与主池不同的 IP，请使用突发池中的另一个 IP。

• 端口随机化模式（默认）
• 轮询模式
• 会话关联模式

• 目的
• 行动

此示例介绍如何配置专用地址到出口接口公共地址的源 NAT 映射。

此示例介绍如何配置单个专用地址到公共地址的源 NAT 映射。

此示例介绍如何配置源和目标 NAT 映射。

源 NAT 规则指定两层匹配条件：

• 流量方向 — 允许您指定 、 from zone、 和 from routing-instance to interface、 to zone或 to routing-instance的组合。from interface您不能为不同的规则集配置相同的from和to上下文。

• 数据包信息 — 可以是源和目标 IP 地址或子网、源端口号或端口范围、目标端口号或端口范围、协议或应用。

对于除 FTP 以外的所有 ALG 流量，建议不要使用 source-port 规则选项。如果使用此选项，数据会话创建可能会失败，因为 IP 地址和源端口值（随机值）可能与规则不匹配。

此外，建议不要将该 destination-port 选项或该 application 选项用作 ALG 流量的匹配条件。如果使用这些选项，转换可能会失败，因为应用程序有效负载中的端口值可能与 IP 地址中的端口值不匹配。

如果多个源 NAT 规则在匹配条件中重叠，则选择最具体的规则。例如，如果规则 A 和 B 指定相同的源和目标 IP 地址，但规则 A 指定了从区域 1 到区域 2 的流量，规则 B 指定了从区域 1 到接口 ge-0/0/0 的流量，则规则 B 将用于执行源 NAT。接口匹配被视为比区域匹配更具体，而区域匹配比路由实例匹配更具体。

您可以为源 NAT 规则指定的作包括：

• off — 不执行源 NAT。

• 池 — 使用指定的用户定义地址池执行源 NAT。

• interface — 使用出口接口的 IP 地址执行源 NAT。

源 NAT 规则应用于为流处理的第一个数据包中的流量，或者在为 ALG 的快速路径中处理。源 NAT 规则在静态 NAT 规则、目标 NAT 规则和静态 NAT 规则的反向映射之后，以及路由和安全策略查找之后进行处理。

如果未在规则集下配置区域，并且活动源 NAT 配置了缺少必需语句“from”，则在执行提交 “缺少必需语句：'from' 错误：配置检出失败” 时将显示以下消息，并且配置检出失败。

此示例介绍如何使用多个规则配置源 NAT 映射。

NAT 池是一组用户定义的用于转换的 IP 地址。与静态NAT不同，静态存在一对一映射，其中包括单向目标 IP 地址转换和相反方向的源 IP 地址转换，而使用源 NAT，您可以将原始源 IP 地址转换为地址池中的 IP 地址。

对于源网络地址转换 （NAT） 地址池，请指定以下内容：

• 源 NAT 地址池的名称。

• 多达 64 个地址范围。

  请勿在一个路由实例中重叠源NAT、目标NAT和静态NAT的NAT地址。

• 路由实例 - 池所属的路由实例（默认值为主 inet.0 路由实例）。

• 端口 — 源池的端口地址转换 （PAT）。默认情况下，PAT 使用源 NAT 执行。如果指定 无转换 选项，则源 NAT 池可以支持的主机数量限制为池中的地址数量。如果指定 block-allocation，则会为转换分配端口块，而不是分配单个端口。如果指定 deterministic，则传入（源）IP 地址和端口始终根据预定义的确定性 NAT 算法映射到特定的目标地址和端口块。如果指定 port-overloading，则可以在源 NAT 中配置端口过载容量。如果指定 range，则可以提供连接到池中每个地址的端口号范围，以及源 NAT 池的孪生端口范围。

• 溢出池（可选）— 如果指定的源 NAT 池中没有可用地址，则丢弃数据包。要防止在配置 端口无转换 选项时发生这种情况，可以指定溢出池。一旦原始源 NAT 池中的地址耗尽，就会从溢出池中分配 IP 地址和端口号。用户定义的源 NAT 池或出口接口可用作溢出池。（使用溢出池时，将返回池 ID 和地址。

• IP 地址移位（可选） — 通过转移 IP 地址，可以将一系列原始源 IP 地址映射到另一个 IP 地址范围，或映射到单个 IP 地址。将 host-address-base 选项指定为原始源 IP 地址范围的基本地址。

• 地址共享（可选） — 多个内部 IP 地址可映射到同一个外部 IP 地址。仅当源 NAT 池配置了无端口转换时，才能使用此选项。当源 NAT 池的可用外部 IP 地址很少或只有一个外部 IP 地址时，指定该 address-shared 选项。使用多对一映射时，使用此选项可增加 NAT 资源并改善流量。

• 地址池（可选） — 地址池可以配置为配对或无配对。address-pooling paired指定用于要求在会话期间将与一个内部 IP 地址关联的所有会话映射到同一外部 IP 地址的应用程序。这与选项persistent-address不同，在选项中，每次都将相同的内部地址转换为相同的外部地址。address-pooling no-paired指定可以以轮询方式分配 IP 地址的应用程序。如果为带有 PAT 的源 NAT 池配置了 或 address-pooling no-paired ，address-pooling paired则永久地址选项将被禁用。如果在没有 PAT 的源 NAT 池上配置了 ，则address-shared启用该persistent-address选项。可以在同一源 NAT 池上配置两者address-sharedaddress-pooling paired，而无需 PAT。

• 池利用率报警（可选）— 为源 NAT 配置 raise-threshold 选项后，如果源 NAT 池利用率高于此阈值，将触发 SNMP 陷阱。如果配置了可选的 清除阈值 选项，则当源 NAT 池利用率降至此阈值以下时，将触发 SNMP 陷阱。如果未配置 clear-threshold ，则默认设置为 升高阈值 的 80%。

您可以使用 show security nat resource usage source pool 命令查看没有 PAT 的源 NAT 池中的地址使用情况，以及查看带有 PAT 的源 NAT 池中的端口使用情况。

通过增加配置中的池数量和/或增加每个池的容量或 IP 地址来增加用于源 NAT 的 IP 地址总数会消耗端口分配所需的内存。当达到源 NAT 池和 IP 地址限制时，应重新分配端口范围。也就是说，当 IP 地址和源 NAT 池的数量增加时，每个 IP 地址的端口数应减少。这可以确保 NAT 不会占用过多内存。

有关更多信息，请参阅 “其他平台信息” 部分。

使用 功能资源管理器 确认平台和版本对特定功能的支持。可能支持其他平台。

使用层次结构级别的[edit security nat source pool port]和rangerange twin-port选项为特定池分配新的端口范围或孪生端口范围。在层次结构级别使用[edit security nat source]和 pool-default-port-range pool-default-twin-port-range 和 选项为所有源 NAT 池指定全局默认端口范围或孪生端口范围。

当源 NAT 池增加时，还应谨慎配置端口过载。

对于 PAT 范围内（63,488 到 65,535）的源池，一次为 RTP/RTCP 应用程序（如 SIP、H.323 和 RTSP）分配两个端口。在这些场景下，每个 IP 地址都支持 PAT，占用 2048 个端口（63488 到 65535）供 ALG 模块使用。

默认情况下，端口地址转换使用源 NAT 执行。但是，对于源自同一主机的不同流量，不得将原始源地址转换为相同的 IP 地址。源 NAT address-persistent 选项可确保为多个并发会话将相同的 IP 地址从源 NAT 池分配给特定主机。

此选项不同于地址池配对选项，后者将内部地址按照先到先得的原则映射到池内的外部地址，并且可能会为每个会话映射到不同的外部地址。

此示例介绍如何在未设置默认端口范围或您希望覆盖默认端口范围的情况下，使用端口地址转换 （PAT） 配置源 NAT 池的容量。系统会为每个 IP 地址设置转换。当源池增加时，如果当前端口号超过限制，则应重新分配端口。

当主机发起多个与需要 NAT 的策略匹配的会话，并从启用了端口地址转换的源池中分配 IP 地址时，将为每个会话使用不同的源 IP 地址。

由于某些应用要求每个会话使用相同的源 IP 地址，因此您可以使用该 address-pooling paired 功能启用与一个内部 IP 地址关联的所有会话，以便在会话期间映射到同一个外部 IP 地址。会话结束时，内部 IP 地址与外部 IP 地址之间的映射将停止。下次主机启动会话时，可能会为其分配来自池的不同 IP 地址。

这与源NAT address-persistent 功能不同，源功能保持映射静态;每次都会将相同的内部 IP 地址映射到相同的外部 IP 地址。它还与 address-persistent 为特定池配置的功能不同。 address-pooling paired 该 address-persistent 功能是适用于所有源池的全局配置。

源 NAT 规则集的匹配条件不允许您指定地址范围;规则中只能指定地址前缀。配置源 NAT 池时，您可以指定该 host-base-address 选项;此选项用于指定原始源 IP 地址范围开始的 IP 地址。

转换的原始源 IP 地址的范围由源 NAT 池中的地址数量决定。例如，如果源 NAT 池包含十个 IP 地址的范围，则最多可以转换十个原始源 IP 地址（从指定的基地址开始）。这种类型的转换是一对一的静态转换，没有端口地址转换。

源 NAT 规则中的匹配条件可以定义比源 NAT 池中指定的地址范围更大的地址范围。例如，匹配条件可以指定包含 256 个地址的地址前缀，但源 NAT 池可能仅包含几个 IP 地址或仅一个 IP 地址的范围。数据包的源 IP 地址可以与源 NAT 规则匹配，但如果源 IP 地址不在源 NAT 池中指定的地址范围内，则不会转换源 IP 地址。

此示例介绍如何配置专用地址范围到公共地址的源 NAT 映射，并可选择地址变换。原始源 IP 地址与转换后的 IP 地址之间是一对一映射。

源 NAT 规则集的匹配条件不允许您指定地址范围;规则中只能指定地址前缀。配置源 NAT 池时，您可以指定该 host-base-address 选项;此选项将指定原始源 IP 地址范围开始的 IP 地址，并禁用端口转换。

转换的原始源 IP 地址的范围由源 NAT 池中的地址数量决定。例如，如果源 NAT 池包含十个 IP 地址的范围，则最多可以转换十个原始源 IP 地址（从指定的基地址开始）。

源 NAT 规则中的匹配条件可以定义比源 NAT 池中指定的地址范围更大的地址范围。例如，匹配条件可以指定包含 256 个地址的地址前缀，但源 NAT 池仅包含 10 个 IP 地址的范围。数据包的源 IP 地址可以与源 NAT 规则匹配，但如果源 IP 地址不在源 NAT 池中指定的地址范围内，则不会转换源 IP 地址。

使用带有端口地址转换 （PAT） 功能的源池，Junos OS 可以转换数据包的源 IP 地址和端口号。使用 PAT 时，多个主机可以共享同一个 IP 地址。

Junos OS 会维护一个分配端口号列表，以便区分哪个会话属于哪个主机。启用 PAT 后，多达 63,488 台主机可以共享单个 IP 地址。每个源池可以包含多个 IP 地址和/或多个 IP 地址范围。对于使用 PAT 的源池，除非源池或 Junos OS 启用了持久地址功能或配对地址池功能，否则 Junos OS 可能会为单个主机分配不同的地址。

对于接口源池和带 PAT 的源池，范围 （1024， 65535） 可用于每个 IP 地址的端口号映射。在 （1024， 63487） 范围内，一次分配一个端口，总共 62,464 个端口。在 （63488， 65535） 范围内，一次为 RTP/RTCP 应用（如 SIP、H.323 和 RTSP）分配两个端口，总共 2,048 个端口。

当主机发起多个与需要网络地址转换的策略匹配的会话，并且系统分配了来自已启用 PAT 的源池的地址时，设备将为每个会话分配不同的源 IP 地址。对于创建多个会话（每个会话都需要相同源 IP 地址）的服务来说，这种随机地址分配可能会出现问题。例如，使用 AOL 即时消息 （AIM） 客户端时，多个会话使用相同的 IP 地址非常重要。

为确保路由器为多个并发会话将源池中的相同 IP 地址分配给主机，可以为每个路由器启用永久 IP 地址。为确保设备在单个会话期间将相同的 IP 地址从源池分配给主机，可以启用配对地址池。

此示例介绍如何使用端口地址转换配置专用地址块到较小公共地址块的源 NAT 映射。

定义源池时，Junos OS 默认启用 PAT。要禁用 PAT，必须在定义源池时不指定端口转换。

使用不带 PAT 的源池时，Junos OS 会对 IP 地址执行源网络地址转换，而不对源端口号执行 PAT。对于要求特定源端口号保持固定的应用程序，您必须使用不带 PAT 的源池。

源池可以包含多个 IP 地址和/或多个 IP 地址范围。对于没有 PAT 的源池，除非启用了地址池无配对选项，否则 Junos OS 会为其所有并发会话将一个转换后的源地址分配给同一主机。

没有 PAT 的源 NAT 池可以支持的主机数限制为池中的地址数。当池具有单个 IP 地址时，只能支持一台主机，并且来自其他主机的流量将被阻止，因为没有可用资源。如果在机箱群集中 NAT 资源分配未处于主动备份模式时，为没有 PAT 的源 NAT 池配置了单个 NAT 地址，则通过节点 1 的流量将被阻止。

计算没有 PAT 的每个源池的池利用率。您可以通过配置告警阈值来打开池利用率告警。每次池利用率高于阈值并低于阈值时，都会触发 SNMP 陷阱。

如果静态 NAT 规则用于一对一 IP 转换，则在使用没有地址共享的源无 PAT 池时，避免将规则分为目标规则和源规则。如果选择划分规则，则必须使用具有单个 IP 的源 pat-pool 或具有多个 IP 的源 no-pat 池。

此示例介绍如何在不进行端口地址转换的情况下将专用地址块配置为源 NAT 池中的单个公共地址。

默认情况下，为源 NAT 池启用 PAT。禁用 PAT 后，源 NAT 池可以同时支持的转换数限制为池中的地址数。如果源 NAT 池中没有可用地址，则数据包将被丢弃。但是，使用该 address-shared 选项，只要流量来自不同的源端口，您就可以将多个私有 IP 地址映射到单个公共 IP 地址。

此示例介绍如何在不转换端口地址的情况下配置专用地址块到较小公共地址块的源 NAT 映射。

默认情况下，为源 NAT 池启用端口地址转换。禁用端口地址转换后，源 NAT 池可以同时支持的转换数限制为池中的地址数。如果源 NAT 池中没有可用地址，则数据包将被丢弃。您可以选择性地指定一个溢出池，当原始源 NAT 池中没有可用地址时，从中分配 IP 地址和端口号。

不带端口地址转换的源 NAT 池可执行从一个源 IP 地址到一个外部 IP 地址的静态一对一映射。当只有一个外部 IP 地址或源无 PAT 池中可用的 IP 地址很少时，只要流量来自不同的源端口，您就可以通过该 address-shared 选项将多个源 IP 地址映射到一个外部 IP 地址。

例如，如果有一个源 NAT 池，其中没有端口转换，仅包含两个 IP 地址（IP 1 和 IP 2），当数据包从以下位置到达时

1. 源 IP 1，端口 1，则转换为 IP 1，端口 1。

2. 源 IP 2，端口 2，则转换为 IP 2，端口 2。

3. 源 IP 3，端口 1，则转换为 IP 2，端口 1。（无法转换为 IP 1 端口 1，因为该端口已被使用。

   但是，如果另一个数据包从源 IP 3 端口 1 到达，用于不同的目标 IP 和端口，则无法将其转换为 IP 1 端口 1 或 IP 2 端口 1，因为端口 1 已用于两个可用 IP 地址。会话将会失败。

此选项可增加 NAT 资源并提高成功设置转换流量的可能性。它不能用于具有端口地址转换的源 NAT 池，因为地址共享已是它们的默认行为。

网络地址转换 （NAT） 会话持久性提供了一种在 NAT 配置发生变化时保留现有会话而不是清除现有会话的方法。如果启用了会话持久性，则保留的会话将继续处理和转发数据包，因为时间和资源能够以最优方式用于重建受影响的会话。因此，即使部分或所有会话的 NAT 配置发生了更改，数据包转发也不会停止。

从 Junos OS 18.3R1 版开始，由于支持 NAT 会话持久性，数据包转发引擎将扫描会话并决定是保留会话还是清除会话。在 Junos OS 18.3R1 版之前的版本中，如果 NAT 配置发生更改，则 NAT 会话将被清除。

数据包转发引擎执行以下两种类型的扫描，以决定是保留还是丢弃会话：

• Source NAT pool session persistence scan— 数据包转发引擎将现有会话 IP 地址与源池地址范围进行比较。如果现有会话 IP 地址位于指定的源池地址范围内，则会话将保持活动状态，否则将清除会话。

• Source NAT rule session persistence scan— 数据包转发引擎使用规则 ID 比较新旧配置之间的源 IP 地址、源端口、目标 IP 地址和目标端口。如果新旧配置相同，则会话将保持活动状态，否则将清除会话。

静态NAT和目标NAT不支持NAT会话持久性。

如果 PAT 池配置了地址持久、地址池配对、源地址持久、端口块分配、端口确定性、持久 NAT 和端口过载因子字段，则不支持NAT会话持久性。

只有在以下情况下，源NAT才支持NAT会话持久性：

• 源池 — 端口地址转换 （PAT） 池中地址范围的更改。

• 源规则 — 地址簿、应用、目标 IP 地址、目标端口、源 IP 地址和目标端口信息的匹配条件发生变化。

要启用 NAT 会话持久性扫描，请在层次结构级别包含session-persistence-scan[edit security nat source]该语句。

您还可以使用 set security nat source session-drop-hold-down CLI 命令配置超时值以在指定的时间段内保留会话。该 session-drop-hold-down 选项的值范围为 30 到 28,800 秒（8 小时）。会话将在配置的超时时间后过期。

网络地址转换 （NAT） 配置经常会更改，以容纳更多用户并增强传输流量的最短路径。如果出口接口由于流量重新路由而发生变化，您可以使用命令 set security flow enable-reroute-uniform-link-check nat 保留现有 NAT 配置和规则。

启用命令 enable-reroute-uniform-link-check nat 后：

• 如果新的出口接口和之前的出口接口位于同一安全区域中，并且匹配的NAT规则没有变化，或者在重新路由之前和之后未应用任何规则，则会话将使用现有NAT规则保留。

• 如果新的出口接口和之前的出口接口位于同一安全区域中，并且匹配的 NAT 规则发生了更改，则会话将会过期。

禁用命令 enable-reroute-uniform-link-check nat 后：

• 如果新的出口接口和之前的出口接口位于同一安全区域中，则流量将转发到新的出口接口。

Configuration

要在出口接口因重新路由而发生变化时为现有会话启用 NAT 配置，请使用以下命令：

[edit] user@host# set security flow enable-reroute-uniform-link-check nat提交配置更改时，将应用新配置。

默认情况下处于 enable-reroute-uniform-link-check nat command 禁用状态。

Limitations

使用命令保留 set security flow enable-reroute-uniform-link-check nat NAT 配置具有以下限制：

• TCP 同步不允许新会话传输流量。您必须禁用 TCP 同步，才能在新会话中传输流量。

• 如果在三次握手以初始化通信后启动重新路由，则数据包信息可能会丢失。您必须禁用 Junos OS 服务框架 （JSF），如应用层网关 （ALG），才能在新会话中传输流量。

使用 功能资源管理器 确认平台和版本对特定功能的支持。可能支持其他平台。