源 NAT

源 NAT 是离开瞻博网络设备的数据包的源 IP 地址的转换。源 NAT 用于允许具有专用 IP 地址的主机访问公共网络。

源 NAT 只允许为传出网络连接（例如，从专用网络到 Internet）启动连接。源 NAT 通常用于执行以下转换：

• 将一个 IP 地址转换为另一个地址（例如，为专用网络中的单个设备提供 Internet 访问权限）。

• 将一个连续的地址块转换为另一个相同大小的地址块。

• 将一个连续的地址块转换为另一个较小大小的地址块。

• 使用端口转换将连续的地址块转换为单个 IP 地址或较小的地址块。

• 将连续的地址块转换为出口接口的地址。

转换到出口接口地址不需要地址池;所有其他源 NAT 转换都需要配置地址池。相同大小的地址块的一对一和多对多转换不需要端口转换，因为要转换的每个地址池中都有一个可用地址。

如果地址池的大小小于要转换的地址数，则可以转换的并发地址总数受地址池大小的限制，或者必须使用端口转换。例如，如果将包含 253 个地址的块转换为包含 10 个地址的地址池，则最多可以同时连接 10 台设备，除非使用端口转换。

支持以下类型的源 NAT：

• 将原始源 IP 地址转换为出口接口的 IP 地址（也称为接口 NAT）。始终执行端口地址转换。

• 将原始源 IP 地址转换为用户定义地址池中的 IP 地址，而无需转换端口地址。原始源 IP 地址与转换后的源 IP 地址之间的关联是动态的。但是，一旦存在关联，对于匹配同一 NAT 规则的新流量，相同的关联将用于相同的原始源 IP 地址。

• 使用端口地址转换，将原始源 IP 地址转换为用户定义地址池中的 IP 地址。原始源 IP 地址与转换后的源 IP 地址之间的关联是动态的。即使存在关联，对于匹配相同 NAT 规则的新流量，也可以将相同的原始源 IP 地址转换为不同的地址。

• 通过移动 IP 地址，将原始源 IP 地址转换为用户定义地址池中的 IP 地址。这种类型的转换是一对一的、静态的，没有端口地址转换。如果原始源 IP 地址范围大于用户定义池中的 IP 地址范围，则未转换的数据包将被丢弃。

如果您在聚合多服务 （AMS） 接口上使用源 NAT，则在 MX 系列设备上。命令 service set 为每个 AMS 接口创建一个单独的条目。因此，内存利用率耗尽，如果配置额外的 AMS 接口，则会导致配置提交错误。

• 中心点架构不再支持中心点会话。因此，NAT 需要维护一个 NAT 跟踪器，以跟踪 IP 地址或端口分配和使用情况。NAT 跟踪器是 SPU 会话 ID 到 NAT IP 或端口映射的全局阵列，用于管理 NAT 资源。

• 默认情况下，NAT 规则告警和陷阱统计计数器更新消息每隔 1 秒从服务处理单元 （SPU） 发送到中心点，而不是根据中心点系统中的每个会话触发器更新统计信息。

• 要支持分配的特定 NAT IP 地址或端口，使 NAT 之后的 5 元组散列与 NAT 之前的原始 5 元组散列相同，请选择一个 NAT 端口，通过特定计算得出与原始散列相同的散列。因此，转发会话会减少。使用 NAT 时，反向翼将散列为不同的 SPU。必须安装正向会话才能将反向流量转发到会话 SPU。NAT 尝试选择一个端口，哈希算法可以使用该端口将反向翼散列到与初始翼相同的 SPU。因此，使用这种方法可以提高 NAT 性能和吞吐量。

• 为了提高 NAT 性能，会将 IP 转移池（非 PAT 池）管理从中心点移至 SPU，以便在本地管理该池的所有本地 NAT 资源，而不是将 NAT 请求发送到中心点。因此，提高了 IP 地址切换 NAT 池每秒连接数和吞吐量。

端口溢出突发模式允许您使用分配的端口块之外的端口。您可以将突发池配置为具有一系列 IP 地址的端口，以保留用于突发。

有主池和突发池类型，一旦订阅者达到主池中配置的限制，设备就会使用突发池。

以下设备支持 Brust 模式：

1. 具有 PBA 类型突增池的确定性 NAT 源 NAT 池。

2. 具有动态网络地址端口转换 （NAPT） 类型突发池的确定性 NAT 源 NAT 池。

3. 具有 PBA 类型突增池的常规 PBA 源 NAT 池。

4. 具有动态 NAPT 类型突增池的常规 PBA 源 NAT 池。

PBA 突发类型方法 — PBA 支持 APP 和非 APP作模式。

• APP 模式 — 端口从主池中分配。当订阅者限制超过主池时，如果突发池中有相同 IP 地址的任何可用端口，则会创建新会话。

• 非 APP 模式 — 端口从主池中分配。当订阅者超过主池的限制时，将从突发池使用任何可用 IP 地址和端口创建新会话。

DetNAT 突发类型方法 — 端口从主池中分配。如果突发池中的相同 IP 地址或同一 IP 地址中的所有可用端口都不可用，则会使用其他 IP 地址创建新会话。如果突发池配置了与主池不同的 IP，则使用突发池中的另一个 IP。

• 端口随机化模式（默认）
• 轮询模式
• 会话亲缘模式

• 目的
• 行动

此示例介绍如何配置专用地址的源 NAT 映射到出口接口的公共地址。

此示例说明如何配置单个私有地址到公有地址的源 NAT 映射。

此示例介绍如何配置源和目标 NAT 映射。

源 NAT 规则指定两层匹配条件：

• 流量方向 - 允许您指定 、from zone、或 from routing-instance to interface和 、 to zone或 to routing-instance的组合from interface。您不能为不同的规则集配置相同的from上下文to和上下文。

• 数据包信息 — 可以是源和目标 IP 地址或子网、源端口号或端口范围、目标端口号或端口范围、协议或应用。

对于除 FTP 以外的所有 ALG 流量，建议不要使用 source-port 规则选项。如果使用此选项，数据会话创建可能会失败，因为 IP 地址和源端口值（随机值）可能与规则不匹配。

此外，我们建议您不要使用 destination-port 选项或 application 选项作为 ALG 流量的匹配条件。如果使用这些选项，转换可能会失败，因为应用程序有效负载中的端口值可能与 IP 地址中的端口值不匹配。

如果多个源NAT规则在匹配条件中重叠，则选择最具体的规则。例如，如果规则 A 和 B 指定相同的源和目标 IP 地址，但规则 A 指定从区域 1 到区域 2 的流量，规则 B 指定从区域 1 到接口 ge-0/0/0 的流量，则规则 B 用于执行源 NAT。接口匹配被认为比区域匹配更具体，而区域匹配比路由实例匹配更具体。

您可以为源 NAT 规则指定的作包括：

• off — 不执行源 NAT。

• pool — 使用指定的用户定义地址池执行源 NAT。

• 接口 — 使用出口接口的 IP 地址执行源 NAT。

源 NAT 规则应用于为流处理的第一个数据包或 ALG 的快速路径中的流量。 源 NAT 规则在静态 NAT 规则、目标 NAT 规则和静态 NAT 规则的反向映射之后，以及路由和安全策略查找之后进行处理。

如果未在规则集下配置区域，并且当活动源 NAT 配置了缺少必需语句“from”时，则在执行提交 “缺少必需语句：'from'错误：配置检出失败” 且配置检出失败时，将显示以下消息。

此示例介绍如何使用多个规则配置源 NAT 映射。

NAT 池是一组用户定义的用于转换的 IP 地址。静态 NAT 具有一对一映射功能，包括单向目标 IP 地址转换和反向 IP 地址转换，与静态 NAT 不同，使用源 NAT，您可以将原始源 IP 地址转换为地址池中的 IP 地址。

对于源网络地址转换 （NAT） 地址池，请指定以下内容：

• 源 NAT 地址池的名称。

• 多达 64 个地址范围。

  不要在一个路由实例中重叠源 NAT、目标 NAT 和静态 NAT 的 NAT 地址。

• 路由实例 - 池所属的路由实例（默认为主 inet.0 路由实例）。

• 端口 — 源池的端口地址转换 （PAT）。默认情况下，PAT 使用源 NAT 执行。如果指定 无转换 选项，则源 NAT 池可支持的主机数限制为池中的地址数。如果指定 block-allocation，则会分配一个端口块用于转换，而不是分配单个端口。如果指定 deterministic，则根据预定义的确定性 NAT 算法，传入（源）IP 地址和端口始终映射到特定的目标地址和端口块。如果指定 port-overloading，则可以在源 NAT 中配置端口过载容量。如果指定 range，则可以提供连接到池中每个地址的端口号范围，以及源 NAT 池的孪生端口范围。

• 溢出池 （可选） — 如果指定的源 NAT 池中没有可用的地址，则数据包将被丢弃。为了防止在配置 端口无转换 选项时发生这种情况，可以指定溢出池。原始源 NAT 池中的地址耗尽后，将从溢出池中分配 IP 地址和端口号。用户定义的源 NAT 池或出口接口可用作溢出池。（使用溢出池时，将返回池 ID 和地址。

• IP 地址移动（可选）— 通过移动 IP 地址，可以将原始源 IP 地址范围映射到另一个 IP 地址范围或单个 IP 地址。使用原始源 IP 地址范围的基址指定 host-address-base 选项。

• 地址共享（可选）— 多个内部 IP 地址可映射到同一个外部 IP 地址。仅当源 NAT 池配置无端口转换时，才能使用此选项。当源 NAT 池可用的外部 IP 地址很少或只有一个外部 IP 地址时，请指定 address-shared 选项。借助多对一映射，使用此选项可增加 NAT 资源并改善流量。

• 地址池（可选）— 地址池可以配置为配对或不配对。为要求在会话期间将与一个内部 IP 地址关联的所有会话映射到同一外部 IP 地址的应用程序指定 address-pooling paired 。这与选项不同 persistent-address ，在选项中，每次都会将相同的内部地址转换为相同的外部地址。指定 address-pooling no-paired 可以以轮询方式分配 IP 地址的应用程序。如果为具有 PAT 的源 NAT 池配置了 address-pooling paired 或 address-pooling no-paired ，则禁用“永久地址”选项。如果 address-shared 在没有 PAT 的源 NAT 池上配置，则启用该 persistent-address 选项。和 address-shared address-pooling paired 都可以在同一源 NAT 池上进行配置，而无需 PAT。

• 池利用率警报（可选）— 为源 NAT 配置 提升阈值 选项时，如果源 NAT 池利用率高于此阈值，将触发 SNMP 陷阱。如果配置了可选的 clear-threshold 选项，那么当源 NAT 池利用率降至此阈值以下时，将触发 SNMP 陷阱。如果未配置 clear-threshold ，则默认设置为 提升阈值 的 80%。

您可以使用 show security nat resource usage source pool 命令查看不带 PAT 的源 NAT 池中的地址使用情况，以及查看具有 PAT 的源 NAT 池中的端口使用情况。

通过增加配置中的池数和/或增加每个池的容量或 IP 地址数来增加用于源 NAT 的 IP 地址总数会消耗端口分配所需的内存。当达到源 NAT 池和 IP 地址限制时，应重新分配端口范围。也就是说，当 IP 地址和源 NAT 池的数量增加时，每个 IP 地址的端口数应减少。这可确保 NAT 不会消耗过多内存。

有关详细信息，请参阅 “其他平台信息” 部分。

使用 功能浏览器 确认平台和版本对特定功能的支持。可能支持其他平台。

range在[edit security nat source pool port]层次结构级别使用和range twin-port选项为特定池分配新的端口范围或孪生端口范围。pool-default-port-range在[edit security nat source]层次结构级别使用和 pool-default-twin-port-range 选项指定所有源 NAT 池的全局默认端口范围或孪生端口范围。

当源 NAT 池增加时，配置端口重载也应小心。

对于 PAT 范围（63,488 到 65,535）的源池，系统会同时为 RTP/RTCP 应用（如 SIP、H.323 和 RTSP）分配两个端口。在这些场景中，每个 IP 地址都支持 PAT，占用 2048 个端口（63,488 到 65,535）供 ALG 模块使用。

默认情况下，端口地址转换使用源 NAT 执行。但是，对于源自同一主机的不同流量，可能无法将原始源地址转换为相同的 IP 地址。源 NAT address-persistent 选项可确保将相同的 IP 地址从源 NAT 池分配给特定主机，以用于多个并发会话。

此选项与地址池配对选项不同，后者以先到先得的方式将内部地址映射到池中的外部地址，并且每个会话可能都映射到不同的外部地址。

此示例介绍在未设置默认端口范围或您想要覆盖默认端口范围的情况下，如何使用端口地址转换 （PAT） 配置源 NAT 池的容量。为每个 IP 地址设置转换。增加源池时，如果当前端口号超过限制，则应重新分配端口。

当主机启动与需要 NAT 的策略匹配的多个会话，并且从启用了端口地址转换的源池中分配 IP 地址时，将为每个会话使用不同的源 IP 地址。

由于某些应用程序要求每个会话使用相同的源 IP 地址，因此您可以使用该 address-pooling paired 功能使与一个内部 IP 地址关联的所有会话在会话期间映射到相同的外部 IP 地址。会话结束时，内部 IP 地址和外部 IP 地址之间的映射将停止。下次主机启动会话时，可能会为其分配池中的其他 IP 地址。

这与源 NAT 功能不同，源 NAT address-persistent 功能使映射保持静态;每次都将相同的内部 IP 地址映射到相同的外部 IP 地址。它还与为特定池配置的功能address-persistentaddress-pooling paired不同。该address-persistent功能是适用于所有源池的全局配置。

源 NAT 规则集的匹配条件不允许指定地址范围;规则中只能指定地址前缀。配置源 NAT 池时，可以指定 host-base-address 选项;此选项指定原始源 IP 地址范围的起始位置。

转换的原始源 IP 地址范围由源 NAT 池中的地址数决定。例如，如果源 NAT 池包含 10 个 IP 地址的范围，则最多可以转换 10 个原始源 IP 地址，从指定的基址开始。这种类型的转换是一对一的、静态的，没有端口地址转换。

源 NAT 规则中的匹配条件可以定义比源 NAT 池中指定的地址范围更大的地址范围。例如，匹配条件可以指定包含 256 个地址的地址前缀，但源 NAT 池可能只包含几个 IP 地址，或者只有一个 IP 地址。数据包的源 IP 地址可以匹配源 NAT 规则，但如果源 IP 地址不在源 NAT 池中指定的地址范围内，则不会转换源 IP 地址。

此示例介绍如何使用可选地址切换配置专用地址范围到公共地址的源 NAT 映射。原始源 IP 地址和转换后的 IP 地址之间的这种映射是一对一的。

源 NAT 规则集的匹配条件不允许指定地址范围;规则中只能指定地址前缀。配置源 NAT 池时，可以指定 host-base-address 选项;此选项将指定原始源 IP 地址范围的起始 IP 地址，并禁用端口转换。

转换的原始源 IP 地址范围由源 NAT 池中的地址数决定。例如，如果源 NAT 池包含 10 个 IP 地址的范围，则最多可以转换 10 个原始源 IP 地址，从指定的基址开始。

源 NAT 规则中的匹配条件可以定义比源 NAT 池中指定的地址范围更大的地址范围。例如，匹配条件可以指定包含 256 个地址的地址前缀，但源 NAT 池仅包含 10 个 IP 地址的范围。数据包的源 IP 地址可以匹配源 NAT 规则，但如果源 IP 地址不在源 NAT 池中指定的地址范围内，则不会转换源 IP 地址。

通过使用具有端口地址转换 （PAT） 功能的源池，Junos OS 可以转换数据包的源 IP 地址和端口号。使用 PAT 时，多台主机可以共享同一个 IP 地址。

Junos OS 会维护一个分配的端口号列表，用于区分哪个会话属于哪个主机。启用 PAT 后，最多 63,488 台主机可以共享一个 IP 地址。每个源池可以包含多个 IP 地址和/或多个 IP 地址范围。对于具有 PAT 的源池，Junos OS 可以为不同的并发会话为单个主机分配不同的地址，除非源池或 Junos OS 启用了持久地址功能或配对地址池功能。

对于接口源池和具有 PAT 的源池，范围 （1024， 65535） 可用于每个 IP 地址的端口号映射。在范围 （1024， 63487） 内，一次分配一个端口，总共 62,464 个端口。在范围 （63488， 65535） 中，一次为 RTP/RTCP 应用（如 SIP、H.323 和 RTSP）分配两个端口，总计 2,048 个端口。

当主机启动多个会话与需要网络地址转换的策略匹配，并且从启用了 PAT 的源池中分配了一个地址时，设备将为每个会话分配不同的源 IP 地址。对于创建多个会话且每个会话需要相同源 IP 地址的服务来说，这种随机地址分配可能会出现问题。例如，使用 AOL 即时消息 （AIM） 客户端时，为多个会话使用相同的 IP 地址非常重要。

为确保路由器将源池中的相同 IP 地址分配给主机以用于多个并发会话，可以为每个路由器启用一个永久性 IP 地址。若要确保设备在单个会话期间将源池中的相同 IP 地址分配给主机，可以启用配对地址池。

此示例介绍如何使用端口地址转换配置专用地址块到较小公共地址块的源 NAT 映射。

定义源池时，Junos OS 默认启用 PAT。若要禁用 PAT，必须在定义源池时不指定端口转换。

使用没有 PAT 的源池时，Junos OS 会对 IP 地址执行源网络地址转换，而不对源端口号执行 PAT。对于要求特定源端口号保持固定的应用程序，必须使用不带 PAT 的源池。

源池可以包含多个 IP 地址和/或多个 IP 地址范围。对于没有 PAT 的源池，Junos OS 会为同一主机的所有并发会话分配一个转换后的源地址，除非启用了地址池不配对选项。

没有 PAT 的源 NAT 池可支持的主机数限制为池中的地址数。如果池具有单个 IP 地址，则只能支持一台主机，并且会阻止来自其他主机的流量，因为没有可用的资源。当机箱群集中的 NAT 资源分配未处于主动备份模式时，如果为没有 PAT 的源 NAT 池配置单个 IP 地址，则通过节点 1 的流量将被阻止。

将计算不使用 PAT 的每个源池的池利用率。您可以通过配置警报阈值来打开池利用率警报。每当池利用率高于阈值并低于阈值时，都会触发 SNMP 陷阱。

如果静态 NAT 规则用于一对一 IP 转换，则在使用不共享地址的源无 PAT 池时，避免将规则划分为目标规则和源规则。如果选择划分规则，则必须使用具有单个 IP 的源 pat-pool 或具有多个 IP 的源 no-pat 池。

此示例介绍如何将专用地址块配置为不使用端口地址转换的源 NAT 池中的单个公共地址。

默认情况下，PAT 为源 NAT 池启用。禁用 PAT 时，源 NAT 池可同时支持的转换数限制为池中的地址数。如果源 NAT 池中没有可用的地址，则数据包将被丢弃。但是，使用该 address-shared 选项，只要流量来自不同的源端口，您就可以将多个专用 IP 地址映射到单个公共 IP 地址。

此示例介绍如何配置专用地址块的源 NAT 映射到较小的公共地址块，而无需端口地址转换。

默认情况下，为源 NAT 池启用端口地址转换。禁用端口地址转换后，源 NAT 池可同时支持的转换数限制为池中的地址数。如果源 NAT 池中没有可用的地址，则数据包将被丢弃。您可以选择性地指定溢出池，当原始源 NAT 池中没有可用的地址时，从中分配 IP 地址和端口号。

不使用端口地址转换的源 NAT 池可执行从一个源 IP 地址到一个外部 IP 地址的静态一对一映射。当只有一个外部 IP 地址，或者源 no-pat 池中可用的 IP 地址很少时，只要流量来自不同的源端口，就可以通过 address-shared 该选项将多个源 IP 地址映射到一个外部 IP 地址。

例如，如果存在一个没有端口转换的源 NAT 池，当数据包到达时，该池仅包含两个 IP 地址（IP 1 和 IP 2）

1. 源 IP 1 端口 1 转换为 IP 1 端口 1。

2. 源 IP 2 端口 2 将其转换为 IP 2 端口 2。

3. 源 IP 3 端口 1 转换为 IP 2 端口 1。（它不能转换为 IP 1 端口 1，因为该端口已被使用。

   但是，如果另一个数据包从源 IP 3 端口 1 到达不同的目标 IP 和端口，则无法将其转换为 IP 1 端口 1 或 IP 2 端口 1，因为端口 1 已用于两个可用 IP 地址。会话将失败。

此选项可增加 NAT 资源，并提高设置成功转换流量的可能性。它不能用于具有端口地址转换的源 NAT 池，因为地址共享已经是其默认行为。

网络地址转换 （NAT） 会话持久性提供了一种在 NAT 配置发生变化时保留现有会话的方法，而不是将其清除。如果启用了会话持久性，则保留的会话将继续处理和转发数据包，因为时间和资源将得到最佳利用，以重建受影响的会话。因此，即使部分或所有会话的 NAT 配置发生更改，数据包转发也不会停止。

从 Junos OS 18.3R1 版开始，借助对 NAT 会话持久性的支持，数据包转发引擎会扫描会话并决定是保留会话还是清除会话。在 Junos OS 18.3R1 之前的版本中，如果 NAT 配置发生变化，则 NAT 会话将被清除。

数据包转发引擎执行以下两种类型的扫描，以决定是保留会话还是丢弃会话：

• Source NAT pool session persistence scan—数据包转发引擎将现有会话 IP 地址与源池地址范围进行比较。如果现有会话 IP 地址在指定的源池地址范围内，则会话将保持活动状态，否则将清除会话。

• Source NAT rule session persistence scan—数据包转发引擎使用规则 ID 来比较新旧配置之间的源 IP 地址、源端口、目标 IP 地址和目标端口。如果新旧配置相同，则会话将保持活动状态，否则将清除会话。

静态 NAT 和目标 NAT 不支持 NAT 会话持久性。

如果 PAT 池配置了地址持久性、地址池配对、源地址持久性、端口块分配、端口确定性、持久性 NAT 和端口重载因子字段，则不支持 NAT 会话持久性。

在以下情况下，仅源 NAT 支持 NAT 会话持久性：

• 源池 — 端口地址转换 （PAT） 池中地址范围的更改。

• 源规则 — 更改通讯簿、应用程序、目标 IP 地址、目标端口、源 IP 地址和目标端口信息的匹配条件。

要启用 NAT 会话持久性扫描，请在[edit security nat source]层次结构级别包含session-persistence-scan语句。

您还可以使用 set security nat source session-drop-hold-down CLI 命令配置超时值，以便在指定的时间段内保留会话。选项的 session-drop-hold-down 值范围为 30 到 28,800 秒（8 小时）。会话在配置的超时期限后过期。

网络地址转换 （NAT） 配置经常更改，以容纳更多用户并增强传输流量的最短路径。如果出口接口因流量重新路由而发生变化，您可以使用命令 set security flow enable-reroute-uniform-link-check nat 保留现有 NAT 配置和规则。

enable-reroute-uniform-link-check nat启用命令后：

• 如果新的出口接口和之前的出口接口位于同一安全区域中，且匹配的 NAT 规则没有变化，或者在重新路由前后未应用任何规则，则会话将随现有 NAT 规则一起保留。

• 如果新的出口接口和之前的出口接口位于同一安全区域中，并且匹配的 NAT 规则发生更改，则会话将过期。

enable-reroute-uniform-link-check nat禁用命令后：

• 如果新的出口接口与之前的出口接口在同一安全区域中，则流量将被转发到新的出口接口。

Configuration

要在出口接口因重新路由而发生变化时为现有会话启用 NAT 配置，请使用以下命令：

[edit] user@host# set security flow enable-reroute-uniform-link-check nat当您提交配置更改时，将应用新配置。

默认情况下处于 enable-reroute-uniform-link-check nat command 禁用状态。

Limitations

使用 set security flow enable-reroute-uniform-link-check nat 命令保留 NAT 配置具有以下限制：

• TCP 同步不允许新会话传输流量。您必须禁用 TCP 同步，以允许在新会话中传输流量。

• 如果在三次握手后启动重新路由以初始化通信，则数据包信息可能会丢失。您必须禁用 Junos OS 服务框架 （JSF）（如应用层网关 （ALG），才能允许在新会话中传输流量。

使用 功能浏览器 确认平台和版本对特定功能的支持。可能支持其他平台。