NAT 概述

NAT 规则集

规则集用于指定一组常规的流量匹配条件。对于静态 NAT 和目标 NAT，规则集将指定以下选项之一：

• 源接口

• 源区

• 源路由实例

对于源 NAT 规则集，您可以同时配置源条件和目标条件：

• 源接口、区域或路由实例

• 目标接口、区域或路由实例

一个数据包可以匹配多个规则集;在这种情况下，使用具有更具体匹配的规则集。接口匹配被认为比区域匹配更具体，而区域匹配比路由实例匹配更具体。如果数据包同时与指定源区域的目标 NAT 规则集和指定源接口的目标 NAT 规则集匹配，则指定源接口的规则集是更具体的匹配项。

源 NAT 规则集匹配更为复杂，因为您可以在源 NAT 规则集中同时指定源条件和目标条件。如果一个数据包与多个源 NAT 规则集匹配，则选择的规则集基于以下源/目标条件（按优先级排序）：

1. 源接口/目标接口

2. 源区域/目标接口

3. 源路由实例/目标接口

4. 源接口/目标区域

5. 源区域/目标区域

6. 源路由实例/目标区域

7. 源接口/目标路由实例

8. 源区域/目标路由实例

9. 源路由实例/目标路由实例

例如，您可以配置规则集 A（指定源接口和目标区域）和规则集 B（指定源区域和目标接口）。如果一个数据包与两个规则集都匹配，则规则集 B 是更具体的匹配项。

您不能为源 NAT 规则集指定相同的源和目标条件。

NAT 规则

找到与流量匹配的规则集后，将评估规则集中的每个规则，以便进行匹配。NAT 规则可以匹配以下数据包信息：

• 源地址和目标地址

• 源端口（仅适用于源和静态 NAT）

• 目标端口

使用规则集中与流量匹配的第一个规则。如果数据包与会话建立期间规则集中的规则匹配，则将根据该规则指定的作处理流量。

您可以使用 show security nat source rule 和 show security nat destination rule 以及 show security nat static rule 命令查看特定规则的会话数。

规则处理

NAT 类型决定了处理 NAT 规则的顺序。在对流进行第一个数据包处理期间，将按以下顺序应用 NAT 规则：

1. 静态 NAT 规则

2. 目标 NAT 规则

3. 路由查找

4. 安全策略查找

5. 静态 NAT 规则的反向映射

6. 源 NAT 规则

图 1 说明了 NAT 规则处理的顺序。

图 1： NAT 规则处理

在路由和安全策略查找之前，先处理静态 NAT 和目标 NAT 规则。静态 NAT 规则优先于目标 NAT 规则。静态 NAT 规则的反向映射在路由和安全策略查找之后发生，并优先于源 NAT 规则。源 NAT 规则在路由和安全策略查找之后，以及静态 NAT 规则的反向映射之后进行处理。

对于每种类型的 NAT（源、目标或静态），规则和规则集的配置基本相同。但由于目标和静态 NAT 都是在路由查找之前处理的，因此您无法在规则集中指定目标区域、接口或路由实例。

NAT 规则容量

NAT 规则容量要求取决于 SRX 系列防火墙和 Junos OS 版本。

对每个规则集的规则数的限制是对设备可以支持的规则数的设备范围限制。提供此限制是为了帮助您更好地规划和配置设备的 NAT 规则。

对于内存消耗，无法保证支持这些数字（最大源规则或规则集 + 最大目标规则或规则集 + 最大静态规则或规则集）。

NAT 规则容量要求取决于 SRX 系列防火墙和 Junos OS 版本。

使用 功能浏览器 确认平台和版本对特定功能的支持。可能支持其他平台。

有关详细信息，请参阅 “其他平台信息” 部分。