AUF DIESER SEITE
Network Address Port Translation
Konfigurieren von Adresspools für NAPT (Network Address Port Translation) – Übersicht
Mit Network Address Port Translation (NAPT) können Sie bis zu 32 Adressbereiche mit jeweils bis zu 65.536 Adressen konfigurieren.
Die port Anweisung gibt die Portzuweisung für die übersetzten Adressen an. Um die automatische Zuweisung von Ports zu konfigurieren, schließen Sie die port automatic Anweisung auf Hierarchieebene [edit services nat pool nat-pool-name] ein. Standardmäßig erfolgt die sequentielle Zuweisung von Ports.
Ab Junos OS Version 14.2 können Sie die sequential Option mit der port automatic Anweisung auf Hierarchieebene für die [edit services nat pool nat-pool-name] sequenzierte Zuweisung von Ports aus dem angegebenen Bereich aufnehmen. Um einen bestimmten Bereich von Portnummern zu konfigurieren, schließen Sie die port range low minimum-value high maximum-value Anweisung auf Hierarchieebene [edit services nat pool nat-pool-name] ein.
Wenn 99 % der insgesamt verfügbaren Ports im Pool für napt-44 , sind keine neuen Datenströme in diesem NAT-Pool zulässig.
Ab Junos OS Version 14.2 ist die auto Option ausgeblendet und veraltet und wird nur aus Gründen der Abwärtskompatibilität beibehalten. Es könnte in einer zukünftigen Softwareversion vollständig entfernt werden.
Das Junos OS bietet mehrere Alternativen für die Zuweisung von Ports:
- Round-Robin-Allokation für NAPT
- Sequenzielle Zuordnung für NAPT
- Parität und Reichweite für NAPT beibehalten
- Adressenpooling und endpunktunabhängiges Mapping für NAPT
- Gesicherte Portblockierung für NAPT
- Vergleich der NAPT-Implementierungsmethoden
Round-Robin-Allokation für NAPT
Um die Roundrobinzuordnung für NAT-Pools zu konfigurieren, schließen Sie die Roundrobin-Konfigurationsanweisung für die Adresszuordnung auf Hierarchieebene [edit services nat pool pool-name] ein. Wenn Sie die Round-Robin-Zuweisung verwenden, wird von jeder Adresse in einem Bereich ein Port zugewiesen, bevor der Vorgang für jede Adresse im nächsten Bereich wiederholt wird. Nachdem Ports für alle Adressen im letzten Bereich zugewiesen wurden, wird der Zuweisungsprozess abgeschlossen und weist den nächsten ungenutzten Port den Adressen im ersten Bereich zu.
Die erste Verbindung wird der Adresse:port 100.0.0.1:3333 zugewiesen.
Die zweite Verbindung ist der Adresse Port 100.0.0.2:3333 zugeordnet.
Die dritte Verbindung ist der Adresse zugewiesen:port 100.0.0.3:3333.
Die vierte Verbindung wird der Adresse 100.0.0.4:3333 zugewiesen.
Die fünfte Verbindung wird der Adresse 100.0.0.5:3333 zugewiesen.
Die sechste Verbindung wird der Adresse 100.0.0.6:3333 zugewiesen.
Die siebte Verbindung wird der Adresse:Port 100.0.0.7:3333 zugewiesen.
Die achte Verbindung wird der Adresse:Port 100.0.0.8:3333 zugewiesen.
Die neunte Verbindung wird der Adresse:Port 100.0.0.9:3333 zugewiesen.
Die zehnte Verbindung wird der Adresse 100.0.0.10:3333 zugewiesen.
Die elfte Verbindung wird der Adresse 100.0.0.11:3333 zugewiesen.
Die zwölfte Verbindung wird der Adresse zugewiesen:port 100.0.0.12:3333.
Es kommt zu einem Wraparound, und die dreizehnte Verbindung wird der Adresse zugewiesen:Port 100.0.0.1:3334.
Sequenzielle Zuordnung für NAPT
Bei der sequenziellen Zuweisung wird die nächste verfügbare Adresse im NAT-Pool nur ausgewählt, wenn alle von einer Adresse verfügbaren Ports erschöpft sind.
Die sequenzielle Zuordnung kann nur für MS-DPC und die MultiServices-PICS MS-100, MS-400 und MS-500 konfiguriert werden. Die MS-MPC- und MS-MIC-Karten verwenden nur den Round-Robin-Allokationsansatz.
Diese Legacy-Implementierung bietet Abwärtskompatibilität und ist kein empfohlener Ansatz mehr.
Der NAT-Pool namens napt im folgenden Konfigurationsbeispiel verwendet die sequenzielle Implementierung:
pool napt {
address-range low 100.0.0.1 high 100.0.0.3;
address-range low 100.0.0.4 high 100.0.0.6;
address-range low 100.0.0.8 high 100.0.0.10;
address-range low 100.0.0.12 high 100.0.0.13;
port {
range low 3333 high 3334;
}
}
In diesem Beispiel werden die Ports beginnend mit der ersten Adresse im ersten Adressbereich zugewiesen, und die Zuweisung wird von dieser Adresse fortgesetzt, bis alle verfügbaren Ports verwendet wurden. Wenn alle verfügbaren Ports verwendet wurden, wird die nächste Adresse (im selben Adressbereich oder im folgenden Adressbereich) zugewiesen und alle ihre Ports werden nach Bedarf ausgewählt. Im Fall des napt-Beispielpools wird die Tupeladresse Port 100.0.0.4:3333 nur zugewiesen, wenn alle Ports für alle Adressen im ersten Bereich verwendet wurden.
Die erste Verbindung wird der Adresse:port 100.0.0.1:3333 zugewiesen.
Die zweite Verbindung wird der Adresse 100.0.0.1:3334 zugewiesen.
Die dritte Verbindung ist der Adresse zugewiesen:port 100.0.0.2:3333.
Die vierte Verbindung wird der Adresse zugewiesen:Port 100.0.0.2:3334 usw.
Parität und Reichweite für NAPT beibehalten
Die Optionen "Parität beibehalten" und "Bereich beibehalten" sind für NAPT verfügbar und werden auf MS-DPCs und MS-100-, MS-400- und MS-500-MultiServices-PICS unterstützt. Die Unterstützung für MS-MPCs und MS-MICs beginnt in Junos OS Version 15.1R1. Die folgenden Optionen sind für NAPT verfügbar:
Parität beibehalten: Verwenden Sie den
preserve-parityBefehl, um gerade Ports für Pakete mit geraden Quellports und ungerade Ports für Pakete mit ungeraden Quellports zuzuweisen.Bereich beibehalten: Verwenden Sie den
preserve-rangeBefehl, um Ports in einem Bereich von 0 bis 1023 zuzuweisen, vorausgesetzt, das ursprüngliche Paket enthält einen Quellport im reservierten Bereich. Dies gilt für Steuerungssitzungen, nicht für Datensitzungen.
Adressenpooling und endpunktunabhängiges Mapping für NAPT
Adressen-Pooling
Address Pooling oder Address Pooling Paired (APP) stellt sicher, dass allen Sitzungen, die vom selben internen Host stammen, dieselbe externe IP-Adresse zugewiesen wird. Sie können diese Funktion verwenden, wenn Sie externe IP-Adressen aus einem Pool zuweisen. Diese Option hat keinen Einfluss auf die Portauslastung
Adressenpooling löst das Problem, dass eine Anwendung mehrere Verbindungen öffnet. Wenn beispielsweise der SIP-Client (Session Initiation Protocol) RTP- (Real-Time Transport Protocol) und RTCP-Pakete (Real-Time Control Protocol) sendet, verlangt der SIP-Server im Allgemeinen, dass sie von derselben IP-Adresse stammen, auch wenn sie der NAT unterworfen waren. Wenn RTP- und RTCP-IP-Adressen unterschiedlich sind, kann es sein, dass das empfangende Endgerät Pakete verwirft. Jedes Punkt-zu-Punkt-Protokoll (P2P), das Ports aushandelt (Adressstabilität vorausgesetzt), profitiert von gekoppeltem Adresspooling.
Im Folgenden finden Sie Anwendungsfälle für Adresspooling:
Eine Website, die Instant Messaging-Dienste anbietet, erfordert, dass der Chat und ihre Steuerungssitzungen von derselben öffentlichen Quelladresse stammen. Wenn sich der Benutzer beim Chat anmeldet, wird der Benutzer durch eine Kontrollsitzung authentifiziert. Eine andere Sitzung beginnt, wenn der Benutzer eine Chatsitzung startet. Wenn die Chatsitzung von einer Quelladresse stammt, die sich von der Authentifizierungssitzung unterscheidet, lehnt der Instant Messaging-Server die Chatsitzung ab, da sie von einer nicht autorisierten Adresse stammt.
Bestimmte Websites wie Online-Banking-Websites erfordern, dass alle Verbindungen von einem bestimmten Host von derselben IP-Adresse stammen.
Ab Junos OS Version 14.1 werden beim Deaktivieren eines Service-Sets, das Address Pooling Paired (APP) für dieses Service-Set enthält, Meldungen auf der PIC-Konsole angezeigt und die Zuordnungen für dieses Service-Set gelöscht. Diese Meldungen werden ausgelöst, wenn das Löschen eines Service-Sets beginnt, und erneut generiert, wenn das Löschen des Service-Sets abgeschlossen ist. Die folgenden Beispielmeldungen werden angezeigt, wenn der Löschvorgang beginnt und endet:
Nov 15 08:33:13.974 LOG: Kritisch] SVC-SET ss1 (iid 5) deaktivieren/löschen: NAT-Zuordnungen und -Flows gelöscht
Nov 15 08:33:14.674 LOG: Kritisch] SVC-SET ss1 (iid 5) deaktivieren/löschen: NAT-Zuordnungen und -Flows gelöscht abgeschlossen
In einer skalierten Umgebung, die eine große Anzahl von APP in einem Servicesatz enthält, wird eine große Menge an Nachrichten generiert, und dieser Vorgang nimmt einige Zeit in Anspruch. Es wird empfohlen, zu warten, bis die Konsolenmeldungen, die den Abschluss des Löschens des Service-Sets anzeigen, abgeschlossen sind, bevor Sie den Service-Satz erneut aktivieren.
Endpunktunabhängige Zuordnung und endpunktunabhängige Filterung
Endpoint Independent Mapping (EIM) stellt sicher, dass allen Verbindungen von einem bestimmten Host dieselbe externe Adresse und derselbe Port zugewiesen wird, wenn sie denselben internen Port verwenden. Das heißt, wenn sie von einem anderen Quellport kommen, können Sie eine andere externe Adresse zuweisen.
EIM und APP unterscheiden sich wie folgt:
APP stellt sicher, dass dieselbe externe IP-Adresse zugewiesen wird.
EIM stellt eine stabile externe IP-Adresse und einen Port (für einen bestimmten Zeitraum) bereit, mit dem sich externe Hosts verbinden können. Endpunktunabhängige Filterung (EIF) steuert, welche externen Hosts eine Verbindung zu einem internen Host herstellen können.
Wenn Sie ab Junos OS Version 14.1 einen Service-Satz deaktivieren, der eine EIM-Zuordnung (Endgerät Independent Mapping) für diesen Service-Satz enthält, werden Meldungen in der PIC-Konsole angezeigt und die Zuordnungen für diesen Service-Satz gelöscht. Diese Meldungen werden ausgelöst, wenn das Löschen eines Service-Sets beginnt, und erneut generiert, wenn das Löschen des Service-Sets abgeschlossen ist. Die folgenden Beispielmeldungen werden angezeigt, wenn der Löschvorgang beginnt und endet:
Nov 15 08:33:13.974 LOG: Kritisch] SVC-SET ss1 (iid 5) deaktivieren/löschen: NAT-Zuordnungen und -Flows gelöscht
Nov 15 08:33:14.674 LOG: Kritisch] SVC-SET ss1 (iid 5) deaktivieren/löschen: NAT-Zuordnungen und -Flows gelöscht abgeschlossen
In einer skalierten Umgebung, die eine große Anzahl von EIM-Zuordnungen in einem Service-Set enthält, wird eine große Menge an Nachrichten generiert, und dieser Vorgang nimmt einige Zeit in Anspruch. Es wird empfohlen, zu warten, bis die Konsolenmeldungen, die den Abschluss des Löschens des Service-Sets anzeigen, abgeschlossen sind, bevor Sie den Service-Satz erneut aktivieren.
Gesicherte Portblockierung für NAPT
Die Portblockzuweisung wird auf Routern der MX-Serie mit MS-DPCs und auf Routern der M Series mit MS-100-, MS-400- und MS-500 MultiServices-PICS unterstützt. Die Portblockzuweisung wird auf Routern der MX-Serie mit MS-MPCs und MS-MICs ab Junos OS Version 14.2R2 unterstützt.
Netzbetreiber verfolgen Abonnenten mithilfe des IP-Adressprotokolls (RADIUS oder DHCP). Wenn sie NAPT verwenden, wird eine IP-Adresse von mehreren Teilnehmern gemeinsam genutzt, und der Netzbetreiber muss die IP-Adresse und den Port verfolgen, die Teil des NAT-Protokolls sind. Da Ports sehr häufig verwendet und wiederverwendet werden, wird es aufgrund der großen Anzahl von Nachrichten, die schwer zu archivieren und zu korrelieren sind, schwierig, Teilnehmer anhand des Protokolls zu verfolgen. Durch die Aktivierung der Zuweisung von Ports in Blöcken kann die Portblockzuweisung die Anzahl der Protokolle erheblich reduzieren und die Nachverfolgung von Abonnenten erleichtern.
Gesicherte Portblockierung für NAPT
Die Zuordnung gesicherter Portblöcke kann für Übersetzungstypen napt-44 und stateful-nat64verwendet werden.
Bei der Zuweisung von Portblöcken ist der zuletzt zugewiesene Block der aktuell aktive Block. Neue Anfragen für NAT-Ports werden vom aktiven Block aus bedient. Ports werden nach dem Zufallsprinzip aus dem aktuell aktiven Block zugewiesen.
Wenn Sie die Zuweisung gesicherter Portblöcke konfigurieren, können Sie Folgendes angeben:
block-sizemax-blocks-per-addressactive-block-timeout
Zwischenprotokollierung für die Portblockierungszuweisung
Bei der Portblockzuweisung generieren wir ein Syslog-Protokoll pro Satz von Ports, die einem Anwender zugewiesen sind. Diese Protokolle sind UDP-basiert und können im Netzwerk verloren gehen, insbesondere bei Datenströmen mit langer Laufzeit. Die vorläufige Protokollierung löst das erneute Senden der oben genannten Protokolle in einem konfigurierten Intervall für aktive Blöcke aus, auf denen sich Datenverkehr auf mindestens einem der Ports des Blocks befindet.
Die Zwischenprotokollierung wird aktiviert, indem die pba-interim-logging-interval Anweisung unter services-options for sp- Schnittstellen eingefügt wird.
Siehe auch
Vergleich der NAPT-Implementierungsmethoden
Tabelle 1 enthält einen Funktionsvergleich der verfügbaren NAPT-Implementierungsmethoden.
Feature/Funktion |
Dynamische Portzuweisung |
Gesicherte Portblockierung |
Deterministische Portblockierung |
|---|---|---|---|
Benutzer pro IP |
Hoch |
Mittel |
Niedrig |
Sicherheitsrisiko |
Niedrig |
Mittel |
Mittel |
Protokoll-Nutzung |
Hoch |
Niedrig |
Keine (keine Protokolle erforderlich) |
Minimierung von Sicherheitsrisiken |
Zufällige Zuteilung |
Active-Block-Timeout-Funktion |
n/a |
Mehr Benutzer pro IP |
n/a |
Konfigurieren Sie mehrere kleinere Portblöcke, um die Anzahl der Benutzer/öffentlichen IP-Adressen zu maximieren |
Algorithmus-basierte Portzuweisung |
Konfigurieren von NAPT in IPv4-Netzwerken
Network Address Port Translation (NAPT) ist eine Methode, bei der viele Netzwerkadressen und ihre TCP/UDP-Ports in eine einzige Netzwerkadresse und ihre TCP/UDP-Ports übersetzt werden. Diese Übersetzung kann sowohl in IPv4- als auch in IPv6-Netzwerken konfiguriert werden. In diesem Abschnitt werden die Schritte zum Konfigurieren von NAPT in IPv4-Netzwerken beschrieben.
Um NAPT zu konfigurieren, müssen Sie auf Hierarchieebene eine Regel für die [edit services nat] dynamische Übersetzung der IPv4-Quelladressen konfigurieren.
So konfigurieren Sie das NAPT in IPv4-Netzwerken:
Im folgenden Beispiel wird der Übersetzungstyp als napt-44 konfiguriert.
[edit services]
user@host# show
service-set s1 {
nat-rules rule-napt-44;
interface-service {
service-interface ms-0/1/0;
}
}
nat {
pool napt-pool {
address 10.10.10.0/32;
port {
automatic auto;
}
}
rule rule-napt-44 {
match-direction input;
term t1 {
then {
translated {
source-pool napt-pool;
translation-type {
napt-44;
}
}
}
}
}
}
adaptive-services-pics {
traceoptions {
flag all;
}
}
Dynamische Adressübersetzung in einen kleinen Pool mit Fallback auf NAT
Die folgende Konfiguration zeigt die dynamische Adressübersetzung von einem großen Präfix in einen kleinen Pool, wobei ein /24-Subnetz in einen Pool von 10 Adressen übersetzt wird. Wenn die Adressen im Quellpool (src-pool) erschöpft sind, wird NAT vom NAPT-Überlastungspool (pat-pool) bereitgestellt.
[edit services nat]
pool src-pool {
address-range low 192.16.2.1 high 192.16.2.10;
}
pool pat-pool {
address-range low 192.16.2.11 high 192.16.2.12;
port automatic auto;
rule myrule {
match-direction input;
term myterm {
from {
source-address 10.150.1.0/24;
}
then {
translated {
source-pool src-pool;
overload-pool pat-pool;
translation-type napt-44;
}
}
}
}
Dynamische Adressübersetzung mit kleinem Pool
Die folgende Konfiguration zeigt die dynamische Adressübersetzung von einem großen Präfix in einen kleinen Pool, wobei ein /24-Subnetz in einen Pool von 10 Adressen übersetzt wird. Sitzungen aus den ersten 10 Hostsitzungen erhalten eine Adresse aus dem Pool nach dem Prinzip "Wer zuerst kommt, mahlt zuerst", und alle zusätzlichen Anfragen werden abgelehnt. Jeder Host mit einer zugewiesenen NAT kann an mehreren Sitzungen teilnehmen.
[edit services nat]
pool my-pool {
address-range low 10.10.10.1 high 10.10.10.10;
}
rule src-nat {
match-direction input;
term t1 {
from {
source-address 192.168.1.0/24;
}
then {
translated {
translation-type dynamic-nat44;
source-pool my-pool;
}
}
}
}
NAPT in IPv6-Netzwerken konfigurieren
Network Address Port Translation (NAPT) ist eine Methode, bei der viele Netzwerkadressen und ihre TCP/UDP-Ports in eine einzige Netzwerkadresse und ihre TCP/UDP-Ports übersetzt werden. Diese Übersetzung kann sowohl in IPv4- als auch in IPv6-Netzwerken konfiguriert werden. In diesem Abschnitt werden die Schritte zum Konfigurieren von NAPT in IPv6-Netzwerken beschrieben. Die Konfiguration von NAPT in IPv6-Netzwerken wird nicht unterstützt, wenn Sie MS-MPCs oder MS-MIC verwenden. Informationen zum Konfigurieren von NAPT in IPv4-Netzwerken finden Sie unter Konfigurieren von NAPT in IPv4-Netzwerken.
Um NAPT zu konfigurieren, müssen Sie auf Hierarchieebene eine Regel für die [edit services nat] dynamische Übersetzung der IPv6-Quelladressen konfigurieren.
So konfigurieren Sie NAPT in IPv6-Netzwerken:
Im folgenden Beispiel wird die dynamische Quellübersetzung (Adresse und Port) oder NAPT für ein IPv6-Netzwerk konfiguriert.
[edit services]
user@host# show
service-set IPV6-NAPT-ServiceSet {
nat-rules IPV6-NAPT-Rule;
interface-service {
service-interface sp-0/1/0;
}
}
nat {
pool IPV6-NAPT-Pool {
address 2002::1/96;
port automatic sequential;
}
rule IPV6-NAPT-Rule {
match-direction input;
term term1 {
then {
translated {
source-pool IPV6-NAPT-Pool;
translation-type {
napt-66;
}
}
}
}
}
}
adaptive-services-pics {
traceoptions {
flag all;
}
}
}
Beispiel: Konfigurieren von NAT mit Portübersetzung
Dieses Beispiel zeigt, wie NAT mit Portübersetzung konfiguriert wird.
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Eine universelle 5G-Routing-Plattform der MX-Serie mit einem Services-DPC oder ein Multiservice-Edge-Router der M Series mit einem Service-PIC
Ein Domain-Name-Server (DNS)
Junos OS Version 11.4 oder höher
Überblick
Dieses Beispiel zeigt eine vollständige CGN NAT44-Konfiguration und erweiterte Optionen.
Konfigurieren von NAT mit Portübersetzung
Vorgehensweise
Schritt-für-Schritt-Anleitung
So konfigurieren Sie das Service-Set:
-
Konfigurieren Sie eine Servicegruppe.
user@host# edit services service-set ss2 -
Wechseln Sie im Konfigurationsmodus auf die
[edit services nat]Hierarchieebene.[edit] user@host# edit services nat
-
Definieren Sie den Pool von Quelladressen, die für die dynamische Übersetzung verwendet werden müssen. Geben Sie für NAPT auch Portnummern an, wenn Sie den Quellpool konfigurieren.
[edit services nat] user@host# set pool pool name address source addresses user@host# set pool pool name port source ports
Zum Beispiel:
[edit services nat] user@host# set pool NAPT-Pool address 192.168.2.1/24; user@host# set pool NAPT-Pool port automatic
-
Geben Sie die zu verwendende NAT-Regel an.
[edit services service-set ss2]host# set nat-rules r1 - Definieren Sie eine NAT-Regel für die Übersetzung der Quelladressen. Setzen Sie dazu die
match-directionAnweisung der Regel aufinput. Definieren Sie außerdem einen Begriff, der als Übersetzungsart für die Übersetzung der Adressen des im vorherigen Schritt definierten Pools verwendet wirdnapt-44.[edit services nat] user@host# set rule rule name match-direction input user@host# set rule rule name term term name from source-address source-address user@host# set rule rule name term term name then translated source-pool pool name user@host# set rule rule name term term name then translated translation-type napt-44
Zum Beispiel:
[edit services nat] user@host# set rule r1 match-direction input user@host# set rule r1 term t1 from source-address 10.10.10.1 user@host# set rule r1 term t1 then translated source-pool NAPT-Pool user@host# set rule r1 term t1 then translated translation-type napt-44
-
Geben Sie den Schnittstellendienst an.
[edit services service-set ss2]host# set interface-service service-interface sp-5/0/0
Ergebnisse
user@host# show services service-sets sset2
service-set ss2 {
nat-rules r1;
interface-service {
service-interface sp-5/0/0;
}
}
nat {
pool NAPT-Pool {
address 192.168.2.1/24;
port automatic;
}
rule r1 {
match-direction input;
term t1 {
from {
source-address {
10.10.10.1/32;
}
}
then {
translated {
source-pool NAPT-Pool;
translation-type {
napt-44;
}
}
}
}
}
}
Beispiel: NAPT-Konfiguration auf dem MS-MPC mit einem Schnittstellen-Service-Set
Dieses Beispiel zeigt, wie die Netzwerkadressübersetzung mit Portübersetzung (NAPT) auf einem Router der MX-Serie konfiguriert wird, wobei ein MultiServices Modular Port Concentrator (MS-MPC) als Serviceschnittstellenkarte verwendet wird.
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Router der MX-Serie
Modularer MultiServices-Portkonzentrator (MS-MPC)
Junos OS Version 13.2R1 oder höher
Überblick
Ein Service Provider hat sich für ein MS-MPC als Plattform für die Bereitstellung von NAT-Services für neue Abonnenten entschieden.
Konfiguration
Führen Sie die folgenden Aufgaben aus, um NAPT44 mithilfe der MS-MPC als Dienstschnittstellenkarte zu konfigurieren:
- CLI-Schnellkonfiguration
- Schnittstellen konfigurieren
- Konfigurieren eines Anwendungssatzes mit akzeptablem Anwendungsdatenverkehr
- Konfigurieren einer Stateful Firewall-Regel
- Konfigurieren von NAT-Pool und -Regel
- Konfigurieren des Service-Sets
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle und fügen Sie sie dann in die CLI auf der Hierarchieebene [edit] ein.
set interfaces ge-0/2/0 unit 0 family inet address 10.255.248.2/24 set interfaces xe-1/1/0 unit 0 family inet address 10.255.247.2/24 set interfaces xe-1/1/0 unit 0 family inet service input service-set sset1 set interfaces xe-1/1/0 unit 0 family inet service output service-set sset1 set interfaces ms-3/0/0 unit 0 family inet set applications application-set accept-algs application junos-http set applications application-set accept-algs application junos-ftp set applications application-set accept-algs application junos-tftp set applications application-set accept-algs application junos-telnet set applications application-set accept-algs application junos-sip set applications application-set accept-algs application junos-rtcp set services stateful-firewall rule sf-rule1 match-direction input-output set services stateful-firewall rule sf-rule1 term sf-term1 from source-address 10.255.247.0/24 set services stateful-firewall rule sf-rule1 term sf-term1 from application-sets accept-algs set services stateful-firewall rule sf-rule1 term sf-term1 then accept set services nat pool napt-pool address 1.1.1.0/24 set services nat pool napt-pool port automatic * nat rule for napt set services nat rule nat-rule1 match-direction input set services nat rule nat-rule1 term nat-term1 from source-address 10.255.247.0/24 set services nat rule nat-rule1 term nat-term1 from application-sets accept-algs set services nat rule nat-rule1 term nat-term1 then translated source-pool napt-pool set services nat rule nat-rule1 term nat-term1 then translated translation-type napt-44 * nat rule for basic nat set services service-set sset1 stateful-firewall-rules sf-rule1 set services service-set sset1 nat-rules nat-rule1 set services service-set sset1 interface-service service-interface ms-3/0/0
Schnittstellen konfigurieren
Schritt-für-Schritt-Anleitung
Konfigurieren Sie die für die NAT-Verarbeitung erforderlichen Schnittstellen. Sie benötigen folgende Schnittstellen:
Eine kundenorientierte Schnittstelle, die den Datenverkehr vom und zum Kunden verarbeitet.
Eine Schnittstelle für das Internet.
Eine Services-Schnittstelle, die NAT- und Stateful-Firewall-Services für die kundenseitige Schnittstelle bereitstellt
Konfigurieren Sie die Schnittstelle für die kundenseitige Schnittstelle.
user@host# edit [edit ] user@host# set interfaces xe-1/1/0 unit 0 family inet address 10.255.247.2/24 user@host# set interfaces xe-1/1/0 unit 0 family inet service input service-set sset1 user@host# set interfaces xe-1/1/0 unit 0 family inet service output service-set sset1
Konfigurieren Sie die Schnittstelle für die Schnittstelle mit Internetzugriff.
[edit ] set interfaces ge-0/2/0 unit 0 family inet address 10.255.248.2/24
Konfigurieren Sie die Schnittstelle für die Servicegruppe, die Services mit der kundenorientierten Schnittstelle verbindet. In unserem Beispiel befindet sich die Schnittstelle auf einem MS-MPC.
[edit ] user@host# set interfaces ms-3/0/0 unit 0 family inet
Konfigurieren eines Anwendungssatzes mit akzeptablem Anwendungsdatenverkehr
Schritt-für-Schritt-Anleitung
Identifizieren Sie die akzeptablen Anwendungen für eingehenden Datenverkehr.
Geben Sie eine Anwendungsgruppe an, die akzeptablen eingehenden Anwendungsdatenverkehr enthält.
user@host# set applications application-set accept-algs application junos-http user@host# set applications application-set accept-algs application junos-ftp user@host# set applications application-set accept-algs application junos-tftp user@host# set applications application-set accept-algs application junos-telnet user@host# set applications application-set accept-algs application junos-sip user@host# set applications application-set accept-algs application junos-rtcp
Ergebnisse
user@host#edit services applications application-set accept-algs user@host#show application junos-http; application junos-ftp; application junos-tftp; application junos-telnet; application junos-sip; application junos-
Konfigurieren einer Stateful Firewall-Regel
Schritt-für-Schritt-Anleitung
Konfigurieren Sie eine Stateful-Firewall-Regel, die den gesamten eingehenden Datenverkehr akzeptiert.
Firewall-Matching für alle Ein- und Ausgaben festlegen
user@hos#t set services stateful-firewall rule sf-rule1 match-direction input-output
Identifizieren Sie die Quelladresse und den akzeptablen Anwendungsdatenverkehr von der kundenorientierten Schnittstelle.
user@host# set services stateful-firewall rule sf-rule1 term sf-term1 from source-address 10.255.247.0/24 user@host# set services stateful-firewall rule sf-rule1 term sf-term1 from application-sets accept-algs user@host# set services stateful-firewall rule sf-rule1 term sf-term1 then accept
Ergebnisse
user@host# edit services stateful-firewall
user@host# show
rule sf-rule1 {
match-direction input-output;
term sf-term1 {
from {
source-address {
10.255.247.0/24;
}
application-sets accept-algs;
}
then {
accept;
}
}
}
Konfigurieren von NAT-Pool und -Regel
Schritt-für-Schritt-Anleitung
Konfigurieren Sie einen NAT-Pool und eine Regel für die Adressübersetzung mit automatischer Portzuweisung.
Konfigurieren Sie den NAT-Pool mit automatischer Portzuweisung.
user@host# set services nat pool napt-pool address 1.1.1.0/24 user@host# set services nat pool napt-pool port automatic auto
Konfigurieren Sie eine NAT-Regel, die den Übersetzungstyp
napt-44mithilfe des definierten NAT-Pools anwendet.user@host# set services nat rule nat-rule1 term nat-term1 from application-sets accept-algs user@host# set services nat rule nat-rule1 term nat-term1 then translated source-pool napt-pool user@host# set services nat rule nat-rule1 term nat-term1 then translated translation-type napt-44
Ergebnisse
user@host#edit services nat
user@host#show
pool napt-pool {
address 1.1.1.0/24;
port {
automatic;
}
}
rule nat-rule1 {
match-direction input;
term nat-term1 {
from {
source-address {
10.255.247.0/24;
}
application-sets accept-algs;
}
then {
translated {
source-pool napt-pool;
translation-type {
napt-44;
}
}
}
}
}
Konfigurieren des Service-Sets
Schritt-für-Schritt-Anleitung
Konfigurieren Sie eine Schnittstellentyp-Servicegruppe.
Geben Sie die NAT- und Stateful-Firewall-Regeln an, die für den Kundendatenverkehr gelten.
user@host set services service-set sset1 stateful-firewall-rules sf-rule1 user@host set services service-set sset1 nat-rules bat-rule1
Geben Sie die Serviceschnittstelle an, die die Regeln auf den Kundendatenverkehr anwendet.
set services service-set sset1 interface-service service-interface ms-3/0/0
Ergebnisse
user@host# edit services service-set sset1 user@host# show set services service-set sset1 stateful-firewall-rules sf-rule1 set services service-set sset1 nat-rules nat-rule1 set services service-set sset1 interface-service service-interface ms-3/0/0
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie den Feature-Explorer , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.
sequential Option mit der
port automatic Anweisung auf Hierarchieebene für die
[edit services nat pool nat-pool-name] sequenzierte Zuweisung von Ports aus dem angegebenen Bereich aufnehmen.
auto Option ausgeblendet und veraltet und wird nur aus Gründen der Abwärtskompatibilität beibehalten.
sequential Sie die sequenzielle Zuweisung von Ports konfigurieren können.