Portweiterleitung
Portweiterleitung – Übersicht
Sie können eine externe IP-Adresse und einen externen Port einer IP-Adresse und einem Port in einem privaten Netzwerk zuordnen. Diese Zuordnung, Portweiterleitung genannt, wird auf den MultiServices-PICS MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
Mit der Portweiterleitung können die Zieladresse und der Port eines Pakets so geändert werden, dass sie den richtigen Host in einem Network Address Translation (NAT)-Gateway erreichen. Die Übersetzung erleichtert das Erreichen eines Hosts in einem maskierten, typischerweise privaten Netzwerk, basierend auf der Portnummer, über die das Paket vom Ursprungshost empfangen wurde. Ein Beispiel für diese Art von Ziel ist der Host eines öffentlichen HTTP-Servers in einem privaten Netzwerk. Sie können die Portweiterleitung auch konfigurieren, ohne eine Zieladresse zu übersetzen. Die Portweiterleitung unterstützt Endgeräte-unabhängiges Mapping (EIM), Endgerät-unabhängiges Filltering (EIF) und Address Pooling Paired (APP).
Die Portweiterleitung funktioniert nur mit dem FTP-Gateway auf Anwendungsebene (ALG) und bietet keine Unterstützung für Technologien, die IPv6-Services über IPv4-Infrastruktur anbieten, wie z. B. IPv6 Rapid Bereitstellung (6rd) und Dual-Stack Lite (DS-Lite). Portweiterleitung unterstützt nur dnat-44 und twice-napt-44 in IPv4-Netzwerken.
Vorteile der Portweiterleitung
Ermöglicht Remotecomputern, z. B. öffentlichen Computern im Internet, eine Verbindung mit einem nicht standardmäßigen Port eines bestimmten Computers herzustellen, der in einem privaten Netzwerk verborgen ist.
Portweiterleitung für die Übersetzung statischer Zieladressen konfigurieren
Sie können die Zieladressübersetzung mit Portweiterleitung konfigurieren. Mit der Portweiterleitung können die Zieladresse und der Port eines Pakets so geändert werden, dass sie den richtigen Host in einem Network Address Translation (NAT)-Gateway erreichen. Die Portweiterleitung wird auf den MultiServices-PICS MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
So konfigurieren Sie die Zieladressübersetzung mit Portweiterleitung:
Eine ähnliche Konfiguration ist mit doppelter NAT für IPv4 möglich. Siehe Beispiel: Portweiterleitung mit Twice NAT konfigurieren.
Portweiterleitung und Stateful Firewall können zusammen konfiguriert werden. Eine Stateful-Firewall hat Vorrang vor der Portweiterleitung.
Portweiterleitung ohne Zieladressübersetzung konfigurieren
Sie können die Portweiterleitung konfigurieren, ohne eine Zieladresse zu übersetzen. Mit der Portweiterleitung kann der Zielport so geändert werden, dass er den richtigen Port in einem Network Address Translation (NAT)-Gateway erreicht. Die Portweiterleitung wird auf den MultiServices-PICS MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
So konfigurieren Sie die Portweiterleitung ohne Zieladressübersetzung in IPv4-Netzwerken:
Portweiterleitung und Stateful Firewall können zusammen konfiguriert werden. Eine Stateful-Firewall hat Vorrang vor der Portweiterleitung.
Beispiel: Portweiterleitung mit Twice NAT konfigurieren
Im folgenden Beispiel wird die Portweiterleitung mit twice-napt-44 als Übersetzungstyp konfiguriert. Für das Beispiel sind außerdem eine Stateful-Firewall und mehrere Portzuordnungen konfiguriert.
Die Portweiterleitung wird auf den MultiServices-PICS MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
[edit services]
user@host# show
service-set in {
syslog {
host local {
services any;
}
}
stateful-firewall-rules r;
nat-rules r;
interface-service {
service-interface sp-10/0/0.0;
}
}
stateful-firewall {
rule r {
match-direction input;
term t {
from {
destination-port {
range low 20 high 5000;
}
}
then {
reject;
}
}
}
}
nat {
pool x {
address 203.0.113.2/32;
}
rule r {
match-direction input;
term t {
from {
destination-address {
198.51.100.2/32;
}
destination-port {
range low 10 high 20000;
}
}
then {
port-forwarding-mappings y;
translated {
destination-pool x;
translation-type {
twice-napt-44;
}
}
}
}
}
port-forwarding y {
destined-port 45;
translated-port 23;
destined-port 55;
translated-port 33;
destined-port 65;
translated-port 43;
}
}
adaptive-services-pics {
traceoptions {
file sp-trace;
flag all;
}
}
Eine Stateful-Firewall hat Vorrang vor der Portweiterleitung. In diesem Beispiel wird beispielsweise kein Datenverkehr übersetzt, der für einen Port zwischen 20 und 5000 bestimmt ist.
Es können bis zu 32 Portzuordnungen konfiguriert werden.
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie den Feature-Explorer , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.