Portweiterleitung
Übersicht über die Portweiterleitung
Sie können eine externe IP-Adresse und einen externen Port einer IP-Adresse und einem Port in einem privaten Netzwerk zuordnen. Diese Zuordnung, die als Portweiterleitung bezeichnet wird, wird auf den MultiServices-PICs MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
Mit der Portweiterleitung können die Zieladresse und der Port eines Pakets geändert werden, um den richtigen Host in einem Network Address Translation (NAT)-Gateway zu erreichen. Die Übersetzung erleichtert das Erreichen eines Hosts innerhalb eines getarnten, typischerweise privaten Netzwerks, basierend auf der Portnummer, auf der das Paket vom ursprünglichen Host empfangen wurde. Ein Beispiel für diese Art von Ziel ist der Host eines öffentlichen HTTP-Servers in einem privaten Netzwerk. Sie können die Portweiterleitung auch konfigurieren, ohne eine Zieladresse zu übersetzen. Die Portweiterleitung unterstützt endpunktunabhängiges Mapping (EIM), endpunktunabhängiges Ausfüllen (EIF) und Adresspooling-Paarungen (APP).
Die Portweiterleitung funktioniert nur mit dem FTP-Gateway auf Anwendungsebene (ALG) und bietet keine Unterstützung für Technologien, die IPv6-Dienste über IPv4-Infrastruktur anbieten, z. B. IPv6 Rapid Deployment (6rd) und Dual-Stack Lite (DS-Lite). Die Portweiterleitung unterstützt nur dnat-44 und twice-napt-44 in IPv4-Netzwerken.
Vorteile der Portweiterleitung
Ermöglicht Remotecomputern, z. B. öffentlichen Computern im Internet, die Verbindung mit einem nicht standardmäßigen Port eines bestimmten Computers, der in einem privaten Netzwerk verborgen ist.
Konfigurieren der Portweiterleitung für die statische Zieladressübersetzung
Sie können die Zieladressübersetzung mit Portweiterleitung konfigurieren. Mit der Portweiterleitung können die Zieladresse und der Port eines Pakets geändert werden, um den richtigen Host in einem Network Address Translation (NAT)-Gateway zu erreichen. Die Portweiterleitung wird auf den MultiServices-PICs MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
So konfigurieren Sie die Zieladressübersetzung mit Portweiterleitung:
Eine ähnliche Konfiguration ist mit zweimal NAT für IPv4 möglich. Siehe Beispiel: Konfigurieren der Portweiterleitung mit zweimal NAT.
Portweiterleitung und Stateful-Firewall können zusammen konfiguriert werden. Die zustandsgesteuerte Firewall hat Vorrang vor der Portweiterleitung.
Konfigurieren der Portweiterleitung ohne Zieladressübersetzung
Sie können die Portweiterleitung konfigurieren, ohne eine Zieladresse zu übersetzen. Mit der Portweiterleitung kann der Zielport so geändert werden, dass er den richtigen Port in einem Network Address Translation (NAT)-Gateway erreicht. Die Portweiterleitung wird auf den MultiServices-PICs MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
So konfigurieren Sie die Portweiterleitung ohne Zieladressübersetzung in IPv4-Netzwerken:
Portweiterleitung und Stateful-Firewall können zusammen konfiguriert werden. Die zustandsgesteuerte Firewall hat Vorrang vor der Portweiterleitung.
Beispiel: Konfigurieren der Portweiterleitung mit zweimaliger NAT
Im folgenden Beispiel wird die Portweiterleitung mit twice-napt-44 als Übersetzungstyp konfiguriert. Im Beispiel sind außerdem eine zustandsbehaftete Firewall und mehrere Portzuordnungen konfiguriert.
Die Portweiterleitung wird auf den MultiServices-PICs MS-DPC, MS-100, MS-400 und MS-500 unterstützt. Ab Junos OS Version 17.4R1 wird die Portweiterleitung auch auf MS-MPC und MS-MIC unterstützt.
[edit services]
user@host# show
service-set in {
syslog {
host local {
services any;
}
}
stateful-firewall-rules r;
nat-rules r;
interface-service {
service-interface sp-10/0/0.0;
}
}
stateful-firewall {
rule r {
match-direction input;
term t {
from {
destination-port {
range low 20 high 5000;
}
}
then {
reject;
}
}
}
}
nat {
pool x {
address 203.0.113.2/32;
}
rule r {
match-direction input;
term t {
from {
destination-address {
198.51.100.2/32;
}
destination-port {
range low 10 high 20000;
}
}
then {
port-forwarding-mappings y;
translated {
destination-pool x;
translation-type {
twice-napt-44;
}
}
}
}
}
port-forwarding y {
destined-port 45;
translated-port 23;
destined-port 55;
translated-port 33;
destined-port 65;
translated-port 43;
}
}
adaptive-services-pics {
traceoptions {
file sp-trace;
flag all;
}
}
Die zustandsgesteuerte Firewall hat Vorrang vor der Portweiterleitung. In diesem Beispiel wird beispielsweise kein Datenverkehr übersetzt, der für einen Port zwischen 20 und 5000 bestimmt ist.
Es können bis zu 32 Portkarten konfiguriert werden.
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Funktionen entdecken , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.