Routing, Schnittstellen und NAT für logische Benutzersysteme
Das benutzerlogische System ermöglicht es Ihnen, Routing-Protokolle, Schnittstellen und NAT zu konfigurieren. Routing-Protokolle verarbeiten alle Routing-Nachrichten. NAT ist ein Mechanismus, um die IP-Adresse eines Computers oder einer Gruppe von Computern in eine einzige öffentliche Adresse zu übersetzen, wenn die Pakete ins Internet gesendet werden. Weitere Informationen finden Sie in den folgenden Themen:
Logische Systeme verstehen Network Address Translation
Network Address Translation (NAT) ist eine Methode zum Ändern oder Übersetzen von Netzwerkadressinformationen in Paket-Headern. Eine oder beide Quell- und Zieladressen in einem Paket können übersetzt werden. NAT kann die Übersetzung von Portnummern sowie IP-Adressen umfassen.
Jede Kombination aus statischer, Ziel- oder Quell-NAT kann im logischen Root- oder Benutzersystem konfiguriert werden. Die Konfiguration von NAT in einem logischen System ist identisch mit der Konfiguration von NAT in einem Stammsystem. Der primäre Administrator kann NAT sowohl im primären logischen System als auch in jedem logischen Benutzersystem konfigurieren und überwachen.
Ab Junos OS Version 18.2R1 wird die NAT-Funktionalität für logische Systeme auf SRX4100- und SRX4200-Geräten zusätzlich zur bestehenden Unterstützung auf SRX1500-, SRX5400-, SRX5600- und SRX5800-Geräten unterstützt.
Für jedes logische Benutzersystem kann der primäre Administrator die maximale und reservierte Anzahl für die folgenden NAT-Ressourcen konfigurieren:
Quell-NAT-Pools und Ziel-NAT-Pools
IP-Adressen in Quell-NAT-Pools mit und ohne Portadressübersetzung
Regeln für Quell-, Ziel- und statische NAT
Persistente NAT-Bindungen
IP-Adressen, die Portüberlastung unterstützen
In einem benutzerlogischen System kann der Administrator des benutzerlogischen Systems den Betriebsbefehl show system security-profile mit einer NAT-Option verwenden, um die Anzahl der NAT-Ressourcen anzuzeigen, die dem logischen Benutzersystem zugeordnet sind.
Der primäre Administrator kann ein Sicherheitsprofil für das primäre logische System konfigurieren, das die maximale und reservierte Anzahl von NAT-Ressourcen angibt, die auf das primäre logische System angewendet werden. Die Anzahl der im primären logischen System konfigurierten Ressourcen wird auf die maximale Anzahl der auf dem Gerät verfügbaren NAT-Ressourcen angerechnet.
Von einem logischen Benutzersystem aus kann der Administrator des logischen Benutzersystems den show security nat Befehl verwenden, um die Informationen zu NAT für das logische Benutzersystem anzuzeigen. Vom primären logischen System aus kann der primäre Administrator denselben Befehl verwenden, um Informationen für das primäre logische System, ein bestimmtes logisches Benutzersystem oder alle logischen Systeme anzuzeigen.
Siehe auch
Beispiel: Konfigurieren von Network Address Translation für einen Benutzer Logische Systeme
Dieses Beispiel zeigt, wie statische NAT für ein logisches Benutzersystem konfiguriert wird.
Anforderungen
Bevor Sie beginnen:
Melden Sie sich beim logischen Benutzersystem als Administrator des logischen Systems an. Siehe Übersicht über die Konfiguration logischer Benutzersysteme.
Verwenden Sie den
show system security-profile nat-static-ruleBefehl, um die statischen NAT-Ressourcen anzuzeigen, die dem logischen System zugeordnet sind.Konfigurieren Sie Sicherheitsrichtlinien. Siehe Beispiel: Konfigurieren von Sicherheitsrichtlinien in einem benutzerlogischen System.
Überblick
In diesem Beispiel wird das benutzerlogische System ls-product-design konfiguriert, das in Beispiel: Erstellen logischer Benutzersysteme, deren Administratoren, ihre Benutzer und ein logisches Interconnect-System gezeigt wird.
Geräte in der ls-product-design-untrust-Zone greifen über die Adresse 12.1.1.200/32 auf einen bestimmten Host in der ls-product-design-trust-Zone zu. Bei Paketen, die aus der Zone ls-product-design-untrusted mit der Ziel-IP-Adresse 12.1.1.200/32 in das logische System ls-product-design gelangen, wird die Ziel-IP-Adresse in die IP-Adresse 12.1.1.100/32 übersetzt. In diesem Beispiel wird die in Tabelle 1 beschriebene statische NAT konfiguriert.
Funktion |
Bezeichnung |
Konfigurationsparameter |
|---|---|---|
Statischer NAT-Regelsatz |
1 Rupien |
|
Proxy-ARP |
Adresse 12.1.1.200 auf Schnittstelle lt-0/0/0.3. |
Konfiguration
Vorgehensweise
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie mit Ihrer Netzwerkkonfiguration übereinstimmen, kopieren Sie die Befehle, fügen Sie sie [edit] in die CLI auf Hierarchieebene ein und geben Sie sie dann im Konfigurationsmodus ein commit .
set security nat static rule-set rs1 from zone ls-product-design-untrust set security nat static rule-set rs1 rule r1 match destination-address 12.1.1.200/32 set security nat static rule-set rs1 rule r1 then static-nat prefix 12.1.1.100/32 set security nat proxy-arp interface lt-0/0/0.3 address 12.1.1.200/32
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Anweisungen dazu finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im Junos OS CLI-Benutzerhandbuch.
So konfigurieren Sie NAT in einem logischen Benutzersystem:
Melden Sie sich als Administrator des logischen Systems beim Benutzer an und wechseln Sie in den Konfigurationsmodus.
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
Konfigurieren Sie einen statischen NAT-Regelsatz.
[edit security nat static] lsdesignadmin1@host:ls-product-design# set rule-set rs1 from zone ls-product-design-untrust
Konfigurieren Sie eine Regel, die Pakete abgleicht und die Zieladresse in den Paketen übersetzt.
[edit security nat static] lsdesignadmin1@host:ls-product-design# set rule-set rs1 rule r1 match destination-address 12.1.1.200/32 lsdesignadmin1@host:ls-product-design# set rule-set rs1 rule r1 then static-nat prefix 12.1.1.100/32
Konfigurieren Sie das Proxy-ARP.
[edit security nat] lsdesignadmin1@host:ls-product-design# set proxy-arp interface lt-0/0/0.3 address 12.1.1.200/32
Ergebnisse
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration durch Eingabe des show security nat Befehls. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
lsdesignadmin1@host:ls-product-design# show security nat
static {
rule-set rs1 {
from zone ls-product-design-untrust;
rule r1 {
match {
destination-address 12.1.1.200/32;
}
then {
static-nat prefix 12.1.1.100/32;
}
}
}
}
proxy-arp {
interface lt-0/0/0.3 {
address {
12.1.1.200/32;
}
}
}
Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .
Verifizierung
Führen Sie die folgenden Aufgaben aus, um zu bestätigen, dass die Konfiguration ordnungsgemäß funktioniert:
Überprüfen der statischen NAT-Konfiguration
Zweck
Stellen Sie sicher, dass Datenverkehr vorhanden ist, der dem statischen NAT-Regelsatz entspricht.
Aktion
Geben Sie im Betriebsmodus den show security nat static rule Befehl ein. Zeigen Sie das Feld Übersetzungstreffer an, um nach Datenverkehr zu suchen, der der Regel entspricht.
Beispiel: Schnittstellen und Routing-Instanzen für ein Benutzerlogisches System konfigurieren
Dieses Beispiel zeigt, wie Schnittstellen und Routinginstanzen für ein Mandantensystem konfiguriert werden.
Anforderungen
Bevor Sie beginnen:
Melden Sie sich beim logischen Benutzersystem als Administrator des logischen Benutzersystems an. Siehe Übersicht über die Konfiguration logischer Benutzersysteme.
Legen Sie fest, welche logischen Schnittstellen und optional welche logischen Tunnelschnittstellen Ihrem logischen Benutzersystem vom primären Administrator zugewiesen werden. Der primäre Administrator konfiguriert die logischen Tunnelschnittstellen. Weitere Informationen finden Sie unter Grundlegendes zu den primären logischen Systemen und der Rolle des primären Administrators.
Überblick
In diesem Beispiel wird das benutzerlogische System ls-product-design konfiguriert, das in Beispiel: Erstellen logischer Benutzersysteme, deren Administratoren, ihre Benutzer und ein logisches Interconnect-System gezeigt wird.
In diesem Beispiel werden die in Tabelle 2 beschriebenen Schnittstellen und Routinginstanzen konfiguriert.
Funktion |
Bezeichnung |
Konfigurationsparameter |
|---|---|---|
Schnittstelle |
GE-0/0/5.1 |
|
Routing-Instanz |
PD-VR1 |
|
Konfiguration
Vorgehensweise
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie mit Ihrer Netzwerkkonfiguration übereinstimmen, kopieren Sie die Befehle, fügen Sie sie [edit] in die CLI auf Hierarchieebene ein und geben Sie sie dann im Konfigurationsmodus ein commit .
set interfaces ge-0/0/5 unit 1 family inet address 12.1.1.1/24 set interfaces ge-0/0/5 unit 1 vlan-id 700 set routing-instances pd-vr1 instance-type virtual-router set routing-instances pd-vr1 interface ge-0/0/5.1 set routing-instances pd-vr1 interface lt-0/0/0.3 set routing-instances pd-vr1 routing-options static route 13.1.1.0/24 next-hop 10.0.1.3 set routing-instances pd-vr1 routing-options static route 14.1.1.0/24 next-hop 10.0.1.4 set routing-instances pd-vr1 routing-options static route 12.12.1.0/24 next-hop 10.0.1.1
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Anweisungen dazu finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im Junos OS CLI-Benutzerhandbuch.
So konfigurieren Sie eine Schnittstelle und eine Routing-Instanz in einem benutzerlogischen System:
Melden Sie sich als Administrator des logischen Systems beim Benutzer an und wechseln Sie in den Konfigurationsmodus.
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
Konfigurieren Sie die logische Schnittstelle für ein logisches Benutzersystem.
[edit interfaces] lsdesignadmin1@host:ls-product-design# set ge-0/0/5 unit 1 family inet address 12.1.1.1/24 lsdesignadmin1@host:ls-product-design# set ge-0/0/5 unit 1 vlan-id 700
Konfigurieren Sie die Routing-Instanz und weisen Sie Schnittstellen zu.
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 instance-type virtual-router lsdesignadmin1@host:ls-product-design# set pd-vr1 interface ge-0/0/5.1 lsdesignadmin1@host:ls-product-design# set pd-vr1 interface lt-0/0/0.3
Konfigurieren Sie statische Routen.
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 13.1.1.0/24 next-hop 10.0.1.3 lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 14.1.1.0/24 next-hop 10.0.1.4 lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 12.12.1.0/24 next-hop 10.0.1.1
Ergebnisse
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration durch Eingabe der show interfaces show routing-instances und-Befehle. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
Der primäre Administrator konfiguriert die lt-0/0/0.3-Schnittstelle. Daher erscheint die lt-0/0/0.3-Konfiguration in der show interfaces Ausgabe, obwohl Sie dieses Element nicht konfiguriert haben.
lsdesignadmin1@host:ls-product-design# show interfaces
ge-0/0/5 {
unit 1 {
vlan-id 700;
family inet {
address 12.1.1.1/24;
}
}
}
lt-0/0/0 {
unit 3 {
encapsulation ethernet;
peer-unit 2;
family inet {
address 10.0.1.2/24;
}
}
}
lsdesignadmin1@host:ls-product-design# show routing-instances
pd-vr1 {
instance-type virtual-router;
interface ge-0/0/5.1;
interface lt-0/0/0.3;
routing-options {
static {
route 13.1.1.0/24 next-hop 10.0.1.3;
route 14.1.1.0/24 next-hop 10.0.1.4;
route 12.12.1.0/24 next-hop 10.0.1.1;
}
}
}
Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .
Beispiel: Konfigurieren des OSPF-Routing-Protokolls für einen Benutzer Logische Systeme
In diesem Beispiel wird gezeigt, wie OSPF für ein logisches Benutzersystem konfiguriert wird.
Anforderungen
Bevor Sie beginnen:
Melden Sie sich beim logischen Benutzersystem als Administrator des logischen Benutzersystems an. Siehe Übersicht über die Konfiguration logischer Benutzersysteme.
Konfigurieren Sie die logische Schnittstelle ge-0/0/5.1. Weisen Sie der pd-vr1-Routing-Instanz ge-0/0/5.1 und lt-0/0/0.3 zu. Siehe Beispiel: Schnittstellen und Routing-Instanzen für ein logisches System des Benutzers konfigurieren.
Überblick
In diesem Beispiel konfigurieren Sie OSPF für das logische Benutzersystem ls-product-design, wie in Beispiel: Erstellen logischer Benutzersysteme, deren Administratoren, ihre Benutzer und ein logisches Interconnect-System gezeigt.
In diesem Beispiel wird das OSPF-Routing auf den Schnittstellen ge-0/0/5.1 und lt-0/0/0.3 im benutzerlogischen System ls-product-design aktiviert. Sie konfigurieren die folgenden Routing-Richtlinien, um Routen aus der Junos OS-Routing-Tabelle in OSPF in der pd-vr1-Routing-Instanz zu exportieren:
ospf-redist-direct: Routen, die von direkt verbundenen Schnittstellen gelernt werden.
ospf-redist-static – Statische Routen.
ospf-to-ospf: Routen, die von OSPF gelernt wurden.
Konfiguration
Vorgehensweise
CLI-Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie mit Ihrer Netzwerkkonfiguration übereinstimmen, kopieren Sie die Befehle, fügen Sie sie [edit] in die CLI auf Hierarchieebene ein und geben Sie sie dann im Konfigurationsmodus ein commit .
set policy-options policy-statement ospf-redist-direct from protocol direct set policy-options policy-statement ospf-redist-direct then accept set policy-options policy-statement ospf-redist-static from protocol static set policy-options policy-statement ospf-redist-static then accept set policy-options policy-statement ospf-to-ospf from protocol ospf set policy-options policy-statement ospf-to-ospf then accept set routing-instances pd-vr1 protocols ospf export ospf-redist-direct set routing-instances pd-vr1 protocols ospf export ospf-redist-static set routing-instances pd-vr1 protocols ospf export ospf-to-ospf set routing-instances pd-vr1 protocols ospf area 0.0.0.1 interface ge-0/0/5.1 set routing-instances pd-vr1 protocols ospf area 0.0.0.1 interface lt-0/0/0.3
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Anweisungen dazu finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
So konfigurieren Sie OSPF für das logische Benutzersystem:
Melden Sie sich beim logischen Benutzersystem als Administrator des logischen Benutzersystems an und wechseln Sie in den Konfigurationsmodus.
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
Erstellen Sie Routing-Richtlinien, die Routen akzeptieren.
[edit policy-options] lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-direct from protocol direct lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-direct then accept lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-static from protocol static lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-static then accept lsdesignadmin1@host:ls-product-design# set policy-statement ospf-to-ospf from protocol ospf lsdesignadmin1@host:ls-product-design# set policy-statement ospf-to-ospf then accept
Wenden Sie die Routing-Richtlinien auf Routen an, die aus der Junos OS-Routing-Tabelle in OSPF exportiert werden.
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-redist-direct lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-redist-static lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-to-ospf
Aktivieren Sie OSPF auf den logischen Schnittstellen.
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf area 0.0.0.1 interface ge-0/0/5.1 lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf area 0.0.0.1 interface lt-0/0/0.3
Ergebnisse
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration durch Eingabe der show policy-options show routing-instances und-Befehle. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
Der Kürze halber enthält diese show Befehlsausgabe nur die Konfiguration, die für dieses Beispiel relevant ist. Alle anderen Konfigurationen auf dem System wurden durch Auslassungspunkte ersetzt (...).
[edit]
lsdesignadmin1@host:ls-product-design# show policy-options
policy-statement ospf-redist-direct {
from protocol direct;
then accept;
}
policy-statement ospf-redist-static {
from protocol static;
then accept;
}
policy-statement ospf-to-ospf {
from protocol ospf;
then accept;
}
[edit]
lsdesignadmin1@host:ls-product-design# show routing-instances
pd-vr1 {
...
protocols {
ospf {
export [ ospf-redist-direct ospf-to-ospf ospf-redist-static ];
area 0.0.0.1 {
interface lt-0/0/0.3;
interface ge-0/0/5.1;
}
}
}
}
Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .
Verifizierung
Bestätigen Sie, dass die Konfiguration ordnungsgemäß funktioniert.
Überprüfen von OSPF-Schnittstellen
Zweck
Überprüfen Sie OSPF-fähige Schnittstellen.
Aktion
Geben Sie in der CLI den show ospf interface instance pd-vr1 Befehl ein.
lsdesignadmin1@host:ls-product-design> show ospf interface instance pd-vr1 Interface State Area DR ID BDR ID Nbrs lt-0/0/0.3 DR 0.0.0.0 10.0.1.2 0.0.0.0 0 ge-0/0/5.1 DR 0.0.0.1 10.0.1.2 0.0.0.0 0
Überprüfen von OSPF-Nachbarn
Zweck
Überprüfen Sie die OSPF-Nachbarn.
Aktion
Geben Sie in der CLI den show ospf neighbor instance pd-vr1 Befehl ein.
lsdesignadmin1@host:ls-product-design> show ospf neighbor instance pd-vr1 Address Interface State ID Pri Dead 10.0.1.1 plt0.1 Full 0.0.0.0 128 39
Überprüfen von OSPF-Routen
Zweck
Überprüfen Sie die OSPF-Routen.
Aktion
Geben Sie in der CLI den show ospf route instance pd-vr1 Befehl ein.
lsdesignadmin1@host:ls-product-design> show ospf route instance pd-vr1 Topology default Route Table: Prefix Path Route NH Metric NextHop Nexthop Type Type Type Interface Address/LSP 10.0.1.0/24 Intra Network IP 1 lt-0/0/0.3 12.12.1.0/24 Intra Network IP 1 ge-0/0/5.1