Création de règles de stratégie NAT
Le traitement NAT est centré sur l’évaluation des ensembles et règles NAT. Un ensemble de règles détermine la direction globale du trafic à traiter. Une fois qu’un ensemble de règles correspondant au trafic est trouvé, chaque règle de l’ensemble de règles est évaluée pour une correspondance. Les règles NAT peuvent correspondre sur les informations de paquet suivantes :
Adresse source et destination
Port source (pour nat source et statique uniquement)
Port de destination
La première règle du jeu de règles correspondant au trafic est utilisée. Si un paquet correspond à une règle d’un ensemble de règles pendant l’établissement de session, le trafic est traité en fonction de l’action spécifiée par cette règle.
Pour créer une nouvelle règle NAT, cliquez sur le nom de la stratégie NAT. La Single NAT Policy page s’affiche et vous fournit des options pour configurer des règles NAT. Vous pouvez également cliquer sur le numéro de règle répertorié sous Règles par rapport à la stratégie pour créer une nouvelle règle. Vous pouvez configurer les types de règles NAT suivants :
Statique : pour ajouter une règle NAT statique, cliquez sur Ajouter une règle NAT statique ou cliquez sur Créer dans le coin supérieur droit et sélectionnez Statique.
Source : pour ajouter une règle NAT source, cliquez sur Ajouter une règle NAT source ou cliquez sur Créer dans le coin supérieur droit et sélectionnez Source.
Destination : pour ajouter une règle NAT de destination, cliquez sur Ajouter une règle NAT de destination ou cliquez sur Créer dans le coin supérieur droit et sélectionnez Destination.
Selon le type de règle que vous avez choisi, certains champs de la règle ne seront pas applicables. En plus de définir des règles entre les zones et les interfaces, vous pouvez définir des règles NAT avec des routeurs virtuels définis sur l’équipement. Ces règles peuvent être publiées et mises à jour avec succès sur l’équipement.
Pour créer une règle de stratégie NAT :
Une règle NAT avec la configuration que vous avez fournie est créée.
Le tableau 1 fournit des instructions sur l’utilisation des champs de la page stratégie NAT unique .
Champ |
Description |
|---|---|
Source |
Cliquez sur l’icône d’ajout (+) pour sélectionner les points de terminaison source sur lesquels s’applique la règle de stratégie NAT, dans la liste affichée d’adresses, de protocoles, d’interfaces, d’instances de routage, de zones ou de ports. Les points de terminaison possibles pour la source diffèrent selon que la règle NAT est une règle NAT source, destination ou statique.
Vous pouvez également sélectionner un point de terminaison source à l’aide des méthodes décrites dans Sélection de la source NAT. |
Destination |
Cliquez sur l’icône d’ajout (+) pour sélectionner les points de terminaison de destination sur lesquels s’applique la règle de stratégie NAT, dans la liste affichée d’adresses, d’interfaces, de services, d’instances de routage, de zones ou de ports. Les points de terminaison possibles pour la destination diffèrent selon que la règle NAT est une règle de NAT source, de destination ou statique.
Vous pouvez sélectionner un point de terminaison de destination à l’aide des méthodes décrites dans Sélection de destination NAT.
Note:
Lorsque vous créez une règle NAT de destination pour le trafic arrivant sur une interface qui termine une liaison VPN, le processus de traduction peut interrompre la liaison VPN. Cela se produira si l’adresse de destination dans une règle NAT de destination est spécifiée uniquement en tant qu’adresse IP wan de cette interface. Par exemple, dans la règle NAT suivante, tout trafic destiné à Wan.IP sera traduit en pool de destination et interrompra la fonctionnalité des paquets de liaison VPN qui se terminent sur cette interface.
Dans de tels cas, il est donc recommandé d’utiliser une règle NAT de destination avec le champ de destination comme
|
| Translation | |
Type de traduction |
Spécifiez le type de traduction du trafic entrant. Les options de traduction varient selon que vous créez une règle NAT source, statique ou de destination. Choisissez l’un des types de traduction suivants pour une règle NAT source :
Choisissez l’un des types de traduction suivants pour une règle NAT statique :
Choisissez l’un des types de traduction suivants pour une règle NAT de destination :
|
Paramètres avancés (facultatif) |
Cliquez sur Configurer pour configurer les paramètres avancés d’une règle NAT source ou statique. Pour plus d’informations sur les paramètres avancés pour les types de traduction Interface et Pool pour une règle NAT source, reportez-vous au tableau 2. Pour plus d’informations sur les paramètres avancés des types de traduction Interface et Pool pour une règle NAT statique, voir le tableau 3 |
| Détails | |
Nom |
Saisissez une chaîne unique de caractères alphanumériques, de points, de points, de tirets et de soulignements. Aucun espace n’est autorisé et la longueur maximale est de 255 caractères. |
Description |
Saisissez une description de l’intention de la stratégie ; la longueur maximale est de 1 024 caractères. |
Points de fin |
Créez des points de terminaison source et de destination tels que des adresses et des services.
Pour modifier les paramètres configurés d’une adresse ou d’un service, passez la souris dessus et cliquez sur l’icône de modification (symbole du crayon). |
Le tableau 2 fournit des instructions sur l’utilisation des champs de la page Paramètres avancés pour une règle NAT source.
Champ |
Description |
|---|---|
Persistante |
Activez la case à cocher pour vous assurer que toutes les demandes provenant de la même adresse de transport interne sont mappées à la même adresse de transport réflexive.
Note:
Pour que la persistance soit applicable à la stratégie NAT, assurez-vous que la surcharge de port est désactivée pour l’équipement auquel la stratégie NAT est applicable. Utilisez la commande suivante pour désactiver la surcharge de port d’un équipement : [Edit mode] set security nat source interface port-overloading off |
Type NAT persistant |
Configurez les mappages NAT persistants.
|
Délai d’inactivité |
Le temps, en quelques secondes, que la liaison NAT persistante reste dans la mémoire du site lorsque toutes les sessions de l’entrée de liaison ont pris fin. Lorsque le délai configuré est atteint, la liaison est supprimée de la mémoire. Le délai d’inactivité peut varier de 60 à 7 200 secondes. La valeur par défaut du délai d’inactivité est de 60 secondes. |
Nombre maximal de sessions |
Nombre maximal de sessions : nombre maximal de sessions auxquelles une liaison NAT persistante peut être associée. Par exemple, si le nombre maximal de session de la règle NAT persistante est 65 536, il est impossible d’établir une session 65 537e si cette session utilise la liaison NAT persistante créée à partir de la règle NAT persistante. La gamme est de 8 à 65 536. La valeur par défaut est de 30 sessions. |
Mappage d’adresses |
Sélectionnez une adresse dans la liste disponible. |
Adresse du pool |
Affiche l’adresse du pool NAT. |
Base d’adresses d’hôte |
Affiche l’adresse de base de la plage d’adresses IP source d’origine. La base d’adresses des hôtes est utilisée pour le changement d’adresse IP. |
Traduction de ports |
Affiche si la traduction de port est activée ou désactivée pour cette règle NAT. |
Type de pool de débordement |
Affiche le pool source à utiliser lorsque le pool d’adresses actuel est épuisé. |
Nom du pool de débordement |
Affiche le nom du pool de débordement. |
Type de port mappé |
Spécifiez le type de mappage de ports :
|
Le tableau 3 fournit des instructions sur l’utilisation des champs de la page Paramètres avancés pour une règle NAT statique.
Champ |
Description |
|---|---|
Type de port mappé |
Spécifiez le type de mappage de ports :
|
Instance de routage |
Sélectionnez l’instance de routage pour la règle NAT statique. |