Présentation de la configuration NAT

Configuration des pools NAT

Vous pouvez utiliser l’instruction pour définir les adresses (ou préfixes), les plages d’adresses et les ports utilisés pour la traduction d’adresses pool réseau (NAT). Pour configurer les informations, incluez l’instruction pool au niveau de la [edit services nat] hiérarchie.

À partir de Junos OS version 14.2, configurez le pool de NAT comme suit. À partir de la version 16.1 de Junos OS, l’instruction limit-ports-per-address est prise en charge.

Dans Junos OS version 14.1 et antérieure, configurez le pool de NAT comme suit :

Pour configurer des pools pour le NAT traditionnel, spécifiez un pool de destination ou un pool source.

Avec le NAT source statique et le NAT source dynamique, vous pouvez spécifier plusieurs adresses IPv4 (ou préfixes) et plages d’adresses IPv4. Vous pouvez prendre en charge jusqu’à 32 préfixes ou plages d’adresses (ou une combinaison des deux) dans un seul pool.

Avec la NAT de destination statique, vous pouvez également spécifier plusieurs préfixes et plages d’adresses dans un seul terme. Plusieurs termes NAT de destination peuvent partager un pool NAT de destination. Toutefois, le masque de réseau ou la plage de l’adresse from doit être inférieur ou égal au masque de réseau ou à la plage de l’adresse du pool de destination. Si vous définissez le pool pour qu’il soit plus grand que nécessaire, certaines adresses ne seront pas utilisées. Par exemple, si vous définissez la taille du pool sur 100 adresses et que la règle spécifie uniquement 80 adresses, les 20 dernières adresses du pool ne sont pas utilisées.

Pour connaître les contraintes sur des types de traduction spécifiques, consultez Présentation des règles de traduction d’adresses réseau.

Avec le NAT statique source, les préfixes et les plages d’adresses ne peuvent pas se chevaucher entre des pools distincts.

Dans une plage d’adresses, la low valeur doit être inférieure à la high valeur. Lorsque plusieurs plages d’adresses et préfixes sont configurés, les préfixes sont d’abord épuisés, suivis des plages d’adresses.

Lorsque vous spécifiez un port pour NAT source dynamique, les plages d’adresses sont limitées à un maximum de 65 000 adresses, pour un total de (65 000 x 65 535) ou 4 259 775 000 flux. Un pool NAT dynamique sans traduction de port d’adresse prend en charge jusqu’à 65 535 adresses. Il n’y a pas de limite à la taille du pool pour le NAT source statique.

Préserver l’aire de répartition et préserver la parité

Vous pouvez configurer votre NAT de classe opérateur (CGN) pour préserver la plage ou la parité du port source du paquet lorsqu’il alloue un port source à une connexion sortante. Vous pouvez configurer les options Préserver la parité et Préserver la plage sous la définition du pool NAT en incluant les preserve-range instructions de configuration et au preserve-parity niveau de la [edit services nat pool poolname port] hiérarchie.

La plage et la parité sont prises en charge sur les routeurs MX Series avec MS-DPC et sur les routeurs M Series avec MS-100, MS-400 et MS-500 MultiServices PICS. La préservation de la portée et la parité sont prises en charge sur les routeurs MX Series avec MS-MPC et MS-MIC à partir de la version 15.1R1 de Junos OS.

• Preserve range : la norme RFC 4787, Exigences comportementales de la traduction d’adresses réseau (NAT) pour UDP unicast, définit deux plages : 0 à 1023 et 1024 à 65 535. Lorsque le preserve-range bouton est configuré et que le port entrant se trouve dans l’une de ces plages, CGN attribue un port de cette plage uniquement. Toutefois, s’il n’y a pas de port disponible dans la plage, la demande d’allocation de port échoue et cette session n’est pas créée. L’échec est répercuté sur les compteurs et la journalisation du système, mais aucun message ICMP (Internet Control Message Protocol) n’est généré. Si ce bouton n’est pas configuré, l’allocation est basée sur la plage de ports configurée, sans tenir compte de la plage de ports qui contient le port entrant. L’exception concerne certaines passerelles de niveau d’application (ALG), telles que hello, qui ont des zones spéciales.

• Préserver la parité : lorsque le preserve-parity bouton est configuré, CGN alloue un port avec la même parité paire ou impaire que le port entrant. Si le numéro de port entrant est pair ou impair, le numéro de port sortant doit être pair ou impair. Si aucun numéro de port de la parité souhaitée n’est disponible, la demande d’attribution de port échoue, la session n’est pas créée et le paquet est abandonné.

Spécification des préfixes de destination et de source sans configurer de pool

Vous pouvez spécifier directement le préfixe de destination ou de source utilisé dans NAT sans configurer de pool.

Pour configurer les informations, incluez l’instruction rule au niveau de la [edit services nat] hiérarchie :

Configuration de la direction de correspondance pour les règles NAT

Chaque règle doit inclure une match-direction instruction spécifiant la direction dans laquelle la correspondance est appliquée. Pour configurer l’emplacement d’application de la correspondance, incluez l’instruction match-direction au niveau de la [edit services nat rule rule-name] hiérarchie :

La direction de correspondance est utilisée par rapport au flux de trafic via les DPC multiservices et les PIC multiservices. Lorsqu’un paquet est envoyé au PIC, des informations de direction sont transportées avec lui. La direction du paquet est déterminée en fonction des critères suivants :

• Dans un ensemble de services d’interface, la direction des paquets est déterminée par le fait qu’un paquet entre ou quitte l’interface sur laquelle il est appliqué.

• Avec un ensemble de services de saut suivant, la direction du paquet est déterminée par l’interface utilisée pour acheminer le paquet vers le DPC multiservice ou le PIC multiservices. Si l’interface interne est utilisée pour acheminer le paquet, la direction du paquet est saisie. Si l’interface externe est utilisée pour diriger le paquet vers le PIC ou le DPC, la direction du paquet est générée. Pour plus d’informations sur les interfaces internes et externes, consultez Configuration des ensembles de services à appliquer aux interfaces de services.

• Sur le DPC multiservices et le PIC multiservices, une recherche de flux est effectuée. Si aucun flux n’est trouvé, le traitement des règles est effectué. Toutes les règles de l’ensemble de services sont prises en compte. Lors du traitement des règles, la direction des paquets est comparée à celle des règles. Seules les règles dont les informations de direction correspondent à la direction du paquet sont prises en compte.

Configuration des conditions de correspondance dans les règles NAT

Pour configurer les conditions de correspondance NAT, incluez l’instruction from au niveau de la [edit services nat rule rule-name term term-name] hiérarchie :

Pour configurer le NAT traditionnel, vous pouvez utiliser l’adresse de destination, une plage d’adresses de destination, l’adresse source ou une plage d’adresses sources comme condition de correspondance, de la même manière que vous configureriez un filtre de pare-feu ; pour plus d’informations, consultez le Guide de l’utilisateur des stratégies de routage, des filtres de pare-feu et des mécanismes de contrôle du trafic.

Vous pouvez également spécifier une liste de préfixes source ou de destination en incluant l’instruction prefix-list au niveau de la [edit policy-options] hiérarchie, puis en incluant l’instruction destination-prefix-list ou source-prefix-list dans la règle NAT. Pour obtenir un exemple, voir Exemples : configuration de règles de pare-feu dynamique.

Si l’instruction de l’instruction then de la règle NAT est définie sur stateful-nat-64, l’intervalle spécifié par le destination-address-range ou le destination-prefix-list dans l’instruction from doit être compris dans l’intervalle spécifié par l’instruction destination-prefix dans l’instructionthen .translation-type

Si au moins un terme NAT d’une règle de NAT a la fonctionnalité de paire d’adresses (APP) activée (en incluant l’instruction address-pooling au niveau de la [edit services nat rule rule-name term term-name then translated] hiérarchie), APP doit être activé pour tous les autres termes de la règle NAT qui utilisent le même pool d’adresses NAT que le pool d’adresses pour le terme avec APP activé. Sinon, si vous ajoutez un terme de règle NAT sans activer APP à une règle qui contient d’autres termes avec APP activé, tous les termes avec APP activé dans une règle NAT suppriment les flux de trafic qui correspondent aux critères spécifiés dans la règle NAT.

Pour les routeurs MX Series avec MS-MIC et MS-MPC, bien que la fonctionnalité de regroupement d’adresses jumelées (APP) soit activée dans une règle NAT (en incluant l’instruction address-pooling au niveau de la [edit services nat rule rule-name term term-name then translated] hiérarchie), elle est une caractéristique d’un pool de NAT. Un tel pool NAT pour lequel APP est activé ne peut pas être partagé avec des règles NAT pour lesquelles APP n’est pas configuré.

Lors de la configuration de NAT, si un trafic est destiné aux adresses suivantes et ne correspond pas à un flux de NAT ou à une règle de NAT, le trafic est abandonné :

• Adresses spécifiées dans l’instruction lorsque vous utilisez la from destination-address traduction de destination

• Adresses spécifiées dans le pool NAT source lorsque vous utilisez la traduction source

Configuration d’actions dans les règles NAT

Pour configurer des actions NAT, incluez l’instruction then au niveau de la [edit services nat rule rule-name term term-name] hiérarchie :

• L’instruction no-translation vous permet de spécifier les adresses que vous souhaitez exclure de NAT.

  L’instruction no-translation est prise en charge sur les routeurs MX Series avec MS-DPC et sur les routeurs M Series avec MS-100, MS-400 et MS-500 MultiServices PICS. L’instruction no-translation est prise en charge sur les routeurs MX Series avec MS-MPC et MS-MICs à partir de Junos OS version 15.1R1.

• L’instruction system log vous permet d’enregistrer une alerte dans la fonction de journalisation du système.

• Les destination-poolinstructions , destination-prefix, source-pool, et source-prefix spécifient les informations d’adressage que vous définissez en incluant l’instruction pool au niveau de la hiérarchie. Pour plus d’informations, reportez-vous à la section Configuration de pools d’adresses et de ports pour la présentation de la [edit services nat] traduction d’adresses réseau.

• L’instruction translation-type spécifie le type de NAT utilisé pour le trafic source ou de destination. Les options sont basic-nat-pt, , basic-nat66basic-nat44, dnat-44dynamic-nat44, stateful-nat464napt-66napt-44stateful-nat64twice-basic-nat-44napt-pt twice-dynamic-nat-44et .twice-napt-44

Configuration des types de traduction

Les détails de mise en œuvre des neuf options de la translation-type déclaration sont les suivants :

• basic-nat44: cette option implémente la traduction statique des adresses IP sources sans mappage de ports. Vous devez configurer l’instruction from source-address dans la condition de correspondance de la règle. La taille de la plage d’adresses spécifiée dans l’instruction doit être identique ou inférieure au pool source. Vous devez spécifier un pool source ou un préfixe de destination. Le pool référencé peut contenir plusieurs adresses, mais vous ne pouvez pas spécifier de ports pour la traduction.

  Remarque :

  Dans un ensemble de services d’interface, tous les paquets destinés à l’adresse source spécifiée dans la condition de correspondance sont automatiquement acheminés vers le PIC de services, même si aucun ensemble de services n’est associé à l’interface.

  Remarque :

  Avant Junos OS version 11.4R3, vous ne pouviez utiliser qu’un pool NAT source dans un seul ensemble de services. À partir de Junos OS version 11.4R3 et des versions ultérieures, vous pouvez réutiliser un pool NAT source dans plusieurs ensembles de services.

• basic-nat66: cette option implémente la traduction statique des adresses IP sources sans mappage de port dans les réseaux IPv6. La configuration est similaire à l’implémentation basic-nat44 , mais avec des adresses IPv6.

  L’option basic-nat66 n’est pas disponible si vous utilisez des MS-MPC ou des MS-MIC.

• basic-nat-pt: cette option implémente la traduction des adresses des hôtes IPv6, lorsqu’ils créent des sessions, vers les hôtes IPv4 d’un domaine externe et vice versa. Cette option est toujours mise en œuvre avec DNS ALG. Vous devez définir les pools source et de destination des adresses IPv4. Vous devez configurer une règle et définir deux termes. Configurez les adresses IPv6 dans l’instruction from des deux term instructions. Dans l’instruction then du premier terme de la règle, référencez les pools source et de destination et configurez dns-alg-prefix. Configurez le préfixe source dans l’instruction then du deuxième terme dans la même règle.

  L’option basic-nat-pt n’est pas disponible si vous utilisez des MS-MPC ou des MS-MIC.

• deterministic-napt44: cette option implémente l’allocation basée sur un algorithme des blocs de ports de destination et d’adresses IP. Ainsi, une adresse IP et un port entrants (source) sont toujours mappés à la même adresse IP et au même port de destination, éliminant ainsi la nécessité de journaliser la traduction des adresses. Lorsque vous utilisez deterministic-napt44, vous devez également l’utiliser deterministic-port-block-allocation au niveau de la [edit services nat pool poolname port] hiérarchie.

  Cette deterministic-napt44 option est prise en charge sur les routeurs MX Series avec MS-DPC et sur les routeurs M Series avec MS-100, MS-400 et MS-500 MultiServices PICS. Si deterministic-napt44 vous utilisez des routeurs MX Series avec MS-MPC ou MS-MIC, cette option n’est prise en charge que dans les versions 14.2R7 et 14.2 de Junos OS et 15.1R3 et 15.1 ultérieures.

• dnat-44: cette option implémente la conversion statique des adresses IP de destination sans mappage de ports. La taille de l’espace d’adressage du pool doit être supérieure ou égale à l’espace d’adressage de destination. Vous devez spécifier un nom pour l’instruction destination pool . Le pool référencé peut contenir plusieurs adresses, plages ou préfixes, tant que le nombre d’adresses NAT dans le pool est supérieur au nombre d’adresses de destination dans l’instruction from . Vous devez inclure exactement une destination-address valeur au niveau de la [edit services nat rule rule-name term term-name from] hiérarchie ; s’il s’agit d’un préfixe, la taille doit être inférieure ou égale à la taille du préfixe du pool. Toutes les adresses du pool qui ne correspondent pas à la valeur restent inutilisées, car un pool ne peut pas être partagé entre plusieurs termes ou règles.

• dynamic-nat44: cette option implémente la conversion dynamique des adresses IP sources sans mappage de ports. Vous devez spécifier un source-poolfichier . Le pool référencé doit inclure une address configuration (pour la traduction d’adresse uniquement).

  L’option dynamic-nat44 d’adresse uniquement prend en charge la traduction de jusqu’à 16 777 216 adresses vers un pool de plus petite taille. Les demandes de la plage d’adresses sources sont affectées aux adresses du pool jusqu’à ce que le pool soit épuisé et que toutes les demandes supplémentaires soient rejetées. Une adresse NAT attribuée à un hôte est utilisée pour toutes les sessions simultanées à partir de cet hôte. L’adresse n’est libérée dans le pool qu’après l’expiration de toutes les sessions pour cet hôte. Cette fonctionnalité permet au routeur de partager quelques adresses IP publiques entre plusieurs hôtes privés. Étant donné que tous les hôtes privés peuvent ne pas créer de sessions simultanément, ils peuvent partager quelques adresses IP publiques.

• napt-44: cette option implémente la conversion dynamique des adresses IP sources avec mappage de ports. Vous devez spécifier un nom pour l’instruction source-pool . Le pool référencé doit inclure une port configuration. Si le port est configuré automatiquement ou si une plage de ports est spécifiée, cela implique que la traduction de ports d’adresse réseau (NAPT) est utilisée.

• napt-66: cette option implémente la traduction dynamique des adresses IP sources avec mappage de port pour les adresses IPv6. La configuration est similaire à l’implémentation napt-44 , mais avec des adresses IPv6.

  L’option napt-66 n’est pas disponible si vous utilisez des MS-MPC ou des MS-MIC.

• napt-pt: cette option implémente la traduction dynamique d’adresses et de ports pour la traduction source et statique de l’adresse IP de destination. Vous devez spécifier un nom pour l’instruction source-pool . Le pool référencé doit inclure une configuration de port (pour NAPT). En outre, vous devez configurer deux règles, l’une pour le trafic DNS et l’autre pour le reste du trafic. La règle destinée au trafic DNS doit être activée pour DNS ALG et l’instruction dns-alg-prefix doit être configurée. De plus, le préfixe configuré dans l’instruction dns-alg-prefix doit être utilisé dans la deuxième règle pour traduire les adresses IPv6 de destination en adresses IPv4.

  L’option napt-pt n’est pas disponible si vous utilisez des MS-MPC ou des MS-MIC.

• stateful-nat464: cette option implémente la traduction des adresses 464XLAT Provider-Side Translater (PLAT) pour les adresses IP sources et la traduction de suppression du préfixe IPv6 pour les adresses IPv4 de destination. Vous devez spécifier les adresses IPv4 utilisées pour la traduction au niveau de la hiérarchie [edit services nat pool]. Ce pool doit être référencé dans la règle qui traduit les adresses IPv6 en IPv4.

  Cette stateful-nat464 option n’est disponible que si vous utilisez des MS-MPC ou des MS-MIC, et est prise en charge à partir de la version 17.1R1 de Junos OS.

• stateful-nat64: cette option implémente la conversion dynamique des adresses et des ports pour les adresses IP sources et la conversion de suppression des préfixes pour les adresses IP de destination. Vous devez spécifier les adresses IPv4 utilisées pour la traduction au niveau de la [edit services nat pool] hiérarchie. Ce pool doit être référencé dans la règle qui traduit les adresses IPv6 en IPv4.

• twice-basic-nat-44: cette option implémente la traduction statique de la source et de la destination statique pour les adresses IPv4, combinant basic-nat44 ainsi les adresses source et dnat-44 de destination.

  L’option twice-basic-nat-44 est prise en charge sur les MS-DPC et les MS-100, MS-400 et MS-500 MultiServices PICS. L’option twice-basic-nat-44 est prise en charge sur les MS-MPC et MS-MIC à partir de Junos OS version 15.1R1.

• twice-dynamic-nat-44: cette option implémente la traduction statique dynamique source et de destination pour les adresses IPv4, en combinant dynamic-nat44 les adresses source et dnat-44 de destination.

  L’option twice-dynamic-nat-44 est prise en charge sur les MS-DPC et les MS-100, MS-400 et MS-500 MultiServices PICS. L’option twice-dynamic-nat-44 est prise en charge sur les MS-MPC et MS-MIC à partir de Junos OS version 15.1R1.

• twice-napt-44: cette option implémente le NAPT source et la traduction statique de destination pour les adresses IPv4, en combinant napt-44 les adresses source et dnat-44 de destination.

  L’option twice-napt-44 est prise en charge sur les MS-DPC et les MS-100, MS-400 et MS-500 MultiServices PICS. L’option twice-napt-44 est prise en charge sur les MS-MPC et MS-MIC à partir de Junos OS version 15.1R1.

Pour plus d’informations sur les méthodes NAT, consultez RFC 2663, Terminologie et considérations relatives au traducteur d’adresses réseau IP (NAT).

Configuration de règles NAT pour le passthrough IPsec pour les homologues non-NAT-T

Avant la version 17.4R1 de Junos OS, la traduction d’adresses réseau (NAT-Traversal) n’était pas prise en charge pour la suite de fonctionnalités IPsec de Junos VPN Site Secure sur les routeurs MX Series. À partir des versions 14.2R7, 15.1R5, 16.1R2 et 17.1R1 de Junos OS, vous pouvez transmettre des paquets IKEv1 et IPsec via des règles NAPT-44 et NAT64 entre des homologues IPsec qui ne sont pas conformes au protocole NAT-T. Seul le mode ESP tunnel est pris en charge. Cette fonctionnalité n’est prise en charge que sur les MS-MPC et MS-MIC.

Pour configurer des règles NAT pour le passthrough IPsec pour NAPT-44 ou NAT64 :

1. Configurez une application IKE ALG. Reportez-vous à la section Configuration des propriétés de l’application.

2. Ajoutez l’application à un ensemble d’applications. Voir Configuration des ensembles d’applications.

3. Configurez un pool NAT. Voir Vue d’ensemble Configuration de pools d’adresses et de ports pour la traduction d’adresses réseau.

4. Configurez la règle NAT :

   1. Configurez une direction de correspondance pour la règle. Voir Configuration de la direction de correspondance pour les règles NAT.

   2. Configurez l’une des conditions de correspondance comme étant l’application définie pour le passthrough IKE et IPsec que vous avez configuré à l’étape 2.

   3. Configurez d’autres conditions de correspondance. Voir Configuration des conditions de correspondance dans les règles NAT.

   4. Configurez le type de traduction en NAPT-44 ou NAT64.

   5. Configurez d’autres actions NAT. Voir Configuration d’actions dans les règles NAT.

5. Affectez la règle NAT à un ensemble de services.

Comportement d’actualisation du mappage

Avant la mise en œuvre des nouvelles options de configuration du comportement d’actualisation du mappage NAT, décrites dans cette rubrique, une conversation était maintenue active lorsque les flux entrants ou sortants étaient actifs. Ce comportement reste le comportement par défaut. Vous pouvez désormais également spécifier l’actualisation du mappage pour les flux entrants ou sortants uniquement. Pour configurer le comportement d’actualisation du mappage, incluez l’instruction mapping-refresh (inbound | outbound | inbound-outbound) au niveau de la [edit services nat rule rule-name term term-name then translated secure-nat-mapping] hiérarchie.

Limite de flux entrant EIF

Auparavant. le nombre de connexions entrantes sur un mappage EIF n’était limité que par le nombre maximal de flux autorisés sur le système. Vous pouvez désormais configurer le nombre de flux entrants autorisés pour un EIF. Pour limiter le nombre de connexions entrantes sur un mappage EIF, incluez l’instruction eif-flow-limit number-of-flows au niveau de la [edit services nat rule rule-name term term-name then translated secure-nat-mapping] hiérarchie.

Utilisez l’attribution d’adresses Round-Robin lors de l’utilisation d’APP avec le MS-DPC

La fonctionnalité APP mappe une adresse IP privée à la même adresse IP publique dans un pool NAT pour toutes les sessions NAT pour cette adresse IP privée.

L’allocation séquentielle d’adresses pour les pools NAT est la valeur par défaut sur le MS-DPC et alloue tous les ports à une adresse IP publique avant d’attribuer l’adresse IP suivante. L’allocation séquentielle, associée à APP, peut entraîner le mappage de plusieurs hôtes privés à la même adresse IP publique, ce qui entraîne un épuisement rapide des ports pour une adresse IP publique alors que d’autres ports sont encore disponibles à partir des adresses IP restantes dans le pool NAT.

L’allocation Round-Robin, en revanche, attribue l’adresse IP suivante dans le pool NAT à la prochaine adresse IP privée nécessitant une traduction, ce qui réduit le risque que tous les ports d’une adresse IP publique soient épuisés.

Pour plus d’informations sur l’APP et l’allocation d’adresses Round-Robin, consultez Vue d’ensemble de la configuration des pools d’adresses pour la traduction de ports d’adresses réseau (NAPT).

L’exemple suivant illustre l’attribution d’adresses en un tour de rôle.

Utilisez la fonctionnalité EIM uniquement en cas de besoin

Pour plus d’informations sur EIM, consultez Vue d’ensemble de la configuration des pools d’adresses pour la traduction de ports d’adresses réseau (NAPT).

L’exemple suivant utilise l’ALG SIP Junos dans la règle NAT, de sorte qu’EIM n’est pas utilisé.

Définir la taille des blocs d’attribution des blocs de ports en fonction du nombre prévu de sessions utilisateur

L’attribution de blocs de ports sécurisés attribue des blocs de ports à un utilisateur particulier pour NAT44 ou NAT64. L’attribution de blocs de ports sécurisés limite le nombre de messages syslog en ne générant qu’un seul syslog par bloc de ports.

Cependant, une configuration incorrecte de la taille des blocs peut entraîner une utilisation inefficace des ressources NAT ou des problèmes de performances. Par exemple, lorsqu’un utilisateur se connecte à un site web qui nécessite l’établissement d’un nombre important de sockets pour une seule page HTML, un nombre correspondant de nouveaux ports doit lui être alloué. La taille du bloc de ports doit être suffisamment grande pour empêcher l’allocation continue de nouveaux blocs. Si le nombre de sessions simultanées pour un abonné privé dépasse le nombre de ports disponibles dans le bloc de ports actif, les autres blocs de ports alloués à l’abonné sont analysés à la recherche de ports disponibles à utiliser ou un nouveau bloc est alloué à partir du pool de blocs libre pour l’abonné. L’analyse des blocs de ports alloués et l’attribution de blocs supplémentaires peuvent entraîner des retards dans la configuration de nouvelles sessions et le chargement des pages Web.

Pour plus d’informations sur l’attribution de blocs de ports, consultez Configuration de l’attribution de blocs de ports sécurisés et Configuration du NAPT déterministe.

L’exemple suivant définit la taille du bloc de ports sur 1024.

Considérations relatives à la modification de la configuration de l’attribution des blocs de ports sur les systèmes en cours d’exécution

Les modifications apportées à la configuration de l’attribution des blocs de ports incluent :

• Modification d’une configuration PBA de pool NAT.

• Changer un pool de NAT PBA en un pool NAT non-PBA.

• Changer un pool de NAT non-PBA en un pool NAT PBA.

Pour plus d’informations sur la configuration de l’allocation des blocs de ports, consultez Configuration de l’attribution des blocs de ports sécurisés et Configuration du NAPT déterministe.

N’allouez pas de pools NAT plus grands que nécessaire

• MS-MPC et MS-MIC
• MS-DPC

Configurez la journalisation système pour NAT uniquement lorsque cela est nécessaire

Les messages du journal système peuvent affecter négativement les performances de la carte de services, en fonction de la fréquence de création et de suppression des sessions. Tous les messages du journal système créés par la carte de services nécessitent un traitement CPU au niveau de la carte de services, et les messages du journal système eux-mêmes constituent le trafic qui est envoyé sur le routeur MX Series et entre en concurrence avec le trafic utilisateur pour atteindre le serveur de journaux externe.

L’attribution de blocs de ports sécurisés élimine le besoin de configurer les journaux par session, car vous connaissez le bloc et la taille des blocs et pouvez dériver les ports alloués à chaque utilisateur.

Le NAT déterministe élimine le besoin de journalisation, car toutes les informations sur l’attribution des ports peuvent être déduites mathématiquement.

L’exemple suivant limite la journalisation aux événements NAT et envoie des messages de journal au serveur de journaux externe 203.0.113.4

Lorsque vous configurez la journalisation système dans un terme de règle NAT, tout le trafic entrant dans le terme de règle NAT génère un journal, ce qui peut entraîner une journalisation excessive. Cela peut entraîner l’atteinte de la limite de vitesse de journalisation et vous perdrez les journaux dont vous avez besoin.

Pour plus d’informations sur la configuration de la journalisation système pour NAT, consultez Configuration des journaux de session NAT.

Limiter l’impact des fragments IP manquants

Les fragments IP reçus par la carte de services configurée pour le NAT sont mis en mémoire tampon à leur arrivée. Cela permet un contrôle d’intégrité du paquet entièrement réassemblé avant que le paquet ne soit traité par NAT. Si les fragments manquants ou retardés sont conservés, les fragments déjà reçus peuvent être conservés jusqu’à ce que la mémoire tampon interne soit pleine et qu’ils soient vidangés, ce qui entraîne une surcharge du processeur et une réduction du transfert de trafic.

Configurer le nombre maximal de fragments qu’un paquet peut avoir et limiter le temps d’attente pour un fragment manquant réduit le risque de remplissage de la mémoire tampon interne.

L’exemple suivant définit le nombre maximal de fragments sur 10 et le temps d’attente maximal sur 3 secondes.

N’utilisez pas de configurations sujettes à des boucles de routage de paquets

Le bouclage de paquets entre le moteur de transfert de paquets et la carte de services entraîne une utilisation élevée et persistante du processeur sur la carte de services. Le bouclage de paquets peut être causé par la carte de services recevant du trafic provenant d’un réseau privé inattendu. Lorsqu’un trafic inattendu est traité par le NAT, un sténopé est créé et, dans le cas d’EIF, de nombreux sténopés peuvent être créés. Ces trous d’épingle provoquent des boucles de routage si le trafic de retour est renvoyé par la carte de services.

L’exemple suivant montre un filtre de pare-feu qui permet uniquement au trafic de 198.51.100.0/24 d’atteindre l’interface de services ms-1/0/0, qui est l’interface interne d’un ensemble de services de saut suivant.

Pour plus d’informations sur la configuration des filtres de pare-feu, consultez le Guide de l’utilisateur Stratégies de routage, filtres de pare-feu et mécanismes de contrôle du trafic.

L’exemple suivant montre une règle NAT qui traite uniquement le trafic à partir de 198.51.100.0/24 (l’autre trafic atteint l’interface de services, mais n’est pas traité).

Pour plus d’informations sur la configuration des règles NAT, consultez Présentation des règles de traduction d’adresses réseau.

Délais d’inactivité

L’exemple suivant montre le délai d’inactivité défini sur 1800 secondes pour les applications HTTPS et HTTP.

Pour plus d’informations sur la configuration des applications définies par l’utilisateur, consultez Configuration des propriétés de l’application.

Vous devez évaluer les risques liés à la définition de délais d’inactivité élevés pour l’ensemble du trafic. Bien que le délai d’inactivité NAT par défaut de 30 secondes puisse être trop faible pour certaines applications définies par l’utilisateur, une valeur de délai d’attente trop élevée peut immobiliser NAT ressources. Par exemple, la définition de valeurs de délai d’inactivité élevées peut bloquer toute session TCP inactive quelques minutes seulement après sa création. Si la session TCP n’est pas fermée proprement par un FIN ou un RST par le client ou le serveur, la session restera en mémoire et immobilisera les ressources NAT qui lui sont affectées jusqu’à l’expiration de la valeur de délai d’expiration.

Définir des délais d’inactivité plus élevés qui affectent chaque port UDP et TCP peut être dangereux, en particulier avec le trafic UDP comme DNS. Contrairement à TCP, UDP n’a pas d’autre moyen de mettre fin à une session que d’expirer, de sorte que toutes les sessions UDP restent actives pendant toute la valeur du délai d’inactivité.

L’exemple suivant n’est pas une configuration recommandée, car il définit des valeurs de délai d’inactivité élevées pour tout le trafic TCP et UDP.

Nous n’avons pas de valeurs de délai d’inactivité spécifiques recommandées. Les valeurs de délai d’inactivité appropriées dépendent de plusieurs facteurs, notamment :

• Quelles applications sont utilisées sur le réseau d’un utilisateur final

  Par exemple, Apple a déclaré qu’un délai d’inactivité de 60 minutes est nécessaire pour les services Apple suivants, qui nécessitent une longue durée de vie de connexion :

  • Services Apple Push : port TCP entrant 5223

  • Exchange Active Sync : port TCP entrant 443

  • MobileMe : ports TCP entrants 5222 et 5223

• Comment la solution NAT est utilisée, par exemple en tant que périphérique Gi NAT ou en tant que routeur de périphérie d’entreprise

• La taille de vos pools de NAT

• La quantité de trafic reçue par chaque carte de services pendant les pics de charge

• La quantité de mémoire dont vous disposez

Activer le vidage sur le contrôle de flux

Pour MS-MIC et MS-MPC, définissez l’option dump-on-flow-control sous l’interface pc-, qui est utilisée pour envoyer le trafic de contrôle du moteur de routage à la carte de services. L’exemple suivant montre la configuration si l’interface de services est ms-2/1/0.

Pour le MS-DPC, définissez l’option de contrôle de déversement sur flux sous l’interface sp-. L’exemple suivant montre la configuration si l’interface de services est sp-2/1/0.