Présentation de NAT

Ensembles de règles NAT

Un ensemble de règles spécifie un ensemble général de conditions de correspondance pour le trafic. Pour le NAT statique et le NAT de destination, un ensemble de règles spécifie l’un des éléments suivants :

• Interface source

• Zone source

• Instance de routage source

Pour les ensembles de règles NAT source, vous configurez les conditions source et de destination :

• Interface, zone ou instance de routage source

• Interface, zone ou instance de routage de destination

Il est possible qu’un paquet corresponde à plus d’un ensemble de règles ; Dans ce cas, c’est l’ensemble de règles avec la correspondance la plus spécifique qui est utilisé. Une correspondance d’interface est considérée comme plus spécifique qu’une correspondance de zone, qui est plus spécifique qu’une correspondance d’instance de routage. Si un paquet correspond à la fois à un ensemble de règles NAT de destination qui spécifie une zone source et à un ensemble de règles NAT de destination qui spécifie une interface source, l’ensemble de règles qui spécifie l’interface source est la correspondance la plus spécifique.

La correspondance d’ensembles de règles NAT source est plus complexe, car vous spécifiez à la fois des conditions source et de destination dans un ensemble de règles NAT source. Dans le cas où un paquet correspond à plusieurs ensembles de règles NAT source, l’ensemble de règles choisi est basé sur les conditions source/destination suivantes (par ordre de priorité) :

1. Interface source/interface de destination

2. Zone source/interface de destination

3. Instance de routage source/interface de destination

4. Interface source/zone de destination

5. Zone source/zone de destination

6. Instance de routage source/zone de destination

7. Interface source/instance de routage de destination

8. Zone source/instance de routage de destination

9. Instance de routage source/instance de routage de destination

Par exemple, vous pouvez configurer l’ensemble de règles A, qui spécifie une interface source et une zone de destination, et l’ensemble de règles B, qui spécifie une zone source et une interface de destination. Si un paquet correspond aux deux ensembles de règles, l’ensemble de règles B est la correspondance la plus spécifique.

Vous ne pouvez pas spécifier les mêmes conditions source et de destination pour les ensembles de règles NAT source.

Règles NAT

Une fois qu’un ensemble de règles correspondant au trafic a été trouvé, chaque règle de l’ensemble de règles est évaluée afin d’obtenir une correspondance. Les règles NAT peuvent correspondre sur les informations de paquet suivantes :

• Adresse source et adresse de destination

• Port source (pour le NAT source et statique uniquement)

• Port de destination

La première règle de l’ensemble de règles qui correspond au trafic est utilisée. Si un paquet correspond à une règle d’un ensemble de règles lors de l’établissement d’une session, le trafic est traité en fonction de l’action spécifiée par cette règle.

Vous pouvez utiliser les commandes show security nat source rule, show security nat destination rule, ainsi que show security nat static rule pour afficher le nombre de sessions d’une règle spécifique.

Traitement des règles

Le type NAT détermine l’ordre dans lequel les règles NAT sont traitées. Lors du premier traitement de paquets d’un flux, les règles NAT sont appliquées dans l’ordre suivant :

1. Règles NAT statiques

2. Règles NAT de destination

3. Recherche d’itinéraire

4. Recherche de stratégie de sécurité

5. Mappage inverse de règles NAT statiques

6. Règles NAT source

La figure 1 illustre l’ordre de traitement des règles NAT.

Figure 1 : traitement des règles NAT

Les règles NAT statiques et NAT de destination sont traitées avant la recherche des stratégies de routage et de sécurité. Les règles NAT statiques sont prioritaires sur les règles NAT de destination. Le mappage inverse des règles NAT statiques a lieu après la recherche du routage et de la stratégie de sécurité et est prioritaire sur les règles NAT source. Les règles NAT source sont traitées après la recherche des stratégies de routage et de sécurité, et après le mappage inverse des règles NAT statiques.

La configuration des règles et des ensembles de règles est fondamentalement la même pour chaque type de NAT : source, de destination ou statique. Toutefois, étant donné que le NAT de destination et le NAT statique sont traités avant la recherche de route, vous ne pouvez pas spécifier la zone de destination, l’interface ou l’instance de routage dans l’ensemble de règles.

Capacité de la règle NAT

La capacité requise pour la règle NAT dépend du pare-feu SRX Series et de la version de Junos OS.

La limitation du nombre de règles par ensemble de règles est une limitation à l’échelle de l’appareil sur le nombre de règles qu’un appareil peut prendre en charge. Cette restriction est fournie pour vous aider à mieux planifier et configurer les règles NAT pour l’appareil.

Pour la consommation de mémoire, il n’y a aucune garantie de prendre en charge ces nombres (règle source maximale ou ensemble de règles + règle de destination maximale ou ensemble de règles + règle statique maximale ou ensemble de règles).

La capacité requise pour la règle NAT dépend du pare-feu SRX Series et de la version de Junos OS.

Utilisez l’explorateur de fonctionnalités pour confirmer la prise en charge de fonctionnalités spécifiques par la plate-forme et la version. D’autres plates-formes peuvent être prises en charge.

Consultez la section Informations supplémentaires sur la plate-forme pour plus d’informations.