Présentation du NAT

Ensembles de règles NAT

Un ensemble de règles spécifie un ensemble général de conditions de correspondance pour le trafic. Pour les NAT statiques et les NAT de destination, un ensemble de règles spécifie l’un des éléments suivants :

• Interface source

• Zone source

• Instance de routage source

Pour les ensembles de règles NAT source, vous configurez les conditions source et de destination :

• Interface, zone ou instance de routage source

• Interface, zone ou instance de routage de destination

Il est possible qu’un paquet corresponde à plus d’un ensemble de règles ; Dans ce cas, l’ensemble de règles avec la correspondance la plus spécifique est utilisé. Une correspondance d’interface est considérée comme plus spécifique qu’une correspondance de zone, qui est plus spécifique qu’une correspondance d’instance de routage. Si un paquet correspond à la fois à un ensemble de règles NAT de destination qui spécifie une zone source et à un ensemble de règles NAT de destination qui spécifie une interface source, l’ensemble de règles qui spécifie l’interface source est la correspondance la plus spécifique.

La correspondance de l’ensemble de règles NAT source est plus complexe, car vous spécifiez à la fois les conditions source et de destination dans un ensemble de règles NAT source. Dans le cas où un paquet correspond à plusieurs ensembles de règles NAT source, l’ensemble de règles choisi est basé sur les conditions source/destination suivantes (par ordre de priorité) :

1. Interface source/interface de destination

2. Zone source/interface de destination

3. Instance de routage source/interface de destination

4. Interface source/zone de destination

5. Zone source/zone de destination

6. Instance de routage source/zone de destination

7. Interface source/instance de routage de destination

8. Zone source/instance de routage de destination

9. Instance de routage source/instance de routage de destination

Par exemple, vous pouvez configurer l’ensemble de règles A, qui spécifie une interface source et une zone de destination, et l’ensemble de règles B, qui spécifie une zone source et une interface de destination. Si un paquet correspond aux deux ensembles de règles, l’ensemble de règles B est la correspondance la plus spécifique.

Vous ne pouvez pas spécifier les mêmes conditions source et de destination pour les ensembles de règles NAT source.

Règles NAT

Une fois qu’un ensemble de règles correspondant au trafic a été trouvé, chaque règle de l’ensemble de règles est évalué afin d’établir une correspondance. Les règles NAT peuvent correspondre aux informations de paquet suivantes :

• Adresses source et de destination

• Port source (pour la source et la NAT statique uniquement)

• Port de destination

La première règle de l’ensemble de règles qui correspond au trafic est utilisée. Si un paquet correspond à une règle d’un ensemble de règles lors de l’établissement de la session, le trafic est traité conformément à l’action spécifiée par cette règle.

Vous pouvez utiliser les commandes show security nat source rule et show security nat destination rule et show security nat static rule pour afficher le nombre de sessions d’une règle spécifique.

Traitement des règles

Le type de NAT détermine l’ordre dans lequel les règles NAT sont traitées. Lors du premier traitement de paquets d’un flux, les règles NAT sont appliquées dans l’ordre suivant :

1. Règles NAT statiques

2. Règles NAT de destination

3. Recherche de route

4. Recherche de stratégies de sécurité

5. Mappage inverse des règles NAT statiques

6. Règles de NAT source

La figure 1 illustre l’ordre de traitement des règles NAT.

Figure 1 : Traitement des règles NAT

Les règles de NAT statique et de NAT de destination sont traitées avant la recherche de routage et de stratégie de sécurité. Les règles NAT statiques sont prioritaires sur les règles NAT de destination. Le mappage inverse des règles NAT statiques a lieu après la recherche de stratégies de routage et de sécurité et est prioritaire sur les règles NAT source. Les règles NAT sources sont traitées après la recherche de routes et de stratégies de sécurité et après le mappage inverse des règles NAT statiques.

La configuration des règles et des ensembles de règles est fondamentalement la même pour chaque type de NAT (source, destination ou statique). Toutefois, comme la NAT de destination et statique sont traitées avant la recherche de route, vous ne pouvez pas spécifier la zone de destination, l’interface ou l’instance de routage dans l’ensemble de règles.

Capacité des règles NAT

La capacité requise des règles NAT dépend du pare-feu SRX Series et de la version de Junos OS.

La restriction sur le nombre de règles par ensemble de règles est une limitation à l’échelle de l’appareil sur le nombre de règles qu’un appareil peut prendre en charge. Cette restriction est fournie pour vous aider à mieux planifier et configurer les règles NAT pour l’appareil.

Pour la consommation de mémoire, il n’y a aucune garantie de prendre en charge ces nombres (règle source maximale ou ensemble de règles + règle de destination maximale ou ensemble de règles + règle statique maximale ou ensemble de règles).

La capacité requise des règles NAT dépend du pare-feu SRX Series et de la version de Junos OS.

Utilisez l’explorateur de fonctionnalités pour confirmer la prise en charge de la plate-forme et de la version pour des fonctionnalités spécifiques. D’autres plates-formes peuvent être prises en charge.

Voir la section Informations supplémentaires sur la plate-forme pour plus d’informations.