ステートフルNAT64
ステートフルNAT64の設定
ステートフルNAT64を設定するには、送信元アドレスを動的に変換し、宛先アドレスを静的に変換するためのルールを [edit services nat] 階層レベルで設定する必要があります。
NATルールを含むサービスセットを設定する場合、[edit services service-set service-set-name]階層レベルにset stateful-nat64 clear-dont-fragment-bitを含めます。これにより、1280バイト未満のIPv4パケットを変換する際にIPv6 フラグメント化ヘッダーが不要に作成されないように、DF(フラグメント化しない)ビットがクリアされます。RFC 6145、IP/ICMP変換アルゴリズムでは、DFフラグを使用してフラグメント化ヘッダーの生成を制御する方法について十分に説明しています。NATのサービスセットの詳細については、ネットワークアドレス変換用のサービスセットの設定を参照してください。
ステートフルNAT64を設定するには:
次の例では、動的送信元アドレス(IPv6-to-IPv4)と静的宛先アドレス(IPv6-to-IPv4)変換を設定します。
[edit services]
user@host# show
nat {
pool src-pool-nat64 {
address 203.0.113.0/24;
port {
automatic;
}
}
rule stateful-nat64 {
match-direction input;
term t1 {
from {
source-address {
2001:db8::0/96;
}
destination-address {
64:ff9b::/96;
}
}
then {
translated {
source-pool src-pool-nat64;
destination-prefix 64:ff9b::/96;
translation-type {
stateful-nat64;
}
}
}
}
}
}
service-set sset-nat64 {
nat-options {
stateful-nat64 {
clear-dont-fragment-bit;
}
}
service-set-options;
nat-rules stateful-nat64;
interface-service {
service-interface ms-0/1/0;
}
}
2つのNAT64ルールを設定し、ステートフルファイアウォールルールとともに同じサービスセットに関連付け、2つのVLANタグ付きインターフェイスにサービスセットを適用した場合、両方のNATルールに一致して送信されるトラフィックに対して、2番目のNATルールを宛先とするトラフィックは破棄されます。このようなシナリオでは、トラフィックフローはルーティングエンジンでドロップされません。2 番目の NAT ルールによってトラフィックがドロップされるこの動作は想定されます。デバイスにJunos OS拡張プロバイダパッケージがインストールされている場合、エンドポイント独立マッピング(EIM)がサポートされていないため、VLANごとのEIM、またはNATルール条件ごとのEIMここで説明する設定シナリオの 2 番目の NAT ルールによってドロップされる 2 番目のセッションは、以下の一連のイベントにより作成されません。
いずれかのルールに一致する最初のパケットが、EIM とセッションを作成します。
2番目のパケットは最初のパケットと同じ送信元IPアドレスとポート(ただし宛先アドレスは異なる)で送信されるため、2番目のパケットはEIMエントリと一致します。
この条件により、最初のパケットと同じパブリックIPアドレスとポートが2番目のパケットに割り当て(再利用)されます。このセッションの逆フローには、最初のセッションの逆フローと同じ 5 タプルのデータがあります。この動作では、同じサービスセット内でフローの重複が許可されないため、フロー追加に失敗します。
この問題を回避するには、両方の NAT 規則で EIM を使用不可にします。これにより、両方のセッションが正しく確立および処理されます。または、この問題を回避するには、EIM を有効にしたメディア インターフェイスの異なるユニットに設定された異なるサービス セットで NAT ルールを指定して、両方のセッションを正常に確立します。
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。
sequential オプションが導入されました。