ユーザー論理システムのルーティング、インターフェイス、NAT
ユーザー論理システムでは、ルーティングプロトコル、インターフェイス、NATを設定できます。ルーティングプロトコルはすべてのルーティングメッセージを処理します。NAT とは、パケットがインターネットに送信される際に、コンピューターまたはコンピューターのグループの IP アドレスを単一のパブリック アドレスに変換するメカニズムです。詳細については、以下のトピックを参照してください。
論理システムのネットワーク アドレス変換について
ネットワーク アドレス変換(NAT)は、パケット ヘッダー内のネットワーク アドレス情報を変更または変換する方法です。パケット内の送信元アドレスと宛先アドレスのいずれかまたは両方が変換される場合があります。NATには、ポート番号とIPアドレスの変換を含めることができます。
ルートまたはユーザー論理システムでは、静的 NAT、宛先 NAT、ソース NAT の任意の組み合わせを設定できます。論理システムでの NAT の設定は、ルート システムでの NAT の設定と同じです。プライマリ管理者は、プライマリ論理システムおよびユーザー論理システムの NAT を設定および監視できます。
Junos OSリリース18.2R1以降、NAT機能は、SRX1500、SRX5400、SRX5600、SRX5800デバイスでの既存のサポートに加えて、SRX4100デバイスおよびSRX4200デバイスの論理システムでサポートされています。
各ユーザー論理システムに対して、プライマリ管理者は以下の NAT リソースに対して最大および予約済みの番号を設定できます。
ソース NAT プールと宛先 NAT プール
ポートアドレス変換の有無にかかわらず、ソースNATプール内のIPアドレス
送信元、宛先、静的 NAT のルール
永続的 NAT バインディング
ポートオーバーロードをサポートするIPアドレス
ユーザー論理システムから、ユーザー論理システム管理者は、 運用コマンド show system security-profile
と NAT オプションを使用して、ユーザー論理システムに割り当てられた NAT リソースの数を表示できます。
プライマリ管理者は、プライマリ論理システムに適用されるNATリソースの最大数と予約数を指定するプライマリ論理システムのセキュリティプロファイルを設定できます。デバイスで利用可能なNATリソースの最大数に向けて、プライマリ論理システムで設定されたリソース数。
ユーザー論理システムから、ユーザー論理システム管理者は、 コマンドを show security nat
使用して、ユーザー論理システムの NAT に関する情報を表示できます。プライマリ論理システムから、1 次管理者は同じコマンドを使用して、1 次論理システム、特定のユーザー論理システム、またはすべての論理システムの情報を表示できます。
「」も参照
例:ユーザー論理システムのネットワークアドレス変換の設定
この例では、ユーザー論理システムに静的 NAT を設定する方法を示します。
要件
開始する前に、以下を行います。
論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム構成の概要を参照してください。
コマンドを
show system security-profile nat-static-rule
使用して、論理システムに割り当てられた静的 NAT リソースを確認します。セキュリティポリシーを設定します。 例: ユーザー論理システムにおけるセキュリティポリシーの設定を参照してください。
概要
この例では、「 例: ユーザー論理システム、管理者、ユーザー、および相互接続論理システムの作成」に示す ls-product-design ユーザー論理システムを設定します。
ls-product-design-untrustゾーンのデバイスは、アドレス12.1.1.200/32を使用して、ls-product-design-trustゾーンの特定のホストにアクセスします。宛先 IP アドレス 12.1.1.200/32 を持つ ls-product-design-untrust ゾーンから ls-product-design 論理システムに入るパケットの場合、宛先 IP アドレスは 12.1.1.100/32 に変換されます。この例では、 表 1 で説明する静的 NAT を設定します。
機能 |
名前 |
設定パラメータ |
---|---|---|
静的 NAT ルール セット |
rs1 |
|
プロキシー ARP |
|
インターフェイスlt-0/0/0.3のアドレス12.1.1.200。 |
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit]
CLI にコピー アンド ペーストして、設定モードから を入力 commit
します。
set security nat static rule-set rs1 from zone ls-product-design-untrust set security nat static rule-set rs1 rule r1 match destination-address 12.1.1.200/32 set security nat static rule-set rs1 rule r1 then static-nat prefix 12.1.1.100/32 set security nat proxy-arp interface lt-0/0/0.3 address 12.1.1.200/32
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 Junos OS CLIユーザーガイド の 設定モードでのCLIエディターの使用 を参照してください。
ユーザー論理システムでNATを設定するには:
論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
静的 NAT ルール セットを設定します。
[edit security nat static] lsdesignadmin1@host:ls-product-design# set rule-set rs1 from zone ls-product-design-untrust
パケットと一致し、パケット内の宛先アドレスを変換するルールを設定します。
[edit security nat static] lsdesignadmin1@host:ls-product-design# set rule-set rs1 rule r1 match destination-address 12.1.1.200/32 lsdesignadmin1@host:ls-product-design# set rule-set rs1 rule r1 then static-nat prefix 12.1.1.100/32
プロキシARPを設定します。
[edit security nat] lsdesignadmin1@host:ls-product-design# set proxy-arp interface lt-0/0/0.3 address 12.1.1.200/32
結果
設定モードから、 コマンドを入力して設定を show security nat
確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
lsdesignadmin1@host:ls-product-design# show security nat static { rule-set rs1 { from zone ls-product-design-untrust; rule r1 { match { destination-address 12.1.1.200/32; } then { static-nat prefix 12.1.1.100/32; } } } } proxy-arp { interface lt-0/0/0.3 { address { 12.1.1.200/32; } } }
デバイスの設定が完了したら、設定モードから を入力します commit
。
検証
設定が正常に機能していることを確認するには、次のタスクを実行します。
静的 NAT 設定の検証
目的
静的 NAT ルール セットに一致するトラフィックがあることを確認します。
アクション
動作モードから、 コマンドを show security nat static rule
入力します。[翻訳がヒット] フィールドを表示して、ルールに一致するトラフィックを確認します。
例:ユーザー論理システムのインターフェイスとルーティングインスタンスの設定
この例では、テナントシステムのインターフェイスとルーティングインスタンスを設定する方法を示しています。
要件
開始する前に、以下を行います。
ユーザー論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム構成の概要を参照してください。
プライマリ管理者がユーザー論理システムに割り当てる論理インターフェイスと(オプション)論理トンネルインターフェイスを決定します。プライマリ管理者は、論理トンネルインターフェイスを設定します。 「プライマリ論理システムとプライマリ管理者ロールについて」を参照してください。
概要
この例では、「 例: ユーザー論理システム、管理者、ユーザー、および相互接続論理システムの作成」に示す ls-product-design ユーザー論理システムを設定します。
この例では、 表 2 で説明されているインターフェイスとルーティング インスタンスを設定します。
機能 |
名前 |
設定パラメータ |
---|---|---|
インターフェイス |
ge-0/0/5.1 |
|
ルーティング インスタンス |
pd-vr1 |
|
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit]
CLI にコピー アンド ペーストして、設定モードから を入力 commit
します。
set interfaces ge-0/0/5 unit 1 family inet address 12.1.1.1/24 set interfaces ge-0/0/5 unit 1 vlan-id 700 set routing-instances pd-vr1 instance-type virtual-router set routing-instances pd-vr1 interface ge-0/0/5.1 set routing-instances pd-vr1 interface lt-0/0/0.3 set routing-instances pd-vr1 routing-options static route 13.1.1.0/24 next-hop 10.0.1.3 set routing-instances pd-vr1 routing-options static route 14.1.1.0/24 next-hop 10.0.1.4 set routing-instances pd-vr1 routing-options static route 12.12.1.0/24 next-hop 10.0.1.1
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 Junos OS CLIユーザーガイド の 設定モードでのCLIエディターの使用 を参照してください。
ユーザー論理システムでインターフェイスとルーティングインスタンスを設定するには:
論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
ユーザー論理システムの論理インターフェイスを設定します。
[edit interfaces] lsdesignadmin1@host:ls-product-design# set ge-0/0/5 unit 1 family inet address 12.1.1.1/24 lsdesignadmin1@host:ls-product-design# set ge-0/0/5 unit 1 vlan-id 700
ルーティングインスタンスを設定し、インターフェイスを割り当てます。
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 instance-type virtual-router lsdesignadmin1@host:ls-product-design# set pd-vr1 interface ge-0/0/5.1 lsdesignadmin1@host:ls-product-design# set pd-vr1 interface lt-0/0/0.3
静的ルートを設定します。
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 13.1.1.0/24 next-hop 10.0.1.3 lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 14.1.1.0/24 next-hop 10.0.1.4 lsdesignadmin1@host:ls-product-design# set pd-vr1 routing-options static route 12.12.1.0/24 next-hop 10.0.1.1
結果
設定モードから、 および show routing-instances
コマンドを入力して設定をshow interfaces
確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
プライマリ管理者は、lt-0/0/0.3インターフェイスを設定します。したがって、この項目を設定していない場合でも、lt-0/0/0.3コンフィギュレーションが出力に表示されます show interfaces
。
lsdesignadmin1@host:ls-product-design# show interfaces ge-0/0/5 { unit 1 { vlan-id 700; family inet { address 12.1.1.1/24; } } } lt-0/0/0 { unit 3 { encapsulation ethernet; peer-unit 2; family inet { address 10.0.1.2/24; } } } lsdesignadmin1@host:ls-product-design# show routing-instances pd-vr1 { instance-type virtual-router; interface ge-0/0/5.1; interface lt-0/0/0.3; routing-options { static { route 13.1.1.0/24 next-hop 10.0.1.3; route 14.1.1.0/24 next-hop 10.0.1.4; route 12.12.1.0/24 next-hop 10.0.1.1; } } }
デバイスの設定が完了したら、設定モードから を入力します commit
。
例:ユーザー論理システム向けOSPFルーティングプロトコルの設定
この例では、ユーザー論理システムに OSPF を設定する方法を示します。
要件
開始する前に、以下を行います。
ユーザー論理システム管理者としてユーザー論理システムにログインします。 ユーザー論理システム構成の概要を参照してください。
論理インターフェイス ge-0/0/5.1 を設定します。ge-0/0/5.1 および lt-0/0/0.3 を pd-vr1 ルーティング インスタンスに割り当てます。 例: ユーザー論理システムのインターフェイスとルーティングインスタンスの設定を参照してください。
概要
この例では、「 例: ユーザー論理システム、管理者、ユーザー、相互接続論理システムの作成」で示す、ls-product-design ユーザー論理システムに OSPF を設定します。
この例では、ls-product-designユーザー論理システムのge-0/0/5.1およびlt-0/0/0.3インターフェイスでOSPFルーティングを有効にします。以下のルーティングポリシーを設定して、Junos OSルーティングテーブルからpd-vr1ルーティングインスタンス内のOSPFにルートをエクスポートします。
ospf-redist-direct — 直接接続されたインターフェイスから学習したルート。
ospf-redist-static— スタティック ルート。
ospf- to-ospf — OSPF から学習したルート。
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit]
CLI にコピー アンド ペーストして、設定モードから を入力 commit
します。
set policy-options policy-statement ospf-redist-direct from protocol direct set policy-options policy-statement ospf-redist-direct then accept set policy-options policy-statement ospf-redist-static from protocol static set policy-options policy-statement ospf-redist-static then accept set policy-options policy-statement ospf-to-ospf from protocol ospf set policy-options policy-statement ospf-to-ospf then accept set routing-instances pd-vr1 protocols ospf export ospf-redist-direct set routing-instances pd-vr1 protocols ospf export ospf-redist-static set routing-instances pd-vr1 protocols ospf export ospf-to-ospf set routing-instances pd-vr1 protocols ospf area 0.0.0.1 interface ge-0/0/5.1 set routing-instances pd-vr1 protocols ospf area 0.0.0.1 interface lt-0/0/0.3
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 CLIユーザーガイドの設定モードでのCLIエディターの使用を参照してください。
ユーザー論理システムに OSPF を設定するには:
ユーザー論理システム管理者としてユーザー論理システムにログインし、設定モードに入ります。
lsdesignadmin1@host:ls-product-design> configure lsdesignadmin1@host:ls-product-design#
ルートを受け入れるルーティング ポリシーを作成します。
[edit policy-options] lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-direct from protocol direct lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-direct then accept lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-static from protocol static lsdesignadmin1@host:ls-product-design# set policy-statement ospf-redist-static then accept lsdesignadmin1@host:ls-product-design# set policy-statement ospf-to-ospf from protocol ospf lsdesignadmin1@host:ls-product-design# set policy-statement ospf-to-ospf then accept
ルーティング ポリシーを、Junos OS ルーティング テーブルから OSPF にエクスポートされたルートに適用します。
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-redist-direct lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-redist-static lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf export ospf-to-ospf
論理インターフェイスでOSPFを有効にします。
[edit routing-instances] lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf area 0.0.0.1 interface ge-0/0/5.1 lsdesignadmin1@host:ls-product-design# set pd-vr1 protocols ospf area 0.0.0.1 interface lt-0/0/0.3
結果
設定モードから、 および show routing-instances
コマンドを入力して設定をshow policy-options
確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show
コマンド出力には、この例に関連する設定のみが含まれています。システム上の他の設定はすべて省略記号(...)で置き換えられました。
[edit] lsdesignadmin1@host:ls-product-design# show policy-options policy-statement ospf-redist-direct { from protocol direct; then accept; } policy-statement ospf-redist-static { from protocol static; then accept; } policy-statement ospf-to-ospf { from protocol ospf; then accept; } [edit] lsdesignadmin1@host:ls-product-design# show routing-instances pd-vr1 { ... protocols { ospf { export [ ospf-redist-direct ospf-to-ospf ospf-redist-static ]; area 0.0.0.1 { interface lt-0/0/0.3; interface ge-0/0/5.1; } } } }
デバイスの設定が完了したら、設定モードから を入力します commit
。
検証
設定が正しく機能していることを確認します。
OSPF インターフェイスの検証
目的
OSPF 対応インターフェイスを検証します。
アクション
CLI から、 コマンドを show ospf interface instance pd-vr1
入力します。
lsdesignadmin1@host:ls-product-design> show ospf interface instance pd-vr1 Interface State Area DR ID BDR ID Nbrs lt-0/0/0.3 DR 0.0.0.0 10.0.1.2 0.0.0.0 0 ge-0/0/5.1 DR 0.0.0.1 10.0.1.2 0.0.0.0 0
OSPF ネイバーの検証
目的
OSPF ネイバーを検証します。
アクション
CLI から、 コマンドを show ospf neighbor instance pd-vr1
入力します。
lsdesignadmin1@host:ls-product-design> show ospf neighbor instance pd-vr1 Address Interface State ID Pri Dead 10.0.1.1 plt0.1 Full 0.0.0.0 128 39
OSPF ルートの検証
目的
OSPF ルートを検証します。
アクション
CLI から、 コマンドを show ospf route instance pd-vr1
入力します。
lsdesignadmin1@host:ls-product-design> show ospf route instance pd-vr1 Topology default Route Table: Prefix Path Route NH Metric NextHop Nexthop Type Type Type Interface Address/LSP 10.0.1.0/24 Intra Network IP 1 lt-0/0/0.3 12.12.1.0/24 Intra Network IP 1 ge-0/0/5.1