정적 소스 NAT
IPv4 네트워크에서 정적 소스 변환 구성
변환 유형을 basic-nat44로 구성하려면 네트워크 주소 변환(NAT) 풀 및 규칙, 서비스 인터페이스가 포함된 서비스 세트 및 추적 옵션을 구성해야 합니다. 이 주제에는 다음 작업이 포함됩니다.
- 네트워크 주소 변환(NAT) 풀 및 규칙 구성
- 네트워크 주소 변환(NAT)을 위한 서비스 집합 구성
- 추적 옵션 구성
- 샘플 구성 - 주소 접두사와 주소 범위를 가진 정적 풀을 사용하는 정적 소스 NAT
- 샘플 구성 - 프라이빗 서브넷과 퍼블릭 서브넷 간의 일대일 매핑을 위한 정적 소스 Nat
네트워크 주소 변환(NAT) 풀 및 규칙 구성
네트워크 주소 변환(NAT) 풀, 규칙 및 용어를 구성하려면 다음을 수행합니다.
트래픽에 대한 상태 저장 방화벽(SFW) 규칙을 구성하지 않으면 각 패킷에는 다음과 같은 기본 상태 저장 방화벽 규칙이 적용됩니다.
내부에서 외부로 유효한 패킷을 허용합니다.
패킷 5-튜플을 기반으로 포워드 및 리턴 플로우를 생성합니다.
외부에서 내부로 반환 흐름과 일치하는 유효한 패킷만 허용합니다.
스테이트풀 방화벽의 패킷 유효성 검사는 Junos Network Secure 개요의 스테이트풀 방화벽 이상 검사에 설명되어 있습니다. 패킷이 스테이트풀 방화벽 유효성 검사를 통과했지만 NAT 규칙과 일치하지 않으면 변환되지 않으며 NAT 노드에 패킷의 대상 IP 주소에 대한 유효한 경로가 있는 경우 전달될 수 있습니다.
계층 수준에서 [edit services service-set service-set-name nat-rules rule-name term term- name] 문(네트워크 주소 변환(NAT) 규칙 용어 일치 조건)에서 from 매개 변수를 추가하거나 삭제할 때, 이 구성 변경은 기존의 모든 네트워크 주소 변환(NAT) 매핑을 삭제하게 만드는 네트워크 주소 변환(NAT) 정책의 삭제 및 추가를 트리거합니다(이는 서비스 집합의 비활성화 및 활성화와 동일). NAT 정책의 변경으로 세션이 닫히지 않기 때문에 이 동작으로 인해 세션이 닫힌 직후 매핑이 시간 초과됩니다. 이 동작은 예상되며 디바이스에 설치된 Junos OS 확장 공급자 패키지에만 적용됩니다. 네트워크 주소 변환(NAT) 정책을 삭제하고 다시 지정하면 EIM 맵핑만 삭제됩니다. 이 네트워크 주소 변환(NAT) 정책 변경은 서비스 집합을 비활성화 및 활성화하지 않습니다. 이러한 시나리오에서 설정된 서비스는 Junos OS 릴리스 14.2 및 이전 버전에서 비활성화했다가 다시 활성화하는 것이 좋습니다.
네트워크 주소 변환(NAT)을 위한 서비스 집합 구성
네트워크 주소 변환(NAT)에 대한 서비스 집합을 구성하려면 다음을 수행합니다.
추적 옵션 구성
추적 옵션을 구성하려면:
[edit]
user@host# show services
service-set s1 {
nat-rules rule-basic-nat44;
interface-service {
service-interface ms-1/2/0;
}
}
nat {
pool src_pool {
address 10.10.10.2/32;
}
rule rule-basic-nat44 {
match-direction input;
term t1 {
from {
source-address {
3.1.1.2/32;
}
}
then {
translated {
source-pool src_pool;
translation-type {
basic-nat44;
}
}
}
}
}
}
adaptive-services-pics {
traceoptions {
flag all;
}
}
샘플 구성 - 주소 접두사와 주소 범위를 가진 정적 풀을 사용하는 정적 소스 NAT
[edit services nat]
pool p1 {
address 30.30.30.252/30;
address-range low 20.20.20.1 high 20.20.20.2;
}
rule r1 {
match-direction input;
term t1 {
from {
source-address {
10.10.10.252/30;
}
}
then {
translated {
source-pool p1;
translation-type basic-nat44;
}
}
}
}
샘플 구성 - 프라이빗 서브넷과 퍼블릭 서브넷 간의 일대일 매핑을 위한 정적 소스 Nat
[edit]
user@host# show services
service-set s1 {
nat-rules rule-basic-nat44;
interface-service {
service-interface ms-1/2/0;
}
}
nat {
pool src_pool {
address 10.10.10.2/32;
}
rule rule-basic-nat44 {
match-direction input;
term t1 {
from {
source-address {
3.1.1.2/32;
}
}
then {
translated {
source-pool src_pool;
translation-type {
basic-nat44;
}
}
}
}
}
}
adaptive-services-pics {
traceoptions {
flag all;
}
}
[edit interfaces]
user@host# show
xe-1/1/0 {
unit 0 {
family inet {
service {
input {
service-set s1;
}
output {
service-set s1;
}
}
address 10.255.247.2/24;
}
}
}
IPv6 네트워크에서 정적 소스 변환 구성
변환 유형을 basic-nat66로 구성하려면 네트워크 주소 변환(NAT) 풀 및 규칙, 서비스 인터페이스가 포함된 서비스 세트, 추적 옵션을 구성해야 합니다. basic-nat66 MS-MPC 또는 MS-MIC를 사용하는 경우에는 변환 유형을 사용할 수 없습니다.
이 주제에는 다음 작업이 포함됩니다.
네트워크 주소 변환(NAT) 풀 및 규칙 구성
네트워크 주소 변환(NAT) 풀, 규칙 및 용어를 구성하려면 다음을 수행합니다.
네트워크 주소 변환(NAT)을 위한 서비스 집합 구성
네트워크 주소 변환(NAT)에 대한 서비스 집합을 구성하려면 다음을 수행합니다.
추적 옵션 구성
계층 수준에서 [edit services adaptive-services-pics] 추적 옵션을 구성하려면:
다음 예제에서는 변환 유형을 basic-nat66으로 구성합니다.
[edit]
user@host# show services
service-set s1 {
nat-rules rule-basic-nat66;
interface-service {
service-interface sp-1/2/0;
}
}
nat {
pool src_pool {
address 10.10.10.2/32;
}
rule rule-basic-nat66 {
match-direction input;
term t1 {
from {
source-address {
2001:db8:10::0/96/96;
}
}
then {
translated {
source-pool src_pool;
translation-type {
basic-nat66;
}
}
}
}
}
}
adaptive-services-pics {
traceoptions {
flag all;
}
}
예: 기본 NAT44 구성
이 예에서는 기본 NAT44 구성을 구현하는 방법을 설명합니다.
요구 사항
이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.
서비스 DPC가 있는 MX 시리즈 5G 유니버설 라우팅 플랫폼 또는 서비스 PIC가 있는 M Series 멀티서비스 에지 라우터
DNS(도메인 이름 서버)
Junos OS 릴리스 11.4 이상
개요
이 예는 전체 CGN NAT44 구성 및 고급 옵션을 보여줍니다.
기본 NAT44 구성
섀시 구성
단계별 절차
레이어 3 서비스 패키지로 서비스 PIC(FPC 5 슬롯 0)를 구성하려면 다음을 수행합니다.
[edit chassis] 계층 수준으로 이동합니다.
user@host# edit chassis레이어 3 서비스 패키지를 구성합니다.
[edit chassis]user@host# set fpc 5 pic 0 adaptive-services service-package layer-3
인터페이스 구성
단계별 절차
프라이빗 네트워크 및 퍼블릭 인터넷에 대한 인터페이스를 구성하려면 다음을 수행합니다.
프라이빗 네트워크에 대한 인터페이스를 정의합니다.
user@host# edit interfaces ge-1/3/5
[edit interfaces ge-1/3/5]user@host# set description “Private” user@host# edit unit 0 family inet[edit interfaces ge-1/3/5 unit 0 family inet]user@host# set service input service-set ss2 user@host# set service output service-set ss2 user@host# set address 9.0.0.1/24퍼블릭 인터넷에 대한 인터페이스를 정의합니다.
user@host# edit interfaces ge-1/3/6
[edit interfaces ge-1/3/6]user@host# set description “Public” user@host# set unit 0 family inet address 128.0.0.1/24네트워크 주소 변환(NAT) 처리를 위한 서비스 인터페이스를 정의합니다.
user@host# edit interfaces sp-5/0/0
[edit interfaces sp-5/0/0]user@host# set unit 0 family inet
결과
user@host# show interfaces ge-1/3/5
description Private;
unit 0 {
family inet {
service {
input {
service-set sset2;
}
output {
service-set sset2;
}
}
address 9.0.0.1/24;
}
}
}
user@host# show interfaces ge-1/3/6
description Public:;
unit 0 {
family inet {
address 128.0.0.1/24;
}
}
user@host# show interfaces sp-5/0/0
unit 0 {
family inet;
}
예: 멀티캐스트 트래픽에 대한 네트워크 주소 변환(NAT) 구성
그림 1 은 IP 멀티캐스트 트래픽을 멀티서비스 PIC로 전송할 수 있는 다음 구성에 대한 네트워크 설정을 보여줍니다.
구성
랑데부 포인트 구성
RP(Rendezvous Point)에서 192.168.254.0/27 의 멀티캐스트 소스에서 들어오는 모든 트래픽은 정적 네트워크 주소 변환(NAT) 풀 mcast_pool로 전송되며, 여기서 해당 소스는 20.20.20.0/27로 변환됩니다. nat_ss 서비스 집합은 IP 멀티캐스트 트래픽을 멀티서비스 DPC 또는 멀티서비스 PIC로 전송할 수 있는 다음 홉 서비스 집합입니다. PIC의 내부 인터페이스는 ms-1/1/0.1 이고 외부 인터페이스는 ms-1/1/0.2입니다.
[edit services]
nat {
pool mcast_pool {
address 20.20.20.0/27;
}
rule nat_rule_1 {
match-direction input;
term 1 {
from {
source-address 192.168.254.0/27;
}
}
then {
translated {
source-pool mcast_pool;
translation-type basic-nat44;
}
syslog;
}
}
}
service-set nat_ss {
allow-multicast;
nat-rules nat_rule_1;
next-hop-service {
inside-service-interface ms-1/1/0.1;
outside-service-interface ms-1/1/0.2;
}
}
기가비트 이더넷 인터페이스 ge-0/3/0은 RP에서 라우터 1로 트래픽을 전송합니다. 멀티서비스 인터페이스 ms-1/1/0에는 두 개의 논리적 인터페이스가 있습니다. 유닛 1은 다음 홉 서비스를 위한 내부 인터페이스이고 유닛 2는 다음 홉 서비스를 위한 외부 인터페이스입니다. 멀티캐스트 소스 트래픽은 수신 트래픽에 방화벽 필터 fbf가 적용된 고속 이더넷 인터페이스 fe-1/2/1에서 들어옵니다.
[edit interfaces]
ge-0/3/0 {
unit 0 {
family inet {
address 10.10.1.1/30;
}
}
}
ms-1/1/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
fe-1/2/1 {
unit 0 {
family inet {
filter {
input fbf;
}
address 192.168.254.27/27;
}
}
}
멀티캐스트 패킷은 다음 홉 서비스 집합을 사용하여 멀티서비스 DPC 또는 멀티서비스 PIC로만 전달될 수 있습니다. 네트워크 주소 변환(NAT)의 경우 VPN 라우팅 및 포워딩 인스턴스(VRF)도 구성해야 합니다. 따라서 라우팅 인스턴스 단계는 "더미" 포워딩 인스턴스로 생성됩니다. 수신 패킷을 스테이지로 이동시키려면 수신 인터페이스 fe-1/2/1에 적용되는 fbf라는 방화벽 필터를 통해 필터 기반 전달을 구성합니다. 조회는 PIC의 내부 인터페이스를 가리키는 다음 홉과 함께 설치된 멀티캐스트 정적 경로가 있는 stage.inet.0에서 수행됩니다. 이 경로와 일치하는 모든 멀티캐스트 트래픽은 PIC로 전송됩니다.
[edit firewall]
filter fbf {
term 1 {
then {
routing-instance stage;
}
}
}
라우팅 인스턴스 단계는 멀티서비스 DPC 또는 멀티서비스 PIC의 내부 인터페이스 ms-1/1/0.1 로 IP 멀티캐스트 트래픽을 전달합니다.
[edit]
routing-instances stage {
instance-type forwarding;
routing-options {
static {
route 224.0.0.0/4 next-hop ms-1/1/0.1;
}
}
}
IP 멀티캐스트 트래픽이 RP를 드나드는 고속 이더넷 및 기가비트 이더넷 논리적 인터페이스에서 OSPF 및 PIM(Protocol Independent Multicast)을 활성화합니다. 또한 다음 홉 서비스 집합의 외부 인터페이스(ms-1/1/0.2)에서 PIM을 활성화합니다.
[edit protocols]
ospf {
area 0.0.0.0 {
interface fe-1/2/1.0 {
passive;
}
interface lo0.0;
interface ge-0/3/0.0;
}
}
pim {
rp {
local {
address 10.255.14.160;
}
}
interface fe-1/2/1.0;
interface lo0.0;
interface ge-0/3/0.0;
interface ms-1/1/0.2;
}
모든 필터 기반 포워딩 구성과 마찬가지로, 포워딩 인스턴스 단계 의 정적 경로가 도달 가능한 다음 홉을 가지려면 모든 인터페이스 경로가 inet.0 에서 포워딩 인스턴스의 라우팅 테이블으로 복사되도록 라우팅 테이블 그룹을 구성해야 합니다. 라우팅 테이블 inet.0 및 stage.inet.0 을 fbf_rib_group의 구성원으로 구성하여 모든 인터페이스 경로를 두 테이블로 가져오도록 합니다.
[edit routing-options]
interface-routes {
rib-group inet fbf_rib_group;
}
rib-groups fbf_rib_group {
import-rib [ inet.0 stage.inet.0 ];
}
multicast {
rpf-check-policy no_rpf;
}
소스 NAT가 적용되는 멀티캐스트 그룹에 대해 RPF(Reverse Path Forwarding) 검사를 비활성화해야 합니다. 다음 예와 유사한 정책을 구성하여 특정 멀티캐스트 그룹에 대한 RPF 검사를 비활성화할 수 있습니다. 이 경우 no_rpf 정책은 224.0.0.0/4에 속하는 멀티캐스트 그룹에 대한 RPF 검사를 비활성화합니다.
[edit policy-options]
policy-statement no_rpf {
term 1 {
from {
route-filter 224.0.0.0/4 orlonger;
}
then reject;
}
}
라우터 1 구성
라우터 1의 인터넷 그룹 관리 프로토콜(IGMP), 최단 경로 우선(OSPF) 및 PIM 구성은 다음과 같습니다. IGMP 정적 그룹 구성으로 인해, 트래픽은 호스트 멤버로부터 멤버십 보고서를 수신하지 않고 fe-3/0/0.0 으로 멀티캐스트 수신기로 전달됩니다.
[edit protocols]
igmp {
interface fe-3/0/0.0 {
}
}
ospf {
area 0.0.0.0 {
interface fe-3/0/0.0 {
passive;
}
interface lo0.0;
interface ge-7/2/0.0;
}
pim {
rp {
static {
address 10.255.14.160;
}
}
interface fe-3/0/0.0;
interface lo0.0;
interface ge-7/2/0.0;
}
}
라우팅 옵션은 RP에서 네트워크 주소 변환(NAT) 풀( mcast_pool)에 대한 정적 경로를 생성합니다.
[edit routing-options]
static {
route 20.20.20.0/27 next-hop 10.10.1.1;
}
변경 내역 표
기능 지원은 사용 중인 플랫폼과 릴리스에 따라 결정됩니다. 기능 탐색기를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.