Configuración de servicios de última generación con estado NAT64
Realice los pasos siguientes para configurar el NAT64 de estado de los servicios de próxima generación
Configuración del grupo de origen para NAT64 con estado
Para configurar el grupo de origen para NAT64 con estado:
- Cree un grupo de origen.
user@host# edit services nat source pool nat-pool-name
- Defina las direcciones o subredes a las que se traducen las direcciones de origen.
[edit services nat source pool nat-pool-name] user@host# set address address-prefix
o
[edit services nat source pool nat-pool-name] user@host# set address address-prefix to address address-prefix
Para deshabilitar la asignación de puertos round-robin para todos los grupos NAT que no especifican una
automatic (random-allocation | round-robin)configuración, configure la opción global.[edit services nat source] user@host# set port-round-robin disable
- Para configurar un intervalo de puertos para asignarlos a un grupo, realice lo siguiente:
Nota:
Si especifica un intervalo de puertos para asignar, la
automaticinstrucción se omite.- Especifique los valores bajo y alto para el puerto. Si no configura la asignación automática de puertos, debe configurar un rango de puertos.
[edit services nat source pool nat-pool-name port] user@host# set range port-low to port-high
- Especifique la asignación aleatoria o la asignación por turnos. La asignación por turnos es la predeterminada.
[edit services nat source pool nat-pool-name port range] user@host# set (random-allocation | round-robin)
- Especifique los valores bajo y alto para el puerto. Si no configura la asignación automática de puertos, debe configurar un rango de puertos.
- Asigne un puerto dentro del mismo rango que el puerto entrante, ya sea del 0 al 1023 o del 1024 al 65.535. Esta característica no está disponible si configura la asignación de bloques de puertos.
[edit services nat source pool nat-pool-name port] user@host# set preserve-range
- Asigne un puerto con la misma paridad (par o impar) que el puerto entrante. Esta característica no está disponible si configura la asignación de bloques de puertos.
[edit services nat source pool nat-pool-name port] user@host# set preserve-parity
- Configure un intervalo de puertos predeterminado global para los grupos NAT que utilizan la traducción de puertos. Este intervalo de puertos se utiliza cuando un grupo NAT no especifica un intervalo de puertos y no especifica la asignación automática de puertos. El rango global de puertos puede ser de 1024 a 65,535.
[edit services nat source] user@host# set pool-default-port-range port-low to port-high
- Configure el grupo de origen sin traducción de puertos.
[edit services nat source pool nat-pool-name] user@host# set address-pooling no-paired
- Configure el número máximo de puertos que se pueden asignar para cada host. El rango es de 2 a 65,535.
[edit services nat source pool nat-pool-name] user@host# set limit-ports-per-host number
- Si desea asignar un bloque de puertos para que lo use cada suscriptor, configure la asignación de bloques de puertos:
- Configure el número de puertos de un bloque. El intervalo es de 1 a 64.512 y el valor predeterminado es 128.
[edit services nat source pool nat-pool-name port] user@host# set block-allocation block-size block-size
- Configure el intervalo, en segundos, para el que el bloque está activo. Después del tiempo de espera, se asigna un nuevo bloque, incluso si hay puertos disponibles en el bloque activo. Si establece el tiempo de espera en 0, los bloques de puerto se llenan completamente antes de que se asigne un nuevo bloque de puerto y el último bloque de puerto permanece activo indefinidamente. El intervalo es de 0 a 86.400 y el valor predeterminado es 0.
[edit services nat source pool nat-pool-name port block-allocation] user@host# set active-block-timeout timeout-interval
- Especifique el período de tiempo de espera para las asignaciones emparejadas de agrupación de direcciones que usan el grupo NAT. El intervalo es de 120 a 86.400 segundos y el valor predeterminado es 300. Las asignaciones que están inactivas durante este período de tiempo se eliminan.
[edit services nat source pool nat-pool-name] user@host# set mapping-timeout mapping-timeout
Si no configura
ei-mapping-timeouttraducciones independientes de extremos, el valor se utiliza para traducciones independientes demapping-timeoutextremos. - Configure el número máximo de bloques que se pueden asignar a una dirección de usuario. El intervalo es de 1 a 512 y el valor predeterminado es 8.
[edit services nat source pool nat-pool-name port block-allocation] user@host# set maximum-blocks-per-host maximum-block-number
- Especifique la frecuencia con la que desea enviar registros provisionales del sistema para bloques de puertos activos y para bloques de puertos inactivos con sesiones en vivo. Esto aumenta la confiabilidad de los registros del sistema, que se basan en UDP y pueden perderse en la red. El intervalo es de 1800 a 86.400 segundos y el valor predeterminado es 0 (los registros provisionales están deshabilitados).
[edit services nat source pool nat-pool-name port block-allocation] user@host# set interim-logging-interval timeout-interval
- Configure el número de puertos de un bloque. El intervalo es de 1 a 64.512 y el valor predeterminado es 128.
- Especifique el período de tiempo de espera para las traducciones independientes del punto de conexión que usan el grupo NAT especificado. Las asignaciones que están inactivas durante este período de tiempo se eliminan. El rango es de 120 a 86,400 segundos. Si no configura
ei-mapping-timeout, el valor se utilizará para las traducciones independientes delmapping-timeoutextremo.[edit services nat source pool nat-pool-name] user@host# set ei-mapping-timeout ei-mapping-timeout
- Especifique el período de tiempo de espera para las asignaciones emparejadas de agrupación de direcciones que usan el grupo NAT. El intervalo es de 120 a 86.400 segundos y el valor predeterminado es 300. Las asignaciones que están inactivas durante este período de tiempo se eliminan.
[edit services nat source pool nat-pool-name] user@host# set mapping-timeout mapping-timeout
Si no configura
ei-mapping-timeouttraducciones independientes de extremos, el valor se utiliza para traducciones independientes demapping-timeoutextremos. - Para permitir que las direcciones IP de un grupo de origen NAT se superpongan con las direcciones IP de los grupos utilizados en otros conjuntos de servicios, configure
allow-overlapping-pools.[edit services nat] user@host# set allow-overlapping-pools
Configuración de las reglas NAT para NAT64 con estado
Para NAT64 con estado, debe configurar una regla de origen y una regla de destino. Para configurar las reglas NAT para NAT64 con estado:
- Configure el nombre de la regla NAT de origen.
[edit services nat source] user@host# set rule-set rule-set-name rule rule-name
- Especifique la dirección del tráfico a la que se aplica el conjunto de reglas NAT.
[edit services nat source rule-set rule-set-name] user@host# set match-direction (in | out | in-out)
- Especifique las direcciones de origen IPv6 que se traducen mediante la regla NAT.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match source-address address
- Configure la dirección de destino coincidente como 0.0.0.0/0.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match destination-address 0.0.0.0/0
- Especifique uno o varios protocolos de aplicación a los que se aplica la regla NAT. El número de solicitudes enumeradas en la regla no debe exceder de 3072.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set match application [application-name]
- Especifique el grupo de origen NAT que contiene las direcciones de las direcciones de origen traducidas.
[edit services nat source rule-set rule-set-name rule rule-name] user@host# set then source-nat pool nat-pool-name
- Configure la asignación independiente del punto de conexión, lo que garantiza que se asignen la misma dirección externa y el mismo puerto a todas las conexiones de un host determinado.
- Configure el tipo de asignación como independiente del extremo.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set mapping-type endpoint-independent
- Especifique listas de prefijos que contengan los hosts a los que se permite establecer conexiones entrantes mediante la asignación independiente del extremo. (Las listas de prefijos se configuran en el nivel jerárquico
[edit policy-options].)[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set filtering-type endpoint-independent prefix-list [allowed-host] except [denied-host]
- Especifique el número máximo de flujos entrantes permitidos simultáneamente en una asignación independiente del punto de conexión.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set secure-nat-mapping eif-flow-limit number-of-flows
- Especifique la dirección en la que se actualiza la asignación activa independiente del extremo. De forma predeterminada, la asignación se actualiza para los flujos activos entrantes y salientes.
[edit services nat source rule-set rule-set-name rule rule-name then source-nat] user@host# set secure-nat-mapping mapping-refresh (inbound | inbound-outbound | outbound)
- Configure el tipo de asignación como independiente del extremo.
- Configure el nombre de la regla NAT de destino.
[edit services nat destination] user@host# set rule-set rule-set-name rule rule-name
- Especifique la dirección del tráfico a la que se aplica el conjunto de reglas NAT de destino.
[edit services nat destination rule-set rule-set-name] user@host# set match-direction (in | out | in-out)
- Especifique las direcciones de origen del prefijo IPv6 que traduce la regla NAT de destino. Use el mismo valor que usó para la regla de origen NAT.
[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set match source-address address
- Especifique el prefijo que se utiliza para incrustar la dirección de destino IPv4 en la dirección de destino IPv6.
[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set then destination-nat destination-prefix destination-prefix
- Configure la dirección de destino IPv6 para que coincida. Esta es la dirección de destino IPv4 incrustada en IPv6 mediante el
destination-prefixarchivo .[edit services nat destination rule-set rule-set-name rule rule-name] user@host# set match destination-address address
- Configure la generación de un syslog cuando el tráfico coincida con las condiciones de la regla NAT.
[edit services nat (source | destination) rule-set rule-set-name rule rule-name then] user@host# set syslog
Configuración del conjunto de servicios para NAT64 con estado
Para configurar el conjunto de servicios para NAT64 con estado:
- Defina el conjunto de servicios.
[edit services] user@host# edit service-set service-set-name
- Configure un servicio de interfaz, que requiere una sola interfaz de servicio, o un servicio de salto siguiente, que requiere una interfaz de servicio interna y externa.
[edit services service-set service-set-name] user@host# set interface-service service-interface interface-name
o
[edit services service-set service-set-name] user@host# set next-hop-service inside-service-interface interface-name outside-service-interface interface-name
- Especifique los conjuntos de reglas NAT que se usarán con el conjunto de servicios.
[edit services service-set service-set-name] user@host# set nat-rule-sets rule-set-name
Borrar el bit de No fragmentar
Para evitar la creación innecesaria de encabezados de fragmentación IPv6 al traducir paquetes IPv4 de menos de 1280 bytes, puede especificar que el bit de no fragmentar (DF) de los encabezados de paquete IPv4 se borre cuando la longitud del paquete sea inferior a 1280 bytes.
[edit services nat natv6v4] user@host# set clear-dont-fragment-bit