TDR para flujos de multidifusión
Para implementar la traducción de direcciones de grupo de multidifusión, se utiliza TDR estático o TDR de destino. Con la ayuda de TDR, las direcciones de origen en IPv4 se traducen a direcciones de destino del grupo de multidifusión IPv4.
Descripción de TDR para flujos de multidifusión
La traducción de direcciones de red (TDR) se puede utilizar para traducir direcciones de origen en flujos de multidifusión IPv4 y para traducir direcciones de destino de grupo de multidifusión IPv4.
Se puede usar TDR estático o TDR de destino para realizar la traducción de direcciones de grupo de multidifusión. El TDR estático permite que las conexiones se originen desde cualquier lado de la red, pero la traducción se limita a direcciones uno a uno o entre bloques de direcciones del mismo tamaño. No se necesitan grupos de direcciones. Utilice la static instrucción de configuración en el nivel de jerarquía [edit security nat] para configurar conjuntos de reglas TDR estáticos para el tráfico de multidifusión. El TDR de destino permite que las conexiones se inicien solo para conexiones de red entrantes, por ejemplo, desde Internet hasta una red privada. Utilice la destination instrucción de configuración en el nivel de jerarquía [edit security nat] para configurar grupos de TDR de destino y conjuntos de reglas.
El TDR de origen para el tráfico de multidifusión solo se admite mediante el cambio de dirección IP para traducir la dirección IP de origen original a una dirección IP desde un conjunto de direcciones definidas por el usuario. Este tipo de traducción es uno a uno, estática y sin traducción de direcciones de puerto. Si el rango de direcciones IP de origen original es mayor que el intervalo de direcciones IP del grupo definido por el usuario, se pierden los paquetes no traducidos. La asignación no proporciona asignación bidireccional, que proporciona TDR estático. Utilice la source instrucción de configuración en el nivel de jerarquía [edit security nat] para configurar grupos de TDR de origen y conjuntos de reglas. Cuando defina el grupo TDR de origen para este tipo de TDR de origen, utilice la host-address-base opción para especificar el inicio del intervalo de direcciones IP de origen original.
Ver también
Ejemplo: Configurar TDR para flujos de multidifusión
En este ejemplo, se muestra cómo configurar un dispositivo Juniper Networks para la traducción de direcciones de flujos de multidifusión.
Requisitos
Antes de empezar:
Configure las interfaces de red en el dispositivo. Consulte la Guía del usuario de interfaces para dispositivos de seguridad.
Cree zonas de seguridad y asigne interfaces. Consulte Descripción de zonas de seguridad.
-
Configure el dispositivo para el reenvío de multidifusión. Consulte descripción general de multidifusión.
Visión general
En este ejemplo, se usa la zona de seguridad de confianza para el espacio de direcciones privadas y la zona de seguridad de no confianza para el espacio de direcciones públicas. La Figura 1 muestra una implementación típica del dispositivo Juniper Networks para el reenvío de multidifusión. El enrutador de origen R1 envía paquetes de multidifusión con direcciones de origen en el rango 203.0.113.100 a 203.0.113.110 y la dirección de grupo 233.252.0.1/32 hacia el dispositivo de Juniper Networks. El enrutador de origen R1 se encuentra en la red privada (zona de confianza) aguas arriba del dispositivo Juniper Networks. Hay varios receptores en la red pública (zona de no confianza) aguas abajo del dispositivo.
El dispositivo Juniper Networks traduce los paquetes de multidifusión entrantes de R1 antes de reenviarlos en las interfaces descendentes. Se aplican las siguientes traducciones:
Para la interfaz a R2, la dirección de origen no se traduce y la dirección del grupo se traduce a 233.252.0.2/32.
Para la interfaz a R3, la dirección de origen se traduce a una dirección en el intervalo 198.51.100.200 a 198.51.100.210, y la dirección del grupo se traduce a 233.252.0.2/32.
Para la interfaz a R4, la dirección de origen se traduce a una dirección en el intervalo 10.10.10.100 a 10.10.10.110, y la dirección del grupo se traduce a 233.252.0.2/32.
de multidifusión
En este ejemplo, se describen las siguientes configuraciones:
Grupo TDR de
dst-nat-pooldestino que contiene la dirección IP 233.252.0.2/32.Conjunto
rs1de reglas TDR de destino con reglar1para coincidir con los paquetes que llegan a la interfaz xe-2/0/1.0 con la dirección IP de destino 233.252.0.1/32. Para los paquetes coincidentes, la dirección de destino se traduce a la dirección IP deldst-nat-poolgrupo.Agrupación TDR de
src-nat-shift-1origen que contiene el intervalo de direcciones IP 198.51.100.200/32 a 198.51.100.210/32. Para este grupo, el comienzo del intervalo de direcciones IP de origen original es 203.0.113.100/32 y se especifica con lahost-address-baseopción.Conjunto de reglas TDR de origen
rs-shift1con reglar1para hacer coincidir paquetes de la zona de confianza a la interfaz xe-1/0/1.0 con una dirección IP de origen en la subred 203.0.113.96/28. Para los paquetes coincidentes que se encuentran dentro del intervalo de direcciones IP de origen especificado por lasrc-nat-shift-1configuración, la dirección de origen se traduce a la dirección IP delsrc-nat-shift-1grupo.Grupo TDR de origen
src-nat-shift-2que contiene el intervalo de direcciones IP 10.10.10.100/32 a 10.10.10.110/32. Para este grupo, el comienzo del intervalo de direcciones IP de origen original es 203.0.113.100/32 y se especifica con lahost-address-baseopción.Conjunto
rs-shift2de reglas TDR fuente con reglar1para hacer coincidir paquetes de la zona de confianza a la interfaz xe-2/0/0.0 con una dirección IP de origen en la subred 203.0.113.96/28. Para los paquetes coincidentes que se encuentran dentro del intervalo de direcciones IP de origen especificado por lasrc-nat-shift-2configuración, la dirección de origen se traduce a la dirección IP delsrc-nat-shift-2grupo.ARP de proxy para las direcciones 203.0.113.100 a 203.0.113.110 en la interfaz xe-1/0/0.0, direcciones 198.51.100.200 a 198.51.100.210 en la interfaz xe-1/0/1.0, y direcciones 10.10.10.100 a 10.10.10.110 en la interfaz xe-2/0/0.0. Esto permite que el dispositivo de seguridad de Juniper Networks responda a las solicitudes de ARP recibidas en la interfaz para esas direcciones.
Política de seguridad para permitir el tráfico desde la zona de confianza hasta la zona de no confianza.
Política de seguridad para permitir el tráfico desde la zona de no confianza hasta la dirección IP de destino traducida en la zona de confianza.
Topología
Configuración
Procedimiento
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.
set security nat source pool src-nat-shift-1 address 198.51.100.200/32 to 198.51.100.210/32 set security nat source pool src-nat-shift-1 host-address-base 203.0.113.100/32 set security nat source pool src-nat-shift-2 address 10.10.10.100/32 to 10.10.10.110/32 set security nat source pool src-nat-shift-2 host-address-base 203.0.113.100/32 set security nat source rule-set rs-shift1 from zone trust set security nat source rule-set rs-shift1 to interface xe-1/0/1.0 set security nat source rule-set rs-shift1 rule r1 match source-address 203.0.113.96/28 set security nat source rule-set rs-shift1 rule r1 then source-nat pool src-nat-shift1 set security nat source rule-set rs-shift2 from zone trust set security nat source rule-set rs-shift2 to interface xe-2/0/0.0 set security nat source rule-set rs-shift2 rule r2 match source-address 203.0.113.96/28 set security nat source rule-set rs-shift2 rule r2 then source-nat pool src-nat-shift2 set security nat destination pool dst-nat-pool address 233.252.0.2/32 set security nat destination rule-set rs1 from interface xe-2/0/1.0 set security nat destination rule-set rs1 rule r1 match destination-address 233.252.0.1/32 set security nat destination rule-set rs1 rule r1 then destination-nat pool dst-nat-pool set security nat proxy-arp interface xe-1/0/0.0 address 203.0.113.100/32 to 203.0.113.110/32 set security nat proxy-arp interface xe-1/0/1.0 address 198.51.100.200/32 to 198.51.100.210/32 set security nat proxy-arp interface xe-2/0/0.0 address 10.10.10.100/32 to 10.10.10.110/32 set security policies from-zone trust to-zone untrust policy internet-access match source-address any set security policies from-zone trust to-zone untrust policy internet-access match destination-address any set security policies from-zone trust to-zone untrust policy internet-access match application any set security policies from-zone trust to-zone untrust policy internet-access then permit set security policies from-zone untrust to-zone trust policy dst-nat-pool-access match source-address any set security policies from-zone untrust to-zone trust policy dst-nat-pool-access match destination-address 233.252.0.1/21 set security policies from-zone untrust to-zone trust policy dst-nat-pool-access match application any set security policies from-zone untrust to-zone trust policy dst-nat-pool-access then permit
Procedimiento paso a paso
El siguiente ejemplo requiere que navegue por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración.
Para configurar las traducciones TDR de destino y origen para flujos de multidifusión:
Cree un grupo TDR de destino.
[edit security nat destination] user@host# set pool dst-nat-pool address 233.252.0.2/32
Cree un conjunto de reglas TDR de destino.
[edit security nat destination] user@host# set rule-set rs1 from interface xe-2/0/1.0
Configure una regla que coincida con paquetes y traduzca la dirección de destino a la dirección del grupo TDR de destino.
[edit security nat destination] user@host# set rule-set rs1 rule r1 match destination-address 233.252.0.1/32 user@host# set rule-set rs1 rule r1 then destination-nat pool dst-nat-pool
Cree un grupo TDR de origen.
[edit security nat source] user@host# set pool src-nat-shift-1 address 198.51.100.200 to 198.51.100.210
Especifique el principio del intervalo de direcciones IP de origen original.
[edit security nat source] user@host# set pool src-nat-shift-1 host-address-base 203.0.113.100
Cree un conjunto de reglas TDR de origen.
[edit security nat source] user@host# set rule-set rs-shift1 from zone trust user@host# set rule-set rs-shift1 to interface xe-1/0/1.0
Configure una regla que coincida con los paquetes y traduzca la dirección de destino a la dirección del grupo TDR de origen.
[edit security nat source] user@host# set rule-set rs-shift1 rule r1 match source-address 203.0.113.96/28 user@host# set rule-set rs-shift1 rule r1 then source-nat pool src-nat-shift1
Cree un grupo TDR de origen.
[edit security nat source] user@host# set pool src-nat-shift-2 address 10.10.10.100 to 10.10.10.110
Especifique el principio del intervalo de direcciones IP de origen original.
[edit security nat source] user@host# set pool src-nat-shift-2 host-address-base 203.0.113.100/32
Cree un conjunto de reglas TDR de origen.
[edit security nat source] user@host# set rule-set rs-shift2 from zone trust user@host# set rule-set rs-shift2 to interface xe-2/0/0.0
Configure una regla que coincida con los paquetes y traduzca la dirección de destino a la dirección del grupo TDR de origen.
[edit security nat source] user@host# set rule-set rs-shift2 rule r2 match source-address 203.0.113.96/28 user@host# set rule-set rs-shift2 rule r2 then source-nat pool src-nat-shift2
Configure el ARP de proxy.
[edit security nat] user@host# set proxy-arp interface xe-1/0/0.0 address 203.0.113.100 to 203.0.113.110 user@host# set proxy-arp interface xe-1/0/1.0 address 198.51.100.200 to 198.51.100.210 user@host# set proxy-arp interface xe-2/0/0.0 address 10.10.10.100 to 10.10.10.110
Configure una política de seguridad que permita el tráfico desde la zona de confianza a la zona de no confianza.
[edit security policies from-zone trust to-zone untrust] user@host# set policy internet-access match source-address any destination-address any application any user@host# set policy internet-access then permit
Configure una política de seguridad que permita el tráfico desde la zona de no confianza a la zona de confianza.
[edit security policies from-zone untrust to-zone trust] user@host# set policy dst-nat-pool-access match source-address any destination-address 233.252.0.1/32 application any user@host# set policy dst-nat-pool-access then permit
Resultados
Desde el modo de configuración, ingrese los comandos y show security policies para confirmar la show security nat configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.
[edit]
user@host# show security nat
source {
pool src-nat-shift-1 {
address {
198.51.100.200/32 to 198.51.100.210/32;
}
host-address-base 203.0.113.100/32;
}
pool src-nat-shift-2 {
address {
10.10.10.100/32 to 10.10.10.110/32;
}
host-address-base 203.0.113.100/32;
}
rule-set trust-to-untrust {
from zone trust;
to zone untrust;
rule source-nat-rule {
match {
source-address 0.0.0.0/0;
}
then {
source-nat {
interface;
}
}
}
}
rule-set rs-shift1 {
from zone trust;
to interface xe-1/0/1.0;
rule r1 {
match {
source-address 203.0.113.96/28;
}
then {
source-nat {
pool {
src-nat-shift1;
}
}
}
}
}
rule-set rs-shift2 {
from zone trust;
to interface xe-2/0/0.0;
rule r2 {
match {
source-address 203.0.113.96/28;
}
then {
source-nat {
pool {
src-nat-shift2;
}
}
}
}
}
}
destination {
pool dst-nat-pool {
address 233.252.0.1/32;
}
rule-set rs1 {
from interface xe-2/0/1.0;
rule r1 {
match {
destination-address 233.252.0.1/32;
}
then {
destination-nat pool dst-nat-pool;
}
}
}
}
proxy-arp {
interface xe-1/0/0.0 {
address {
203.0.113.100/32 to 203.0.113.110/32;
}
}
interface xe-1/0/1.0 {
address {
198.51.100.200/32 to 198.51.100.210/32;
}
}
interface xe-2/0/0.0 {
address {
10.10.10.100/32 to 10.10.10.110/32;
}
}
}
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
policy trust-to-untrust {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
policy internet-access {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
from-zone untrust to-zone trust {
policy dst-nat-pool-access {
match {
source-address any;
destination-address 233.252.0.1/21;
application any;
}
then {
permit;
}
}
}
}
Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.
Verificación
Para confirmar que la configuración funciona correctamente, realice estas tareas:
- Verificar el uso del grupo de TDR de destino
- Verificar el uso de la regla de TDR de destino
- Verificar el uso del grupo TDR de origen
- Verificar el uso de la regla de TDR de origen
- Verificar la aplicación TDR al tráfico
Verificar el uso del grupo de TDR de destino
Propósito
Compruebe que hay tráfico mediante direcciones IP del grupo TDR de destino.
Acción
Desde el modo operativo, ingrese el show security nat destination pool all comando. Vea el campo de impactos de traducción para comprobar si hay tráfico que usa direcciones IP del grupo.
Verificar el uso de la regla de TDR de destino
Propósito
Compruebe que hay tráfico que coincide con la regla TDR de destino.
Acción
Desde el modo operativo, ingrese el show security nat destination rule all comando. Vea el campo de impactos de traducción para comprobar si el tráfico coincide con la regla.
Verificar el uso del grupo TDR de origen
Propósito
Compruebe que hay tráfico mediante direcciones IP del grupo TDR de origen.
Acción
Desde el modo operativo, ingrese el show security nat source pool all comando. Vea el campo de impactos de traducción para comprobar si hay tráfico que usa direcciones IP del grupo.
Verificar el uso de la regla de TDR de origen
Propósito
Compruebe que el tráfico coincide con la regla TDR de origen.
Acción
Desde el modo operativo, ingrese el show security nat source rule all comando. Vea el campo de impactos de traducción para comprobar si el tráfico coincide con la regla.