Slik konfigurerer du NAT på en Junos SRX-dummies

NAT kan oversette adresser på forskjellige måter. Du kan konfigurere regler som gjelder for trafikk for å se hvilken type NAT som skal brukes i et bestemt tilfelle. Du kan konfigurere SRX til å utføre følgende NAT-tjenester:

• Bruk IP-adressen til utgangsgrensesnittet.

• Bruk et basseng av adresser for oversettelse.

Vanligvis vil du ikke inkludere de to første tjenestene på samme SRX, fordi de er to forskjellige ting helt. Så hvis du gjør en, kan du ikke gjøre den andre på samme tid. Men det kan hende du finner grunner til å bruke egressoversettelse på ett grensesnitt og et basseng på et annet grensesnitt.

Konfigurer kilde NAT ved hjelp av Egress-grensesnittadressen

Først må du opprette et regelsett som heter Internet-nat med et særegent navn og etablere sammenhengen mellom trafikken du bruker NAT til. I dette tilfellet gjelder regelen for trafikk fra admins LAN-sonen til en hvilken som helst usikker sone (untrust). Du kan også angi grensesnitt eller virtuelle rutere, men det er best å tenke på alt på SRX når det gjelder soner.

root # rediger sikkerhet nat kilde regel-sett internett-nat [rediger sikkerhet nat kilde regel-sett internett-nat] root # sett fra sonen admins root # sett til sonen untrust

Nå, du konfigurerer den faktiske regelen (admins-tilgang) som samsvarer med alle LAN-trafikkene som går til et hvilket som helst sted, og bruker NAT til pakkene:

[rediger sikkerhet natkildsregel sett internettet] rot # rediger regeladministrator-tilgang [redigere sikkerhet nat kilde regel-sett internett-nat regel admins-tilgang] root # sett match kilde-adresse 192. 168. 2. 0/24 root # sett match destinasjonsadresse all root # sett deretter kilde-nat-grensesnittet

Den siste linjen setter NAT-kildeoversettelsen til utgangsgrensesnittet. Slik ser det ut:

[edit security nat] kilde {rule-set internett-nat {fra {zone admins;} til {zone untrust;} regel admins-tilgang {match {kildeadresse 192. 168. 2.0/24; destinasjonsadresse 0. 0. 0. 0/0;} deretter {kilde-nat-grensesnitt;}}}

Konfigurere en kilde NAT-oversettelsespool

I mange tilfeller er adresseplassen som er tildelt et grensesnitt, ikke tilstrekkelig å dekke alle adressene i LAN. Hvis dette er tilfelle, er det bedre å etablere et basseng av adresser som enheter på LAN kan bruke når de sender trafikk utenfor den klarerte sonen.

For å omkonfigurere det forrige eksempelet for å bruke et basseng av IP-adresser, må du først konfigurere bassenget, public_NAT_range. Her bruker du et lite basseng med seks adresser:

[edit security nat source] root # set pool public_NAT_range adresse 66. 129. 250. 10 til 66.129. 250. 15

Denne setningstrukturen lar deg endre bassengene på ett sted, i stedet for over regelsettene. Du bruker bassenget på det da nivået av NAT-hierarkiet:

[rediger sikkerhet natkilde] root # rediger regel-sett internett-nat-regel admins-tilgang [rediger sikkerhet nat kilde regel sett internett natts regel admins-tilgang] root # sett deretter kilde-natts pool public_NAT_range

Bare en setning endrer seg, men det gjør hele forskjellen:

[edit security nat] source {rule-set internett-nat {fra {zone admins;} til {zone untrust;} regel admins-tilgang {match {kildeadresse 192. 168. 2. 0/24; destinasjonsadresse 0. 0. 0. 0/0;} deretter {source-nat pool public_NAT_range;}}}