Bagaimana Mengkonfigurasi NAT di Junos SRX - dummies

NAT dapat menerjemahkan alamat dengan berbagai cara. Anda dapat mengkonfigurasi aturan untuk diterapkan ke lalu lintas untuk melihat jenis NAT yang harus digunakan dalam kasus tertentu. Anda dapat mengkonfigurasi SRX untuk melakukan layanan NAT berikut ini:

• Gunakan alamat IP antarmuka egress.

• Gunakan kumpulan alamat untuk terjemahan.

Biasanya, Anda tidak akan memasukkan dua layanan pertama pada SRX yang sama, karena keduanya sama sekali berbeda. Jadi jika Anda melakukannya, Anda tidak bisa melakukan hal lain pada saat bersamaan. Tapi Anda mungkin menemukan alasan untuk menggunakan terjemahan egress pada satu antarmuka dan kolam di antarmuka lain.

Konfigurasi NAT Sumber Menggunakan Alamat Antarmuka Egress

Pertama, Anda perlu membuat kumpulan aturan yang disebut internet-nat dengan nama yang berbeda dan menetapkan konteks lalu lintas yang Anda gunakan NAT untuk. Dalam kasus ini, aturan berlaku untuk lalu lintas dari zona LAN admin ke zona yang tidak tepercaya (untrust). Anda juga bisa menentukan interface atau virtual router, tapi yang terbaik adalah memikirkan segalanya di SRX dalam hal zona.

root # edit security nat source rule-set internet-nat [edit keamanan nat source rule-set internet-nat] root # set dari zona admin root # set to zone untrust

Sekarang, Anda mengkonfigurasi aturan yang sebenarnya (akses admin) yang sesuai dengan semua lalu lintas LAN yang pergi ke lokasi manapun dan menerapkan NAT ke paket:

[edit keamanan nat source rule-set internet-nat] root # edit rule admins-access [edit security nat source rule-set internet-nat rule admins-access] root # set match source-address 192. 168. 2. 0/24 root # set match destination-address all root # set then source-nat interface

Baris terakhir menetapkan terjemahan sumber NAT ke antarmuka egress. Begini seperti apa:

[edit keamanan nat] sumber {rule-set internet-nat {from {zone admins;} ke {zone unrust;} rule admins-access {match {source-address 192. 168. 2 0/24; alamat tujuan 0. 0. 0. 0/0;} lalu {source-nat interface;}}}

Mengkonfigurasi kolam terjemahan sumber NAT

Dalam banyak kasus, ruang alamat yang dialokasikan ke antarmuka tidak mencukupi. untuk menutup semua alamat di LAN. Jika demikian, lebih baik membuat kumpulan alamat yang dapat digunakan perangkat di LAN saat mereka mengirim lalu lintas ke luar zona tepercaya.

Untuk mengkonfigurasi ulang contoh sebelumnya untuk menggunakan kumpulan alamat IP, pertama, Anda harus mengkonfigurasi kolam renang, public_NAT_range. Di sini, Anda menggunakan kumpulan enam alamat kecil:

[edit keamanan sumber nat] root # set pool public_NAT_range address 66. 129. 250. 10 sampai 66.129. 250. 15

Struktur pernyataan ini memungkinkan Anda mengubah kolam di satu tempat, dan bukan di seluruh rangkaian aturan. Anda menerapkan kolam pada level hirarki NAT saat itu:

[edit security nat source] root # edit rule-set internet-nat rule admins-access [edit keamanan nat source rule-set internet-nat rule admins-access] root # set then source-nat pool public_NAT_range

Hanya satu pernyataan yang benar-benar berubah, tapi itu membuat perbedaan:

[edit security nat] source {rule-set internet-nat {from {zone admins;} to {zone untrust;} rule admins-access {match {source-address 192. 168. 2. 0/24; alamat tujuan 0. 0. 0. 0/0;} lalu {source-nat pool public_NAT_range;}}}