SRX - Source NAT / Destination NAT / Static NAT



 ◆ JUNOS - NAT

 SRXでは、Source NAT、Static NAT、Destination NATの大きく3種類のNATを実装させる事ができます。

実装できるNAT 説明
Source NAT

 送信元アドレスを変換するNAT。出力I/Fのアドレス、またはプールアドレスに送信元アドレスを変換。
 Source NATにはさらに次の2種類がある。「 Port Translation : ON」「 Port Translation : OFF」

Destination NAT

 宛先アドレスを変換するNAT。プールアドレスに宛先アドレスを変換。Destination NATには以下の
 3種類がある。「1対1」「1対多」「多対多」。SSGのVIPに該当する機能が含まれている。

Static NAT

 1対1のスタティックNAT。マッピング用アドレスへの通信を指定した宛先アドレスに変換。逆向き通信は
 送信元アドレスがマッピング用アドレスに変換される1対1のNATとなる。SSGのMIPに該当する機能。



  


セキュリティポリシーとNAT処理の順序 説明
Source NAT、Reverse Static NAT


 NAT変換前にセキュリティポリシーがチェックされるので、
 NAT変換前の送信元アドレスをセキュリティポリシーに設定する。

Destination NAT、Static NAT


 NAT変換後にセキュリティポリシーがチェックされるので、
 NAT変換後の宛先アドレスをセキュリティポリシーに設定する。




 ◆ NAT - ルールセットとルール

 各ルールセットは宛先や送信元アドレスに基づいたマッチ条件のセットを持っています。パケットが複数の
 ルールセットに合致する場合、最も詳細に合致するルールが優先されます。優先順位は以下の1. ⇒ 2. ⇒ 3.。

 
1. Interface 2. Zone 3. Routing-Instance

 そして、ルールセットの中に設定されたルールは上から順番にマッチ評価されていきます。CiscoACLと同じ。



 ◆ NAT - ProxyARPの設定

 Juniper SRXでは、I/FのIPアドレス以外のARPは返さないので、次の条件ではProxy ARPを設定する必要が
 あります。※ NAT変換後のアドレスがSRXのI/FのIPアドレスと同じセグメントであっても、対向の機器で
 NAT変換後のアドレスにホストルートが定義している場合など、ルーティング上でSRXのI/FのIPアドレスの
 MACアドレスを解決できればよい構成である場合は、Proxy ARPの設定は必要ありません。

 1. Source NATまたはStaticNATに定義されたアドレスがインターフェースと同じサブネットに存在する場合
 下図の赤字の設定は「インターフェースfe-0/0/0.0のアドレス1.1.1.5に対するプロキシARP」となりますが
 この設定により、SRXはそのアドレスに対して
インターフェース上で受信したARPリクエストに応答できます。


 



 2. Destination NATに定義された変換前の宛先アドレスが、着信 I/Fと同じサブネットに存在する場合


 


 この設定により、Fe-0/0/0/0 側に着信する 1.1.1.10 のARP要求に対して、ARP応答を返せられます。



Juniper SRX - 設定コマンド解説

Copyright(C) 2002-2024 ネットワークエンジニアとして All Rights Reserved