Juniper--cli----NAT配置笔记

地址转换配置

SRX NAT 和Policy 执行先后顺序为：目的地址转换－目的地址路由查找－执行策略检查－源地址转换，结合这个执行顺序，在配置Policy 时需注意：Policy 中源地址应是转换前的源地址，而目的地址应该是转换后的目的地址，换句话说，Policy 中的源和目的地址应该是源和目的两端的真实IP 地址。

SRX 还多了一个proxy-arp 概念，如果定义的IP Pool（可用于源或目的地址转换）需配置SRX 对这个Pool 内的地址提供ARP 代理功能，这样对端设备能够解析到IP Pool 地址的MAC 地址
（使用接口MAC 地址响应对方），以便于返回报文能够送达SRX

1，Interface based Nat 基于接口的源地址转换

指出站流量从一个方向上流出时，将源地址转换为出口的接口地址。最常见应用于内网访问互联网时。
本例中内网段 172.17.1.0 要访问互联网时，需要做一个基于接口的源地址转换，使访问外网时的源地址转换为外网的接口地址：192.168.1.239

set security nat source rule-set trust-to-untrust from zone trust
set security nat source rule-set trust-to-untrust to zone untrust
set security nat source rule-set trust-to-untrust rule source-nat-rule match sourceaddress 0.0.0.0/0
set security nat source rule-set trust-to-untrust rule source-nat-rule then source-nat interface
Source Nat 配置完成后，一定要有相同方向上的策略允许才能完成通讯

2，Pool based Source Nat 基于地址池的源地址转换

与基于接口的源地址转换不同的是，将源地址转换为一个地址池中的地址，可以是一个也可以是多个。
本例中设置一个 Name 为 Snatpool 地址范围从 192.168.1.220-230 的 Pool。 并且让172.17.1.0/24 段的地址使用该 SnatPool。

CLI配置如下：
set security nat source pool snatpool address 192.168.1.220/32 to 192.168.1.230/32
set security nat source rule-set trust-to-untrust from zone trust
set security nat source rule-set trust-to-untrust to zone untrust
set security nat source rule-set trust-to-untrust rule snatpool220-230 match sourceaddress 172.17.1.0/24
set security nat source rule-set trust-to-untrust rule snatpool220-230 then sourcenat pool snatpool
set security nat proxy-arp interface ge-0/0/0.0 address 192.168.1.220/32 to 192.168.1.230/32
需要注意的是：定义Pool 时不需要与Zone 及接口进行关联。配置proxy-arp 目的是让返回包能够送达SRX，如果Pool 与出接口IP不在同一子网，则对端设备需要配置指向 ge-0/0/0.0 接口的 Pool 地址路由。

3，Pool based Destination Nat 基于地址池的目标地址转换

这种 NAT 主要用于一对多的 IP 端口转换，类似于 SCREENOS 中的 VIP，常用于内部有多个地址端口要映射到公网，但公网地址又不够用的情况。可以对 IP 和端口同时转换。

本例中将内部 IP-172.16.1.11 的 3389 端口转换成 192.168.1.236 的 3389

在 CLI 管理方式中的相关配置

/NAT 部分配置/
set security nat destination pool srv11-3389 address 172.16.1.11/32
set security nat destination pool srv11-3389 address port 3389
set security nat destination rule-set utot from zone untrust
set security nat destination rule-set utot rule u236-srv11-3389 match sourceaddress 0.0.0.0/0
set security nat destination rule-set utot rule u236-srv11-3389 match destinationaddress 192.168.1.236/32
set security nat destination rule-set utot rule u236-srv11-3389 match destinationport 3389
set security nat destination rule-set utot rule u236-srv11-3389 then destinationnat pool srv11-3389
/定义 3389 服务/
set applications application tcp-3389 protocol tcp
set applications application tcp-3389 destination-port 3389
/定义 SRV11 地址/
set security zones security-zone trust address-book address srv11 172.16.1.11/32
/增加策略/
set security policies from-zone untrust to-zone trust policy utot-srv11-3389 match source-address any
set security policies from-zone untrust to-zone trust policy utot-srv11-3389 match destination-address srv11
set security policies from-zone untrust to-zone trust policy utot-srv11-3389 match application tcp-3389
set security policies from-zone untrust to-zone trust policy utot-srv11-3389 then permit

4，Pool based Static Nat 基于地址池的静态地址转换
本例中，定义一条 Static Nat，外网的 192.168.1.237 对应内网的 172.16.1.10

在 CLI 管理方式中的相关配置
/Static Nat 处配置/
set security nat static rule-set SUTOT from zone untrust
set security nat static rule-set SUTOT rule U237-SRV10 match destination-address
192.168.1.237/32
set security nat static rule-set SUTOT rule U237-SRV10 then static-nat prefix
172.16.1.10/32
set security nat proxy-arp interface ge-0/0/0.0 address 192.168.1.237/32
/SRV10 地址配置/
set security zones security-zone trust address-book address SRV10 172.16.1.10/32
/策略配置/
set security policies from-zone untrust to-zone trust policy U237-SRV10 match source-address any
set security policies from-zone untrust to-zone trust policy U237-SRV10 match destination-address SRV10
set security policies from-zone untrust to-zone trust policy U237-SRV10 match application any
set security policies from-zone untrust to-zone trust policy U237-SRV10 then permit