Juniper SRX NAT46/NAT64配置

已于 2022-09-30 17:40:22 修改
阅读量869 收藏 2
点赞数 1
分类专栏： Juniper 文章标签： 网络协议 网络 运维
于 2022-09-30 17:37:34 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhiqianghan/article/details/127123056
版权

Juniper SRX345配置NAT46与NAT64

NAT46

测试拓扑

在这里插入图片描述

Model: srx345
Junos: 15.1X49-D140.2
JUNOS Software Release [15.1X49-D140.2]

配置步骤

  • Configure SRX to handle Ipv6 traffic
lab# set security forwarding-options family inet6 mode flow-based
lab# show security     
forwarding-options {
    family {
        inet6 {
            mode flow-based;
        }
    }
}

warning: You have enabled/disabled inet6 flow.
You must reboot the system for your change to take effect.
If you have deployed a cluster, be sure to reboot all nodes.

当启用Ipv6后，要求必须重启设备后才生效！

  • Configure both source and destination nat
[edit security nat]
lab# show destination 
pool ipv6-dest-pool {
    address 2001:db8::8/128;
}
rule-set ipv4-dest {
    from zone trust;
    rule ipv4-host-dest {
        match {
            source-address 192.168.1.200/32;
            destination-address 192.168.2.8/32;
        }
        then {
            destination-nat {
                pool {
                    ipv6-dest-pool;
                }
            }
        }
    }
}


[edit security nat]
lab# show source 
pool ipv6-source-pool {
    address {
        2001:db8::200/128;
    }
}
rule-set ipv4-source {
    from zone trust;
    to zone untrust;
    rule ipv4-host-source {
        match {
            source-address 192.168.1.200/32;
            destination-address 2001:db8::8/128;
        }
        then {
            source-nat {
                pool {
                    ipv6-source-pool;
                }
            }
        }
    }
}
  • Configure Proxy-ndp
[edit security nat]
root# show proxy-ndp 
interface ge-0/0/7.0 {
   		address {
       	 2001:db8::200/128;
   	   }
}
  • Configure policy
root# show security policies 
from-zone trust to-zone untrust {
    policy 1 {
        match {
            source-address 192.168.1.200/32;
            destination-address 2001:db8::8/128;
            application any;
        }
        then {
            permit;
        }
    }
}
  • Show security flow session
root> show security flow session    
Session ID: 8263, Policy name: 1/4, Timeout: 2, Valid
  In: 192.168.1.200/2330 --> 192.168.2.8/1;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 
  Out: 2001:db8::8/1 --> 2001:db8::200/2387;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 

Session ID: 8266, Policy name: 1/4, Timeout: 2, Valid
  In: 192.168.1.200/2331 --> 192.168.2.8/1;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 
  Out: 2001:db8::8/1 --> 2001:db8::200/8271;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 

Session ID: 8269, Policy name: 1/4, Timeout: 4, Valid
  In: 192.168.1.200/2332 --> 192.168.2.8/1;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 
  Out: 2001:db8::8/1 --> 2001:db8::200/14318;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 
Total sessions: 3

NAT64

测试拓扑

在这里插入图片描述

Model: srx345
Junos: 15.1X49-D140.2
JUNOS Software Release [15.1X49-D140.2]

配置步骤

  • Configure SRX to handle Ipv6 traffic
lab# set security forwarding-options family inet6 mode flow-based
lab# show security     
forwarding-options {
    family {
        inet6 {
            mode flow-based;
        }
    }
}

warning: You have enabled/disabled inet6 flow.
You must reboot the system for your change to take effect.
If you have deployed a cluster, be sure to reboot all nodes.

当启用Ipv6后，要求必须重启设备后才生效！

-Configure both source and destination nat

[edit security nat]
root@test# show destination 
pool ipv4-dest-pool {
    address 192.168.1.200/32;
}
rule-set ipv6-dest {
    from zone untrust;
    rule ipv6-host-dest {
        match {
            source-address 2001:db8::8/128;
            destination-address 2001:db8::200/32;
        }
        then {
            destination-nat {
                pool {
                    ipv4-dest-pool;
                }
            }
        }
    }
}
[edit security nat]
lab# show source 
pool ipv6-source-pool {
    address {
        2001:db8::200/128;
    }
}
[edit security nat]
root@test# show source 
pool ipv4-source-pool {
    address {
        192.168.1.111/32;
    }
}
rule-set ipv6-source {
    from zone untrust;
    to zone trust;
    rule ipv6-host-source {
        match {
            source-address 2001:db8::8/32;
            destination-address 192.168.1.200/32;
        }
        then {
            source-nat {
                pool {
                    ipv4-source-pool;
                }
            }
        }
    }
}

-Configure Proxy-ndp and Proxy-arp

[edit security nat]
root@test# show proxy-ndp        
interface ge-0/0/7.0 {
    address {
        2001:db8::200/128;
    }
}

[edit security nat]
root@test# show proxy-arp    
interface ge-0/0/0.0 {
    address {
        192.168.1.111/32;
    }
}
  • Configure policy
root@test# show security policies 
from-zone untrust to-zone trust {
    policy 2 {
        match {
            source-address 2001:db8::8/128;
            destination-address 192.168.1.200/32;
            application any;
        }
        then {
            permit;
        }
    }
}
  • Show security flow session
root@test# run show security flow session    
Session ID: 57895, Policy name: 2/5, Timeout: 2, Valid
  In: 2001:db8::8/1459 --> 2001:db8::200/1;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 
  Out: 192.168.1.200/1 --> 192.168.1.111/30023;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 

Session ID: 57896, Policy name: 2/5, Timeout: 2, Valid
  In: 2001:db8::8/1460 --> 2001:db8::200/1;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 
  Out: 192.168.1.200/1 --> 192.168.1.111/9601;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 

Session ID: 57898, Policy name: 2/5, Timeout: 4, Valid
  In: 2001:db8::8/1461 --> 2001:db8::200/1;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 
  Out: 192.168.1.200/1 --> 192.168.1.111/2871;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 

Session ID: 57899, Policy name: 2/5, Timeout: 4, Valid
  In: 2001:db8::8/1462 --> 2001:db8::200/1;icmp6, Conn Tag: 0x0, If: ge-0/0/7.0, Pkts: 1, Bytes: 80, 
  Out: 192.168.1.200/1 --> 192.168.1.111/26395;icmp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1, Bytes: 60, 
Total sessions: 4
吐蕃-鸠摩智
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
实践.原创 | 加速IPv6部署，建设网络强国 (普及知识)
weixin_45201790的博客
11-19 693
一、背景 据权威机构APNIC统计，截至2018年10月底，中国IPv6用户率排在全球第71位(注:2019年已大幅提升)。美国将IPv6部署定位为国家级战略部署，并得到坚决执行，排名全球第2位。在IPv6部署方面，中国再一次落后了。 中国要建设网络强国，必须加速IPv6部署，主要原因有三个： 1、IPv4地址分配被西方垄断，在中国已分配完毕，约束中国的网络发展； 2、中国网络起步较晚，全球13个...
Jool:适用于Linux的SIIT和NAT64
05-01
适用于Linux的 。 笔记！ Jool的网站同时在两个单独的域中托管： （一次过几天可能会过时） （不适用于IPv6） 文献资料 。 您也可以。 您可能还想查看。 学分 网卡 g 豪尔赫·卡诺·普恩特 g 塞尔吉奥·阿德里安·卡萨斯·费尔南德斯 g 朱利奥·塞萨尔·科西奥·德·罗伯斯 g g g 克里斯蒂安·阿方索·德·莱昂·贝尼特斯 g 罗伯托·奥利瓦斯·阿拉尔Kong-roaguns@gmail.com 埃德加·马丁·罗德里格斯·贝纳尔（EdgarMartínRodríguezBernal）-edgarmrb_95@hotmail.com ITESM代表 Juan Arturo Nolazco博士-jnolazco@itesm.mx g 玛莎·索迪亚（Martha Sordia） -msordia@itesm.mx ITESM学生 亚伯拉罕·贝兹（ Abr
华为配置NAT(动/静)+NAT(动/静)理论
最新发布
2302_80770707的博客
06-06 982
本章节主要介绍了有NAT的静/动配置
教程篇(7.0) 04. FortiGate安全 & NAT ❀ Fortinet 网络安全专家 NSE 4
防火墙技术专栏
02-04 4593
本节课将介绍如何配置NAT，并使用NAT对经过FortiGate的流量进行源NAT和目的NAT的转换。
Tayga NAT46
zdl244的博客
06-18 2128
Tayga NAT46 关于Tayga的NAT64配置可以参考连接：https://blog.csdn.net/zdl244/article/details/10676917 使用ipv4地址映射访问内部ipv6地址： 修改tayga配置文件做ipv4与ipv6地址的一对一映射: [root@tayge ~]# cat /etc/tayga/default.conf | grep -v ^# | grep -v ^$ tun-device nat64 ipv4-addr 192.168.255.1 pre
Juniper SRX-NAT配置.pdf
09-12
Juniper SRX-NAT配置常规配置
Juniper SRX NAT模式下路由配置 rpm配合ip-monitoring线路故障切换（部分走电信部分走联通.txt
04-20
Juniper SRX双线策略
junipersrx防火墙-nat实际现网配置实例.pdf
09-30
junipersrx防火墙-nat实际现网配置实例.pdf
juniper SRX配置手册
01-21
第一章:Juniper 防火墙基本原理 4 一,安全区段: 4 二,安全区段接口 5 三,创建二级IP 地址 12 四,接口状态更改 13 五,接口透明模式 15 六,接口NAT 模式 20 七,接口路由模式 25 八,地址组 30 九,服务 32 十,动态IP 池 ...
Juniper_SRX3600防火墙 NAT于policy配置
08-22
SRX NAT较ScreenOS在功能实现方面基本保持一致，但在功能配置上有较大区别，配置的主要差异在于ScreenOS的NAT与policy是绑定的，无论是MIP/VIP/DIP还是基于策略的NAT，在policy中均要体现出NAT内容（除了缺省基于...
nat46-master.zip
09-08
nat46开源代码，nat46开源代码，nat46开源代码，nat46开源代码，nat46开源代码，nat46开源代码。
NAT64-rfc6146
08-29
NAT64-rfc6146
Cilium 未来数据平面：支撑 100Gbit/s k8s 集群
云原生实验室
11-14 545
❝本文转自赵亚楠的博客，原文：http://arthurchiao.art/blog/cilium-tomorrow-networking-data-plane-zh/，版权归原作者所有。欢迎投稿，投稿请添加微信好友：cloud-native-yang译者序本文翻译自 KubeCon+CloudNativeCon North America 2022 的一篇分享： 100 Gbit/s Clust...
Juniper SRX JSRP 配置文档
sysin | SYStem INside
12-31 1928
机箱群集又称为 Junos 服务冗余协议（JSRP），它通过将一对相同类型的支持瞻博网络安全路由器或 SRX 系列服务网关组合到一个群集中来提供网络节点冗余。设备必须使用增强的服务运行 Junos OS。 这两个节点通过一个节点作为主设备，另一个是备份设备，在发生系统或硬件故障时确保进程和服务的状态故障转移。如果主节点发生故障，辅助节点将接管信息流处理。群集中的节点通过以太网链路互连，并在整个群集中同步配置、内核和会话状态，从而促进接口和服务的高可用性。
教程篇(6.0) 03. 网络地址转换 (NAT) ❀ FortiGate 安全 ❀ Fortinet 网络安全专家 NSE 4
防火墙技术专栏
12-25 6464
在本课中，你将学习如何配置网络地址转换（NAT），并使用它为通过FortiGate的流量实现源NAT和目标NAT。 在本次课程中，你将会探索以下主题： NAT介绍 防火墙NAT策略 中央NAT Session helpers 会话 最佳实践和故障排查 在完成这一节之后，你应该能够： 理解NAT和端口地址转换（PAT） 了解NAT可用的不同配置模式 　　通过了解...
IPv6过渡技术——NAT64、DNS64讲解
热门推荐
m0_49864110的博客
06-15 1万+
NAT64是一种有状态的网络地址与协议转换技术（即下一次的报文传输与上一次有顺序关系）NAT64继承了传统NAT技术的原理，不同的是NAT64会对整个报文格式进行转换，是IPv4到IPv6（或者相反）的转换。
ipv6 neigh proxy代理功能
henfengduandie的博客
10-15 2122
ipv6 neigh proxy代理功能
【自由谈】城域网IPv6过渡技术——NAT64+DNS64
韩立金自由谈
11-28 5355
在IPv6演进过程中，网络侧的IPv6 Ready程度较高，但是业务侧IPv6化还不乐观，因此解决IPv6网络与IPv4网络的互访，已经成为目前网络建设者关注的重点，特别是IPv6用户访问IPv4服务器的场景。 前面介绍的NAT444和DS-lite技术都是为实现IPv4用户访问IPv4业务、IPv6用户访问IPv6业务服务的，不解决IPv4与IPv6互访需求。NAT64则是专为IPv4与IPv
Juniper SRX RSR04/08E详细配置指南
本文档详细介绍了Juniper SRX RSR04/08E配置手册，该产品是专为网络设备管理员设计的高级路由器解决方案。文档涵盖了JUNOS操作系统的基础知识、系统管理和配置步骤。 首先，JUNOS简介部分阐述了系统的启动顺序和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值