Sådan udelades trafik fra NAT på en Junos SRX-dummies

Når du har konfigureret SRX NAT-tjenester ved hjælp af enten udgangsgrænsefladen eller pool-metoden, kan du oprette en regel for at udelukke visse trafik fra NAT-processen. Denne konfiguration kan gøres for at tillade visse servere (f.eks. Et offentligt web- eller FTP-websted) at have offentlige IP-adresser på ellers privat LAN-adresserum, men valget er virkelig op til netværksadministratoren.

Naturligvis har du brug for en ny regel. Denne gælder for 192. 168. 2. 2 og hedder NO_translate:

Nu skal du bruge en kampregel og handling for den nye regel, så du kan slå NAT ud for 192. 168. 2. 2, som vist her:

[edit security nat source rule-set internet nat regel NO_translate] root # sæt match source-adresse 192. 168. 2. 2/32 root # sæt derefter kilde- nat fra

Det kan se ud som om du er færdig, men det er du ikke.

Hvis du forpligter denne konfiguration, fortsætter SRX med at oversætte 192. 168. 2. 2, selv om reglen er fint, og SRX bør ikke oversætte den.

Her er hvad der skete: Ordrenes rækkefølge er fastlagt af den rækkefølge, de er konfigureret i CLI. NO_translate-reglen blev tilføjet, efter at du havde konfigureret den grundlæggende admins-adgangsregel, så NO_translate-reglen blev simpelthen tilføjet efter den eksisterende admins-adgangsregel. Desværre, fordi admins-adgang matcher hele LAN-adresserummet (192. 168. 2. 0/24), er der ingen trafik tilbage til NO-translate-reglen for at matche!

Dette er et fælles politisk problem med Junos og er let nok til at ordne. En sætning sætter reglen i den rigtige rækkefølge:

[edit security nat source rule-set internet nat] root # insert rule NO_translate før regel admins adgang

Altid

sørg for, at dine konfigurerede regler er i ordentlig orden for at opnå de ønskede resultater. Da antallet af regler vokser, vokser muligheden for fejl endnu hurtigere.