Cómo excluir el tráfico de nat en una srx junos

Después de haber configurado los servicios SRX NAT usando la interfaz de salida o el método de la piscina, se puede crear una regla para excluir cierto tipo de tráfico desde el proceso de NAT. Esta configuración se puede hacer para permitir que ciertos servidores (tales como una red pública o sitio FTP) que tienen direcciones IP públicas en el espacio de otro modo privado dirección de LAN, pero la elección es realmente hasta el administrador de la red.

Video: Juniper SRX GNS3 Source NAT, Destination NAT, Security Zones & Policies

Naturalmente, se necesita una nueva regla. Éste se aplica a 192.168.2.2 y se llama NO_translate:

[Seguridad de código de conjunto de reglas NAT Internet-nat editar] root # regla fija NO_translate

Ahora, se necesita una regla de juego y la acción para la nueva regla para que pueda convertir NAT fuera de 192.168.2.2, como se muestra aquí:

Video: SRX Source NAT Learning Byte

[Editar fuente nat seguridad de conjunto de reglas NAT-internet regla NO_translate] partido root # conjunto dirección de origen 192.168.2.2/32root# establece entonces la fuente-nat fuera

Puede ser que parezca que haya terminado, pero no estás.

Video: Juniper Learning Bytes: SRX Series Topics

Si se compromete esta configuración, el SRX sigue traduciendo 192.168.2.2, a pesar de que la regla está muy bien y el SRX no debe traducirlo.

Esto es lo que sucedió: El orden de las reglas es establecida por el orden en que están configurados en el CLI. los NO_translate se añadió regla después de haber configurado el básico los administradores de acceso regla, por lo que la NO_translate regla fue simplemente añadido después de la existente los administradores de acceso regla. Desafortunadamente, debido los administradores de acceso partidos todo el espacio de direcciones de LAN (192.168.2.0/24), No hay tráfico se deja para el NO-traducir gobernar para que coincida!

Este es un asunto de política común con Junos y es bastante fácil de solucionar. Una declaración pone la regla en el orden correcto:

[Editar fuente nat seguridad de conjunto de reglas internet-nat] NO_translate regla de la raíz # insertar antes de reglas de acceso a los administradores

Siempre asegúrese de que sus reglas configuradas están en el orden correcto para lograr los resultados que desea. A medida que el número de reglas crece, la posibilidad de error crece aún más rápido.