NAT persistente e NAT64

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração.

1. Crie um pool de NAT de origem.

   content_copy zoom_out_map

   [edit security nat source]
   user@host# set pool NAT64 address 198.51.100.240/32 to 198.51.100.254/32
   

2. Especifique o comprimento do prefixo IPv6 para o grupo NAT de origem.

   content_copy zoom_out_map

   [edit security nat source]
   user@host# set pool NAT64 address-persistent subscriber ipv6-prefix-length 64
   

3. Crie um conjunto de regras.

   content_copy zoom_out_map

   [edit security nat source]
   user@host# set rule-set RS1 from zone trust
   user@host# set rule-set RS1 to zone untrust
   

4. Combine com a regra.

   content_copy zoom_out_map

   [edit security nat source]
   user@host# set rule-set RS1 rule R1 match source-address 2001:db8::/32
   user@host# set rule-set RS1 rule R1 match destination-address 198.51.100.198/32
   

5. Forneça a ação a ser realizada quando a regra estiver em jogo.

   content_copy zoom_out_map

   [edit security nat source]
   user@host# set security nat source rule-set RS1 rule R1 then source-nat pool NAT64
   

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show security nat comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

[edit]
user@host# show security nat
source {
    pool NAT64 {
        address {
            198.51.100.240/32 to 198.51.100.254/32;
        }
        address-persistent subscriber ipv6-prefix-length 64;
    }
    rule-set RS1 {
        from zone trust;
        to zone untrust;
        rule R1 {
            match {
                source-address 2001:db8::/32;
                destination-address 198.51.100.198/32;
            }
            then {
                source-nat {
                    pool {
                        NAT64;
                    }
                }
            }
        }
    }
}

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique se o mesmo prefixo IPv6 é traduzido para o endereço IPv4 persistente.

Ação

A partir do modo operacional, entre no show security flow session comando.

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

set security nat source rule-set int1 from interface ge-0/0/1.0
set security nat source rule-set int1 to interface ge-0/0/2.0
set security nat source rule-set int1 rule in1 match source-address 192.0.2.0/24
set security nat source rule-set int1 rule in1 match destination-address 198.51.100.0/24
set security nat source rule-set int1 rule in1 then source-nat interface persistent-nat permit any-remote-host
set security nat source interface port-overloading off
set security policies from-zone internal to-zone external policy stun_traffic match source-address internal_phones destination-address stun_server application junos-stun
set security policies from-zone internal to-zone external policy sip_proxy_traffic match source-address internal_phones destination-address sip_proxy_server application junos-sip
set security policies from-zone internal to-zone external policy sip_traffic match source-address internal_phones destination-address external_phones application junos-persistent-nat
set security policies from-zone internal to-zone external policy sip_traffic then permit
set security policies from-zone internal to-zone external policy stun_traffic then permit
set security policies from-zone internal to-zone external policy sip_proxy_traffic then permit

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração no Guia do usuário da CLI.

Para configurar um conjunto de regras de NAT de interface:

1. Crie uma regra NAT persistente para um NAT de interface.

   content_copy zoom_out_map

   [edit security nat source rule-set int1]
   user@host# set from interface ge-0/0/1.0
   user@host# set to interface ge-0/0/2.0
   user@host# set rule in1 match source-address 192.0.2.0/24
   user@host# set rule in1 match destination-address 198.51.100.0/24
   user@host# set rule in1 then source-nat interface persistent-nat permit any-remote-host
   

2. Desativar a sobrecarga de porta para o NAT de interface.

   content_copy zoom_out_map

   [edit security]
   user@host# set nat source interface port-overloading off
   

3. Configure uma política de segurança para permitir o tráfego DESAS de telefones SIP internos para um servidor FIREWALL externo.

   content_copy zoom_out_map

   [edit security policies]
   user@host# set from-zone internal to-zone external policy stun_traffic match source-address internal_phones destination-address stun_server application junos-stun
   

4. Configure uma política de segurança para permitir o tráfego proxy SIP de telefones SIP internos para um servidor proxy SIP externo.

   content_copy zoom_out_map

   [edit security policies]
   user@host# set from-zone internal to-zone external policy sip_proxy_traffic match source-address internal_phones destination-address sip_proxy_server application junos-sip
   

5. Configure uma política de segurança para permitir o tráfego SIP de telefones SIP externos para telefones SIP internos.

   content_copy zoom_out_map

   [edit security policies]
   user@host# set from-zone internal to-zone external policy sip_traffic match source-address internal_phones destination-address external_phones application junos-persistent-nat
   user@host# set from-zone internal to-zone external policy sip_traffic then permit
   user@host#set from-zone internal to-zone external policy stun_traffic then permit
   user@host#set from-zone internal to-zone external policy sip_proxy_traffic then permit
   

Resultados

A partir do modo de configuração, confirme sua configuração inserindo os show security nat comandos e show security policies os comandos. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

[edit]
user@host# show security nat
source {
    interface {
        port-overloading off;
    }
    rule-set int1 {
        from interface ge-0/0/1.0;
        to interface ge-0/0/2.0;
        rule in1 {
            match {
                source-address 192.0.2.0/24;
                destination-address 198.51.100.0/24;
            }
            then {
                source-nat {
                    interface {
                        persistent-nat {
                            permit any-remote-host;
                        }
                    }
                }
            }
        }
    }
}
[edit]
user@host# show security policies
from-zone internal to-zone external {
    policy stun_traffic {
        match {
            source-address internal_phones;
            destination-address stun_server;
            application junos-stun;
        }
        then {
            permit;
        }
    }
    policy sip_proxy_traffic {
        match {
            source-address internal_phones;
            destination-address sip_proxy_server;
            application junos-sip;
        }
        then {
            permit;
        }
    }
    policy sip_traffic {
        match {
            source-address internal_phones;
            destination-address external_phones;
            application junos-persistent-nat;
        }
        then {
            permit;
        }
    }
}

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique se todas as regras são compatíveis e usadas.

Ação

A partir do modo operacional, entre no show security nat source persistent-nat-table all  comando.

user@host>show security nat source persistent-nat-table all
Internal  Reflective                 Source     Type           Left_time/Curr_Sess_Num/   Source
      In_IP     In_Port I_Proto Ref_IP     Ref_Port R_Proto NAT Pool  Conf_time Max_Sess_Num    NAT Rule
     192.0.2.12  17012   udp    198.51.100.1  28153     udp   interface  any-remote-host  3528/3600     -/-           in1
     192.0.2.12  7078    udp    198.51.100.1  6133      udp   interface  any-remote-host     -/300      1/30          in1

Significado

A saída exibe um resumo das informações de NAT persistentes.

Propósito

Verifique se as sessões estão estabelecidas no dispositivo.

Ação

A partir do modo operacional, entre no show security flow session comando.

user@host>show security flow session

Session ID: 6992, Policy name: sip_proxy_traffic/5, Timeout: 16, Valid
  In: 192.0.2.12/17012 --> 198.51.100.45/5060;udp, If: ge-0/0/1.0, Pkts: 4, Bytes: 1850
  Out: 198.51.100.45/5060 --> 198.51.100.1/28153;udp, If: ge-0/0/2.0, Pkts: 5, Bytes: 2258

Session ID: 7382, Policy name: stun_traffic/4, Timeout: 16, Valid
  In: 192.0.2.12/7078 --> 198.51.100.49/3478;udp, If: ge-0/0/1.0, Pkts: 20, Bytes: 1040
  Out: 198.51.100.49/3478 --> 198.51.100.1/6133;udp, If: ge-0/0/2.0, Pkts: 0, Bytes: 0

Significado

O show security flow session comando exibe sessões ativas no dispositivo e a política de segurança associada de cada sessão. A saída mostra o tráfego entrando no dispositivo usando o endereço de origem privada 192.0.2.12 destinado a um host público em 198.51.100.45. O tráfego de retorno desse fluxo viaja para o endereço público traduzido 198.51.100.1.

• Session ID— Número que identifica a sessão. Use este ID para obter mais informações sobre a sessão, como nome da política ou número de pacotes dentro e fora.

• sip_proxy_traffic— Nome da política que permitiu o tráfego SIP dos telefones SIP internos para o servidor proxy SIP externo.

• In— Fluxo de entrada (endereços IP de origem e destino com seus respectivos números de porta de origem e destino. A sessão é UDP, e a interface de origem para esta sessão é ge-0/0/1,0).

• Out— Fluxo reverso (endereços IP de origem e destino com seus respectivos números de porta de origem e destino. A sessão é UDP, e a interface de destino para esta sessão é ge-0/0/2.0).

• stun_traffic— Nome da política que permitiu o tráfego DESAS dos telefones SIP internos para o servidor DESAS externo.

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

set security nat static rule-set test_rs from interface ge-0/0/1
set security nat static rule-set test_rs rule test_rule match destination-address 2001:db8::/128 
set security nat static rule-set test_rs rule test_rule then static-nat prefix 10.2.2.15/32 
set security nat source pool myipv4 address 203.0.113.2 
set security nat source rule-set myipv4_rs from interface ge-0/0/1
set security nat source rule-set myipv4_rs to interface ge-0/0/2
set security nat source rule-set myipv4_rs rule ipv4_rule match source-address 2001:db8::/96
set security nat source rule-set myipv4_rs rule ipv4_rule match destination-address 10.2.2.15
set security nat source rule-set myipv4_rs rule ipv4_rule then source-nat pool myipv4
set security nat source rule-set myipv4_rs rule ipv4_rule then source-nat pool persistent-nat permit target-host

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração.

Para configurar a filtragem dependente de endereços para clientes IPv6:

1. Crie um conjunto de regras para o NAT64.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs from interface ge-0/0/1
   

2. Combine com a regra.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs rule test_rule match destination-address 2001:db8::/128
   

3. Forneça a ação a ser realizada quando a regra estiver em jogo.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs rule test_rule then static-nat prefix 10.2.2.15/32
   

4. Defina um pool de endereços de origem e adicione o endereço ao pool.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source pool myipv4 address 203.0.113.2
   

5. Crie outro conjunto de regras para o NAT64.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs from interface ge-0/0/1
   

6. Combine a regra com o endereço de origem.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule match source-address 2001:db8::/96
   

7. Combine a regra com o endereço de destino.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule match destination-address 10.2.2.15
   

8. Forneça a ação a ser realizada quando as regras corresponderem.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule then source-nat pool myipv4
   

9. Configure o NAT persistente.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule then source-nat pool persistent-nat permit target-host
   

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show nat source comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

[edit security]
user@host#show nat source
 pool myipv4 {
        address {
            203.0.113.2/32;
        }
    }
    rule-set test_rs {
        rule test_rule {
            match {
                destination-address 2001:db8::/128;
            }
            
        }
        
    }
    rule-set myipv4_rs {
        from interface ge-0/0/1.0;
        to interface ge-0/0/2.0;
        rule ipv4_rule {
            match {
                source-address 2001:db8::/96;
                destination-address 10.2.2.15/32;
            }
            then {
                source-nat {
                    pool {
                        myipv4;
                        persistent-nat {
                            permit target-host;
                        }
                    }
                }
            }
        }
    }
}

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique se a configuração está habilitada e funcionando.

Ação

A partir do modo operacional, insira os seguintes comandos:

• show security nat static rule test_rule

• show security nat source rule ipv4_rule

• show security nat source pool myipv4

Propósito

Verifique se todas as regras são compatíveis e usadas.

Ação

A partir do modo operacional, entre no show security nat source persistent-nat-table all comando.

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

set security nat static rule-set test_rs from interface ge-0/0/1
set security nat static rule-set test_rs rule test_rule match destination-address 2001:db8::/128 
set security nat static rule-set test_rs rule test_rule then static-nat prefix 10.2.2.15/32 
set security nat source pool myipv4 address 203.0.113.2
set security nat source rule-set myipv4_rs from interface ge-0/0/1
set security nat source rule-set myipv4_rs to interface ge-0/0/2
set security nat source rule-set myipv4_rs rule ipv4_rule match source-address 2001:db8::/96
set security nat source rule-set myipv4_rs rule ipv4_rule match destination-address 10.2.2.15
set security nat source rule-set myipv4_rs rule ipv4_rule then source-nat pool myipv4
set security nat source rule-set myipv4_rs rule ipv4_rule then source-nat pool persistent-nat permit any-remote-host

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, veja Usando o Editor de CLI no modo de configuração.

Para configurar a filtragem independente de endpoint para clientes IPv6:

1. Crie um conjunto de regras para o NAT64.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs from interface ge-0/0/1
   

2. Combine com a regra.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs rule test_rule match destination-address 2001:db8::/128
   

3. Forneça a ação a ser realizada quando a regra estiver em jogo.

   content_copy zoom_out_map

   [edit security nat static]
   user@host# set rule-set test_rs rule test_rule then static-nat prefix 10.2.2.15/32
   

4. Defina um pool de endereços de origem e adicione o endereço ao pool.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source pool myipv4 address 203.0.113.2
   

5. Crie outro conjunto de regras para o NAT64.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs from interface ge-0/0/1
   

6. Combine a regra com o endereço de origem.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule match source-address 2001:db8::/96
   

7. Combine a regra com o endereço de destino.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule match destination-address 10.2.2.15
   

8. Forneça a ação a ser realizada quando as regras corresponderem.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule then source-nat pool myipv4
   

9. Configure o NAT persistente.

   content_copy zoom_out_map

   [edit security nat]
   user@host# set source rule-set myipv4_rs rule ipv4_rule then source-nat pool persistent-nat permit any-remote-host
   

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show security nat comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

[edit security]
user@host#show security nat
source {
    pool myipv6_prefix {
        address {
            2001:db8::/64;
        }
    }
    pool myipv4 {
        address {
            203.0.113.2/32;
        }
    }
    rule-set myipv6_rs {
        from interface ge-0/0/1.0;
        to interface ge-0/0/2.0;
        rule ipv6_rule {
            match {
                source-address 10.1.1.0/30;
                destination-address 2001:db8::2/96;
            }
            then {
                source-nat {
                    pool {
                        myipv6_prefix;
                    }
                }
            }
        }
    }
    rule-set myipv4_rs {
        from interface ge-0/0/1.0;
        to interface ge-0/0/2.0;
        rule ipv4_rule {
            match {
                source-address 2001:db8::/96;
                destination-address 10.2.2.15/32;
            }
            then {
                source-nat {
                    pool {
                        myipv4;
                        persistent-nat {
                            permit target-host;
                        }
                    }
                }
            }
        }
    }
}
static {
    rule-set test_rs {
        from interface ge-0/0/1.0;
        rule test_rule {
            match {
                destination-address 2001:db8::/128;
            }
            then {
                static-nat {
                    prefix {
                        10.2.2.15/32;
                    }
                }
            }
        }
    }
}                                   

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique se a configuração está habilitada e funcionando.

Ação

A partir do modo operacional, insira os seguintes comandos.

• show security nat static rule test_rule

• show security nat source rule ipv4_rule

• show security nat source pool myipv4

Propósito

Verifique se todas as regras são compatíveis e usadas.

Ação

A partir do modo operacional, entre no show security nat source persistent-nat-table all comando.

Procedimento passo a passo

Para aumentar a capacidade de NAT persistente:

1. Definir maximizar a opção de capacidade de NAT persistente.

   content_copy zoom_out_map

   [edit]
   user@host# set security forwarding-process application-services maximize-persistent-nat-capacity
   

2. Se você terminar de configurar o dispositivo, confirme a configuração.

   content_copy zoom_out_map

   [edit]
   user@host# commit
   

3. Reinicie o sistema do modo operacional.

   content_copy zoom_out_map

   [edit]
   user@host# request system reboot
   

   Ao mudar para maximizar o modo de capacidade de NAT persistente ou voltar ao modo regular, você deve reiniciar o dispositivo.

4. Se você quiser mudar o dispositivo de volta ao modo regular, exclua a configuração do modo de capacidade NAT persistente.

   content_copy zoom_out_map

   [edit]
   user@host# delete security forwarding-process application-services maximize-persistent-nat-capacity
   

Propósito

Verifique se você aumentou a capacidade de NAT persistente.

Ação

A partir do modo operacional, entre no show security forwarding-process application-services comando.

Procedimento passo a passo

Para configurar a base de cabelo NAT persistente:

1. Configure interfaces.

   content_copy zoom_out_map

   [edit]
   user@host# set interfaces ge-11/0/0 unit 0 family inet address 10.10.10.254/24
   user@host# set interfaces ge-11/0/1 unit 0 family inet address 198.51.100.254/24
   

2. Crie zonas (reth0z e reth1z).

   content_copy zoom_out_map

   [edit]
   user@host# set security zones security-zone reth0z host-inbound-traffic system-services all
   user@host# set security zones security-zone reth0z host-inbound-traffic protocols all
   user@host# set security zones security-zone reth0z interfaces ge-11/0/0.0
   user@host# set security zones security-zone reth1z host-inbound-traffic system-services all
   user@host# set security zones security-zone reth1z host-inbound-traffic protocols all
   user@host# set security zones security-zone reth1z interfaces ge-11/0/1.0
   

3. Crie políticas para zonas reth0z e reth1z.

   content_copy zoom_out_map

   [edit]
   user@host# set security address-book global address subnet10 10.10.10.0/24
   user@host# set security address-book global address subnet20 198.51.100.0/24
   user@host# set security policies from-zone reth0z to-zone reth1z policy p1 match source-address subnet10
   user@host# set security policies from-zone reth0z to-zone reth1z policy p1 match destination-address subnet20
   user@host# set security policies from-zone reth0z to-zone reth1z policy p1 match application any
   user@host# set security policies from-zone reth0z to-zone reth1z policy p1 then permit
   user@host# set security policies default-policy deny-all
   

4. Adicione a mesma política de zona para fazer hairpinning NAT persistente.

   content_copy zoom_out_map

   user@host# set security policies from-zone reth0z to-zone reth0z policy p2 match source-address subnet10
   user@host# set security policies from-zone reth0z to-zone reth0z policy p2 match destination-address subnet10
   user@host# set security policies from-zone reth0z to-zone reth0z policy p2 match application any
   user@host# set security policies from-zone reth0z to-zone reth0z policy p2 then permit
   

5. Crie um pool de NAT de origem para Host 1 e Host 2 (src1).

   content_copy zoom_out_map

   [edit]
   user@host# set security nat source pool src1 address 192.0.2.1/32 to 192.0.2.10/32
   

6. Especifique o início da faixa de endereço IP de origem original para Host 1 e Host 2 (src1).

   content_copy zoom_out_map

   [edit]
   user@host# set security nat source pool src1 host-address-base 10.10.10.2/24
   

7. Configure o conjunto de regras de NAT de origem r1.

   content_copy zoom_out_map

   [edit]
   user@host# set security nat source rule-set r1 from zone reth0z 
   user@host# set security nat source rule-set r1 to zone reth1z
   user@host# set security nat source rule-set r1 to zone reth0z  
   user@host# set security nat source rule-set r1 rule rule1 match source-address 10.10.10.0/24
   user@host# set security nat source rule-set r1 rule rule1 match destination-address 10.10.10.0/24
   user@host# set security nat source rule-set r1 rule rule1 match destination-address 198.51.100.0/24
   user@host# set security nat source rule-set r1 rule rule1 then source-nat pool src1
   user@host# set security nat source rule-set r1 rule rule1 then source-nat pool persistent-nat permit any-remote-host
   user@host# set security nat source rule-set r1 rule rule1 then source-nat pool persistent-nat inactivity-timeout 900
   user@host# set security nat source rule-set r1 rule rule1 then source-nat pool persistent-nat max-session-number 20
   

Resultados

Desde o modo de configuração, entre no show security nat comando para confirmar sua configuração. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

[edit]
user@host# show security nat
source {
    pool src1 {
        address {
            192.0.2.1/32 to 192.0.2.10/32;
        }
        host-address-base 10.10.10.2/24;
    }
    rule-set r1 {
        from zone reth0z;
        to zone [ reth0z reth1z ];
        rule rule1 {
            match {
                source-address 10.10.10.0/24;
                destination-address [10.10.10.0/24 198.51.100.0/24];
            }
            then {
                source-nat {
                    pool {
                        src1;
                        persistent-nat {
                            permit any-remote-host;
                            inactivity-timeout 900;
                            max-session-number 20;
                        }
                    }
                }
            }
        }
    }
}

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique o tráfego enviado entre os hosts (Host 1 e Host 3) criando uma vinculação 1.

Ação

 sendip -d r28 -p ipv4 -iv 4 -is 10.10.10.2 -id 198.51.100.2 -p udp -us 69 -ud 69 198.51.100.2

        Source-IP: 10.10.10.2
        Source-port: 69
        Dst-IP: 198.51.100.2
			 Dst-port: 69
        Binding1 is below:

user@host>show security nat source persistent-nat-table all  
Internal   Reflective       Source            Type          Left_time/  Curr_Sess_Num/ Source
 In_IP     In_Port Ref_IP   Ref_Port NAT Pool                Conf_time   Max_Sess_Num  NAT Rule
10.10.10.2 69      192.0.2.1  69     src1     any-remote-host  -/900      1/20          rule1   

Propósito

Verifique o tráfego enviado entre os hosts (Host 2 e Host 3) criando a vinculação 2.

Ação

sendip -d r28 -p ipv4 -iv 4 -is 10.10.10.10 -id 198.51.100.2 -p udp -us 69 -ud 69 198.51.100.2
        Source-IP: 10.10.10.10
        Source-port: 69
        Dst-IP: 198.51.100.2
        Dst-port: 69
        Binding2 is below:


user@host>show security nat source persistent-nat-table all     
Internal   Reflective          Source            Type            Left_time/  Curr_Sess_Num/  Source
 In_IP       In_Port Ref_IP    Ref_Port NAT Pool                  Conf_time   Max_Sess_Num   NAT Rule
10.10.10.2   69      192.0.2.1  69       src1     any-remote-host   -/900      1/20          rule1    
10.10.10.10  69      192.0.2.9  69       src1     any-remote-host   -/900      1/20          rule1  

Propósito

Verifique o tráfego enviado do Host 1 para o Host 2:

Ação

user@host>show security flow session 
sendip -d r28 -p ipv4 -iv 4 -is 10.10.10.2 -id 192.0.2.9 -p udp -us 69 -ud 69 192.0.2.9

  Session ID: 100007628, Policy name: default-policy/2, Timeout: 52, Valid
  In: 10.10.10.2/69 --> 192.0.2.9/69;udp, If: ge-0/0/0.0, Pkts: 2, Bytes: 112
  Out: 10.10.10.10/69 --> 192.0.2.1/69;udp, If: ge-0/0/0.0, Pkts: 0, Bytes: 0
   Total sessions: 1