NAT 概述

NAT 规则集

规则集用于指定一组常规流量匹配条件。对于静态 NAT 和目标 NAT，规则集指定以下一项：

• 源接口

• 源区段

• 源路由实例

对于源 NAT 规则集，您可以同时配置源条件和目标条件：

• 源接口、区域或路由实例

• 目标接口、区域或路由实例

一个数据包可以匹配多个规则集;在这种情况下，将使用具有更具体匹配项的规则集。接口匹配被视为比区域匹配更具体，而区域匹配比路由实例匹配更具体。如果数据包同时匹配指定源区域的目标 NAT 规则集和指定源接口的目标 NAT 规则集，则指定源接口的规则集为更具体的匹配项。

源 NAT 规则集匹配更为复杂，因为您在源 NAT 规则集中指定了源条件和目标条件。如果一个数据包与多个源 NAT 规则集匹配，则所选规则集基于以下源/目标条件（按优先级顺序排列）：

1. 源接口/目标接口

2. 源区域/目标接口

3. 源路由实例/目标接口

4. 源接口/目标区域

5. 源区域/目标区域

6. 源路由实例/目标区域

7. 源接口/目标路由实例

8. 源区域/目标路由实例

9. 源路由实例/目标路由实例

例如，您可以配置规则集 A（用于指定源接口和目标区域）和规则集 B（用于指定源区域和目标接口）。如果数据包与两个规则集匹配，则规则集 B 是更具体的匹配项。

您不能为源 NAT 规则集指定相同的源和目标条件。

NAT 规则

找到与流量匹配的规则集后，将评估规则集中的每个规则以进行匹配。NAT 规则可针对以下数据包信息进行匹配：

• 源地址和目标地址

• 源端口（仅适用于源和静态 NAT）

• 目标端口

将使用规则集中与流量匹配的第一个规则。如果数据包与会话建立期间规则集中的规则匹配，则将根据该规则指定的作处理流量。

您可以使用 show security nat source rule 和 show security nat destination rule 以及 show security nat static rule 命令查看特定规则的会话数。

规则处理

NAT 类型决定了处理 NAT 规则的顺序。在流的第一个数据包处理期间，将按以下顺序应用 NAT 规则：

1. 静态 NAT 规则

2. 目标 NAT 规则

3. 路由查找

4. 安全性策略查找

5. 静态 NAT 规则的反向映射

6. 源 NAT 规则

图 1 说明了 NAT 规则处理的顺序。

图 1： NAT 规则处理

静态 NAT 和目标 NAT 规则在路由和安全策略查找之前进行处理。静态 NAT 规则优先于目标 NAT 规则。静态 NAT 规则的反向映射发生在路由和安全策略查找之后，优先于源 NAT 规则。在路由和安全策略查找之后以及静态 NAT 规则的反向映射之后，将处理源 NAT 规则。

每种 NAT（源、目标或静态）的规则和规则集配置基本相同。但是，由于在路由查找之前会同时处理目标和静态 NAT，因此您无法在规则集中指定目标区域、接口或路由实例。

NAT 规则容量

NAT 规则容量要求取决于 SRX 系列防火墙和 Junos OS 版本。

对每个规则集的规则数量的限制是设备范围内对设备可以支持的规则数量的限制。提供此限制是为了帮助您更好地规划和配置设备的 NAT 规则。

对于内存消耗，无法保证支持这些数字（最大源规则或规则集 + 最大目标规则或规则集 + 最大静态规则或规则集）。

NAT 规则容量要求取决于 SRX 系列防火墙和 Junos OS 版本。

使用 功能资源管理器 确认平台和版本对特定功能的支持。可能支持其他平台。

有关更多信息，请参阅 “其他平台信息” 部分。