Juniper ScreenOS下的MIP, VIP, DIP, NAT-src, NAT-dst区别

 Juniper防火墙的防火墙接口有三种模式,透明(Transparent)、NAT、路由(route)模式;其中在 ScreenOS 6.2后,防火墙支持在透明模式下的NAT,但是是有条件的,只支持策略nat-src和DIP。(原文Starting with ScreenOS 6.2, the firewall supports NAT in Transparent Mode but only on policy based NAT-src with the DIP pool built on the extended VLAN interface.MIP, VIP or destination NAT is not supported in Transparent Mode.)

透明和路由模式都相对简单,本文为自己学习笔记,记录NAT模式下的各种问题。

首先 ScreenOS提供了以下几种模式NAT:

  • DIP (Dynamic IP)

  • NAT-Src

  • NAT-Dst

  • MIP (Mapped IP)

  • VIP (Virtual IP)

如何选择正确的NAT模式,见右图:

1.对于outbound方向:使用Source Network Address Translation (NAT) and Source Port Address Translation (PAT)  、Source NAPT (Network Address Port Translation)、Policy NAT-Src or DIPs (Dynamic IPs)

2.对于inbound方向(客户端在外网untrust方向访问内网资源):使用Port Forwarding or Destination NAT (Destination port translation) 、Destination IP Address translation 、Destination IP and Destination Port Address Translation (PAT)、Policy NAT-Dst or VIPs (Virtual IPs)

3.对于双向访问使用MIPs (Mapped IPs)。注:此处的双向指无论到Inbound还是Outbound,必须是“内网”同一主机( from the same internal hosts.)否则你可以分别建立第一、二两种不同的NAT达到要求。

对于NAT-Src、NAT-Dst,是属于策略机的NAT;DIP、MIP、VIP是接口级NAT;有一些需要注意的地方:

1、入口接口处于“路由”或 NAT 模式时,可以使用基于策略的 NAT-src。如果处于NAT 模式,策略级的 NAT-src 参数将取代接口级的 NAT 参数。

2、可以在同一策略中结合使用 NAT-src 和 NAT-dst。每个转换机制均独立执行,且只能单向执行。也就是说,如果在从 zone1 到 zone2 的信息流上启用 NAT-dst,安全设备就不会在从 zone2 到 zone1 的信息流上执行 NAT-src,除非您明确配置策略让设备这样执行。

3、虽然 MIP 和 VIP 的地址转换机制是双向的,但基于策略的 NAT-src 和 NAT-dst 能够将入站和出站信息流的地址转换分开,以提供较好的控制与安全性能。例如,如果在 Web 服务器上使用 MIP,则每当服务器发起出站信息流以获取更新或补丁程序时,其活动都会被公开,这样就将信息提供给警觉的攻击者,供其进行攻击。利用基于策略的地址转换方法,可以在 Web 服务器 (使用 NAT-dst) 接收信息流而不是 (使用 NAT-src) 发起信息流时定义不同的地址映射。这样可以使服务器的活动处于隐藏状态,防止他人收集信息趁机攻击,从而更好地保护服务器。在此版 ScreenOS 中,基于策略的 NAT-src 和 NAT-dst 各提供一种单一方法,加起来可以取代基于接口的 MIP 和 VIP 功能,而且超过了后者。


你可能感兴趣的:(vip,dip,juniper,MIP,NAT-src,NAT-dst)