admin管理员组

文章数量:1635829

网络设备： Juniper SRX系列防火墙   网络拓扑：  


问题描述： 在实现Destination NAT的时候，如果需要从内网访问映射后的公网地址，默认会有一些问题，在内网可以ping 通映射地址，但是不能访问服务；   问题分析：   [edit security] set zones security-zone trust address-book address server-2 192.168.1.200/32 [edit security policies from-zone untrust to-zone trust] set policy server-access match source-address any destination-address server-2 application any set policy server-access then permit [edit security nat destination] set pool dst-nat-pool-2 address 192.168.1.200 port 8000 set rule-set rs1 from zone untrust set rule-set rs1 rule r2 match destination-address 1.1.1.101 set rule-set rs1 rule r2 match destination-port 80 set rule-set rs1 rule r2 then destination-nat pool dst-nat-pool-2 [edit security nat] set proxy-arp interface ge-0/0/2.0 address 1.1.1.101 一般的我们如上配置完设备后，外网用户便可以访问映射地址了，但是如果内网用户访问会有问题，不能通过1.1.1.101访问服务； 原因是内部地址访问1.1.1.101的时候，防火墙不做地址转换，将内网地址路由给目的服务器，服务器会看到这个地址，回包的时候直接把数据包回给这个内网地址，TCP形成一个半连接，故服务不能访问。     解决办法： 来自信任区域的访问也做一次destination nat，需要添加以下命令；   [edit security nat destination] set rule-set rs1 from zone trust set rule-set rs1 rule r2 match destination-address 1.1.1.101 set rule-set rs1 rule r2 match destination-port 80 set rule-set rs1 rule r2 then destination-nat pool dst-nat-pool-2

本文标签： 内网地址SRXJunipernat

版权声明：本文标题：Juniper SRX Destination NAT中内网访问映射地址问题 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.elefans.com/dongtai/1729217206a1190562.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。