(0)
一般不同的转换效果,匹配的rule内容不同
(0)
现在是rule相同了,所以才引发的这个问题
对于同一接口下的出方向动态地址转换配置,指定了ACL的配置的优先级高于未指定ACL的配置的优先级;对于指定了ACL的出方向动态地址转换配置,其生效优先级由ACL编号的大小决定,编号越大,优先级越高。
对于同一接口下的出方向动态地址转换配置,指定了ACL的配置的优先级高于未指定ACL的配置的优先级;对于指定了ACL的出方向动态地址转换配置,其生效优先级由ACL编号的大小决定,编号越大,优先级越高。
nat outbound命令用来配置出方向动态地址转换。 undo nat outbound命令用来删除指定的出方向动态地址转换。 【缺省情况】 不存在动态地址转换配置。 【命令】 · NO-PAT方式 nat outbound [ acl-number ] address-group group-number [ vpn-instance vpn-instance-name ] no-pat [ reversible ] undo nat outbound [ acl-number ] · PAT方式 nat outbound [ acl-number ] [ address-group group-number ] [ vpn-instance vpn-instance-name ] [ port-preserved ] undo nat outbound [ acl-number ] 【视图】 接口视图 【缺省用户角色】 network-admin mdc-admin 【参数】 acl-number:ACL编号,取值范围为2000~3999。不指定该参数的情况下,不对转换对象进行限制。 address-group group-number:指定地址转换使用的地址组。group-number为地址组编号,不同型号的设备支持的取值范围不同,请以设备的实际情况为准。如果不指定该参数,则直接使用该接口的IP地址作为转换后的地址,即实现Easy IP功能。 vpn-instance vpn-instance-name:指定地址组中的地址所属的VPN。vpn-instance-name表示MPLS L3VPN中的VPN实例名称,为1~31个字符的字符串,区分大小写。如果未指定本参数,则表示地址组中的地址不属于任何一个VPN。 no-pat:表示使用NO-PAT方式进行转换,即转换时不使用报文的端口信息;如果未指定本参数,则表示使用PAT方式进行转换,即转换时使用报文的端口信息。PAT方式仅支持TCP、UDP和ICMP查询报文,由于ICMP报文没有端口的概念,我们将ICMP ID作为ICMP报文的源端口。 reversible:表示允许反向地址转换。即,在内网用户主动向外网发起连接并成功触发建立地址转换表项的情况下,允许外网向该内网用户发起的连接使用已建立的地址转换表项进行目的地址转换。 port-preserved:PAT方式分配端口时尽量不转换端口。 【使用指导】 一般情况下,出方向动态地址转换配置在和外部网络连接的接口上。动态地址转换有两种转换方式: · PAT方式:对于从内网到外网的报文,如果符合ACL permit规则,则使用地址组中的地址或该接口的地址(Easy IP方式)进行源地址转换,同时转换源端口(IP1/port1转换为IP2/port2);如果同时配置了PAT方式下的地址转换模式为EIM(Endpoint-Independent Mapping),则外网可以通过IP2/port2主动访问内网,NAT设备根据EIM表项转换目的地址和端口(IP2/port2转换为IP1/port1)。 · NO-PAT方式:对于从内网到外网的报文,如果符合ACL permit规则,则使用地址组中的地址进行源地址转换,不转换源端口(IP1转换为IP2);如果同时配置了reversible,则允许外网通过IP2主动访问内网,对于此类报文,需要进行ACL反向匹配(提取报文的源地址/端口和目的地址/端口,并将目的地址转换为IP1,然后将源地址/端口和目的地址/端口互换去匹配ACL),只有反向匹配ACL的报文才能进行转换(将目的地址IP2转换为IP1),否则不予转换。 需要注意的是: · 一个地址组被nat outbound配置引用后,不能再被nat inbound引用。 · 一个地址组被PAT方式的nat outbound配置引用后,不能再被NO-PAT方式的nat outbound配置引用,反之亦然。 · 在一个接口下,一个ACL只能被一个nat outbound引用。 · 一个接口下可同时配置多条出方向地址转换。 · 对于同一接口下的出方向动态地址转换配置,指定了ACL的配置的优先级高于未指定ACL的配置的优先级;对于指定了ACL的出方向动态地址转换配置,其生效优先级由ACL编号的大小决定,编号越大,优先级越高。
太给力了老哥
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
太给力了老哥