防火墙配置策略nat

看手册

2.5.6  配置NAT66类型的规则

1. 功能简介

NAT66是指IPv6地址之间的转换，包括动态方式、静态方式和NPTv6三种转换方式。IPv6地址由网络前缀和接口ID两部分组成，NPTv6方式的地址转换将网络前缀转换为新的网络前缀，同时IPv6地址接口ID部分会根据RFC 6296进行调整。具体算法请参考RFC 6296。其他方式的地址转换是将IPv6地址转换为新的IPv6地址。在IPv6地址数量较多且对转换后的地址不敏感的情况下，建议采用NPTv6方式。

2. 配置限制和指导

对于“DNAT规则”或者“SNAT＋DNAT规则”，不能将目的安全域作为报文的过滤条件。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入全局NAT策略视图。

nat global-policy

(3)     创建NAT66类型的规则，并进入NAT规则视图。

rule name rule-name type nat66

缺省情况下，不存在NAT规则。

(4)     （可选）配置NAT规则的描述信息。

description text

缺省情况下，NAT规则未配置任何描述信息。

(5)     配置报文过滤条件。

¡     配置NAT规则中用于匹配报文源IP地址的过滤条件。

source-ip { ipv6-object-group-name | host ipv6-address | subnet subnet-ipv6-address prefix-length }

缺省情况下，NAT规则中不存在用于匹配报文源IP地址的过滤条件。

¡     配置NAT规则中用于匹配报文目的IP地址的过滤条件。

destination-ip { ipv6-object-group-name | host ipv6-address | subnet subnet-ipv6-address prefix-length }

¡     配置NAT规则中用于匹配报文携带的服务类型的过滤条件。

service object-group-name

缺省情况下，NAT规则中不存在用于匹配报文携带的服务类型的过滤条件。

¡     配置作为NAT规则过滤条件的源安全域。

source-zone source-zone-name

缺省情况下，NAT规则中不存在源安全域过滤条件。

¡     配置作为NAT规则过滤条件的目的安全域。

destination-zone destination-zone-name

缺省情况下，NAT规则中不存在目的安全域过滤条件。

¡     配置NAT规则中用于匹配报文所属VPN实例的过滤条件。

vrf vrf-name

缺省情况下，NAT规则中不存在用于匹配报文所属VPN实例的过滤条件。

(6)     配置NAT规则的动作。

¡     配置NAT规则中源地址转换方式。

NO-PAT方式：

action snat object-group ipv6-object-group-name no-pat [ vrf vrf-name ]

PAT方式：

action snat object-group ipv6-object-group-name [ vrf vrf-name ]

静态地址转换方式：

action snat static ip-address global-ipv6-address [ ipv6-vrrp virtual-router-id ] [ vrf vrf-name ]

NPTv6方式：

action snat nptv6 translated-ipv6-prefix nptv6-prefix-length [ vrf vrf-name ]

NO-NAT方式：

action snat no-nat

¡     配置NAT规则的目的地址转换方式。

服务器映射方式：

action dnat ip-address local-ipv6-address [ local-port local-port ] [ vrf vrf-name ]

NPTv6方式：

action dnat nptv6 translated-ipv6-prefix nptv6-prefix-length [ vrf vrf-name ]

NO-NAT方式：

action dnat no-nat

(7)     （可选）开启NAT规则命中统计功能。

counting enable

缺省情况下，NAT规则命中统计功能处于关闭状态。