juniper防护墙接口的NAT和ROUTE模式如何选择问题

juniper防护墙一般是把trust接口部署为NAT模式,untrust接口部署为route模式。这样当来自内部的数据访问Utrust区域时,会把源地址翻译成untrust接口的地址。从而达到隐藏内部地址的目的。我不禁有这样的疑问,如果防火墙的DMZ接口或者untrust接口部署为NAT模式会怎么样?请教了以为资深的juniper工程师,他是这样解释的:一般工程来说,只会把trust接口部署为NAT模式,其它接口全部部署为route模式。而且现在juniper厂家的建议就是所有区域的接口都部署为route模式,然后通过策略来进行地址翻译。曾经就有这样的情况,用户自定义一个属于trust区域的接口,然后设置为NAT模式。在访问外部区域的时候,没用进行源地址翻译。所以综合起来的建议就是,所有的地址部署为route模式,然后通过策略进行NAT。

     补充一点官方的资料:

Untrust口的源地址翻译只能在Untrust口实现。尽管可以将绑定到任意第 3 层区段的接口的操作模式定义为 NAT,但是,安全设备只对通过该接口传递到 Untrust 区段的信息流执行 NAT。对于通往 Untrust 区段之外的其它任意区段的信息流,ScreenOS 不执行 NAT。还要注意,ScreenOS 允许您将 Untrust 区段接口设置为 NAT 模式,但是这样做并不会激活任何 NAT 操作。

上一篇:NEON简介【转】


下一篇:Django之ORM操作