Juniper防火墙维护手册

《Juniper维护手册》深圳发展银行

DIP动态地址转换可以实现一对一，一对多，多对一和多对多的访问。 DIP地址池和MIP一样要设置在出站接口上来实现源地址的翻译。 DIP地址池可以和出站接口不再一个网段（使用扩展IP技术）。 如果访问是多对一的（多个客户端访问一个服务器），必须使用Port-Xlate端口转换特性（默认设置，建议都使用这种方式）。 如果DIP被策略引用则无法编辑和更改，必须先移除策略后才可以编辑。

创建新的DIP地址池：

29

《Juniper维护手册》深圳发展银行

如果DIP地址池和出站接口不在同一网段必须使用扩展IP特性，把选择框选择到下方“In the same as the extended ip”，并输入一个扩展IP的地址。

例如出站接口是9X.2.244.1/28，而源地址出站时我们想转换成192.168.1.X的地址，那么在扩展IP框中我们可以输入192.168.1.0/24。

扩展IP地址可以使用一个地址也可以用一个网段，推荐使用网段的方式。

同一DIP地址网段可以同时分布在多个接口上，比如9X.2.18.0虚拟地址簿可以同时设置在E1、E2和E3口上。

30

《Juniper维护手册》深圳发展银行

但同一个DIP地址只能同时设置在一个接口上，比如9X.2.18.1地址只能设置在E1或E2或E3口上，不能同时在多个接口上都设置9X.2.18.1。 CLI:

1、NAT-DIP 带PAT功能 配置接口参数

set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat

set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 定义DIP

set interface ethernet3 dip 5 1.1.1.30 1.1.1.30 定义策略

set policy from trust to untrust any any http nat src dip-id 5 permit save

2、NAT-DIP 不带PAT功能 接口

set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat

31

《Juniper维护手册》深圳发展银行

set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 DIP

set interface ethernet3 dip 6 1.1.1.50 1.1.1.150 fix-port 策略

set policy from trust to untrust any any e-stock nat src dip-id 6 permit save

3、带有地址变换的 NAT-Src 接口

set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat

set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 DIP

set interface ethernet3 dip 10 shift-from 10.1.1.11 to 1.1.1.101 1.1.1.105 地址

set address trust host1 10.1.1.11/32 set address trust host2 10.1.1.12/32 set address trust host3 10.1.1.13/32

32