Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Bu Junos OS / SRX rehberi Source NAT, Static NAT ve Destination NAT örneklerini ayrı senaryolar olarak gösterir. Örnekler temsili olup cihaz üzerinde test edilmiş çıktı değildir. Komut desteğini kendi SRX modeli ve Junos sürümünüzde doğrulayın. set komutları yapılandırma modunda, aşağıdaki izleme komutları operasyonel modda çalıştırılır. Adres çevirisine yeni başlıyorsanız NAT türleri ve temel mantığı ile başlayabilirsiniz; o rehberin Cisco komutları Junos üzerinde kullanılmaz.
Ön koşullar: trust/untrust bölgeleri, arayüz üyelikleri, yönlendirme ve dönüş yolu önceden hazırlanmalıdır. Kaynakta kullanılan 203.0.113.0/24 adresleri dokümantasyon içindir; gerçek kurulumda size tahsis edilen adresleri kullanın. Farklı örneklerde tekrar kullanılan kural adlarını tek konfigürasyonda birleştirmeyin.
🌐 Juniper NAT Yapılandırma ve İzleme Komutları (Security NAT)
📌 NAT Gösterim (Show) Komutları
| Açıklama | Komut |
|---|---|
| NAT yapılandırmalarını görüntüle | show configuration security nat |
| Tüm Source NAT kurallarını göster | show security nat source rule all |
| Source NAT havuzlarını görüntüle | show security nat source pool all |
| Source NAT özet bilgisi | show security nat source summary |
| Static NAT (1:1) kuralları | show security nat static rule all |
| Destination NAT kuralları | show security nat destination rule all |
| Destination NAT havuzları | show security nat destination pool all |
| Destination NAT özeti | show security nat destination summary |
| Persistent NAT tablosu | show security nat source persistent-nat-table summary |
| Tüm aktif session’ları göster | show security flow session |
| ALG durumunu kontrol et | show security alg status |
🔧 Source NAT (1:N) Yapılandırması
➤ Interface Based Source NAT
Kullanım: trust bölgesinden untrust bölgesine geçen ve kuralla eşleşen trafiğin kaynak adresini çıkış arayüzünün IP adresine çevirmek. NAT kuralı tek başına erişim izni vermez.
set security nat source rule-set 1 from zone trust
set security nat source rule-set 1 to zone untrust
set security nat source rule-set 1 rule 1A match source-address 0.0.0.0/0
set security nat source rule-set 1 rule 1A then source-nat interface
➤ Pool Based Source NAT (NAPT)
Kullanım: Belirli bir iç IP bloğunu dış NAT IP havuzuna çevirmek
# NAT havuzu tanımı
set security nat source pool src_nat_pool_napt address 203.0.113.20/32 to 203.0.113.29/32
# NAT kural seti
set security nat source rule-set src_nat_napt from zone trust
set security nat source rule-set src_nat_napt to zone untrust
# NAT kuralı
set security nat source rule-set src_nat_napt rule napt_1 match source-address 192.168.1.0/24
set security nat source rule-set src_nat_napt rule napt_1 then source-nat pool src_nat_pool_napt
# Proxy ARP ayarı
set security nat proxy-arp interface ge-0/0/0.0 address 203.0.113.20/32 to 203.0.113.29/32
Çoklu kaynak IP ile tek kural:
set security nat source rule-set src_nat_napt rule snat_1 match source-address 192.168.10.5/32
set security nat source rule-set src_nat_napt rule snat_1 match source-address 192.168.11.5/32
set security nat source rule-set src_nat_napt rule snat_1 match destination-address 0.0.0.0/0
set security nat source rule-set src_nat_napt rule snat_1 then source-nat pool src_nat_pool_napt
🔄 Static NAT (1:1)
Kullanım: Dış IP ile iç sunucuyu 1:1 eşleştirme
set security nat static rule-set untrust_to_trust from zone untrust
set security nat static rule-set untrust_to_trust rule RULE-NAME1 match destination-address 203.0.113.10/32
set security nat static rule-set untrust_to_trust rule RULE-NAME1 then static-nat prefix 192.168.0.10/32
# Proxy ARP
set security nat proxy-arp interface ge-0/0/0.0 address 203.0.113.10/32
📥 Destination NAT (1:1 ve 1:N)
➤ Destination NAT (1:1)
Amaç: Dış IP → İç IP yönlendirmesi
set security nat destination pool SVR_A address 10.1.1.5/32
set security nat destination rule-set 1 from zone untrust
set security nat destination rule-set 1 rule 1A match destination-address 203.0.113.30/32
set security nat destination rule-set 1 rule 1A then destination-nat pool SVR_A
➤ Destination NAT (1:N) – Port Bazlı NAT
Amaç: Dış IP + Farklı portlar → Farklı iç sunucular
# NAT havuzları
set security nat destination pool SVR_A address 10.1.1.5/32 port 80
set security nat destination pool SVR_B address 10.1.1.6/32 port 80
# NAT kuralları
set security nat destination rule-set 1 from zone untrust
set security nat destination rule-set 1 rule 1A match destination-address 203.0.113.30/32
set security nat destination rule-set 1 rule 1A match destination-port 80
set security nat destination rule-set 1 rule 1A then destination-nat pool SVR_A
set security nat destination rule-set 1 rule 1B match destination-address 203.0.113.30/32
set security nat destination rule-set 1 rule 1B match destination-port 8080
set security nat destination rule-set 1 rule 1B then destination-nat pool SVR_BNAT sonrası erişim ve doğrulama
Destination/Static NAT ile içeri alınan bağlantılar için güvenlik politikasında çevrilmiş iç hedef adresi ve izin verilecek uygulama tanımlanmalıdır. Source NAT çıkış izni de ayrıca gerekir. İnternete sunulan serviste erişimi ihtiyaç duyulan kaynak ve uygulamalarla sınırlayın; NAT, güvenlik politikasının yerine geçmez.
Proxy ARP satırları, üst komşunun ilgili NAT adresi için bu arayüzün bağlı olduğu ağda ARP sorgusu yaptığı senaryo içindir. Adres bloğu SRX’e yönlendirilmişse topolojiye göre Proxy ARP gerekmeyebilir. Port bazlı örnekler birer adres/port eşlemesidir; yük dengeleme veya servis sağlık kontrolü sağlamaz.
Yayınlamadan önce yapılandırma modunda show | compare ve commit check ile aday değişikliği inceleyin. Uygun bakım planı ve geri dönüş yöntemiyle uyguladıktan sonra ilgili NAT kuralındaki eşleşme sayacı ile show security flow session çıktısındaki adresleri karşılaştırın. Sayaç artmıyorsa giriş bölgesi, kural sırası ve eşleşme adreslerini; eşleşme olup bağlantı kurulamıyorsa güvenlik politikası, rota, ARP ve sunucunun dönüş yolunu kontrol edin.
Kaynaklar ve ilgili rehberler
Juniper NAT Kullanıcı Kılavuzu, Static NAT ve Source NAT izleme komutu resmi başvuru kaynaklarıdır. Diğer komut ve yapılandırmalar için Juniper rehberlerine geçebilirsiniz.
