CE_v7_SP

NetScreen conceptos y ejemplosreenOS

cciones

ScreenOS 5.1.0

Ref. 093-1372-000-SP

Revisión B

Manual de referencia de Sc

Volumen 7: Traducción de dire

compliance of Class B devices: The enerates and may radiate radio-frequency nce with NetScreen’s installation e with radio and television reception. This d to comply with the limits for a Class B specifications in part 15 of the FCC rules. provide reasonable protection against allation. However, there is no guarantee rticular installation. interference to radio or television y turning the equipment off and on, the e interference by one or more of the

ing antenna.

en the equipment and receiver.

ienced radio/TV technician for help.

utlet on a circuit different from that to d.

o this product could void the user's device.

ITED WARRANTY FOR THE ET FORTH IN THE INFORMATION PRODUCT AND ARE INCORPORATED OU ARE UNABLE TO LOCATE THE

WARRANTY, CONTACT YOUR OR A COPY.

Copyright NoticeCopyright © 2004 Juniper Networks, Inc. All rights reserved.Juniper Networks, the Juniper Networks logo, NetScreen, NetScreen Technologies, GigaScreen, and the NetScreen logo are registered trademarks of Juniper Networks, Inc. NetScreen-5GT, NetScreen-5XP, NetScreen-5XT, NetScreen-25, NetScreen-50, NetScreen-100, NetScreen-204, NetScreen-208, NetScreen-500, NetScreen-5200, NetScreen-5400, NetScreen-Global PRO, NetScreen-Global PRO Express, NetScreen-Remote Security Client, NetScreen-Remote VPN Client, NetScreen-IDP 10, NetScreen-IDP 100, NetScreen-IDP 500, GigaScreen ASIC, GigaScreen-II ASIC, and NetScreen ScreenOS are trademarks of Juniper Networks, Inc. All other trademarks and registered trademarks are the property of their respective companies.Information in this document is subject to change without notice.No part of this document may be reproduced or transmitted in any form or by any means, electronic or mechanical, for any purpose, without receiving written permission from: Juniper Networks, Inc.ATTN: General Counsel1194 N. Mathilda Ave.Sunnyvale, CA 94089-1206

FCC StatementThe following information is for FCC compliance of Class A devices: This equipment has been tested and found to comply with the limits for a Class A digital device, pursuant to part 15 of the FCC rules. These limits are designed to provide reasonable protection against harmful interference when the equipment is operated in a commercial environment. The equipment generates, uses, and can radiate radio-frequency energy and, if not installed and used in accordance with the instruction manual, may cause harmful interference to radio communications. Operation of this equipment in a residential area is likely to cause harmful interference, in which case users will be required to correct the interference at their own expense.

The following information is for FCC equipment described in this manual genergy. If it is not installed in accordainstructions, it may cause interferencequipment has been tested and foundigital device in accordance with the These specifications are designed tosuch interference in a residential instthat interference will not occur in a paIf this equipment does cause harmfulreception, which can be determined buser is encouraged to try to correct thfollowing measures:

• Reorient or relocate the receiv

• Increase the separation betwe

• Consult the dealer or an exper

• Connect the equipment to an owhich the receiver is connecte

Caution: Changes or modifications twarranty and authority to operate this

DisclaimerTHE SOFTWARE LICENSE AND LIMACCOMPANYING PRODUCT ARE SPACKET THAT SHIPPED WITH THEHEREIN BY THIS REFERENCE. IF YSOFTWARE LICENSE OR LIMITEDNETSCREEN REPRESENTATIVE F

Contenido

i

junto de DIP con recciones ..............................25 con desplazamiento de ................................................... 26

ción IP de la interfaz ..............................................31 sin DIP ....................................... 31

direcciones de red ..........................................35

t .............................................36ara NAT-Dst................................. 38

AT-Dst......................................... 42ectadas a una interfaz .............. 43ectadas a una interfaz pero n enrutador ............................... 44aradas por una interfaz.............. 45

:1” .........................................46ción de destinos “1:1”................ 47

irección a múltiples ................................................... 51ción de destinos “1:n”................ 51

:1” .........................................55ción de destinos “n:1”................ 55

:n” .........................................60ción de destinos “n:n”................ 61

n de puertos .........................65 con asignación de puertos ...... 65

Juniper Networks NetScreen conceptos y ejemplos – Volumen 7: Traducción de direcciones

ContenidoPrefacio ........................................................................ iii

Convenciones ........................................................... iv

Convenciones de la interfaz de línea de comandos (CLI) ...................................................... iv

Convenciones de la interfaz gráfica (WebUI) ............... v

Convenciones para las ilustraciones...........................vii

Convenciones de nomenclatura y conjuntos de caracteres ..................................................................viii

Documentación de NetScreen de Juniper Networks .................................................. ix

Capítulo 1 Traducción de direcciones.........................1

Introducción a la traducción de direcciones ............2

Traducción de direcciones de red de origen ..............2

Traducción de direcciones de red de destino.............4

Opciones de la traducción basada en directivas.....9

Naturaleza direccional de NAT-Src y NAT-Dst ...........13

Capítulo 2 Traducción de direcciones de red de origen.....................................................................15

Introducción a NAT-Src.............................................16

NAT-Src desde un conjunto de DIP con PAT habilitada.................................................................18

Ejemplo: NAT-Src con PAT habilitada....................19

NAT-Src desde un conjunto de DIP con PAT inhabilitada ..............................................................22

Ejemplo: NAT-Src con PAT inhabilitada.................22

NAT-Src desde un condesplazamiento de di

Ejemplo: NAT-Srcdirecciones .......

NAT-Src desde la direcde salida ....................

Ejemplo: NAT-Src

Capítulo 3 Traducción de de destino .........................

Introducción a NAT-DsFlujo de paquetes p

Enrutamiento para NDirecciones conDirecciones conseparadas por uDirecciones sep

NAT-Dst: Asignación “1Ejemplo: Traduc

Traducción de una ddirecciones .............

Ejemplo: Traduc

NAT-Dst: Asignación “nEjemplo: Traduc

NAT-Dst: Asignación “nEjemplo: Traduc

NAT-Dst con asignacióEjemplo: NAT-dst

Contenido

ii

................................................. 103la interfaz Untrust ..................... 104

ucle invertido (loopback) ....... 107ra dos interfaces de túnel ........ 108

s...........................................118................................................. 121rar servidores de IPs virtuales.. 121na configuración de VIP ......... 124r una configuración VIP ........... 124 servicios personalizados ertos........................................ 125

......................................... IX-I


NAT-Src y NAT-Dst en la misma directiva ..................70

Ejemplo: NAT-Src y NAT-Dst combinadas..............70

Capítulo 4 Direcciones IP asignadas y virtuales .........91

Direcciones IP asignadas .........................................92

MIP y la zona Global ..................................................93

Ejemplo: MIP en una interfaz de la zona Untrust...94

Ejemplo: Acceder a una MIP desde diferentes zonas ....................................................................97

Ejemplo: Agregar una MIP a una interfaz de túnel ..............................................................102

MIP-Same-as-UntrustEjemplo: MIP en

MIP y la interfaz de bEjemplo: MIP pa

Direcciones IP virtualeVIP y la zona Global

Ejemplo: ConfiguEjemplo: Editar uEjemplo: EliminaEjemplo: VIP cony de múltiples pu

Índice ................................

iii

s en ScreenOS para realizar la riben cómo configurar el

es de traducción, descritas en

ión de la dirección IP de origen ertos (PAT).

cción de la dirección IP de es de puertos de destino. Esta NAT-src, aspectos importantes

ción IP de destino a otra irección IP de destino y el

e una red basada en interfaces


Prefacio

El Volumen 7, “Traducción de direcciones” trata de los diferentes métodos disponibletraducción de direcciones. Este volumen contiene los siguientes capítulos que descdispositivo NetScreen para realizar los siguientes tipos de traducción:

• Capítulo 1, Traducción de direcciones: un resumen de las diferentes opciondetalle en los capítulos subsiguientes.

• Capítulo 2, Traducción de direcciones de red de origen: (NAT-src) la traduccen el encabezado de un paquete, con y sin traducción de direcciones de pu

• Capítulo 3, Traducción de direcciones de red de destino: (NAT-dst) la tradudestino en el encabezado de un paquete, con y sin asignación de direccionsección también contiene información sobre el flujo de paquetes al ejecutarsobre el enrutamiento y desplazamiento de direcciones (“address shifting”).

• Capítulo 4, Direcciones IP asignadas y virtuales: la asignación de una direcbasándose solamente en la dirección IP (IP asignada) o basándose en la dnúmero del puerto de destino (IP virtual).

Nota: Para obtener más información sobre la traducción de direcciones de origen d(denominada simplemente NAT), consulte “Modo NAT” en la página 2 -127.

Prefacio Convenciones

iv

guientes secciones:

i

)s de la interfaz de línea de

por barras verticales ( | ).

manage

, ethernet2 o ethernet3”.

vo en el caso de las variables, ra visualizar el número de serie

permitan al sistema reconocer te escribir set adm u joe . Aunque este método se se representan con sus


CONVENCIONES

Este documento contiene distintos tipos de convenciones, que se explican en las si

• Convenciones de la interfaz de línea de comandos (CLI)

• “Convenciones de la interfaz gráfica (WebUI)” en la página v

• “Convenciones para las ilustraciones” en la página vii

• “Convenciones de nomenclatura y conjuntos de caracteres” en la página vii

Convenciones de la interfaz de línea de comandos (CLILas siguientes convenciones se utilizan para representar la sintaxis de los comandocomandos (CLI):

• Los comandos entre corchetes [ ] son opcionales.

• Los elementos entre llaves { } son obligatorios.

• Si existen dos o más opciones alternativas, aparecerán separadas entre sí Por ejemplo:

set interface { ethernet1 | ethernet2 | ethernet3 }

significa “establecer las opciones de administración de la interfaz ethernet1

• Las variables aparecen en cursiva. Por ejemplo:

set admin user name password

Los comandos CLI insertados en el contexto de una frase aparecen en negrita (salque siempre aparecen en cursiva ). Por ejemplo: “Utilice el comando get system pade un dispositivo NetScreen”.

Nota: Para escribir palabras clave, basta con introducir los primeros caracteres quede forma inequívoca la palabra que se está introduciendo. Por ejemplo, es suficienj12fmt54 para que el sistema reconozca el comando set admin user joe j12fmt54puede utilizar para introducir comandos, en la presente documentación todos ellos palabras completas.


v

de la WebUI por las que se uadro de diálogo de > New . A continuación se

libretas de direcciones.

New.e diálogo de configuración .

4


Convenciones de la interfaz gráfica (WebUI)En este manual se utiliza la comilla angular ( > ) para indicar las rutas de navegación pasa al hacer clic en opciones de menú y vínculos. Por ejemplo, la ruta para abrir el cconfiguración de direcciones se representa como sigue: Objects > Addresses > Listmuestra la secuencia de navegación.

1. Haga clic en Objects en la columna de menú.La opción de menú Objects se desplegará para mostrar las opciones subordinadas que contiene.

2. (Menú Applet) Sitúe el mouse sobre Addresses.(Menú DHTML) Haga clic en Addresses.La opción de menú Addresses se desplegará para mostrar las opciones subordinadas que contiene.

3. Haga clic en List.Aparecerá la tabla de

4. Haga clic en el vínculoAparecerá el cuadro dde nuevas direcciones

1

2

3


vi

e diálogo apropiado, donde de cada tarea se divide en dos conjunto de instrucciones configuración que se deben

lic en OK :

Nota: En este ejemplo, no hay instrucciones para el campo Comment, por lo que se deja en blanco.


Para llevar a cabo una tarea en la WebUI, en primer lugar debe acceder al cuadro dpodrá definir objetos y establecer parámetros de ajuste. El conjunto de instruccionespartes: la ruta de navegación y los datos de configuración. Por ejemplo, el siguienteincluye la ruta al cuadro de diálogo de configuración de direcciones y los ajustes derealizar:

Objects > Addresses > List > New: Introduzca los siguientes datos y haga cAddress Name: addr_1IP Address/Domain Name:

IP/Netmask: (seleccione), 10.2.2.5/32Zone: Untrust

Zone: Untrust

Haga clic en OK .

Address Name: addr_1

IP Address Name/Domain Name:

IP/Netmask: (seleccione), 10.2.2.5/32


vii

ustraciones de este manual:

ed de área local (LAN) con na única subredejemplo: 10.1.1.0/24)

nternet

quipo de escritorio

ervidor

ispositivo de red genéricoejemplos: servidor NAT, oncentrador de acceso)

quipo portátil

ango de direcciones IP dinámicas DIP)


Convenciones para las ilustracionesLos siguientes gráficos conforman el conjunto básico de imágenes utilizado en las il

Dispositivo NetScreen genérico

Zona de seguridad

Interfaces de zonas de seguridadBlanca = interfaz de zona protegida (ejemplo: zona Trust)Negra = interfaz de zona externa (ejemplo: zona sin confianza o zona Untrust)

Icono de enrutador (router)

Icono de conmutador (switch)

Dominio de enrutamiento virtual

Túnel VPN

Ru(

I

E

S

D(c

Interfaz de túnel

E

R(


viii

rescomo direcciones, usuarios ales, túneles de VPN y zonas)

n espacio, la ejemplo,

entrecomillada;

or el contrario, en e indistintamente.

últiples bytes (MBCS). Algunos ntre los conjuntos MBCS,

encuentran el chino, el coreano

ión de las comillas dobles ( “ ), res que contengan espacios.

mite tanto SBCS como MBCS,


Convenciones de nomenclatura y conjuntos de caracteScreenOS emplea las siguientes convenciones relativas a los nombres de objetos (administradores, servidores de autenticación, puertas de enlace IKE, sistemas virtudefinidas en las configuraciones de ScreenOS.

• Si la secuencia de caracteres que conforma un nombre contiene al menos ucadena completa deberá entrecomillarse mediante comillas dobles ( “ ); porset address trust “ local LAN” 10.1.1.0/24 .

• NetScreen eliminará cualquier espacio al comienzo o al final de una cadenapor ejemplo, “ local LAN ” se transformará en “local LAN”.

• NetScreen tratará varios espacios consecutivos como uno solo.

• En las cadenas de nombres se distingue entre mayúsculas y minúsculas; pmuchas palabras clave de la interfaz de línea de comandos pueden utilizarsPor ejemplo, “local LAN” es distinto de “local lan”.

ScreenOS admite los siguientes conjuntos de caracteres:

• Conjuntos de caracteres de un byte (SBCS) y conjuntos de caracteres de mejemplos de SBCS son los juegos de caracteres ASCII, europeo y hebreo. Etambién conocidos como conjuntos de caracteres de doble byte (DBCS), se y el japonés.

• Caracteres ASCII desde el 32 (0x20 en hexadecimal) al 255 (0xff); a excepcque tienen un significado especial como delimitadores de cadenas de nomb

Nota: Una conexión de consola sólo admite conjuntos SBCS. La WebUI adsegún el conjunto de caracteres que admita el explorador web.

Prefacio Documentación de NetScreen de Juniper Networks

ix

r Networks, visite

ase Manager” en la página web os EE.UU.) o al

n nosotros a través de la


DOCUMENTACIÓN DE NETSCREEN DE JUNIPER NETWORKS

Para obtener documentación técnica sobre cualquier producto NetScreen de Junipewww.juniper.net/techpubs/.

Para obtener soporte técnico, abra un expediente de soporte utilizando el vínculo “Chttp://www.juniper.net/support/ o llame al teléfono 1-888-314-JTAC (si llama desde l+1-408-745-9500 (si llama desde fuera de los EE.UU.).

Si encuentra algún error o omisión en esta documentación, póngase en contacto cosiguiente dirección de correo electrónico:

[email protected]

http://www.juniper.net/techpubs/

http://www.juniper.net/support/

mailto:[email protected]

Prefacio Documentación de NetScreen de Juniper Networks

x

1

1

Capítulo 1

IP de origen y de destino y de aducción de direcciones


Traducción de direcciones

NetScreen proporciona muchos métodos para realizar la traducción de direcciones direcciones del puerto de destino. Este capítulo describe los diversos métodos de trdisponibles y está organizado en las siguientes secciones:

• “Introducción a la traducción de direcciones” en la página 2

– “Traducción de direcciones de red de origen” en la página 2

– “Traducción de direcciones de red de destino” en la página 4

• “Opciones de la traducción basada en directivas” en la página 9

• “Naturaleza direccional de NAT-Src y NAT-Dst” en la página 13

Capítulo 1 Traducción de direcciones Introducción a la traducción de direcciones

2

de red (NAT). El concepto de cionalmente, la traducción del raducción puede implicar la destino (y opcionalmente el

creen traduce la dirección IP nto de direcciones IP etScreen toma la dirección

decir, puede tomar cualquier cífica relacionada con la

da, el dispositivo NetScreen z. Puede configurar el

i configura una directiva para T-src basada en directivas

src basada en directivas. Para e NAT), consulte “Modo NAT” onjuntos de DIP” en la página

g”), que se explica más adelante en -Src desde un conjunto de DIP con s aplicado a NAT-dst, consulte

e encuentra en modo NAT, los

Carga de datos

e origen traducida


INTRODUCCIÓN A LA TRADUCCIÓN DE DIRECCIONESNetScreen proporciona varios mecanismos para aplicar la traducción de direcciones NAT abarca la traducción de direcciones IP en los encabezados de paquetes IP y, opnúmero de puerto en el segmento TCP o en el encabezado del datagrama UDP. La tdirección de origen (y opcionalmente el número del puerto de origen), la dirección denúmero de puerto de destino), o una combinación de elementos traducidos.

Traducción de direcciones de red de origenAl realizar la traducción de direcciones de red de origen (NAT-src), el dispositivo NetSde origen original a otra dirección. La dirección traducida puede proceder de un conjudinámicas (DIP) o de la interfaz de salida del dispositivo NetScreen. Si el dispositivo Ntraducida de un conjunto de DIP, puede hacerlo de forma arbitraria o determinista; esdirección del conjunto de DIP al azar o puede tomar una y otra vez una dirección espedirección IP original de origen1. Si la dirección traducida procede de la interfaz de salitraduce la dirección IP de origen en todos los paquetes a la dirección IP de esa interfadispositivo NetScreen para aplicar NAT-src a nivel de interfaz o a nivel de directiva. Saplicar NAT-src y la interfaz de ingreso se encuentra en modo NAT, los ajustes de NAtienen preferencia sobre la NAT basada en interfaz2. (Este capítulo se centra en NAT-obtener más detalles sobre NAT-src basada en interfaz (también llamada simplementen la página 2 -127. Para obtener más información sobre conjuntos de DIP, consulte “C2 -278).

1. La traducción de direcciones determinista utiliza una técnica llamada “desplazamiento de direcciones” (“address shiftineste capítulo. Para obtener más información sobre el desplazamiento de direcciones aplicado a NAT-src, consulte “NATdesplazamiento de direcciones” en la página 25. Para obtener más información sobre el desplazamiento de direccione“NAT-Src y NAT-Dst en la misma directiva” en la página 70.

2. Puede utilizar NAT-src basada en directivas cuando la interfaz de ingreso se encuentra en el modo Route o NAT. Si sparámetros de NAT-src a nivel de directivas reemplazan a los parámetros de NAT a nivel de interfaz.

��

IP deorigen

10.1.1.5 2.2.2.2 Carga de datos

IP dedestino

IP deorigen

1.1.1.5 2.2.2.2

IP dedestino

Paquete IP

Dirección IP de origen original Dirección IP dTraducción de la dirección IP de origen


3

etScreen realice la traducción habilitada, el dispositivo irección IP con hasta unos uerto único para mantener la la misma dirección IP única. ión de direcciones de puertos as direcciones IP originales a la tiliza el número de puerto , si un conjunto de DIP consta -src a varios equipos utilizando

n direcciones del conjunto de DIP. La o máximo de puertos, que es 65.535. IP y la traducción PAT está habilitada, n IP y cada número de puerto original

s de puertos e IPs de origen

44235 53 Carga de datos

Carga de datos

Puertoorigen

Puertodestino


Con NAT-src basada en directivas, puede elegir opcionalmente que el dispositivo Nde direcciones del puerto (PAT) del número original del puerto de origen. Con PAT NetScreen puede traducir hasta unas 64.500 direcciones IP diferentes a una sola d64.500 puertos diferentes3. El dispositivo NetScreen utiliza el número traducido de pinformación del estado de la sesión correspondiente al tráfico entrante y saliente dePara NAT-src basada en interfaces (conocida simplemente como “NAT”), la traduccestá habilitada automáticamente. Dado que el dispositivo NetScreen traduce todas lmisma dirección IP traducida (la de la interfaz de salida), el dispositivo NetScreen utraducido para identificar a qué sesión corresponde cada paquete. De forma similarsolamente de una dirección IP y se desea que el dispositivo NetScreen aplique NATesa dirección, entonces se requiere PAT por la misma razón.

3. Con PAT habilitada, el dispositivo NetScreen mantiene un conjunto de números de puerto libres para asignar junto cocifra de unos ~64.500 se calcula restando 1023 (los números reservados para los puertos bien conocidos) del númerPor lo tanto, cuando el dispositivo NetScreen realiza NAT-src con un conjunto de DIP que contiene una sola dirección el dispositivo NetScreen puede traducir las direcciones IP originales de hasta unos ~64.500 equipos a una sola direccióa un número de puerto único.

��


IP deorigen

10.1.1.5 2.2.2.2 Carga de datos

Segmento TCP o datagrama UDP

Paquete IP

Direcciones originales de puertos e IPs de origen Direcciones traducida

IP dedestino

Puertoorigen

Puertodestino

IP deorigen

1.1.1.5 2.2.2.2

IP dedestino

Traducción de direcciones IP de origen ytraducción de direcciones de puertos de origen


4

rigen para funcionar enir tales casos, puede

cciones de red de destino

quete IP a otra dirección. Con ión de puertos4.

ciones de red de origen” en la

siguientes, así como “Traducción de

n con MIPs y VIPs. Si tiene l que también sea aplicable una sactivan NAT-dst basada en bas al mismo tráfico.


En aplicaciones personalizadas que requieran un número específico de puerto de ocorrectamente, la ejecución de PAT provoca que esas aplicaciones fallen. Para prevdesactivar PAT.

Traducción de direcciones de red de destinoNetScreen ofrece los tres mecanismos siguientes para realizar la traducción de dire(NAT-dst):

• NAT-dst basada en directivas

• Dirección IP asignada (MIP)

• Dirección IP virtual (VIP)

Las tres opciones traducen la dirección IP original de destino del encabezado del paNAT-dst basada en directivas y VIPs, también tiene la opción de habilitar la asignac

Nota: Para obtener más información sobre NAT-src, consulte “Traducción de direcpágina 15.

4. Para obtener más información sobre la asignación de puertos, consulte “NAT-dst basada en directivas” en las páginasdirecciones de red de destino” en la página 35.

Nota: NetScreen no admite el uso de NAT-dst basada en directivas en combinacióconfigurada una MIP o VIP, el dispositivo NetScreen la aplicará a cualquier tráfico aconfiguración NAT-dst basada en directivas. En otras palabras, las MIPs y VIPs dedirectivas si el dispositivo NetScreen se configura accidentalmente para aplicar am


5

irección IP de destino a otra nes IP a otro rango. Cuando

iones IP se traduce a una sola asignación de puertos es la specífico, a diferencia de PAT, por el equipo iniciador a otro

de destino traducida

Carga de datos

stino y de puertos traducidas


Carga de datos

Puertoorigen

Puertodestino


NAT-dst basada en directivas: Puede configurar una directiva para traducir una ddirección, un rango de direcciones IP a una sola dirección IP, o un rango de direcciouna sola dirección IP de destino se traduce a otra dirección IP o un rango de direccdirección IP, NetScreen puede admitir NAT-dst con o sin asignación de puertos. La traducción determinista de un número de puerto de destino original a otro número eque traduce cualquier número de puerto de origen original asignado aleatoriamentenúmero asignado aleatoriamente por el dispositivo NetScreen.

��

IP deorigen

1.1.1.5 2.2.2.2 Carga de datosPaquete IP

Dirección IP de destino original Dirección IP

IP dedestino

IP deorigen

1.1.1.5 10.3.1.6

IP dedestino

Traducción de direcciones IP de destino sin asignación de puertos de destino

��


IP deorigen

1.1.1.5 2.2.2.2 Carga de datos

Segmento TCP o datagrama UDP

Paquete IP

Direcciones IP de destino y de puertos originales Direcciones IP de de

IP dedestino

Puertoorigen

Puertodestino

IP deorigen

1.1.1.5 10.3.1.6

IP dedestino

Traducción de direcciones IP de destino con asignación de puertos de destino


6

ngo de direcciones a una sola go de direcciones de destino ignación de puertos.

destino traducidas

Carga de datos

Carga de datos

tino y de puertos traducidas

Carga de datos

ignación de puertos de destino


uertorigen

Puertodestino

Carga de datos



Cuando se configura una directiva para ejecutar NAT-dst con el fin de traducir un radirección, el dispositivo NetScreen traduce cualquier dirección IP de destino del ranoriginales definido por el usuario a una sola dirección. También puede habilitar la as

��

IP ORIG

1.1.1.5 2.2.2.2 Carga de datosPaquetes IP

Direcciones IP de destino originales Direcciones IP de

IP DEST

1.1.1.5 10.3.1.6

Traducción de las direcciones IP de destino de un rango de direcciones IP a una dirección IP única

1.1.1.5 2.2.2.3 Carga de datos 1.1.1.5 10.3.1.6

IP ORIG IP DEST

��



Segmento TCP 1

Paquete IP 1

Direcciones IP de destino y de puertos originales Direcciones IP de des

Puertoorigen

Puertodestino

1.1.1.5 10.3.1.6

Traducción de direcciones IP de destino de un rango de direcciones IP a una dirección IP única con as

IP ORIG IP DEST IP ORIG IP DEST

4

Po


1.1.1.5 2.2.2.3 Carga de datos 1.1.1.5 10.3.1.6

2Segmento TCP 2

Paquete IP 2


7

ositivo NetScreen utiliza el o de direcciones de destino

smo de traducción funciona de zone1 a zone2, el dispositivo alvo que lo configure direccional de NAT-Src y Traducción de direcciones de

destino traducidas

Carga de datos

Carga de datos

Carga de datos

correspondencia entre ngo de direcciones.


Al configurar una directiva para realizar NAT-dst en un rango de direcciones, el dispdesplazamiento de direcciones para traducir una dirección IP de destino de un rangoriginales a una dirección conocida de otro rango de direcciones.

Nota: NAT-src y NAT-dst se pueden combinar en la misma directiva. Cada mecaniforma independiente y unidireccional. Es decir, si habilita NAT-dst para el tráfico deNetScreen no aplicará NAT-src al tráfico originado en zone2 y destinado a zone1 sespecíficamente para hacerlo. Para obtener más información, consulte “NaturalezaNAT-Dst” en la página 13. Para obtener más información sobre NAT-dst, consulte “red de destino” en la página 35.

��

IP deorigen

1.1.1.5 2.2.2.2 Carga de datosPaquetes IP

Direcciones IP de destino originales Direcciones IP de

IP dedestino

IP deorigen

1.1.1.5 10.3.1.6

IP dedestino

Traducción de direcciones IP de destino con desplazamiento de direcciones



1.1.1.5 10.3.1.7

1.1.1.5 10.3.1.8

Al realizar NAT-dst en un rango de direcciones IP, el dispositivo NetScreen mantiene unacada dirección IP de un rango de direcciones y la dirección IP correspondiente en otro ra


8

ción IP. Una de las direcciones n pertenece al host al que se rma bidireccional, de modo que a una MIP a la dirección IP del ost a la dirección MIP. Las

Ps, consulte “Direcciones IP

ción IP basada en el número de z puede contener asignaciones a otros tantos hosts5. Las VIPs e direcciones para una VIP estino en todo el tráfico comprueba si la dirección IP de a la zona Untrust). El de un host VIP a la de la terfaces o basada en directivas ará NAT-src al tráfico originado virtuales” en la página 118.

idireccionales, la funcionalidad traducción de direcciones de ad. Por ejemplo, si utiliza una e para obtener una posible atacante la utilice. Los

gnación de direcciones cuando fico (mediante NAT-src). uiera que intente recopilar -dst basadas en directivas MIPs y VIPs basadas en

rfaz. Esta posibilidad resulta muy útil .


MIPs: Una MIP es una asignación (correspondencia) de una dirección IP a otra direcdebe definirse en la misma subred que una dirección IP de interfaz. La otra direcciódesea dirigir el tráfico. La traducción de direcciones para una MIP se comporta de foel dispositivo NetScreen traduce la dirección IP de destino de todo el tráfico dirigidohost, y la dirección IP de origen de todo el tráfico procedente de la dirección IP del hMIPS no admiten asignaciones de puertos. Para obtener más información sobre MIasignadas” en la página 92.

VIPs: Una VIP es una asignación (correspondencia) de una dirección IP a otra direcpuerto de destino. Una sola dirección IP definida en la misma subred que una interfade varios servicios (identificados por los diferentes números de puertos de destino) también admiten asignaciones de puertos. A diferencia de las MIPs, la traducción docurre de forma unidireccional. El dispositivo NetScreen traduce la dirección IP de dentrante a una VIP a la dirección IP de un host. (El dispositivo NetScreen solamente destino está asociada a una VIP en los paquetes que llegan a una interfaz asociadadispositivo NetScreen no traduce la dirección IP de origen inicial del tráfico saliente dirección VIP. En lugar de ello, el dispositivo NetScreen aplica NAT-src basada en insi previamente ha sido configurado. De no ser así, el dispositivo NetScreen no aplicen un host VIP. Para obtener más información sobre VIPs, consulte “Direcciones IP

Mientras que los mecanismos de traducción de direcciones para MIPs y VIPs son bproporcionada por NAT-src y NAT-dst basadas en directivas mantienen separada lalos tráficos entrante y saliente, aumentando las posibilidades de control y la seguridasignación MIP a un servidor Web, siempre que ese servidor inicie un tráfico salientactualización o parche, su actividad quedará expuesta, siendo susceptible de que unmétodos de traducción de direcciones basada en directivas permiten definir una asiel servidor web recibe tráfico (mediante NAT-dst) y otra asignación cuando inicia tráManteniendo sus actividades ocultas, puede proteger mejor el servidor contra cualqinformación para preparar un ataque. En esta versión de ScreenOS, NAT-src y NATofrecen una estrategia común que puede duplicar y sobrepasar la funcionalidad de interfaces.

5. En algunos dispositivos NetScreen se puede definir una VIP para actuar del mismo modo que una dirección IP de intecuando el dispositivo NetScreen solamente tiene asignada una dirección IP, y cuando ésta se asigna dinámicamente

Capítulo 1 Traducción de direcciones Opciones de la traducción basada en directivas

9

nes de las redes de origen y de r dentro de una misma directiva.IP de origen original a una etScreen también aplica la ción, consulte “NAT-Src desde

ión IP de origen original a una gen. Para obtener más la página 22.

presentar una dirección de real.

2.2.2.2:801834

ona Untrust

cido Destinoal)

2.2.2.2:805030

ona Untrust

cido Destinortual)


OPCIONES DE LA TRADUCCIÓN BASADA EN DIRECTIVASNetScreen proporciona los siguientes métodos para aplicar la traducción de direcciodestino (NAT-src) y (NAT-dst). Observe que NAT-src y NAT-dst se pueden combinaNAT-Src from a DIP Pool with PAT: El dispositivo NetScreen traduce la dirección dirección tomada de un conjunto de direcciones IP dinámicas (DIP). El dispositivo Ntraducción de direcciones de origen de los puertos (PAT). Para obtener más informaun conjunto de DIP con PAT habilitada” en la página 18.

NAT-Src from a DIP Pool without PAT: El dispositivo NetScreen traduce la direccdirección tomada de un conjunto DIP. El dispositivo NetScreen no aplica PAT de oriinformación, consulte “NAT-Src desde un conjunto de DIP con PAT inhabilitada” en

Nota: En esta ilustración y en las siguientes se utiliza un “dispositivo virtual” para reorigen o de destino traducida cuando dicha dirección no pertenece a un dispositivo

10.1.1.5:25611

Zona Trust ethernet110.1.1.1/24

ethernet31.1.1.1/24

1.1.1.20:4

Z1.1.1.20

Origen original Origen tradu(Dispositivo virtu

Conjunto de DIP con ID 51.1.1.10 – 1.1.1.40

10.1.1.6:35030

Zona Trust


ethernet110.1.1.1/24

ethernet31.1.1.1/24

1.1.1.25:3

1.1.1.25Z

Origen original Origen tradu(Dispositivo vi


10

la dirección IP de origen ignando coherentemente cada

o aplica la traducción de “NAT-Src desde un conjunto de

a dirección IP de origen original e origen. Para obtener más ágina 31.

2.2.2.2:80611

Zona Untrust

.1.21:35030

.1.1.21

traducidos Destinos)

2.2.2.2:80

Zona Untrust

1834

en cido

Destino

(Dispositivo virtual)


NAT-Src from a DIP Pool with Address Shifting: El dispositivo NetScreen traduceoriginal a una dirección tomada de un conjunto de direcciones IP dinámicas (DIP), asdirección original a una determinada dirección traducida. El dispositivo NetScreen ndirecciones de los puertos de origen (PAT). Para obtener más información, consulte DIP con desplazamiento de direcciones” en la página 25.

NAT-Src from the Egress Interface IP Address: El dispositivo NetScreen traduce la la dirección de la interfaz emisora. El dispositivo NetScreen también aplica PAT dinformación, consulte “NAT-Src desde la dirección IP de la interfaz de salida” en la p

10.1.1.20:25611

Zona Trust

Conjunto de DIP con ID 5

1.1.1.10 – 1.1.1.40ethernet1

10.1.1.1/241.1.1.20:25

1.1.1.20

10.1.1.21:35030 1.1

1ethernet31.1.1.1/24

10.1.1.20 siempre se traduce a 1.1.1.20. 10.1.1.21 siempre se traduce a 1.1.1.21.

Orígenes originales Orígenes (Dispositivos virtuale

10.1.1.5:25611


1.1.1.1

ethernet31.1.1.1/24

1.1.1.1:4

Origen original Origtradu


11

iza la traducción de direcciones s información, consulte

ealiza NAT-dst pero no cambia aducción de direcciones de red

2.8:80

ona Trust

Destino traducido

.2.8:80

ona Trust

Destino traducido


NAT-Dst to a Single IP Address with Port Mapping: El dispositivo NetScreen realde red de destino (NAT-dst) y la asignación de puertos de destino. Para obtener má“NAT-Dst con asignación de puertos” en la página 65.

NAT-Dst to a Single IP Address without Port Mapping: El dispositivo NetScreen rel número del puerto de destino original. Para obtener más información, consulte “Trde destino” en la página 35.

2.2.2.8:7777

10.2.1.1.1.5

Zona Untrust Zethernet31.1.1.1/24


Origen Destino original


2.2.2.8:80

10.21.1.1.5

Zona Untrust Zethernet31.1.1.1/24


OrigenDestino original



12

reen realiza NAT-dst para signación de puertos, el ro. Para obtener más

irecciones IP, el dispositivo a una dirección traducida del (“address shifting”). Observe ner más información, consulte

Zona DMZ

10.2.2.8:8010.2.2.8:80

Destino traducido

10.2.2.8:80

Zona Trust

10.2.2.9:80

Destinos traducidos


NAT-Dst from an IP Address Range to a Single IP Address: El dispositivo NetSctraducir un rango de direcciones IP a una dirección IP única. Si también habilita la adispositivo NetScreen traducirá el número de puerto de destino original a otro númeinformación, consulte “NAT-Dst: Asignación “n:1”” en la página 55.

NAT-Dst between IP Address Ranges: Cuando se aplica NAT-dst a un rango de dNetScreen mantiene una asignación constante de una dirección de destino original rango especificado usando una técnica denominada desplazamiento de direccionesque el desplazamiento de direcciones no admite asignaciones de puertos. Para obte“NAT-Dst: Asignación “n:n”” en la página 60.

Zona Untrust

1.1.1.6:40365

ethernet31.1.1.1/24


2.2.2.8:80

2.2.2.9:80

1.1.1.5:25611

2.2.2.8 y 2.2.2.9 se traducen siempre a 10.2.2.8.

(Dispositivos virtuales)OrígenesDestinos originales

2.2.2.8:80

1.1.1.5

Zona Untrust ethernet31.1.1.1/24


2.2.2.9:801.1.1.6

2.2.2.8 se traduce siempre a 10.2.2.8 y 2.2.2.9 se traduce siempre a 10.2.2.9.

OrígenesDestinos originales


Capítulo 1 Traducción de direcciones Naturaleza direccional de NAT-Src y NAT-Dst

13

licación al tráfico por el sentido va que requiere NAT-dst al ión IP de destino original de

el tráfico de respuesta).

determinar las zonas de r más información sobre ágina 42.

Host B 3.3.3.3

rga de datos

rga de datos

B


NATURALEZA DIRECCIONAL DE NAT-SRC Y NAT-DSTLa aplicación de NAT-src es independiente de la de NAT-dst. Usted determina su apindicado en una directiva. Por ejemplo, si el dispositivo NetScreen aplica una directitráfico enviado del host A al host virtual B, el dispositivo NetScreen traduce la direcc2.2.2.2 a 3.3.3.3. (También traduce la dirección IP de origen de 3.3.3.3 a 2.2.2.2 en

Nota: Para que el dispositivo NetScreen pueda realizar una consulta de rutas paradestino, es necesario establecer una ruta a 2.2.2.2/32 (host virtual B). Para obtenecuestiones de enrutamiento NAT-dst, consulte “Enrutamiento para NAT-Dst” en la p

��

Host A 1.1.1.1

Host virtual B 2.2.2.2

ORIG1.1.1.1 Carga de datosDEST

2.2.2.2

ORIG1.1.1.1 CaDEST

3.3.3.3

ORIG3.3.3.3 CaDEST

1.1.1.1


1.1.1.1

set policy from “zone A” to “zone B” “host A” “virtual host B” any nat dst ip 3.3.3.3 permitset vrouter trust-vr route 2.2.2.2/32 interface ethernet1

Zona A Zona



El dispositivo NetScreen traduce la dirección IP de destino de 2.2.2.2 a 3.3.3.3. Almacena la información de IP y dirección del puerto en su tabla de la sesión.

El dispositivo NetScreen compara la información de IP y puerto contenida en el paquete con la información almacenada en su tabla de la sesión. Luego traduce la dirección IP de origen de 3.3.3.3 a 2.2.2.2.

Capítulo 1 Traducción de direcciones Naturaleza direccional de NAT-Src y NAT-Dst

14

el host A al host B, el e inicia tráfico hacia el host A, reen traduzca la dirección IP de rectiva en la que se especifique . Consulte “Direcciones IP

iones de puertos (PAT). Si especifica r ese conjunto en un momento dado.

a el conjunto de DIP 7, es innecesario

Host B: 3.3.3.3

rga de datos

rga de datos

B


Sin embargo, si crea la directiva antedicha especificando solamente NAT-dst desdedispositivo NetScreen no traducirá la dirección IP de origen original del host B si ésten lugar de responder al tráfico procedente del host A. Para que el dispositivo NetScorigen del host B cuando éste inicia tráfico al host A, debe configurar una segunda diNAT-src desde el host B al host A6. (Este comportamiento es distinto al de las MIPsasignadas” en la página 92).

6. Para no distraer la atención de los mecanismos de traducción de direcciones IP, no se muestra la traducción de direccnúmeros de puerto fijos para un conjunto de DIP consistente en una sola dirección IP, solamente un host podrá utilizaLa directiva anterior especifica solamente el “host B” como dirección de origen. Si el “host B” es el único host que utilizhabilitar PAT.

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

��

Host A: 1.1.1.1

Conjunto de DIP 7 1.1.1.3 – 1.1.1.3


1.1.1.1

ORIG3.3.3.3 CaDEST

1.1.1.1

ORIG1.1.1.1 CaDEST

3.3.3.3

set interface ethernet1 dip-id 7 1.1.1.3 1.1.1.3set policy from “zone B” to “zone A” “host B” “host A” any nat src dip-id 7 permit

Zona A Zona



El dispositivo NetScreen traduce la dirección IP de origen de 3.3.3.3 a 1.1.1.3. Almacena la información de IP y dirección del puerto en su tabla de la sesión.

El dispositivo NetScreen compara la información de IP y puerto contenida en el paquete con la información almacenada en su tabla de la sesión. A continuación traduce la dirección IP de destino de 1.1.1.3 a 3.3.3.3.


1.1.1.3

2

15

Capítulo 2

origende red de origen (NAT-src) y la rsos métodos de traducción de

la página 25


Traducción de direcciones de red deNetScreen proporciona muchos métodos para realizar la traducción de direcciones traducción de direcciones de puertos de origen (PAT). Este capítulo describe los divedirecciones disponibles y está organizado en las siguientes secciones:

• “Introducción a NAT-Src” en la página 16

• “NAT-Src desde un conjunto de DIP con PAT habilitada” en la página 18

• “NAT-Src desde un conjunto de DIP con PAT inhabilitada” en la página 22

• “NAT-Src desde un conjunto de DIP con desplazamiento de direcciones” en

• “NAT-Src desde la dirección IP de la interfaz de salida” en la página 31

Capítulo 2 Traducción de direcciones de red de origen Introducción a NAT-Src

16

n original de un encabezado de vada envía tráfico a un espacio en privada a una dirección

és de una VPN a un sitio que os del túnel deben traducir las

te.

una fuente de direcciones que una directiva requiere NAT-src recciones de ese conjunto al

habilita la traducción de 2. Aunque a todos los paquetes a dirección, cada uno obtiene n la correspondencia entre las sitivo NetScreen puede

é hosts.

NetScreen traduce la dirección s se requiere PAT, que se

ina 2 -67 y “Direcciones IP privadas”

z predeterminada de la zona de DIP con direcciones que se onjunto de DIP en una interfaz

página 2 -283.

junto con direcciones del conjunto de l número máximo de puertos, que es


INTRODUCCIÓN A NAT-SRCA veces es necesario que el dispositivo NetScreen traduzca la dirección IP de origepaquete IP a otra dirección. Por ejemplo, cuando algún host con una dirección IP pride direcciones público, el dispositivo NetScreen debe traducir la dirección IP de origpública1. Asimismo, al enviar tráfico desde un espacio de direcciones privado a travutilice las mismas direcciones, los dispositivos NetScreen situados en ambos extremdirecciones IP de origen y de destino a direcciones que no se interfieran mutuamen

Un conjunto de direcciones IP dinámicas (DIP) proporciona al dispositivo NetScreenutiliza para realizar la traducción de direcciones de red de origen (NAT-src). Cuandoy hace referencia a un conjunto de DIP específico, el dispositivo NetScreen toma direalizar la traducción.

El conjunto de DIP puede ser tan pequeño como una sola dirección IP, la cual, si sedirecciones de puertos (PAT), puede atender a unos 64.500 hosts simultáneamenteque reciben una nueva dirección IP de origen de ese conjunto se les asigna la mismun número de puerto diferente. Manteniendo una entrada en la tabla de sesiones codirecciones original y traducida y los números de puerto original y traducido, el dispodeterminar qué paquetes pertenecen a qué sesión, y qué sesiones pertenecen a qu

Si utiliza NAT-src pero no especifica un conjunto de DIP en la directiva, el dispositivode origen a la dirección de la interfaz de salida de la zona de destino. En estos casohabilita automáticamente.

1. Para obtener más información sobre direcciones IP públicas y privadas, consulte “Direcciones IP públicas” en la págen la página 2 -68.

Nota: El conjunto de DIP debe utilizar direcciones de la misma subred que la interfadestino a la que se hace referencia en la directiva. Si desea utilizar un conjunto de encuentran fuera de la subred de la interfaz de la zona de destino, debe definir un cextendida. Para obtener más información, consulte “Interfaz extendida y DIP” en la

2. Con PAT habilitada, el dispositivo NetScreen también mantiene un conjunto de números de puerto libres para asignarDIP. La cifra de unos ~64.500 se calcula restando 1023 (los números reservados para los puertos bien conocidos) de65.535.

Capítulo 2 Traducción de direcciones de red de origen Introducción a NAT-Src

17

ariable, debe desactivar PAT y para que cada host activo nes dinámicas (DIP) de puerto t para todas sus sesiones positivo NetScreen puede s, salvo que la DIP se defina


Para las aplicaciones que requieran trabajar con un número de puerto de origen invdefinir un conjunto de DIP con un rango de direcciones IP suficientemente grandes simultáneamente reciba una dirección traducida diferente. Para trabajar con direcciofijo, el dispositivo NetScreen asigna una dirección de origen traducida al mismo hossimultáneas. Por el contrario, cuando el conjunto de DIP tiene habilitada PAT, el disasignar a un solo host diferentes direcciones para otras tantas sesiones simultáneacomo “sticky” (consulte “Direcciones DIP “sticky”” en la página 2 -282).

Capítulo 2 Traducción de direcciones de red de origen NAT-Src desde un conjunto de DIP con PAT habilitada

18

irecciones de puertos (PAT), spección del estado según se y del segmento TCP

ID 5Servidor web remoto

2.2.2.2:80

DEST PROTO

80 HTTP

DEST PROTO

834 HTTP


NAT-SRC DESDE UN CONJUNTO DE DIP CON PAT HABILITADAAl aplicar la traducción de direcciones de red de origen (NAT-src) con traducción de del dispositivo NetScreen traduce direcciones IP y números de puertos y realiza una inilustra más abajo (sólo se muestran los elementos de los encabezados del paquete IPrelevantes para NAT-src):

��

Conjunto de DIP con 1.1.1.30 – 1.1.1.30

(PAT habilitada)Host local

10.1.1.5:25611

NetScreenethernet1 10.1.1.1/24ethernet3 1.1.1.1/24

IP ORIG IP DEST PTO ORIG PTO DEST PROTO

10.1.1.5 2.2.2.2 25611 80 HTTP

El dispositivo NetScreen traduce la dirección IP de origen de 10.1.1.5 a 1.1.1.30 y el puerto de origen de 25611 a 41834. Almacena la información de IP y de dirección del puerto en su tabla de sesiones.

IP ORIG IP DEST PTO ORIG PTO

1.1.1.30 2.2.2.2 41834

IP ORIG IP DEST PTO ORIG PTO

2.2.2.2 1.1.1.30 80 41

El dispositivo NetScreen compara la información de IP y puerto contenida en el paquete con la información almacenada en su tabla de sesiones. Entonces traduce la dirección IP de destino de 1.1.1.30 a 10.1.1.5 y el puerto de destino de 41834 a 25611.


2.2.2.2 10.1.1.5 80 25611 HTTP

Zona Trust Zona Untrust

set policy from trust to untrust any any http nat src dip-id 5 permit


19

la zona Untrust. El conjunto de terminada3. A continuación, tareas:

ier dirección de la zona Untrust

30, que es la entrada única en

ento TCP o el encabezado del

aducidos a través de ethernet3

PAT, deberá agregar la palabra clave WebUI. Por ejemplo, set interface .1.30; End: 1.1.1.30; Port Translation:

2.2.2.2:80

T PTO ORIG PTO DEST PROTO

2 41834 80 HTTP

0:41834

0ona Untrust

ucido Destinoirtual)


Ejemplo: NAT-Src con PAT habilitadaEn este ejemplo definirá un conjunto de DIP 5 en ethernet3, una interfaz asociada aDIP contiene una sola dirección IP (1.1.1.30) y tiene PAT habilitada de forma predeestablecerá una directiva que ordene al dispositivo NetScreen realizar las siguientes

• Permitir el tráfico HTTP desde cualquier dirección de la zona Trust a cualqu

• Traducir la dirección IP de origen en el encabezado de paquetes IP a 1.1.1.el conjunto de DIP 5

• Traducir el número original del puerto de origen en el encabezado del segmdatagrama UDP a un número nuevo y exclusivo

• Enviar el tráfico HTTP con la dirección IP de origen y el número de puerto tra la zona Untrust

3. Cuando defina un conjunto de DIP, el dispositivo NetScreen habilitará PAT de forma predeterminada. Para desactivar“fix-port” al final del comando CLI, o bien borrar la opción “Port Translation” en la página de configuración de DIP en ethernet3 dip 5 1.1.1.30 1.1.1.30 fix-port, o bien Network > Interfaces > Edit (para ethernet3) > DIP: ID: 5; Start: 1.1(anule la selección).

10.1.1.5:25611

Zona Trust



ethernet31.1.1.1/24


10.1.1.5 2.2.2.2 25611 80 HTTPIP ORIG IP DES

1.1.1.30 2.2.2.

Traducción de direcciones de red de origen (NAT-src)(Traduce la dirección IP de origen a un conjunto de DIP de una sola dirección, la PAT 1.1.1.30. está habilitada).

1.1.1.3

1.1.1.3Z

1.1.1.30

Origen original Origen trad(Dispositivo v


20

s y haga clic en Apply :

e)

OK :

s y haga clic en OK :

e)

uientes datos y haga clic en

.1.1.30

econdary IPs: (seleccione)


WebUI

1. InterfacesNetwork > Interfaces > Edit (para ethernet1): Introduzca los siguientes dato

Zone Name: Trust

Static IP: (seleccione esta opción si es posibl

IP Address/Netmask: 10.1.1.1/24

Seleccione los siguientes datos y haga clic enInterface Mode: NAT

Network > Interfaces > Edit (para ethernet3): Introduzca los siguientes dato

Zone Name: Untrust



2. DIPNetwork > Interfaces > Edit (para ethernet3) > DIP > New: Introduzca los sig OK :

ID: 5

IP Address Range: (seleccione), 1.1.1.30 ~ 1

Port Translation: (seleccione)

In the same subnet as the interface IP or its s


21

haga clic en OK :

n Return para establecer las de configuración básica:

ne)

1.30)/X-late

p-id 5 permit


3. DirectivaPolicies > (From: Trust, To: Untrust) New: Introduzca los siguientes datos y

Source Address:

Address Book Entry: (seleccione), Any

Destination Address:


Service: HTTP

Action: Permit

> Advanced: Escriba lo siguiente y haga clic eopciones avanzadas y regresar a la página

NAT:

Source Translation: (seleccio

(DIP on): 5 (1.1.1.30 - 1.1.

CLI

1. Interfacesset interface ethernet1 zone trustset interface ethernet1 ip 10.1.1.1/24set interface ethernet1 nat

set interface ethernet3 zone untrustset interface ethernet3 ip 1.1.1.1/24

2. DIPset interface ethernet3 dip 5 1.1.1.30 1.1.1.30

3. Directivaset policy from trust to untrust any any http nat src disave

Capítulo 2 Traducción de direcciones de red de origen NAT-Src desde un conjunto de DIP con PAT inhabilitada

22

e red de origen (NAT-src) para e puerto de origen. Puede que erto de origen sea un número n y la dirección del puerto sean s casos, puede definir una

la zona Untrust. El conjunto de y, a continuación, establecerá

esde cualquier dirección de la

uier dirección disponible en el

mento TCP o en el encabezado

puerto original a través de


e)

OK :

uiere que todas las transacciones de unto de DIP 6.


NAT-SRC DESDE UN CONJUNTO DE DIP CON PAT INHABILITADAEn determinadas ocaciones, quizás le interese realizar la traducción de direcciones dla dirección IP, pero no la traducción de direcciones de puertos (PAT) del número duna aplicación personalizada tenga el requisito específico de que la dirección del pudeterminado. Es posible que el host de destino requiera que la dirección IP de origedeterminados números que permitan identificar el host de forma inequívoca. En taledirectiva que ordene al dispositivo NetScreen realizar NAT-src sin PAT.

Ejemplo: NAT-Src con PAT inhabilitadaEn este ejemplo definirá un conjunto de DIP 6 en ethernet3, una interfaz asociada aDIP contiene un rango de direcciones IP de 1.1.1.50 a 1.1.1.150. Desactivará la PATuna directiva que ordene al dispositivo NetScreen realizar las siguientes tareas:

• Permitir el tráfico para un servicio definido por el usuario llamado “e-stock” dzona Trust a cualquier dirección de la zona Untrust4

• Traducir la dirección IP de origen en el encabezado de paquetes IP a cualqconjunto de DIP 6

• Conservar el número del puerto de origen original en el encabezado del segdel datagrama UDP

• Enviar tráfico e-stock con la dirección IP de origen traducida y el número deethernet3 a la zona Untrust

WebUI1. Interfaces


Zone Name: TrustStatic IP: (seleccione esta opción si es posiblIP Address/Netmask: 10.1.1.1/24


4. Se presupone que previamente habrá configurado el servicio definido por el usuario “e-stock”. Este servicio ficticio reqe-stock se originen en números de puerto de origen específicos. Por esta razón, deberá desactivar PAT para el conj


23


e)


.1.1.150


haga clic en OK :


ne)

1.1.50 - 1.1.1.150)



Zone Name: Untrust




ID: 6

IP Address Range: (seleccione), 1.1.1.50 ~ 1

Port Translation: (anule la selección)



Source Address:




Service: e-stock

Action: Permit


NAT:


DIP on: (seleccione), 6 (1.


24

t

dip-id 6 permit


CLI



2. DIPset interface ethernet3 dip 6 1.1.1.50 1.1.1.150 fix-por

3. Directivaset policy from trust to untrust any any e-stock nat srcsave

Capítulo 2 Traducción de direcciones de red de origen NAT-Src desde un conjunto de DIP con desplazamiento de direcciones

25

DIRECCIONESa dirección IP de origen o NetScreen traduzca siempre

aducida dentro de un conjunto ignar una subred a otra subred, una subred a su equivalente

ionar mayor granularidad a las el administrador de de sus hosts al comunicarse -A aplica NAT-src utilizando

dor de NetScreen-B solamente o A. Salvo que el administrador establecer directivas de tráfico tScreen-A. Por otra parte, si el as (gracias al desplazamiento stablezca para el tráfico

nes habilitado en una directiva . En tales casos, el dispositivo itidas en la directiva, aplicando ntro del rango del conjunto de que el dispositivo NetScreen

recciones de origen tenga un

e origen (PAT) con


NAT-SRC DESDE UN CONJUNTO DE DIP CON DESPLAZAMIENTO DEPuede definir una asignación “uno a uno” de una dirección IP de origen original a untraducida para un rango de direcciones IP. Tal asignación garantiza que el dispositivuna determinada dirección IP de origen dentro de ese rango a la misma dirección trde DIP. Puede haber cualquier número de direcciones en el rango. Puede incluso asestableciendo una asignación “uno a uno” permanente de cada dirección original detraducida en la otra subred.

Un posible uso para realizar NAT-src con desplazamiento de direcciones es proporcdirectivas en otro dispositivo NetScreen que reciba tráfico del primero. Por ejemplo,NetScreen-A en el sitio A define una directiva que traduce las direcciones de origencon NetScreen-B en el sitio B a través de un túnel VPN punto a punto. Si NetScreendirecciones de un conjunto de DIP sin desplazamiento de direcciones, el administrapuede configurar directivas genéricas para el tráfico que puede permitir desde el sitide NetScreen-B conozca las direcciones IP traducidas específicas, solamente podráentrante para el rango de direcciones de origen tomadas del conjunto de DIP de Neadministrador de NetScreen-B conoce cuáles son las direcciones de origen traducidde direcciones), ahora puede ser más selectivo y restrictivo con las directivas que eentrante desde el sitio A.

Recuerde que es posible utilizar un conjunto de DIP con desplazamiento de direccioaplicable a las direcciones de origen más allá del rango especificado en el conjuntoNetScreen deja pasar el tráfico procedente de todas las direcciones de origen permNAT-src con desplazamiento de direcciones a las direcciones que se encuentren deDIP, pero dejando intactas las direcciones que queden fuera de ese rango. Si deseaaplique NAT-src a todas las direcciones de origen, asegúrese de que el rango de ditamaño inferior o igual que el rango del conjunto de DIP.

Nota: El dispositivo NetScreen no admite la traducción de direcciones de puertos ddesplazamiento de direcciones.


26

la zona Untrust. Desea traducir .1.1.105, y desea que la

direcciones llamado “group1”. .1.15. Configurará una directiva direcciones en una directiva a vo NetScreen aplicar NAT-src ona Untrust. Además, el a, como 10.1.1.13, a la misma

ar las siguientes tareas:

n en la zona Untrust

rrespondiente dirección en el

aducidos a través de ethernet3


Ejemplo: NAT-Src con desplazamiento de direccionesEn este ejemplo definirá el conjunto de DIP 10 en ethernet3, una interfaz asociada acinco direcciones entre 10.1.1.11 y 10.1.1.15 a cinco direcciones entre 1.1.1.101 y 1relación entre cada dirección original y traducida sea constante:

Definirá las direcciones de cinco hosts en la zona Trust y las agregará a un grupo deLas direcciones de estos hosts son 10.1.1.11, 10.1.1.12, 10.1.1.13, 10.1.1.14 y 10.1para el tráfico de la zona Trust a la zona Untrust que haga referencia a ese grupo dela que aplicará NAT-src con el conjunto de DIP 10. La directiva ordenará al dispositisiempre que un miembro de “group1” inicie tráfico HTTP hacia una dirección en la zdispositivo NetScreen siempre aplicará NAT-src desde una dirección IP determinaddirección IP traducida, 1.1.1.103.

A continuación, establecerá una directiva que ordene al dispositivo NetScreen realiz

• Permitir el tráfico HTTP desde “group1” en la zona Trust a cualquier direcció

• Traducir la dirección IP de origen en el encabezado de paquetes IP a su coconjunto de DIP 10

• Enviar el tráfico HTTP con la dirección IP de origen y el número de puerto tra la zona Untrust

Dirección IP de origen original

Dirección IP de origen traducida

10.1.1.11 1.1.1.101

10.1.1.12 1.1.1.102

10.1.1.13 1.1.1.103

10.1.1.14 1.1.1.104

10.1.1.15 1.1.1.105


27


e)

OK :


e)




WebUI


Zone Name: Trust





Zone Name: Untrust




ID: 10

IP Shift: (seleccione)

From: 10.1.1.11

To: 1.1.1.101 ~ 1.1.1.105



28

ga clic en OK :

ga clic en OK :

ga clic en OK :

ga clic en OK :


3. DireccionesObjects > Addresses > List > New: Introduzca la siguiente información y ha

Address Name: host1

IP Address/Domain Name:


Zone: Trust

Objects > Addresses > List > New: Introduzca la siguiente información y ha

Address Name: host2



Zone: Trust


Address Name: host3



Zone: Trust


Address Name: host4



Zone: Trust


29

ga clic en OK :

iente nombre de grupo, mueva

rasladar la dirección de la “Group Members”.





haga clic en OK :



Address Name: host5



Zone: Trust

Objects > Addresses > Groups > (para Zone: Trust) New: Introduzca el sigulas siguientes direcciones y haga clic en OK :

Group Name: group1

Seleccione host1 y utilice el botón << para tcolumna “Available Members” a la columna






Source Address:

Address Book Entry: (seleccione), group1



Service: HTTP

Action: Permit


30


ne).1.1.105)

.1.1.101 1.1.1.105

dip-id 10 permit



NAT:Source Translation: (seleccio

(DIP on): 10 (1.1.1.101 - 1

CLI



2. DIPset interface ethernet3 dip 10 shift-from 10.1.1.11 to 1

3. Direccionesset address trust host1 10.1.1.11/32set address trust host2 10.1.1.12/32set address trust host3 10.1.1.13/32set address trust host4 10.1.1.14/32set address trust host5 10.1.1.15/32

set group address trust group1 add host1set group address trust group1 add host2set group address trust group1 add host3set group address trust group1 add host4set group address trust group1 add host5

4. Directivaset policy from trust to untrust group1 any http nat srcsave

Capítulo 2 Traducción de direcciones de red de origen NAT-Src desde la dirección IP de la interfaz de salida

31

NetScreen traduce la dirección creen siempre aplica PAT.

as siguientes tareas:

ier dirección de la zona Untrust

1.1.1, que es la dirección IP de de salida del tráfico enviado a

ento TCP o el encabezado del

a través de ethernet3 a la zona

2.2.2.2:80

Zona Untrust

T PTO ORIG PTO DEST PROTO

2 41834 80 HTTP

1:41834

ducidoDestino



NAT-SRC DESDE LA DIRECCIÓN IP DE LA INTERFAZ DE SALIDASi aplica NAT-src a una directiva pero no especifica un conjunto de DIP, el dispositivoIP de origen a la dirección de la interfaz de salida. En tales casos, el dispositivo NetS

Ejemplo: NAT-Src sin DIPEn este ejemplo definirá una directiva que ordene al dispositivo NetScreen realizar l

• Permitir el tráfico HTTP desde cualquier dirección de la zona Trust a cualqu

• Traducir la dirección IP de origen en el encabezado de los paquetes IP a 1.ethernet3 (la interfaz asociada a la zona Untrust) y, por tanto, de la interfaz cualquier dirección en la zona Untrust

• Traducir el número original del puerto de origen en el encabezado del segmdatagrama UDP a un número nuevo y exclusivo

• Enviar tráfico con la dirección IP de origen y el número de puerto traducidosUntrust

10.1.1.5:25611


1.1.1.1


10.1.1.5 2.2.2.2 25611 80 HTTPIP ORIG IP DES

1.1.1.1 2.2.2.

Traducción de direcciones de red de origen (NAT-src)(Traduce la dirección IP de origen a la dirección IP de la interfaz de salida, 1.1.1.1, en la zona de destino. PAT está habilitada).

ethernet31.1.1.1/24

1.1.1.

Origen originalOrigen tra


32


e)

OK :


e)

haga clic en OK :


WebUI

1. Interfaces


Zone Name: Trust



Seleccione los siguientes datos y haga clic en

Interface Mode: NAT


Zone Name: Untrust



2. Directiva

Policies > (From: Trust, To: Untrust) New: Introduzca los siguientes datos y

Source Address:




Service: HTTP

Action: Permit


33


ne)

ss Interface IP)

rmit



NAT:


(DIP on): None (Use Egre

CLI



2. Directivaset policy from trust to untrust any any http nat src pesave


34

3

35

Capítulo 3

destino

e red de destino (NAT-dst) y la métodos de traducción de

do una IP asignada (MIP) o na 91.


Traducción de direcciones de red de

NetScreen proporciona muchos métodos para realizar la traducción de direcciones dtraducción de direcciones de puertos de destino. Este capítulo describe los diversosdirecciones disponibles y está organizado en las siguientes secciones:

• “Introducción a NAT-Dst” en la página 36

– “Flujo de paquetes para NAT-Dst” en la página 38

– “Enrutamiento para NAT-Dst” en la página 42

• “NAT-Dst: Asignación “1:1”” en la página 46

– “Traducción de una dirección a múltiples direcciones” en la página 51

• “NAT-Dst: Asignación “n:1”” en la página 55

• “NAT-Dst: Asignación “n:n”” en la página 60

• “NAT-Dst con asignación de puertos” en la página 65

• “NAT-Src y NAT-Dst en la misma directiva” en la página 70

Nota: Para obtener información sobre la traducción de direcciones de destino usandirección IP virtual (VIP), consulte “Direcciones IP asignadas y virtuales” en la pági

Capítulo 3 Traducción de direcciones de red de destino Introducción a NAT-Dst

36

tra. Puede necesitar que el irecciones privadas. La relación e “1:1” (“una a una”), de “n:1” s conceptos de las relaciones

de puertos es la traducción n la asignación de puertos, la ciones de puertos (PAT). En la al predeterminado a otro úmero de puerto de origen

uí.Nota: Las direcciones IP de destino original y traducida deben estar en la misma zona de seguridad.

o o


INTRODUCCIÓN A NAT-DSTPuede definir directivas para traducir la dirección de destino de una dirección IP a odispositivo NetScreen traduzca una o varias direcciones IP públicas a una o varias dde la dirección de destino original con la dirección de destino traducida puede ser d(muchas a una) o de “n:n” (muchas a muchas). La ilustración siguiente representa loNAT-dst “1:1” y “n:1”.

Ambas configuraciones admiten la asignación de puertos de destino. La asignacióndeterminista de un número de puerto de destino original a otro número específico. Erelación del número original al traducido difiere con respecto a la traducción de direcasignación de puertos, el dispositivo NetScreen traduce un número de puerto originnúmero de puerto predeterminado. Con PAT, el dispositivo NetScreen traduce un noriginal asignado aleatoriamente a otro número asignado aleatoriamente.

El dispositivo NetScreen asigna tráfico desde aquí hasta aq……

“NAT-Dst: Asignación “1:1”” en la página 46

Destino original

Destintraducid

“NAT-Dst: Asignación “n:1”” en la página 55


(Dispositivos virtuales)


37

otra) mediante el ma fija cada dirección de

Screen no admite la asignación l concepto de una relación

l como de la dirección IP de a dirección IP de destino ectivas. A continuación, realiza nviar el paquete. Para IP de destino original como la s información sobre la relación ulte “Flujo de paquetes para

Destino traducido

)


Puede traducir un rango de direcciones de destino a otro rango (como una subred adesplazamiento de direcciones, de modo que el dispositivo NetScreen asigne de fordestino original a una determinada dirección de destino traducida. Observe que Netde puertos con desplazamiento de direcciones. La ilustración siguiente representa emúltiple (“n:n”) para NAT-dst.

La tabla de rutas debe contener entradas tanto de la dirección IP de destino originadestino traducida. El dispositivo NetScreen realiza una consulta de rutas utilizando loriginal para determinar la zona de destino y realizar la subsiguiente consulta de diruna segunda consulta de rutas con la dirección traducida para determinar a dónde egarantizar que la decisión de enrutamiento cumpla con la directiva, tanto la direccióndirección IP traducida deben estar en la misma zona de seguridad. (Para obtener máentre la dirección IP de destino, la consulta de rutas y la consulta de directivas, consNAT-Dst” en la página 38).

“NAT-Dst: Asignación “n:n”” en la página 60

Destino original

(Dispositivos virtuales


38

Screen y las diferentes

55 y dirección IP de la zona Untrust.

NetScreen activa el módulo uno de los tres resultados

á configurado para bloquear el e y genera una entrada en el

á configurado para registrar el el evento en la lista de uiente.

a DMZ

a Trust

Custom1

l4.4.4.5

Destino traducidonar qué interfaz debe utilizar interrogación.


Flujo de paquetes para NAT-DstLos pasos siguientes describen la ruta de un paquete a través de un dispositivo Netoperaciones que realiza al aplicar la traducción de direcciones de red de destino.

1. Un paquete HTTP con dirección IP de origen:número de puerto 1.1.1.5:324destino:número de puerto 5.5.5.5:80 llega a ethernet1, que está asociada a

2. Si hay habilitadas opciones de SCREEN para la zona Untrust, el dispositivoSCREEN en este momento. La comprobación de SCREEN puede producir siguientes:

– Si un mecanismo SCREEN detecta un comportamiento anómalo y estpaquete correspondiente, el dispositivo NetScreen descarta el paquetregistro de eventos.

– Si un mecanismo SCREEN detecta un comportamiento anómalo y estevento pero no bloquear el paquete, el dispositivo NetScreen registra contadores SCREEN para la interfaz de entrada y procede al paso sig

ethernet22.2.2.2/24

ethernet33.3.3.3/24

ethernet44.4.4.4/24

ethernet11.1.1.1/24

Zon

Zon

Zona

Zona Untrust

?

?

?1.1.1.5Origen

5.5.5.5Destino origina

ORIG1.1.1.5

DEST5.5.5.5

ORIG32455

DEST80 Carga de datos

El dispositivo NetScreen todavía no ha realizado los pasos necesarios para determipara remitir el paquete. Esto se indica en la ilustración mediante los tres signos de


39

o, el dispositivo NetScreen

positivo NetScreen procede

paquete coincide con una

ejecuta los pasos restantes cessing).

ecuta el procesamiento rápido ones existente para procesar el que la información generada quete de la sesión.

nada (MIP) o virtual (VIP)1

acia la dirección IP de destino de directivas entre las zonas

itivo NetScreen remite el

etScreen procede al paso

llega una interfaz asociada a la zona


– Si el mecanismo SCREEN no detecta ningún comportamiento anómalprocede al paso siguiente.

Si no ha habilitado ninguna opción de SCREEN para la zona Untrust, el disinmediatamente al paso siguiente.

3. El módulo de sesiones realiza una consulta de sesión para comprobar si el sesión existente.

Si el paquete no coincide con una sesión existente, el dispositivo NetScreencon el procedimiento de procesamiento del primer paquete (First Packet Pro

Si el paquete coincide con una sesión existente, el dispositivo NetScreen ej(Fast Processing), utilizando la información disponible en la entrada de sesipaquete. El procesamiento rápido omite todos los pasos salvo el último, porpor los pasos omitidos ya se obtuvo durante el procesamiento del primer pa

4. El módulo de asignación de direcciones comprueba si una dirección IP asigutiliza la dirección IP de destino 5.5.5.5.

Si existe tal configuración, el dispositivo NetScreen resuelve la MIP o VIP htraducida y basa en ella su consulta de rutas. Entonces realiza una consultaUntrust y Global. Si encuentra una directiva que permita el tráfico, el dispospaquete fuera de la interfaz de salida determinada en la consulta de rutas.

Si 5.5.5.5 no se utiliza en ninguna configuración MIP o VIP, el dispositivo Nsiguiente.

1. El dispositivo NetScreen sólo comprueba si la dirección IP de destino se utiliza en una configuración VIP si el paqueteUntrust.


40

de rutas de la dirección IP de l encabezado del paquete que rminar qué enrutador virtual 2 a través de ethernet4, que

trust y Custom1 (según lo s direcciones IP de origen y de 5.5.5.5 a 4.4.4.5.

.4.4.5 permit

5.5/32. Está en la zona

4.5. La directiva indica que no raducción de direcciones de

a dirección IP traducida y

puerta de e:50


5. Para determinar la zona de destino, el módulo de rutas realiza una consultadestino original; es decir, utiliza la dirección IP de destino que aparece en ellega a ethernet1. (El módulo de rutas utiliza la interfaz de entrada para detedebe utilizar para la consulta de rutas). Descubre que se accede a 5.5.5.5/3está asociada a la zona Custom1.

6. El motor de directivas realiza una consulta de directivas entre las zonas Undeterminado por las correspondientes interfaces de entrada y de salida). Ladestino y el servicio encuentran una directiva que desvía el tráfico HTTP de

set policy from untrust to custom1 any v-server1 http nat dst ip 4

(Previamente habrá definido la dirección “v-server1” con la dirección IP 5.5.Custom1).

El dispositivo NetScreen traduce la dirección IP de destino de 5.5.5.5 a 4.4.se requiere ninguna traducción de direcciones de red de origen ni ninguna tpuertos de destino.

7. El dispositivo NetScreen efectúa una segunda consulta de rutas utilizando ldescubre que se accede a 4.4.4.5/32 a través de ethernet4.

Tabla de rutas trust-vrPara llegar a: Utilizar interfaz: En zona: Usar

enlac0.0.0.0/0 ethernet1 Untrust 1.1.1.2

1.1.1.0/24 ethernet1 Untrust 0.0.0.0

2.2.2.0/24 ethernet2 DMZ 0.0.0.0

3.3.3.0/24 ethernet3 Trust 0.0.0.0

4.4.4.0/24 ethernet4 Custom1 0.0.0.0

5.5.5.5/32 ethernet4 Custom1 0.0.0.0


41

n el encabezado del paquete a net4 y crea una nueva entrada istente y ya exista una entrada).

n 0 , t u n 0 , v s d 0

Carga de datos

Custom1

4.4.4.5Destino

IDtúnel

IDVSD

N, túnel VPN ni dispositivo ión es cero.

N

de la sesión 30 unidades 300 segundos)


8. El módulo de asignación de direcciones traduce la dirección IP de destino e4.4.4.5. El dispositivo NetScreen remite entonces el paquete fuera de etheren su tabla de la sesión (salvo que este paquete sea parte de una sesión ex

i d 4 8 2 / s * * , v s y s 0 , f l a g 0 4 0 0 0 0 0 0 / 0 0 / 0 0 , p o l i c y 2 1 , t i m e 3 06 ( 2 1 ) : 1 . 1 . 1 . 5 / 3 2 4 5 5 - > 4 . 4 . 4 . 5 / 8 0 , 6 , 0 0 b 0 d 0 a 8 a a 2 b , v l a

ORIG1.1.1.5

DEST4.4.4.5

ORIG32455

DEST80

ethernet44.4.4.4/24

ethernet11.1.1.1/24

Zona

Zona Untrust

1.1.1.5Origen

Dirección IP/puertode origen

Dirección IP/puertode destino

Protocolo de transporte6 = TCP

Flag de NSP (sólo para uso interno)

Nota: Dado que en esta sesión no hay implicado ningún sistema virtual, VLAde seguridad virtual (VSD), el ajuste para todos estos números de identificac

Identificación de la interfaz

IDVLA

Tiempo de espera(30 x 10 =

Identificación de sesión

Flags de estado de la sesión (sólo para uso interno)

Sistema virtual al que pertenece esta sesión

Dirección MAC de origen en la primera trama

Identificación de la directiva aplicable a esta sesión


42

en su tabla de enrutamiento de uete como a la dirección de paquete). Según lo explicado la dirección de destino original Al mismo tiempo, la interfaz de ra que el dispositivo NetScreen ra una directiva aplicable, ésta ucida. El dispositivo NetScreen de la cual debe reenviar el ión de destino original dirección de destino traducida nviar el paquete.

egún la topología de red que

e destino traducida.


Enrutamiento para NAT-DstAl configurar las direcciones para NAT-dst, el dispositivo NetScreen debe disponer rutas tanto a la dirección de destino original que aparece en el encabezado del paqdestino traducida (es decir, la dirección a la cual el dispositivo NetScreen reenvía elen “Flujo de paquetes para NAT-Dst” en la página 38, el dispositivo NetScreen utilizapara realizar una consulta de rutas, determinando de este modo la interfaz de salida.salida proporciona la zona de destino (la zona a la que está asociada la interfaz) papueda realizar una consulta de directivas. Cuando el dispositivo NetScreen encuentdefine la asignación de la dirección de destino original a la dirección de destino tradrealiza entonces una segunda consulta de rutas para determinar la interfaz a travéspaquete para alcanzar la nueva dirección de destino. En resumen, la ruta a la direccproporciona un medio de realizar la consulta de directivas, mientras que la ruta a la especifica la interfaz de salida a través de la cual el dispositivo NetScreen debe ree

En los tres supuestos siguientes, la necesidad de introducir rutas estáticas cambia srodea a las direcciones de destino a las que se refiere esta directiva:

set policy from untrust to trust any oda1 http nat dst ip 10.1.1.5 permit

donde “oda1” es la dirección de destino original 10.2.1.5, y 10.1.1.5 es la dirección d


43

en el tráfico a través de la ta a 10.1.1.0/24 a través de ra completar los requisitos de .

tes datos y haga clic en OK :

t3

especifica una puerta de cio de direcciones 10.1.1.0/24.

Destino traducido10.1.1.5

Zona Trust


Direcciones conectadas a una interfazEn este escenario, las rutas a las direcciones de destino originales y traducidas dirigmisma interfaz, ethernet3. El dispositivo NetScreen agrega automáticamente una ruethernet3 al configurar la dirección IP de la interfaz ethernet3 como 10.1.1.1/24. Paenrutamiento, deberá agregar una ruta adicional a 10.2.1.5/32 a través de ethernet3

WebUI

Network > Routing > Routing Entries > (trust-vr) New: Introduzca los siguienNetwork Address / Netmask: 10.2.1.5/32Gateway: (seleccione)

Interface: ethernet3Gateway IP Address: 0.0.0.0

CLI

set vrouter trust-vr route 10.2.1.5/32 interface ethernesave

Nota: Aunque 10.2.1.5 no se encuentra en la subred 10.1.1.0/24 porque su ruta noenlace, está ilustrada como si estuviese en la misma subred conectada que el espa

Destino original“oda1”

10.2.1.5ethernet3

10.1.1.1/24

10.1.1.0/24

Nota: La zona Untrust no se muestra.



44

n enrutador tráfico a través de ethernet3. El ernet3 al configurar la dirección iento, deberá agregar una ruta

10.1.1.0/24 y 10.2.1.0/24.

tes datos y haga clic en OK :

t3 gateway 10.1.1.250

ed 10.2.1.0/24, probablemente l sólo para que la directiva

stino original“oda1”

10.2.1.5

0.2.1.0/24

Zona Trust

ositivo virtual)


Direcciones conectadas a una interfaz pero separadas por uEn este escenario, las rutas a las direcciones de destino original y traducida dirigen eldispositivo NetScreen agrega automáticamente una ruta a 10.1.1.0/24 a través de ethIP de la interfaz ethernet3 como 10.1.1.1/24. Para completar los requisitos de enrutama 10.2.1.0/24 a través de ethernet3 y a la puerta de enlace que conecta las subredes

WebUI

Network > Routing > Routing Entries > (trust-vr) New: Introduzca los siguienNetwork Address / Netmask: 10.2.1.0/24Gateway: (seleccione)

Interface: ethernet3Gateway IP Address: 10.1.1.250

CLI

set vrouter trust-vr route 10.2.1.0/24 interface ethernesave

Nota: Dado que esta ruta es necesaria para alcanzar cualquier dirección en la subrya la haya configurado. En tal caso, no es necesario agregar ninguna ruta adicionaaplique NAT-dst a 10.2.1.5.

De

10.1.1.250/24

10.2.1.250/24

Destino traducido10.1.1.5ethernet3

10.1.1.1/24

10.1.1.0/24 1

Nota: La zona Untrust no se muestra.

(Disp


45

ección IP 10.1.1.1/24 y camente una ruta a 10.1.1.0/24 s direcciones IP de estas rección de destino traducida en tivo NetScreen aplique NAT-dst

Zona Trust


Direcciones separadas por una interfazEn este escenario hay dos interfaces asociadas a la zona Trust: ethernet3 con la direthernet4 con la dirección IP 10.2.1.1/24. El dispositivo NetScreen agrega automátia través de ethernet3 y a 10.2.1.0/24 a través de ethernet4 cuando se configuran lainterfaces. Al colocar la dirección original de destino en la subred 10.2.1.0/24 y la dila subred 10.1.1.0/24, no es necesario agregar ninguna otra ruta para que el disposide 10.1.1.5 a 10.2.1.5.

Destino original“oda1”

10.2.1.5

ethernet4 10.2.1.1/24

10.1.1.0/24

10.2.1.0/24

Destino traducido10.1.1.5ethernet3

10.1.1.1/24Nota: La zona Untrust no se muestra.


Capítulo 3 Traducción de direcciones de red de destino NAT-Dst: Asignación “1:1”

46

direcciones de puertos, el estado según se muestra a os del paquete IP y del

inal Destino traducido10.1.1.5:80

O DEST PROTO

80 HTTP

O DEST PROTO

6104 HTTP

tual)


NAT-DST: ASIGNACIÓN “1:1”Al aplicar la traducción de direcciones de red de destino (NAT-dst) sin traducción dedispositivo NetScreen traduce la dirección IP de destino y realiza una inspección decontinuación (observe que solamente se muestran los elementos de los encabezadsegmento TCP relevantes para NAT-dst):

��

Destino orig1.2.1.5:80

Origen2.2.2.5:36104

NetScreenethernet3 1.1.1.1/24, Untrustethernet2 10.1.1.1/24, DMZ


2.2.2.5 1.2.1.5 36104 80 HTTP

El dispositivo NetScreen traduce la dirección IP de destino de 1.2.1.5 a 10.1.1.5. Almacena la información para las direcciones IP y del puerto (el número de puerto permanece inalterado) en su tabla de la sesión.

IP ORIG IP DEST PTO ORIG PT

2.2.2.5 10.1.1.5 36104

IP ORIG IP DEST PTO ORIG PT

10.1.1.5 2.2.2.5 80 3

El dispositivo NetScreen compara la información de IP y puerto contenida en el paquete con la información almacenada en su tabla de la sesión. Luego traduce la dirección IP de origen de 10.1.1.5 a 1.2.1.5.


1.2.1.5 2.2.2.5 80 36104 HTTP

Zona Untrust Zona DMZ

(Dispositivo vir


47

iones de red de destino al dispositivo NetScreen

e cualquier dirección en la zona n 1.2.1.8 en la zona DMZ

.1.8 a 10.2.1.8

egmento TCP (80 para HTTP y

rá ethernet2 a DMZ y le tino original 1.2.1.8 a través de rust-vr.

MZDestino

traducido10.2.1.8

IP DEST PTO ORIG PTO DEST PROTO

10.2.1.8 25611 80 HTTP

IP DEST PTO ORIG PTO DEST PROTO

10.2.1.8 40365 21 FTP

l “oda2”

ispositivo virtual)


Ejemplo: Traducción de destinos “1:1”En este ejemplo establecerá una directiva para realizar la traducción “1:1” de direcc(NAT-dst) sin cambiar las direcciones de los puertos de destino. La directiva ordenarealizar las siguientes tareas:

• Permitir el tráfico FTP y HTTP (definido como grupo de servicios “http-ftp”) dUntrust a la dirección original de destino denominada “oda2” con la direcció

• Traducir la dirección IP de destino en el encabezado de paquetes IP de 1.2

• Dejar intacto el número de puerto de destino original en el encabezado del s21 para FTP)

• Reenviar el tráfico HTTP y FTP a 10.2.1.8 en la zona DMZ

Asociará ethernet3 a la zona Untrust y le asignará la dirección IP 1.1.1.1/24. Asociaasignará la dirección IP 10.2.1.1/24. También definirá una ruta a la dirección de desethernet2. Las zonas Untrust y DMZ se encuentran en el dominio de enrutamiento t

Zona Untrust

Zona DOrigen2.2.2.5


2.2.2.5 1.2.1.8 25611 80 HTTP


2.2.2.5 1.2.1.8 40365 21 FTP

IP ORIG

2.2.2.5

IP ORIG

2.2.2.5

ethernet31.1.1.1/24


Destino origina1.2.1.8

(D


48


e)


e)

ga clic en OK :

va los siguientes servicios y

over el servicio de la columna embers”.


WebUI


Zone Name: Untrust




Zone Name: DMZ



2. DirecciónObjects > Addresses > List > New: Introduzca la siguiente información y ha

Address Name: oda2



Zone: DMZ

3. Grupo de serviciosObjects > Services > Groups: Introduzca el siguiente nombre de grupo, muehaga clic en OK :

Group Name: HTTP-FTP

Seleccione HTTP y utilice el botón << para m“Available Members” a la columna “Group M


49

ver el servicio de la columna embers”.

es datos y haga clic en OK :

haga clic en OK :


ccione)

e), 10.2.1.8

selección)


Seleccione FTP y utilice el botón << para mo“Available Members” a la columna “Group M

4. RutaNetwork > Routing > Routing Entries > trust-vr New: Introduzca los siguient

Network Address / Netmask: 1.2.1.8/32

Gateway: (seleccione)

Interface: ethernet2

Gateway IP Address: 0.0.0.0

5. DirectivaPolicies > (From: Untrust, To: DMZ) New: Introduzca los siguientes datos y

Source Address:



Address Book Entry: (seleccione), oda2

Service: HTTP-FTP

Action: Permit


NAT:

Destination Translation: (sele

Translate to IP: (seleccion

Map to Port: (anule la


50

2

ip 10.2.1.8 permit


CLI

1. Interfacesset interface ethernet3 zone untrustset interface ethernet3 ip 1.1.1.1/24

set interface ethernet2 zone dmzset interface ethernet2 ip 10.2.1.1/24

2. Direcciónset address dmz oda2 1.2.1.8/32

3. Grupo de serviciosset group service http-ftpset group service http-ftp add httpset group service http-ftp add ftp

4. Rutaset vrouter trust-vr route 1.2.1.8/32 interface ethernet

5. Directivaset policy from untrust to dmz any oda2 http-ftp nat dstsave


51

rsas direcciones de destino de la dirección de origen íe el tráfico HTTP de 1.2.1.8 a bién que el dispositivo o que el tráfico HTTP sea tScreen desviará a diferentes

inal (1.2.1.8), pero que dirijan el sándose en el tipo de servicio.

Untrust a una dirección definida

paquete IP de 1.2.1.8 a 10.2.1.8

egmento TCP (80 para HTTP y

MZ

Zona DMZ

Destino traducido

10.2.1.8:80

DEST PTO ORIG PTO DEST PROTO

.2.1.8 25611 80 HTTP


.2.1.9 40365 21 FTP

stino ucido.1.9:21

stino original “oda3”1.2.1.8:801.2.1.8:21

ivo )


Traducción de una dirección a múltiples direccionesEl dispositivo NetScreen puede traducir la misma dirección de destino original a divetraducidas especificadas en diferentes directivas, dependiendo del tipo de servicio oespecificada en cada directiva. Quizás le interese que el dispositivo NetScreen desv10.2.1.8 y el tráfico FTP de 1.2.1.8 a 10.2.1.9 (consulte el ejemplo siguiente). O tamNetScreen desvíe el tráfico HTTP enviado desde host1 a 1.2.1.8 hacia 10.2.1.8, perenviado desde host2 a 1.2.1.8 y hacia 10.2.1.37. En ambos casos, el dispositivo Nedirecciones traducidas el tráfico enviado a la misma dirección de destino original.

Ejemplo: Traducción de destinos “1:n”En este ejemplo creará dos directivas que utilicen la misma dirección de destino origtráfico enviado a esa dirección a dos direcciones de destino traducidas diferentes baEstas directivas ordenarán al dispositivo NetScreen realizar las siguientes tareas:

• Permitir el tráfico FTP y HTTP procedente de cualquier dirección de la zona por el usuario llamada “oda3” en la zona DMZ

• Para el tráfico HTTP, traducir la dirección IP de destino del encabezado del • Para el tráfico FTP, traducir la dirección IP de destino de 1.2.1.8 a 10.2.1.9• Dejar intacto el número de puerto de destino original en el encabezado del s

21 para FTP)• Transmitir el tráfico HTTP a 10.2.1.8 y el tráfico FTP a 10.2.1.9 en la zona D

Zona Untrust

2.2.2.5:256112.2.2.5:40365


2.2.2.5 1.2.1.8 25611 80 HTTP


2.2.2.5 1.2.1.8 40365 21 FTP

IP ORIG IP

2.2.2.5 10

IP ORIG IP

2.2.2.5 10

Detrad

10.2

ethernet31.1.1.1/24


De

Origen

(Dispositvirtual


52

rá ethernet2 a DMZ y le tino original 1.2.1.8 a través de rust-vr.


e)


e)

ga clic en OK :


Asociará ethernet3 a la zona Untrust y le asignará la dirección IP 1.1.1.1/24. Asociaasignará la dirección IP 10.2.1.1/24. También definirá una ruta a la dirección de desethernet2. Las zonas Untrust y DMZ se encuentran en el dominio de enrutamiento t

WebUI


Zone Name: Untrust




Zone Name: DMZ




Address Name: oda3



Zone: DMZ


53


haga clic en OK :


ccione)

e), 10.2.1.8

selección)







4. DirectivasPolicies > (From: Untrust, To: DMZ) New: Introduzca los siguientes datos y

Source Address:




Service: HTTP

Action: Permit


NAT:





54

haga clic en OK :


ccione)e), 10.2.1.9selección)

2

10.2.1.8 permit0.2.1.9 permit


Policies > (From: Untrust, To: DMZ) New: Introduzca los siguientes datos y

Source Address: Address Book Entry: (seleccione), Any

Destination Address: Address Book Entry: (seleccione), oda3

Service: FTPAction: Permit> Advanced: Escriba lo siguiente y haga clic e

opciones avanzadas y regresar a la páginaNAT:

Destination Translation: (seleTranslate to IP: (seleccion


CLI





4. Directivasset policy from untrust to dmz any oda3 http nat dst ip set policy from untrust to dmz any oda3 ftp nat dst ip 1save

Capítulo 3 Traducción de direcciones de red de destino NAT-Dst: Asignación “n:1”

55

mbién puede ser “n:1”. En este tino originales a una sola ción de puertos de destino.

ecciones de destino originales a al dispositivo NetScreen

st a un grupo de direcciones .1.10) y “oda5” (1.2.1.20) en la

2.1.10 y 1.2.1.20 a 10.2.1.15segmento TCP (80 para HTTP)

na DMZ


2.1.15 25611 80 HTTP


2.1.15 40365 80 HTTP

Destino traducido

10.2.1.15:8010.2.1.15:80

Destino original “oda4”1.2.1.10:80

Destino original “oda5”1.2.1.20:80irtuales)


NAT-DST: ASIGNACIÓN “N:1”La relación de la dirección de destino original con la dirección de destino traducida tacaso, el dispositivo NetScreen reenvía el tráfico enviado a varias direcciones de desdirección de destino traducida. Opcionalmente, también puede especificar la asigna

Ejemplo: Traducción de destinos “n:1”En este ejemplo creará una directiva que desviará el tráfico enviado a diferentes dir(1.2.1.10 y 1.2.1.20) a la misma dirección de destino traducida. Esta directiva ordenrealizar las siguientes tareas:

• Permitir el tráfico HTTP procedente de cualquier dirección de la zona Untrudefinido por el usuario denominado “oda45” con las direcciones “oda4” (1.2zona DMZ

• Traducir las direcciones IP de destino del encabezado de paquetes IP de 1.• Dejar intacto el número de puerto de destino original en el encabezado del • Reenviar el tráfico HTTP a 10.2.1.15 en la zona DMZ

Zona Untrust

Zo

Orígenes1.1.1.5:256111.1.1.6:40365


1.1.1.5 1.2.1.10 25611 80 HTTP


1.1.1.6 1.2.1.20 40365 80 HTTP

IP ORIG IP

1.1.1.5 10.

IP ORIG IP

1.1.1.6 10.

ethernet31.1.1.1/24


(Dispositivos v


56

rá ethernet2 a DMZ y le destino originales 1.2.1.10 y io de enrutamiento trust-vr.


e)


e)

ga clic en OK :

ga clic en OK :


Asociará ethernet3 a la zona Untrust y le asignará la dirección IP 1.1.1.1/24. Asociaasignará la dirección IP 10.2.1.1/24. También definirá una ruta a las direcciones de 1.2.1.20 a través de ethernet2. Las zonas Untrust y DMZ se encuentran en el domin

WebUI


Zone Name: Untrust




Zone Name: DMZ



2. DireccionesObjects > Addresses > List > New: Introduzca la siguiente información y ha

Address Name: oda4



Zone: DMZ


Address Name: oda5



Zone: DMZ


57

iente nombre de grupo, mueva

asladar la dirección de la “Group Members”.

asladar la dirección de la “Group Members”.




Objects > Addresses > Groups > (para Zone: DMZ) New: Introduzca el sigulas siguientes direcciones y haga clic en OK :

Group Name: oda45

Seleccione oda4 y utilice el botón << para trcolumna “Available Members” a la columna

Seleccione oda5 y utilice el botón << para trcolumna “Available Members” a la columna

3. RutasNetwork > Routing > Routing Entries > trust-vr New: Introduzca los siguient





Network > Routing > Routing Entries > trust-vr New: Introduzca los siguient






58

haga clic en OK :


ccione)

e), 10.2.1.15

selección)



Source Address:




Service: HTTP

Action: Permit


NAT:





59

t2t2

10.2.1.15 permit


CLI



2. Direccionesset address dmz oda4 1.2.1.10/32set address dmz oda5 1.2.1.20/32set group address dmz oda45 add oda4set group address dmz oda45 add oda5

3. Rutasset vrouter trust-vr route 1.2.1.10/32 interface etherneset vrouter trust-vr route 1.2.1.20/32 interface etherne

4. Directivaset policy from untrust to dmz any oda45 http nat dst ipsave

Capítulo 3 Traducción de direcciones de red de destino NAT-Dst: Asignación “n:n”

60

r un rango de direcciones IP a ciones dentro de una subred.

as relaciones entre el rango de s. Por ejemplo, si el rango de ciones traducidas es

l tráfico HTTP desde cualquier todas las direcciones de

t dst ip 10.100.3.101

definido en zoneB, como stino a 10.100.3.137.

no, las direcciones de origen y tes en el paquete. Por ejemplo, alquier host en zoneB y

t dst ip 10.100.3.101


NAT-DST: ASIGNACIÓN “N:N”Puede utilizar la traducción de direcciones de red de destino (NAT-dst) para traduciotro rango. El rango de direcciones puede ser una subred o un subconjunto de direcNetScreen utiliza un mecanismo de desplazamiento de direcciones para mantener ldirecciones de destino original después de traducirlas al nuevo rango de direccionedirecciones originales es 10.1.1.1 a 10.1.1.50 y la dirección inicial del rango de direc10.100.3.101, el dispositivo NetScreen traduce las direcciones como sigue:

• 10.1.1.1 – 10.100.3.101

• 10.1.1.2 – 10.100.3.102

• 10.1.1.3 – 10.100.3.103

…

• 10.1.1.48 – 10.100.3.148

• 10.1.1.49 – 10.100.3.149

• 10.1.1.50 – 10.100.3.150

Si, por ejemplo, desea crear una directiva que aplique las traducciones antedichas adirección de zoneA a un grupo de direcciones denominado “addr1-50”, que contiene10.1.1.1 a 10.1.1.50, en zoneB, puede introducir el comando CLI siguiente:

set policy id 1 from zoneA to zoneB any addr1-50 http na10.100.3.150 permit

Si cualquier host en zoneA inicia tráfico HTTP hacia una dirección dentro del rango 10.1.1.37, el dispositivo NetScreen aplica esta directiva y traduce la dirección de de

El dispositivo NetScreen solamente aplica NAT-dst si las zonas de origen y de destide destino, y el servicio especificados en la directiva coinciden con estos componenpuede crear otra directiva que permita el tráfico desde cualquier host en zoneA a cucolocarla después de la directiva 1 en la lista de directivas:

set policy id 1 from zoneA to zoneB any addr1-50 http na10.100.3.150 permit

set policy id 2 from zoneA to zoneB any any any permit


61

esde un host en zoneA a un

positivo NetScreen aplica la dirección de destino.

itivo NetScreen también aplica iones addr1-50, y entrega el

lquier tipo de tráfico a cualquier s:

ust a cualquier dirección en la

.1.0/24 a una dirección

segmento TCP

rá ethernet2 a DMZ y le ino original (1.2.1.0/24) a través to trust-vr.

1 – 10.2.1.12 – 10.2.1.23 – 10.2.1.33 – 10.2.1.2534 – 10.2.1.254

na DMZ

s Destinos traducidos10.2.1.0/24


Una vea configuradas estas dos directivas, los siguientes tipos de tráfico enviados dhost en zoneB evitan el mecanismo de NAT-dst:

• Un host de zoneA inicia tráfico no HTTP hacia 10.1.1.37 en la zona B. El disdirectiva 2 porque el servicio no es HTTP, y entrega el tráfico sin traducir la

• Un host de zoneA inicia tráfico HTTP hacia 10.1.1.51 en la zona B. El disposla directiva 2 porque la dirección de destino no pertenece al grupo de direcctráfico sin traducir la dirección de destino.

Ejemplo: Traducción de destinos “n:n”En este ejemplo configurará una directiva que aplique NAT-dst cuando se envíe cuahost en una subred, ordenando al dispositivo NetScreen realizar las siguientes tarea

• Permitir todos los tipos del tráfico desde cualquier dirección de la zona Untrzona DMZ

• Traducir la dirección de destino original denominada “oda6” de la subred 1.2correspondiente en la subred 10.2.1.0/24

• Dejar intacto el número de puerto de destino original en el encabezado del

• Reenviar el tráfico HTTP a la dirección traducida en la zona DMZ

Asociará ethernet3 a la zona Untrust y le asignará la dirección IP 1.1.1.1/24. Asociaasignará la dirección IP 10.2.1.1/24. También definirá una ruta a la dirección de destde ethernet2. Las zonas Untrust y DMZ se encuentran en el dominio de enrutamien

1.2.1.1.2.1.1.2.1.

1.2.1.251.2.1.25

Internet

Zona Untrust Zoethernet31.1.1.1/24


Destinos originale“oda6”

1.2.1.0/24


62


e)


e)

ga clic en OK :



WebUI


Zone Name: Untrust




Zone Name: DMZ




Address Name: oda6



Zone: DMZ







63

haga clic en OK :


ccione)

leccione), 10.2.1.0 – 10.2.1.254



Source Address:




Service: Any

Action: Permit


NAT:


Translate to IP Range: (se


64

2

0.2.1.1 10.2.1.254


CLI





4. Directivaset policy from untrust to dmz any oda6 any nat dst ip 1

permitsave

Capítulo 3 Traducción de direcciones de red de destino NAT-Dst con asignación de puertos

65

nes de red de destino habilitar la asignación de st. Por ejemplo, un host puede rvicio 1 de HTTP, el dispositivo ara el servicio 2 de HTTP, el

ción de puertos (puerto destino b por los dos diferentes

al tráfico Telnet procedente de tivas ordenarán al dispositivo

1.2.1.15 en la zona DMZ

10.2.1.15

ento TCP de 23 a 2200

:

MZ. También definirá una ruta t, Untrust y DMZ se encuentran

iento de direcciones. Consulte


NAT-DST CON ASIGNACIÓN DE PUERTOSCuando se configura el dispositivo NetScreen para realizar la traducción de direccio(NAT-dst), puede habilitar opcionalmente la asignación de puertos. Una razón para puertos es admitir múltiples procesos de servidor para un solo servicio en un solo hoejecutar dos servidores web, uno en el puerto 80 y otro en el puerto 8081. Para el seNetScreen realiza NAT-dst sin asignación de puertos (puerto de destino 80 -> 80). Pdispositivo NetScreen aplica NAT-dst a la misma dirección IP de destino con asigna80 -> 8081). El host puede distinguir el tráfico HTTP dirigido a ambos servidores wenúmeros de puerto de destino.

Ejemplo: NAT-dst con asignación de puertosEn este ejemplo creará dos directivas que apliquen NAT-dst y asignación de puertoslas zonas Trust y Untrust y dirigido a un servidor Telnet en la zona DMZ. Estas direcNetScreen realizar las siguientes tareas:

• Permitir Telnet desde cualquier dirección en las zonas Untrust y Trust hacia

• Traducir la dirección IP de destino original denominada “oda7” de 1.2.1.15 a

• Traducir el número de puerto de destino original en el encabezado del segm

• Reenviar el tráfico Telnet a la dirección traducida en la zona DMZ

Configurará los siguientes enlaces de interfaz a zona y asignaciones de direcciones

• ethernet1: Zona Trust, 10.1.1.1/24

• ethernet2: Zona DMZ, 10.2.1.1/24

• ethernet3: Zona Untrust, 1.1.1.1/24

Definirá una entrada de dirección “oda7” con la dirección IP 1.2.1.15/32 en la zona Da la dirección de destino original 1.2.1.15 a través de ethernet2. Las tres zonas Trusen el dominio de enrutamiento trust-vr.

Nota: NetScreen no admite la asignación de puertos para NAT-dst con desplazam“NAT-Dst: Asignación “n:n”” en la página 60.


66


e)

OK :


e)


e)

ga clic en OK :


WebUI


Zone Name: Trust




Interface Mode: NAT


Zone Name: DMZ




Zone Name: Untrust




Address Name: oda7



Zone: DMZ


67


ga clic en OK :


ccione)

e), 10.2.1.15

e), 2200







4. DirectivasPolicies > (From: Trust, To: DMZ) New: Introduzca los siguientes datos y ha

Source Address:




Service: Telnet

Action: Permit


NAT:



Map to Port: (seleccion


68

haga clic en OK :


ccione)

e), 10.2.1.15

e), 2200


Policies > (From: Untrust, To: DMZ) New: Introduzca los siguientes datos y

Source Address:




Service: Telnet

Action: Permit


NAT:



Map to Port: (seleccion


69

t2

10.2.1.15 port 2200

p 10.2.1.15 port 2200


CLI





3. Rutaset vrouter trust-vr route 1.2.1.15/32 interface etherne

4. Directivasset policy from trust to dmz any oda7 telnet nat dst ip

permitset policy from untrust to dmz any oda7 telnet nat dst i

permitsave

Capítulo 3 Traducción de direcciones de red de destino NAT-Src y NAT-Dst en la misma directiva

70

c y NAT-dst) en una misma de origen como la de destino

á entre los clientes y las granjas través de ethernet1, que tiene la a través de uno de dos túneles

el asociadas a estos túneles se inio de enrutamiento trust-vr.

os que desean conectarse, stino (NAT-src y NAT-dst). Para en que protegen las granjas de

rdena a los clientes y a los 10.173.10.7, 10.173.20.0/24, tilizan de la siguiente forma:

s:

ilitada:

iginales mediante

NAT-dst.

ación “n:n”” en la página 60.


NAT-SRC Y NAT-DST EN LA MISMA DIRECTIVAPuede combinar la traducción de direcciones de red de origen y de destino (NAT-srdirectiva. Esta combinación proporciona un medio para cambiar tanto la dirección IPen un único punto de la ruta de datos.

Ejemplo: NAT-Src y NAT-Dst combinadasEn este ejemplo configurará un dispositivo NetScreen (NetScreen-1) que se encontrarde servidores de un proveedor de servicios. Los clientes se conectan a NetScreen-1 a dirección IP 10.1.1.1/24 y está asociada a la zona Trust. NetScreen-1 reenvía su tráficoVPN basados en rutas para alcanzar los servidores de destino2. Las interfaces de túnencuentran en la zona Untrust. Las dos zonas Trust y Untrust se encuentran en el dom

Debido a que los clientes podrían tener las mismas direcciones que los servidores a lNetScreen-1 debe realizar la traducción de las direcciones tanto de origen como de demantener la independencia y flexibilidad de direccionamiento, los dispositivos NetScreservidores NetScreen-A y NetScreen-B realizan NAT-dst. El proveedor de servicios oadministradores de la granja de servidores que reserven las direcciones 10.173.10.1–10.173.30.0/24, 10.173.40.0/24 y 10.173.50.0/24 para este fin. Estas direcciones se u

• Las dos interfaces de túnel tienen las siguientes asignaciones de direccione– tunnel.1, 10.173.10.1/30– tunnel.2, 10.173.10.5/30

• Cada interfaz de túnel admite los siguientes conjuntos de DIP con PAT hab– tunnel.1, DIP ID 5: 10.173.10.2–10.173.10.2 – tunnel.2, DIP ID 6: 10.173.10.6–10.173.10.6

• Cuando NetScreen-1 realiza NAT-dst, traduce las direcciones de destino ordesplazamiento de direcciones como sigue3:

– 10.173.20.0/24 a 10.173.30.0/24– 10.173.40.0/24 a 10.173.50.0/24

2. Las VPNs basadas en directivas no admiten NAT-dst. Deberá utilizar una configuración de VPN basada en rutas con

3. Para obtener más información sobre el desplazamiento de direcciones al realizar NAT-dst, consulte “NAT-Dst: Asign


71

uientes: AutoKey IKE, clave o el nivel de seguridad

etalles sobre estas propuestas, para vpn1 como para vpn2 es

se incluyen las configuraciones

ona Untrust

creen-Bst 3.3.3.3/24, Trust 10.100.2.1/24l.1, 10.3.3.1/24dstestino original 10.173.50.0/24estino traducido 10.100.2.0/24

NetScreen-A

NetScreen-B10.100.1.0/24

10.100.2.0/24

creen-Ast 2.2.2.2/24, Trust 10.100.1.1/24l.1, 10.2.2.1/24dstestino original 10.173.30.0/24estino traducido 10.100.1.0/24


Las configuraciones para ambos túneles—vpn1 y vpn2—utilizan los parámetros sigpreviamente compartida (“netscreen1” para vpn1 y “netscreen2” para vpn2), así compredefinido como “Compatible” para propuestas de Fase 1 y Fase 2. (Para ver los dconsulte “Negociación de túnel” en la página 5 -11). La identificación del proxy tanto0.0.0.0/0 - 0.0.0.0/0 - any.

Nota: La configuración para NetScreen-1 se proporciona en primer lugar. Después de VPN para NetScreen-A y NetScreen-B.

Zona Trust Z


ethernet31.1.1.1/24

Direccionesde clientes

10.100.1.0/24

10.100.2.0/24

10.100.3.0/24

NetScreen-1tunnel.1, 10.173.10.1/30NAT-src

• Conjunto de DIP 10.173.10.2 – 10.173.10.2NAT-dst

• Destino original 10.173.20.0/24• Destino traducido 10.173.30.0/24

NetScreen-1tunnel.2, 10.173.10.5/30NAT-src

• Conjunto de DIP 10.173.10.6 – 10.173.10.6NAT-dst

• Destino original 10.173.40.0/24• Destino traducido 10.173.50.0/24

NetSUntrutunneNAT-

• D• D

vpn1

vpn2

NetSUntrutunneNAT-

• D• D

NetScreen-1

Enrutador

Los clientes con direcciones IP de origen diferentes se conectan a los servidores de un proveedor de servicios a través de túneles VPN.

El dispositivo NetScreen realiza NAT-src y NAT-dst porque usted, como administrador de NetScreen-1, no tiene ningún control sobre las direcciones de origen y de destino. Mientras haya un espacio de direcciones mutuamente neutral para traducir direcciones entrantes y salientes, NetScreen-1 podrá procesar las peticiones de servicio de los clientes.Los dos dispositivos NetScreen que protegen las granjas de servidores también realizan NAT-dst para conservar la independencia y flexibilidad de direccionamiento.


72


e)

OK :


e)

ga clic en OK :

ga clic en OK :


WebUI (NetScreen-1)1. Interfaces


Zone Name: Trust




Interface Mode: NAT


Zone Name: Untrust



Network > Interfaces > New Tunnel IF: Introduzca los siguientes datos y ha

Tunnel Interface Name: tunnel.1

Zone (VR): Untrust (trust-vr)

Fixed IP: (seleccione)

IP Address / Netmask: 10.173.10.1/30







73

ientes datos y haga clic en OK :

~ 10.173.10.2



~ 10.173.10.6


lic en OK :

lic en OK :


2. Conjuntos de DIPNetwork > Interfaces > Edit (para tunnel.1) > DIP > New: Introduzca los sigu

ID: 5

IP Address Range: (seleccione), 10.173.10.2



Network > Interfaces > Edit (para tunnel.2) > DIP > New: Introduzca los sigu

ID: 6

IP Address Range: (seleccione), 10.173.10.6



3. DireccionesObjects > Addresses > List > New: Introduzca los siguientes datos y haga c

Address Name: serverfarm-A



Zone: Untrust

Objects > Addresses > List > New: Introduzca los siguientes datos y haga c

Address Name: serverfarm-B



Zone: Untrust


74

OK :

(seleccione)

name: 2.2.2.2

avanzados y haga clic en uración básica de AutoKey IKE:

ione), tunnel.1

/0

aso se encuentran en la misma zona.


4. VPNsVPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn1

Security Level: Compatible

Remote Gateway: Create a Simple Gateway:

Gateway Name: gw-A

Type: Static IP: (seleccione), Address/Host

Preshared Key: netscreen1


Outgoing Interface: ethernet34

> Advanced: Introduzca los siguientes ajustes Return para regresar a la página de config

Bind to Tunnel Interface: (selecc

Proxy-ID: (seleccione)

Local IP / Netmask: 0.0.0.0/0

Remote IP / Netmask: 0.0.0.0

Service: ANY

4. La interfaz de salida no necesita estar en la misma zona a la que está asociada la interfaz del túnel, aunque en este c


75

OK :

(seleccione)

name: 3.3.3.3


ione), tunnel.2

/0



VPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn2



Gateway Name: gw-B










Service: ANY







76









Interface: tunnel.1





Interface: tunnel.1





Interface: tunnel.2





Interface: tunnel.2



77

haga clic en OK :

rm-A

avanzados y haga clic en uración básica de Policy:

)

73.10.2)/X-late

ione)

cione), 10.173.30.0 –


6. DirectivasPolicies > (From: Trust, To: Untrust) New: Introduzca los siguientes datos y

Source Address:



Address Book Entry: (seleccione), serverfa

Service: ANY

Action: Permit

Position at Top: (seleccione)


NAT:

Source Translation: (seleccione

(DIP on): 5 (10.173.10.2–10.1

Destination Translation: (selecc

Translate to IP Range: (selec10.173.30.255


78

haga clic en OK :

rm-B


)

73.10.6)/X-late

ione)

cione), 10.173.50.0 –



Source Address:




Service: ANY

Action: Permit



NAT:

Source Translation: (seleccione

(DIP on): 6 (10.173.10.6–10.1

Destination Translation: (selecc

Translate to IP Range: (selec10.173.50.255


79

ethernet3 preshare

.0/0 any


CLI (NetScreen-1)



set interface tunnel.1 zone untrustset interface tunnel.1 ip 10.173.10.1/30


2. Conjuntos de DIPset interface tunnel.1 dip-id 5 10.173.10.2 10.173.10.2set interface tunnel.2 dip-id 6 10.173.10.6 10.173.10.6

3. Direccionesset address untrust serverfarm-A 10.173.20.0/24set address untrust serverfarm-B 10.173.40.0/24

4. VPNsset ike gateway gw-A ip 2.2.2.2 main outgoing-interface

netscreen1 sec-level compatibleset vpn vpn1 gateway gw-A sec-level compatibleset vpn vpn1 bind interface tunnel.1set vpn vpn1 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0


80

ethernet3 preshare

.0/0 any

gateway 1.1.1.250el.1el.1el.2el.2

y nat src dip-id 5 dst

y nat src dip-id 6 dst


set ike gateway gw-B ip 3.3.3.3 main outgoing-interface netscreen2 sec-level compatible

set vpn vpn2 gateway gw-B sec-level compatibleset vpn vpn2 bind interface tunnel.2set vpn vpn2 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0

5. Rutasset vrouter trust-vr route 0.0.0.0/0 interface ethernet3set vrouter trust-vr route 10.173.20.0/24 interface tunnset vrouter trust-vr route 10.173.30.0/24 interface tunnset vrouter trust-vr route 10.173.40.0/24 interface tunnset vrouter trust-vr route 10.173.50.0/24 interface tunn

6. Directivasset policy top from trust to untrust any serverfarm-A an

ip 10.173.30.0 10.173.30.255 permitset policy top from trust to untrust any serverfarm-B an

ip 10.173.50.0 10.173.50.255 permitsave


81


e)

OK :


e)

ga clic en OK :

lic en OK :


WebUI (NetScreen-A)


Zone Name: Trust





Zone Name: Untrust









Address Name: serverfarm-A



Zone: Trust


82

lic en OK :

OK :

(seleccione)

name: 1.1.1.1


ione), tunnel.1

/0



Address Name: customer1



Zone: Untrust

3. VPNVPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn1



Gateway Name: gw-1










Service: ANY


83













Interface: tunnel.1








84

haga clic en OK :

r1

rm-A


ccione)

leccione), 10.100.1.0 –


5. DirectivaPolicies > (From: Untrust, To: Trust) New: Introduzca los siguientes datos y

Source Address:

Address Book Entry: (seleccione), custome



Service: ANY

Action: Permit



NAT:


Translate to IP Range: (se10.100.1.255


85

ethernet3 preshare

.0/0 any

gateway 2.2.2.250el.1rnet1

m-A any nat dst ip


CLI (NetScreen-A)




2. Direccionesset address trust serverfarm-A 10.173.30.0/24set address untrust customer1 10.173.10.2/32

3. VPNset ike gateway gw-1 ip 1.1.1.1 main outgoing-interface

netscreen1 sec-level compatibleset vpn vpn1 gateway gw-1 sec-level compatibleset vpn vpn1 bind interface tunnel.1set vpn vpn1 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0

4. Rutasset vrouter trust-vr route 0.0.0.0/0 interface ethernet3set vrouter trust-vr route 10.173.10.2/32 interface tunnset vrouter trust-vr route 10.173.30.0/24 interface ethe

5. Directivaset policy top from untrust to trust customer1 serverfar

10.100.1.0 10.100.1.255 permitsave


86


e)

OK :


e)

ga clic en OK :

lic en OK :


WebUI (NetScreen-B)


Zone Name: Trust





Zone Name: Untrust









Address Name: serverfarm-B



Zone: Trust


87

lic en OK :

OK :

(seleccione)

name: 1.1.1.1


ione), tunnel.1

/0



Address Name: customer1



Zone: Untrust

3. VPNVPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn1



Gateway Name: gw-1










Service: ANY


88













Interface: tunnel.1








89

haga clic en OK :

r1

rm-B


ccione)

leccione), 10.100.2.0 –



Source Address:

Address Book Entry: (seleccione), custome



Service: ANY

Action: Permit



NAT:


Translate to IP Range: (se10.100.2.255


90

ethernet3 preshare

.0/0 any

gateway 3.3.3.250el.1rnet1

m-B any nat dst ip


CLI (NetScreen-B)




2. Direccionesset address trust serverfarm-B 10.173.50.0/24set address untrust customer1 10.173.10.6/32

3. VPNset ike gateway gw-1 ip 1.1.1.1 main outgoing-interface

netscreen2 sec-level compatibleset vpn vpn2 gateway gw-1 sec-level compatibleset vpn vpn2 bind interface tunnel.1set vpn vpn2 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0

4. Rutasset vrouter trust-vr route 0.0.0.0/0 interface ethernet3set vrouter trust-vr route 10.173.10.6/32 interface tunnset vrouter trust-vr route 10.173.50.0/24 interface ethe

5. Directivaset policy top from untrust to trust customer1 serverfar

10.100.2.0 10.100.2.255 permitsave

4

91

Capítulo 4

IP de destino y de direcciones (MIP) y direcciones IP virtuales


Direcciones IP asignadas y virtuales

NetScreen proporciona muchos métodos para realizar la traducción de direcciones de puertos de destino. Este capítulo describe cómo utilizar direcciones IP asignadas(VIP) y está subdividido en las siguientes secciones:

• “Direcciones IP asignadas” en la página 92– “MIP y la zona Global” en la página 93– “MIP-Same-as-Untrust” en la página 103– “MIP y la interfaz de bucle invertido (loopback)” en la página 107

• “Direcciones IP virtuales” en la página 118– “VIP y la zona Global” en la página 121

Capítulo 4 Direcciones IP asignadas y virtuales Direcciones IP asignadas

92

IP a otra. El dispositivo punta la MIP. En esencia, una

a dirección IP de destino en un icia tráfico saliente, el a la dirección MIP. Esta

e direcciones de origen y de

ona cuya interfaz se encuentra a superposición de espacios de completa a este problema,

n IP o máscara de red, o bien una zona de seguridad de capa y a zonas de seguridad, las

cial o totalmente.

ferente de una dirección IP de interfaz de la zona Untrust para que el tráfico

MIP a la interfaz que la alberga.

MIP 1.1.1.5 -> 10.1.1.5

Zona Global

Nota: La MIP (1.1.1.5) se encuentra en la misma subred que la interfaz de la zona Untrust (1.1.1.1/24), pero está en otra zona.


DIRECCIONES IP ASIGNADASUna dirección IP asignada (MIP) es una asignación directa (“1:1”) de una dirección NetScreen reenvía el tráfico entrante destinado a una MIP al host a cuya dirección aMIP es la traducción de una dirección de destino estática, la correspondencia de unencabezado de paquete IP con otra dirección IP estática. Cuando un host de MIP indispositivo NetScreen traduce la dirección IP de origen del host a la correspondientesimetría de la traducción bidireccional difiere del comportamiento de la traducción ddestino (consulte “Naturaleza direccional de NAT-Src y NAT-Dst” en la página 13).Las MIPs permiten que el tráfico entrante alcance las direcciones privadas de una zen modo NAT. Las MIPs también proporcionan una solución parcial al problema de ldirecciones1 en dos sitios conectados mediante un túnel VPN. (Para ver la solución consulte “Sitios VPN con direcciones superpuestas” en la página 5 -203).Puede crear una MIP en la misma subred que una interfaz de túnel con una direccióen la misma subred que la dirección IP o máscara de red de una interfaz asociada a 3 (L3)2. Aunque las MIPs se configuran para interfaces asociadas a zonas de túnel MIPs definidas se almacenan en la zona Global.

1. Un espacio de direcciones superpuesto se produce cuando los rangos de direcciones IP de dos redes coinciden par

2. Una excepción es una MIP definida para una interfaz en la zona Untrust. Esa MIP puede encontrarse en una subred dide la zona Untrust. Sin embargo, en tal caso deberá agregar una ruta en el enrutador externo que apunte a una interfazentrante pueda alcanzar la MIP. Asimismo, deberá definir una ruta estática en el dispositivo NetScreen asociando la

Internet

Espacio de direcciones

privado

Espacio de direcciones

público Zona Untrust

Zona Trust

10.1.1.5

Interfaz de la zona Untrustethernet3, 1.1.1.1/24interfaz de la zona Trustethernet1, 10.1.1.1/24

modo NAT

Mapped IP: El tráfico entrante desde la zona Untrust se asigna de 210.1.1.5 a 10.1.1.5 en la zona Trust.


93

ara la MIP en la libreta de todas las MIPs, sin importar a ecciones de destino en directiva Global. (Para obtener ina 2 -312). Aunque el al o la zona que contiene la eferencia a una MIP.

n que una interfaz, pero una

do se define una configuración de direcciones IP asignadas


MIP y la zona GlobalAl establecer una MIP para una interfaz en cualquier zona se genera una entrada pdirecciones de la zona Global. La libreta de direcciones de la zona Global almacenaqué zona pertenezcan sus interfaces. Puede utilizar estas direcciones MIP como dirdirectivas entre dos zonas cualesquiera, y como direcciones de destino al definir unamás información sobre las directivas Global, consulte “Directivas globales” en la págdispositivo NetScreen almacena MIPs en la zona Global, puede utilizar la zona Globdirección a la que apunta la MIP, como zona de destino en una directiva que haga r

Nota: En algunos dispositivos NetScreen, una MIP puede utilizar la misma direcciódirección MIP no puede encontrarse en un conjunto de DIP.

Puede asignar una relación de “dirección a dirección” o de “subred a subred”. Cuande direcciones IP “subred a subred”, la máscara de red se aplica tanto a la subred como a la subred IP original.


94

.1.1/24. Asociará ethernet2 a la MIP para dirigir el tráfico HTTP 10.1.1.5 de la zona Trust. ión de la zona Untrust a la ona Trust. Todas las zonas de

inguna entrada en la libreta de

Zona Global

.1.5rnet2)

.1.1.5 llega a ethernet2.

n consulta la ruta de una MIP e 1.1.1.5 como 10.1.1.5.

n consulta la ruta de 10.1.1.5 ra de ethernet1.


Ejemplo: MIP en una interfaz de la zona UntrustEn este ejemplo asociará ethernet1 a la zona Trust y le asignará la dirección IP 10.1zona Untrust y le asignará la dirección IP 1.1.1.1/24. A continuación configurará unaentrante destinado a 1.1.1.5 en la zona Untrust a un servidor web en la dirección IPFinalmente, creará una directiva que permita el tráfico HTTP desde cualquier direccdirección MIP (y, por lo tanto, al host con la dirección a la que apunta la MIP) de la zseguridad se encuentran en el dominio de enrutamiento trust-vr.

Nota: Para una dirección IP asignada o para el host al que apunta no se requiere ndirecciones.

Zona Untrust

Zona Trust

Interfaz de la zona Untrustethernet2, 1.1.1.1/24

Interfaz de la zona Trustethernet1, 10.1.1.1/24

MIP 1.1.1.5 -> 10.1(configurada en ethe

Servidor web10.1.1.5

Internet

El tráfico destinado a 1

El dispositivo NetScreeen ethernet2 y resuelv

El dispositivo NetScreey reenvía el tráfico fue

1

2

3

1

2

3


95


e)

OK :


e)

guientes datos y haga clic en


WebUI


Zone Name: Trust




Interface Mode: NAT


Zone Name: Untrust



2. MIPNetwork > Interfaces > Edit (para ethernet2) > MIP > New: Introduzca los si OK :

Mapped IP: 1.1.1.5

Netmask: 255.255.255.255

Host IP Address: 10.1.1.5

Host Virtual Router Name: trust-vr


96

haga clic en OK:

1.5)

k 255.255.255.2553

ermit

un solo host. También puede definir 10.1.10.254 dentro de una subred de .1.5 host 10.1.10.128 netmask el enrutador.

la MIP tiene una máscara de red de



Source Address:



Address Book Entry: (seleccione), MIP(1.1.

Service: HTTP

Action: Permit

CLI



2. MIPset interface ethernet2 mip 1.1.1.5 host 10.1.1.5 netmas

vrouter trust-vr4

3. Directivaset policy from untrust to trust any mip(1.1.1.5) http psave

3. De forma predeterminada, la máscara de red de una MIP es de 32 bits (255.255.255.255), asignando la dirección a una MIP para un rango de direcciones. Por ejemplo, para definir 1.1.1.5 como MIP para las direcciones 10.1.10.129 aclase C mediante la interfaz de línea de comandos (CLI), utilice la sintaxis siguiente: set interface interface mip 1.1255.255.255.128 . Tenga cuidado de no utilizar un rango de direcciones que incluya las direcciones de la interfaz o d

4. El enrutador virtual predeterminado es trust-vr. No es necesario especificar que el enrutador virtual es trust-vr ni que32 bits. Estos argumentos se incluyen en este comando por coherencia con la configuración de WebUI.


97

a a través de otras interfaces a ruta en los enrutadores de

respectivas interfaces con el fin

rnet2, 1.1.1.1/24) para na Trust será ethernet1 con la

ará a la interfaz la dirección IP permitir tráfico HTTP desde rará una directiva para permitir seguridad se encuentran en el

ta al dispositivo NetScreen para que irección IP de su interfaz (lo cual sólo tamiento de NetScreen. Utilice el l enrutador virtual al que pertenece la

fico destinado a 1.1.1.5 (MIP) a


Ejemplo: Acceder a una MIP desde diferentes zonas

Aunque el tráfico proceda de zonas diferentes, puede alcanzar una MIP determinaddistintas de la utilizada para configurar esa MIP. Para lograrlo, debe establecerse uncada una de las otras zonas que dirija el tráfico entrante hacia la dirección IP de sus de alcanzar la MIP5.

En este ejemplo configurará una MIP (1.1.1.5) en la interfaz de la zona Untrust (etheasignarla a un servidor web de la zona Trust (10.1.1.5). La interfaz asociada a la zodirección IP 10.1.1.1/24.

Creará una zona de seguridad llamada “X-Net”, a la que asociará ethernet3, y asign1.3.3.1/24. Definirá una dirección para 1.1.1.5 que se utilizará en una directiva paracualquier dirección de la zona “X-Net” a la MIP en la zona Untrust. También configuque el tráfico HTTP pase desde la zona Untrust a la zona Trust. Todas las zonas dedominio de enrutamiento trust-vr.

5. Si la MIP se encuentra en la misma subred que la interfaz en la cual fue configurada, no es necesario agregar una ruel tráfico alcance la MIP a través de otra interfaz. Sin embargo, si la MIP se encuentra en una subred distinta que la des posible con una MIP en una interfaz de la zona Untrust), es necesario agregar una ruta estática a la tabla de enrucomando set vrouter name_str route ip_addr interface interface (o su equivalente en WebUI), donde name_str es einterfaz especificada, e interface es la interfaz en la que se configuró la MIP.

Nota: Deberá introducir una ruta en el enrutador de la zona “X-Net” que dirija el trá1.3.3.1 (dirección IP de ethernet3).


98


e)

OK :

Zona Global

MIP 1.1.1.5 -> 10.1.1.5configurada en ethernet2)

.1.5 llega a eth2 y eth3.

creen consulta la ruta de una MIP 5 como 10.1.1.5.s de una MIP en eth3 no en comprueba otras interfaces, h2 y reenvía el paquete a eth2, e como 10.1.1.5.

consulta la ruta de 10.1.1.5 y e eth1.

Deberá agregar una ruta a este dor que apunte a 1.3.3.1 para ar 1.1.1.5.


WebUI

1. Interfaces y zonasNetwork > Interfaces > Edit (para ethernet1): Introduzca los siguientes dato

Zone Name: Trust




Zona Untrust

Zona Trust

Interfaz de la zona Untrustethernet2, 1.1.1.1/24

Interfaz de la zona Trustethernet1, 10.1.1.1/24

(


Internet

El tráfico destinado a 1.1

eth2: El dispositivo NetSen eth2 y resuelve 1.1.1.eth3: La consulta de rutaencuentra nada. NetScreencuentra una MIP en etdonde la MIP se resuelv

El dispositivo NetScreenreenvía el tráfico fuera d

1

2

31

2

3

Zona X-Net

Interfaz de la zona X-Netethernet3, 1.3.3.1/24

Nota:enrutaalcanz


99


e)

:


lic en OK :




Zone Name: Untrust



Network > Zones > New: Introduzca los siguientes datos y haga clic en OK

Zone Name: X-Net

Virtual Router Name: untrust-vr

Zone Type: Layer 3


Zone Name: X-Net


2. DirecciónObjects > Addresses > List > New: Introduzca los siguientes datos y haga c

Address Name: 1.1.1.5



Zone: Untrust

3. MIPNetwork > Interfaces > Edit (para ethernet2) > MIP > New: Introduzca los sigu

Mapped IP: 1.1.1.5

Netmask: 255.255.255.255




100

haga clic en OK:

haga clic en OK:

1.5)


4. DirectivasPolicies > (From: X-Net, To: Untrust) New: Introduzca los siguientes datos y

Source Address:



Address Book Entry: (seleccione), 1.1.1.5

Service: HTTP

Action: Permit

Policies > (From: Untrust, To: Trust) New: Introduzca los siguientes datos y

Source Address:




Service: HTTP

Action: Permit


101

k 255.255.255.255

itermit

erminado es trust-vr. No es necesario ebUI.


CLI

1. Interfaces y zonasset interface ethernet1 zone trustset interface ethernet1 ip 10.1.1.1/24set interface ethernet1 nat


set zone name X-Netset interface ethernet3 zone X-Netset interface ethernet3 ip 1.3.3.1/24

2. Direcciónset address untrust “1.1.1.5” 1.1.1.5/32


vrouter trust-vr6

4. Directivasset policy from X-Net to untrust any “1.1.1.5” http permset policy from untrust to trust any mip(1.1.1.5) http psave

6. De forma predeterminada, la máscara de red de una MIP es de 32 bits (255.255.255.255) y el enrutador virtual predetespecificar estos datos en el comando. Estos argumentos se incluyen aquí por coherencia con la configuración de W


102

/24 y la dirección IP de la d de la zona Trust es 10.1.1.25. l VPN cuya red en la zona Trust d que la interfaz “tunnel.8”. La una interfaz de túnel, consulte


mask 255.255.255.255


de direcciones de la zona 0.1.1.25).

ndo DIP) en los paquetes eda agregar una dirección de la De lo contrario, la dirección de


Ejemplo: Agregar una MIP a una interfaz de túnel

En este ejemplo, el espacio de direcciones IP de la red en la zona Trust es 10.1.1.0interfaz de túnel “tunnel.8” es 10.20.3.1. La dirección IP física de un servidor en la rePara permitir que un sitio remoto pueda acceder al servidor local a través de un túneutiliza un espacio de direcciones solapado, deberá crear una MIP en la misma subredirección MIP es 10.20.3.25/32. (Para ver un ejemplo más completo de una MIP con“Sitios VPN con direcciones superpuestas” en la página 5 -203).

WebUI

Network > Interfaces > Edit (para tunnel.8) > MIP > New: Introduzca los sigu

Mapped IP: 10.20.3.25

Netmask: 255.255.255.255



CLI

set interface tunnel.8 mip 10.20.3.25 host 10.1.1.25 netvrouter trust-vr7

save


Nota: Cuando el administrador remoto agrega la dirección del servidor en su libretaUntrust, debe introducir la MIP (10.20.3.25), no la dirección IP física del servidor (1

El administrador remoto también debe aplicar NAT-src basada en directivas (utilizasalientes dirigidos al servidor a través de la VPN, para que el administrador local puzona Untrust que no esté en conflicto con las direcciones locales de la zona Trust. origen en la directiva de tráfico entrante parecería estar en la zona Trust.


103

Internet (ISPs) son cada vez one de una dirección IP para la en modo de traducción de trust como dirección IP n a un punto final del túnel VPN

; por lo tanto, al utilizar la igna a una dirección interna IP de la interfaz Untrust está ente los paquetes IKE o L2TP nfigurado en la interfaz de

ección IP de la interfaz de la ión web del dispositivo ido a esa dirección está vés de la interfaz de la zona b. Para cambiar el número de

5) en el campo “HTTP Port”.

ar el dispositivo, agregue el .


MIP-Same-as-UntrustDado que las direcciones IPv4 se están agotando, los proveedores de servicios de más reacios a dar más de una o dos direcciones IP a sus clientes. Si solamente dispinterfaz asociada a la zona Untrust (ya que la interfaz asociada a la zona Trust estádirecciones de red o NAT), puede utilizar la dirección IP de la interfaz de la zona Unasignada (MIP) para proporcionar acceso entrante a un servidor o host interno, o bieo L2TP.

Una MIP asigna el tráfico entrante a otra dirección el tráfico entrante a una direccióndirección IP de la interfaz de la zona Untrust como MIP, el dispositivo NetScreen asespecificada todo el tráfico entrante que utilice la interfaz de la zona Untrust. Si la Masignada a un punto final del túnel VPN o L2TP, el dispositivo reenvía automáticamentrantes al punto final del túnel, siempre que no haya ningún túnel VPN o L2TP coUntrust.

Si crea una directiva en la cual la dirección de destino sea una MIP que utilice la dirzona Untrust y especifica HTTP como servicio en la directiva, perderá la administracNetScreen a través de esa interfaz (debido a que todo el tráfico HTTP entrante dirigasignado a un servidor o host interno). Aún así podrá administrar el dispositivo a traUntrust mediante WebUI, cambiando el número de puerto para la administración wepuerto de administración web, haga lo siguiente:

1. Admin > Web: Introduzca un número de puerto registrado (de 1024 a 65.53Haga clic en Apply .

2. Cuando se conecte de nuevo a la interfaz de la zona Untrust para administrnúmero de puerto a la dirección IP; por ejemplo, http://209.157.66.170:5000


104

et3, 1.1.1.1/24) como MIP para onservar el acceso de administración a 8080. Luego edeterminado, el 80) desde la , en la zona Trust.


e)

OK:


e)

ort” y haga clic en Apply .

pción ya está habilitada para las


Ejemplo: MIP en la interfaz Untrust

En este ejemplo seleccionará la dirección IP de la interfaz de la zona Untrust (ethernun servidor web cuya dirección IP real sea 10.1.1.5 en la zona Trust. Como desea cadministración web a la interfaz ethernet3, deberá cambiar el número del puerto de creará una directiva que permita el servicio HTTP (en el número de puerto HTTP przona Untrust a la MIP y, por lo tanto, al host con la dirección a la que apunta la MIP

WebUI


Zone Name: Trust



Introduzca los siguientes datos y haga clic en

NAT:8 (seleccione)


Zone Name: Untrust



2. Puerto HTTPConfiguration > Admin > Management: Escriba 8080 en el campo “HTTP P

(La conexión HTTP se perderá).

8. De forma predeterminada, cualquier interfaz que se asocie a la zona Trust estará en modo NAT. Por lo tanto, esta ointerfaces asociadas a la zona Trust.


105

IP en el campo de la dirección a través de la interfaz Untrust,

entes datos y haga clic en OK :


haga clic en OK :

1.1)


3. ReconexiónVuelva a conectarse al dispositivo NetScreen, agregando 8080 a la direcciónURL de su explorador web. (Si actualmente está administrando el dispositivoescriba http://1.1.1.1:8080 ).

4. MIPNetwork > Interface > Edit (para ethernet3) > MIP > New: Introduzca los sigui

Mapped IP: 1.1.1.1

Netmask: 255.255.255.2559









Source Address:




Service: HTTP

Action: Permit

9. La máscara de red de una MIP que utilice una dirección IP de la interfaz de la zona Untrust debe ser de 32 bits.


106

k 255.255.255.255

gateway 1.1.1.250

ermit



CLI



2. Puerto HTTPset admin port 8080


vrouter trust-vr10

4. Rutaset vrouter trust-vr route 0.0.0.0/0 interface ethernet3

5. Directivaset policy from untrust to trust any mip(1.1.1.1) http psave



107

rupo de interfaces. La principal arios túneles VPN usando una través del túnel apropiado.

ontiene una dirección MIP. onde id_num corresponde al l dispositivo) y asignar una rmitir que otras interfaces o miembros del grupo de bucle

Dirección MIP (definida en la interfaz de bucle invertido pero almacenada en la zona Global)

ambas VPNs zar la dirección terfaz loopback.

cedente de la dirección avés de la interfaz de la l host MIP.

de VPN


MIP y la interfaz de bucle invertido (loopback)Definir una MIP en la interfaz loopback permite que esa MIP sea accesible desde un gaplicación de esta característica es permitir el acceso a un host a través de uno de vsola dirección MIP. El host de la MIP puede también iniciar tráfico a un sitio remoto a

Puede imaginar la interfaz de bucle invertido como un contenedor de recursos que cDeberá configurar una interfaz de bucle invertido con el nombre loopback.id_num (dnúmero de identificación que permite identificar de forma inequívoca la interfaz en edirección IP a la interfaz (consulte “Interfaces loopback” en la página 2 -76). Para pepuedan utilizar una MIP en la interfaz de bucle invertido, agregue las interfaces cominvertido.

Host MIP

Interfaces de túnel:Miembros del grupo

de la interfaz loopback

Zona Untrust

Zona Trust

Interfaz de bucle invertido

(en la zona Untrust)

Interfaz de la zona Trust

El tráfico depuede alcanMIP en la in

Interfaz de la zona Untrust

Túneles VPN

Interlocutor de VPN

El tráfico proMIP sale a trzona Trust a

Interlocutor


108

ferentes subredes IP de la ertido siempre que tenga una interfaces que la componen, la tido no puede formar parte de

oopback.3 contiene la dirección


La interfaz de bucle invertido y las interfaces quela forman deben encontrarse en dimisma zona. Cualquier tipo de interfaz puede ser miembro de un grupo de bucle invdirección IP. Si configura una MIP en una interfaz de bucle invertido y en una de lasconfiguración de la interfaz loopback tendrá preferencia. Una interfaz de bucle inverotro grupo de bucle invertido.

Ejemplo: MIP para dos interfaces de túnelEn este ejemplo configurará las interfaces siguientes:

• ethernet1, zona Trust, 10.1.1.1/24

• ethernet3, zona Untrust, 1.1.1.1/24

• tunnel.1, zona Untrust, 10.10.1.1/24, asociada a vpn1

• tunnel.2, zona Untrust, 10.20.1.1/24, asociada a vpn2

• loopback.3 , zona Untrust, 10.100.1.1/24

Las interfaces de túnel forman parte del grupo de interfaces loopback.3 . La interfaz lMIP 10.100.1.5, asignada a un host en la dirección 10.1.1.5 de la zona Trust.


109

.1, el dispositivo NetScreen entra una coincidencia en

la dirección IP del host o a 10.100.1.5 también puede en encuentra una coincidencia aquete al host MIP.

mpletar la configuración. Todas

t)

Dirección MIP:10.100.1.5 -> 10.1.1.5

ciones e gw2:


Cuando un paquete destinado a 10.100.1.5 llega a través de un túnel VPN a tunnelbusca la MIP en la interfaz de bucle invertido denominada loopback.3. Cuando enculoopback.3, el dispositivo NetScreen traduce la IP original de destino (10.100.1.5) a(10.1.1.5) y reenvía el paquete a través de ethernet1 al host MIP. El tráfico destinadllegar a través de un túnel VPN asociado a tunnel.2. De nuevo, el dispositivo NetScreen loopback.3 y traduce la IP de destino original 10.100.1.5 a 10.1.1.5 y reenvía el p

También definirá las direcciones, rutas, directivas y túneles VPN necesarios para colas zonas de seguridad se encuentran en el dominio de enrutamiento trust-vr.

Interfaces de túnel:Miembros del grupo

de la interfaz de bucle invertido

Zona Untrust

Zona Trust


ethernet31.1.1.1/24

vpn1

gw1

loopback.3 10.100.1.1/24

(en zona Untrus

Host MIP 10.1.1.5

tunnel.1, 10.10.1.1/24 tunnel.2, 10.20.1.1/24

vpn2

gw2

Espacio de direcciones privado detrás de gw1:

10.2.1.0/24

Espacio de direcprivado detrás d

10.3.1.0/24


110


e)

OK:


e)

haga clic en OK :

pción ya está habilitada para las


WebUI


Zone Name: Trust



Introduzca los siguientes datos y haga clic en

NAT:11 (seleccione)


Zone Name: Untrust



Network > Interfaces > New Loopback IF: Introduzca los siguientes datos y

Interface Name: loopback.3

Zone: Untrust (trust-vr)


11. De forma predeterminada, cualquier interfaz que se asocie a la zona Trust estará en modo NAT. Por lo tanto, esta ointerfaces asociadas a la zona Trust.


111

ga clic en Apply :

e “Member of Loopback Group”

ga clic en Apply :

e “Member of Loopback Group”

iguientes datos y haga clic en







Seleccione loopback.3 en la lista desplegably haga clic en OK .






Seleccione loopback.3 en la lista desplegably haga clic en OK .

2. MIPNetwork > Interfaces > Edit (para loopback.3) > MIP > New: Introduzca los s OK :

Mapped IP: 10.100.1.5

Netmask: 255.255.255.255




112

lic en OK :

lic en OK :

lic en OK :



Address Name: local_lan



Zone: Trust


Address Name: peer-1



Zone: Untrust


Address Name: peer-2



Zone: Untrust


113

OK :

(seleccione)

name: 2.2.2.2


ione), tunnel.1

/0

OK :

(seleccione)

name: 3.3.3.3


4. VPNsVPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn1



Gateway Name: gw1










Service: ANY

VPNs > AutoKey IKE > New: Introduzca los siguientes datos y haga clic en

VPN Name: vpn2



Gateway Name: gw2




114


ione), tunnel.2

/0








Bind to Tunnel Interface: (seleccProxy-ID: (seleccione)

Local IP / Netmask: 0.0.0.0/0Remote IP / Netmask: 0.0.0.0Service: ANY




Interface: tunnel.1





Interface: tunnel.2








115

haga clic en OK :

00.1.5)

haga clic en OK :

00.1.5)

haga clic en OK :


6. DirectivasPolicies > (From: Untrust, To: Trust) New: Introduzca los siguientes datos y

Source Address:

Address Book Entry: (seleccione), peer-1


Address Book Entry: (seleccione), MIP(10.1

Service: ANY

Action: Permit


Source Address:

Address Book Entry: (seleccione), peer-2


Address Book Entry: (seleccione), MIP(10.1

Service: ANY

Action: Permit


Source Address:

Address Book Entry: (seleccione), local_lan



Service: ANY

Action: Permit


116

tmask 255.255.255.255



CLI



set interface loopback.3 zone trustset interface loopback.3 ip 10.100.1.1/24

set interface tunnel.1 zone untrustset interface tunnel.1 ip 10.10.1.1/24set interface tunnel.1 loopback-group loopback.3

set interface tunnel.2 zone untrustset interface tunnel.2 ip 10.20.1.1/24set interface tunnel.2 loopback-group loopback.3

2. MIPset interface loopback.3 mip 10.100.1.5 host 10.1.1.5 ne

vrouter trust-vr12

3. Direccionesset address trust local_lan 10.1.1.0/24set address untrust peer-1 10.2.1.0/24set address untrust peer-2 10.3.1.0/24



117

thernet3 preshare

.0/0 any

thernet3 preshare

.0/0 any

12t3 gateway 1.1.1.250

.5) any permit

.5) any permitt


4. VPNsset ike gateway gw1 address 2.2.2.2 outgoing-interface e

netscreen1 sec-level compatibleset vpn vpn1 gateway gw1 sec-level compatibleset vpn vpn1 bind interface tunnel.1set vpn vpn1 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0

set ike gateway gw2 address 3.3.3.3 outgoing-interface enetscreen2 sec-level compatible

set vpn vpn2 gateway gw2 sec-level compatibleset vpn vpn2 bind interface tunnel.2set vpn vpn2 proxy-id local-ip 0.0.0.0/0 remote-ip 0.0.0

5. Rutasset vrouter trust-vr route 10.2.1.0/24 interface tunnel.set vrouter trust-vr route 10.3.1.0/24 interface tunnel.set vrouter untrust-vr route 0.0.0.0/0 interface etherne

6. Directivasset policy top from untrust to trust peer-1 mip(10.100.1set policy top from untrust to trust peer-2 mip(10.100.1set policy from trust to untrust local_lan any any permisave

Capítulo 4 Direcciones IP asignadas y virtuales Direcciones IP virtuales

118

dirección basándose en el P. Por ejemplo:

podría asignarse a un servidor

en 10.1.1.20.

correo en 10.1.1.30.

eterminan a qué host debe

IP de host en la zona Trust

10.1.1.10

10.1.1.20

10.1.1.30

FTP (21)

or web.1.10

or de reo.1.30

Servidor FTP10.1.1.20


DIRECCIONES IP VIRTUALES

Una dirección IP virtual IP (VIP) asigna el tráfico recibido en una dirección IP a otra número del puerto de destino que figura en el encabezado del segmento TCP o UD

• Un paquete HTTP destinado a 1.1.1.3:80 (dirección IP 1.1.1.3 y puerto 80) web en 10.1.1.10.

• Un paquete FTP destinado a 1.1.1.3:21 podría asignarse a un servidor FTP

• Un paquete SMTP destinado a 1.1.1.3:25 podría asignarse a un servidor de

Los direcciones IP de destino son iguales. Los números de los puertos de destino dreenviar el tráfico el dispositivo NetScreen.

Tabla de reenvíos de direcciones IP virtualesIP de interfaz en

zona UntrustVIP en la

zona GlobalPuerto Reenviar a

1.1.1.1/24 1.1.1.3 80 (HTTP)

1.1.1.1/24 1.1.1.3 21 (FTP)

1.1.1.1/24 1.1.1.3 25 (SMTP)

Internet

VIP1.1.1.3

Interfaz de la zona Untrusteth3, 1.1.1.1/24

HTTP (80)

SMTP (25)

Servid10.1

Servidcor

10.1

Zona Untrust Zona TrustZona Global

Interfaz de la zona Trusteth1, 1.2.2.1/24


119

ya dirección apunta la VIP. Sin solamente la dirección IP de ada o NAT-src en una directiva n no traduce la dirección IP de

az en la zona Untrust o, en esa interfaz13

la dirección IP del host

utilizar números de puerto ervidores FTP en el mismo 21. Sólo quienes conozcan de quete de la dirección IP podrán

efinidos y servicios definidos

eros de puerto de origen y de

destino o rango de números

vés de DHCP o PPPoE. Si desea > Edit (para una interfaz en la zona dispositivo NetScreen que admita crear una VIP mediante una interfaz

na VIP.


El dispositivo NetScreen reenvía el tráfico entrante destinado a una VIP al host a cuembargo, cuando un host VIP inicia tráfico saliente, el dispositivo NetScreen traduceorigen original a otra dirección si previamente se configuró NAT en la interfaz de entraplicable al tráfico originado en ese host. En caso contrario, el dispositivo NetScreeorigen en el tráfico procedente de un host VIP.

Para definir una IP virtual necesitará la información siguiente:

• La dirección IP de la VIP debe pertenecer a la misma subred que una interfalgunos dispositivos NetScreen, incluso puede tener la misma dirección que

• Las direcciones IP de los servidores que procesan las peticiones

• El tipo de servicio que el dispositivo NetScreen debe remitir desde la VIP a

Algunas notas sobre las VIPs de NetScreen:

• Si está ejecutando múltiples procesos de servidor en un solo equipo, puedevirtuales para los servicios conocidos. Por ejemplo, si está ejecutando dos sequipo, puede ejecutar uno de ellos en el puerto 21 y el otro en el puerto 21antemano el número de puerto virtual y lo incluyan en el encabezado de paobtener acceso al segundo servidor FTP.

• Se pueden establecer asignaciones (correspondencias) para servicios predpor el usuario.

• Una sola VIP puede distinguir servicios personalizados con los mismos númdestino pero diferentes medios de transporte.

• Los servicios personalizados pueden utilizar cualquier número de puerto deentre 1 y 65.535, no sólo entre 1024 y 65.535.

13. En algunos dispositivos NetScreen, una interfaz en la zona Untrust puede recibir su dirección IP dinámicamente a trautilizar una VIP de este modo, ejecute cualquiera de los siguientes procedimientos: En WebUI (Network > InterfacesUntrust) > VIP: Si configura una VIP para que utilice la misma dirección IP que una interfaz de la zona Untrust en unmúltiples VIPs, las otras VIPs “normales” dejarán de ser utilizables. Si hay configurada alguna VIP normal, no podráde la zona Untrust salvo que elimine primero la VIP normal.

Nota: En una interfaz de la zona Untrust solamente se puede establecer u


120

de puertos mediante la en el servicio). De forma ra poder utilizar servicios de multi -port , y enseguida

sonalizados y de múltiples

ble desde trust-vr. Si el host se na ruta para alcanzarlo.


• Una sola VIP puede admitir servicios personalizados con múltiples entradascreación de varias entradas de servicios bajo esa VIP (una por cada puertopredeterminada, en una VIP se pueden utilizar servicios de puerto único. Pamúltiples puertos en una VIP, primero debe ejecutar el comando CLI set vipreiniciar el dispositivo NetScreen. (Consulte “Ejemplo: VIP con servicios perpuertos” en la página 125).

• El host al que el dispositivo NetScreen asigne el tráfico VIP debe ser accesiencuentra en un dominio de enrutamiento distinto de trust-vr, debe definir u


121

n la libreta de direcciones de la as las VIPs de todas las cciones VIP como dirección de directivas Global.

ión IP 10.1.1.1/24. Asociará la

te a un servidor web en t alcanzar la VIP en la zona

t (1.1.1.0/24), no es necesario oco se requiere ninguna s las zonas de seguridad se

establecer una ruta para 1.1.1.10 en stá asociada a una zona definida por na vez que el enrutador envía tráfico

10 y lo envía a través de ethernet1 a a 97. También deberá establecer una


Zona Trust


VIP y la zona GlobalAl establecer una VIP para una interfaz en la zona Untrust se genera una entrada ezona Global. La libreta de direcciones de la zona Global mantiene un registro de todinterfaces, sin importar a qué zona pertenezca cada interfaz. Puede utilizar estas diredestino en directivas entre dos zonas cualesquiera, y como dirección de destino en

Ejemplo: Configurar servidores de IPs virtualesEn este ejemplo asociará la interfaz ethernet1 a la zona Trust y le asignará la direccinterfaz ethernet3 a la zona Untrust y le asignará la dirección IP 1.1.1.1/24.

Seguidamente configurará una VIP en 1.1.1.10 para reenviar el tráfico HTTP entran10.1.1.10 y creará una directiva que permita al tráfico procedente de la zona UntrusTrust (y, por lo tanto, al host con la dirección a la que apunta la VIP).

Dado que la VIP se encuentra en la misma subred que la interfaz de la zona Untrusdefinir una ruta para que el tráfico procedente de la zona Untrust la alcance14. Tampentrada en la libreta de direcciones para el host al que una VIP reenvía tráfico. Todaencuentran en el dominio de enrutamiento trust-vr.

14. Si desea que el tráfico HTTP procedente de una zona de seguridad distinta de la zona Untrust acceda a la VIP, debeel enrutador y en la otra zona que apunte a una interfaz asociada a esa zona. Por ejemplo, suponga que ethernet2 eel usuario y que ha configurado un enrutador en esa zona para que envíe a ethernet2 el tráfico destinado a 1.1.1.10. Ua ethernet2, el mecanismo de reenvío del dispositivo NetScreen localiza la VIP en ethernet3, que lo asigna a 10.1.1.la zona Trust. Este proceso es similar al descrito en “Ejemplo: Acceder a una MIP desde diferentes zonas” en la págindirectiva que permita el tráfico HTTP procedente de la zona de origen a la VIP en la zona Trust.

InternetVIP

1.1.1.10

Zona Untrust



Zona Global

HTTP (80)


122


e)

OK :


e)

irección y haga clic en Add :

duzca los siguientes datos y


WebUI


Zone Name: Trust




Interface Mode: NAT


Zone Name: Untrust



2. VIPNetwork > Interfaces > Edit (para ethernet3) > VIP: Introduzca la siguiente d

Virtual IP Address: 1.1.1.10

Network > Interfaces > Edit (para ethernet3) > VIP > New VIP Service: Introhaga clic en OK :

Virtual IP: 1.1.1.10

Virtual Port: 80

Map to Service: HTTP (80)

Map to IP: 10.1.1.10


123

haga clic en OK :

1.10)

permit



Source Address:

Address Book Entry: (seleccione), ANY


Address Book Entry: (seleccione), VIP(1.1.

Service: HTTP

Action: Permit

CLI



2. VIPset interface ethernet3 vip 1.1.1.10 80 http 10.1.1.10

3. Directivaset policy from untrust to trust any vip(1.1.1.10) http save


124

el ejemplo anterior. Para fico HTTP de 80 quienes sepan que deben

Services Configure” K :

ara poder eliminar una VIP, ntificación de la directiva .

ectiva con ID 5.

n la sección “VIP Configure”


Ejemplo: Editar una configuración de VIP

En este ejemplo modificará la configuración del servidor de IP virtuales que creó enrestringir el acceso al servidor web, cambiará el número de puerto virtual para el trá(predeterminado) a 2211. Desde ese momento, sólo podrán utilizar el servidor web utilizar el número de puerto 2211 para conectarse a él.

WebUINetwork > Interfaces > Edit (para ethernet3) > VIP > Edit (en la sección “VIPcorrespondiente a 1.1.1.10): Introduzca los siguientes datos y haga clic en O

Virtual Port: 2211

CLIunset interface ethernet3 vip 1.1.1.10 port 80set interface ethernet3 vip 1.1.1.10 2211 http 10.1.1.10save

Ejemplo: Eliminar una configuración VIPEn este ejemplo eliminará la configuración VIP que creó y modificó anteriormente. Pprimero debe eliminar cualquier directiva existente asociada a ella. El número de idecreada en el “Ejemplo: Configurar servidores de IPs virtuales” en la página 121 es 5

WebUIPolicies > (From: Untrust, To: Trust) > Go: Haga clic en Remove para la dir

Network > Interfaces > Edit (para ethernet3) > VIP: Haga clic en Remove ecorrespondiente a 1.1.1.10.

CLIunset policy id 5unset interface ethernet3 vip 1.1.1.10save


125

tos

ervicios hacia las direcciones

TP al servidor web en 10.1.1.4 1.1.5. Para HTTP, DNS y s de puerto reales. Para LDAP, ridad al tráfico de autenticación

Dirección IP del host

10.1.1.3

10.1.1.4

10.1.1.4

10.1.1.5

b: 10.1.1.3 -> 53

Servidor DNS: 10.1.1.4HTTP 80 -> 80PCAnywhere5631, 5632 ->

5631, 5632

r LDAP: .1.583 -> 389


Ejemplo: VIP con servicios personalizados y de múltiples puer

En el ejemplo siguiente configurará una VIP en 1.1.1.3 para enrutar los siguientes sinternas siguientes:

La VIP enruta (reenvía) las consultas DNS al servidor DNS en 10.1.1.3, el tráfico HTy las comprobaciones de autenticación a la base de datos del servidor LDAP en 10.PCAnywhere, los números de puerto virtuales siguen siendo iguales que los númerose utiliza un número de puerto virtual (5983) para agregar un nivel adicional de segude LDAP.

Servicio Transporte Número de puerto virtual Número de puerto real

DNS TCP, UDP 53 53

HTTP TCP 80 80

PCAnywhere TCP, UDP 5631, 5632 5631, 5632

LDAP TCP, UDP 5983 389

Administrador remoto3.3.3.3

Zona Global

Servidor weDNS 53



Servido10.1

LDAP 59

Zona Untrust Zona Trust

VIP1.1.1.3


126

y lo llamará PCAnywhere. el puerto TCP 5631 y

direcciones de la zona Untrust l tráfico que deba utilizar las rust-vr.


e)

OK :

s y haga clic en OK:

e)

lic en OK :


Para administrar remotamente el servidor HTTP, definirá un servicio personalizado PCAnywhere es un servicio de puertos múltiples que envía y recibe datos a través dcomprobaciones de estado a través del puerto UDP 5632.

También introducirá la dirección del administrador remoto de 3.3.3.3 en la libreta dey configurará directivas del tráfico desde la zona Untrust a la zona Trust para todo eVIPs. Todas las zonas de seguridad se encuentran en el dominio de enrutamiento t

WebUI


Zone Name: Trust




Interface Mode: NAT


Zone Name: Untrust



2. DirecciónObjects > Addresses > List > New: Introduzca los siguientes datos y haga c

Address Name: Remote Admin



Zone: Untrust


127

clic en OK :

igurar: Escriba 1.1.1.3 en el

datos y haga clic en OK :

I set vip multi-port , guardar la


3. Servicio personalizadoObject > Services > Custom > New: Introduzca los siguientes datos y haga

Service Name: PCAnywhere

No 1:

Transport Protocol: TCP

Source Port Low: 0

Source Port High: 65535

Destination Port Low: 5631

Destination Port High: 5631

No 2:

Transport Protocol: UDP

Source Port Low: 0

Source Port High: 65535

Destination Port Low: 5632

Destination Port High: 5632

4. Dirección y servicios VIP15

Network > Interfaces > Edit (para ethernet3) > VIP: haga clic aquí para confcampo “Virtual IP Address” y haga clic en Add .

> New VIP Service: Introduzca los siguientes

Virtual IP: 1.1.1.3

Virtual Port: 53

Map to Service: DNS

Map to IP: 10.1.1.3

15. Para habilitar la VIP de modo que pueda trabajar con servicios de múltiples puertos, deberá ejecutar el comando CLconfiguración y seguidamente reiniciar el dispositivo.


128




rtual.

que buscan servicios en los números



Virtual IP: 1.1.1.3

Virtual Port: 80

Map to Service: HTTP

Map to IP: 10.1.1.4


Virtual IP: 1.1.1.3

Virtual Port: 563116

Map to Service: PCAnywhere

Map to IP: 10.1.1.4


Virtual IP: 1.1.1.3

Virtual Port: 598317

Map to Service: LDAP

Map to IP: 10.1.1.5

16. Para servicios de múltiples puertos, introduzca el número de puerto más bajo del servicio como número de puerto vi

17. La utilización de números de puerto no estándar agrega otra capa de seguridad, desbaratando los ataques comunesde puerto estándar.


129

haga clic en OK :

1.3)

haga clic en OK :

1.3)

haga clic en OK :

1.3)


5. DirectivasPolicies > (From: Untrust, To: Trust) New: Introduzca los siguientes datos y

Source Address:




Service: DNS

Action: Permit


Source Address:




Service: HTTP

Action: Permit


Source Address:




Service: LDAP

Action: Permit


130

haga clic en OK :

Admin

1.3)

-port 5631-5631632-5632



Source Address:

Address Book Entry: (seleccione), Remote



Service: PCAnywhere

Action: Permit

CLI



2. Direcciónset address untrust “Remote Admin” 3.3.3.3/32

3. Servicio personalizadoset service pcanywhere protocol udp src-port 0-65535 dstset service pcanywhere + tcp src-port 0-65535 dst-port 5

4. Dirección y servicios VIPset vip multi -portsaveresetSystem reset, are you sure? y/[n] y


131

.1.1.418

rmitermitermit3) pcanywhere permit

rtual.


set interface ethernet3 vip 1.1.1.3 53 dns 10.1.1.3set interface ethernet3 vip 1.1.1.3 + 80 http 10.1.1.4set interface ethernet3 vip 1.1.1.3 + 5631 pcanywhere 10set interface ethernet3 vip 1.1.1.3 + 5983 ldap 10.1.1.5

5. Directivasset policy from untrust to trust any vip(1.1.1.3) dns peset policy from untrust to trust any vip(1.1.1.3) http pset policy from untrust to trust any vip(1.1.1.3) ldap pset policy from untrust to trust “Remote Admin” vip(1.1.1.save

18. Para servicios de múltiples puertos, introduzca el número de puerto más bajo del servicio como número de puerto vi


132

Índice

IX-I

lazamiento de direcciones 25–30lazamiento de direcciones, consideraciones sobre el rango 25faz de salida 10, 31–33to fijo 17, 22–24cción de direcciones de puertos 3cción unidireccional 8, 13

enciones viii

eros de puerto 128

n de direccionese NAT, NAT-dst, y NAT-src

nzable desde otras zonas 121iguración 121ición 8r 124

inar 124mación necesaria 119icios personalizados y multipuerto 125–131icios personalizados, números de puerto bajos 119 global 121

enciones v

al 121

al 121


ÍndiceAasignación de puertos 5, 36

CCLI

convenciones ivset vip multi -port 120

conjuntos de caracteres compatibles con ScreenOS viii

conjuntos de DIPconsideraciones sobre direcciones 16NAT-src 2tamaño 16

convencionesCLI ivilustración viinombres viiiWebUI v

creardirecciones MIP 94

Ddirección IP asignada

véase MIPdirecciones IP

virtuales 118

Fflujo de paquetes

NAT-dst 38–41

Iilustración

convenciones viiinterfaces

MIP 92VIP 118

IP virtualvéase VIP

MMIP 92

alcanzable desde otras zonas 97crear direcciones 94crear en interfaz de zona 94crear en una interfaz de túnel 102definición 8enrutador virtual predeterminado 96máscara de red predeterminada 96rango de direcciones 96same-as-untrust, interfaz 103–106traducción bidireccional 8zona global 93

NNAT

definición 2NAT-src con NAT-dst 70–90

NAT basada en directivasvéase NAT-dst y NAT-src

NAT-dst 36–90asignación de puertos 5, 36, 65con MIPs o VIPs 4consideraciones sobre las rutas 37, 42–45desplazamiento de direcciones 7, 37, 60flujo de paquetes 38–41IP única con asignación de puerto 11IP única, sin asignación de puertos 11rango de direcciones 6rango de direcciones a IP única 12, 55rango de direcciones a rango de

direcciones 12, 60traducción “1:1” 46traducción “1:n” 51traducción unidireccional 8, 13

NAT-src 2, 16–33basada en interfaces 3conjunto de DIP con desplazamiento de

direcciones 10conjunto de DIP con PAT 9, 18–21conjunto de DIP, puerto fijo 9conjuntos de DIP 2

despdesp

interpuertradutradu

nombresconv

PPAT 16puertos

núm

Ttraducció

véas

VVIP

alcaconfdefineditaeliminforserv

serv

zona

WWebUI

conv

Zzona globzonas

glob

Índice

IX-II

Documents

CE_v7_SP