配置站点级NAT策略

本文讨论如何使用NAT页面来管理和优先化您账户内的流量。

概述

希望翻译其网络流量并仍能访问所有相关资源的组织面临着许多挑战。特别是在需要在可能使用相同私有IP范围的私有网络之间通信时。此外，您可能有不想暴露其结构或拓扑的资源，在这种情况下，您可以使用NAT使流量看起来来自某个特定的IP地址。

或者，您可能需要提供对内部服务（如Web或文件服务器）的远程访问。您可以提供一个公共IP地址，然后将其转换为不同的内部IP地址或多个地址。

Cato允许您创建特定站点的NAT策略，匹配特定来源和目标IP，并为传出流量（从Cato云到站点）应用源NAT和目标NAT（分别为SNAT和DNAT）。

NAT策略应用于配置策略的站点的入站流量。

以下部分展示了SNAT和DNAT的两个示例用例。下面的示例显示了这些用例的规则库。

在此场景中，您有一组通过SDP客户端连接的IT管理员。他们需要访问属于第三方的资源，例如位于公司其他地方的IPsec站点后面的票务系统。

第三方要求您使用特定IP地址进行通信，例如192.151.100.10。原始源IP（属于IT管理员组）将被阻止进行通信。

要解决此问题，您可以为连接创建一个NAT政策规则，其原始源IP是特定组的管理员。在尝试访问票务系统时，您在管理员IP地址上应用源NAT，转换为192.151.100.10，这确保IT管理员可以与第三方服务器通信。

在此场景中，来自不同组的多个主机将流量发送到一个IP地址。这些机器都将数据包发送到单一网络地址，例如203.0.113.96。

为了确保您在整个网络中保持最佳性能，您可以创建多个DNAT规则，根据源IP地址和流量类型将流量引导到不同的服务器：

这使您可以向相应的组中添加更多机器而无需更改配置，同时还可以有效地管理到单一IP地址的流量。

NAT策略使用有序规则。数据包到达并根据规则进行检查。一旦规则匹配，操作将被应用，不再处理其他规则。

例如，如果一个连接匹配规则#3，操作将应用于该连接，所有后续规则将被忽略。如果一个连接不匹配任何规则，则使用原始数据进行处理。

本节解释了如何定义用于NAT的规则以及您可以配置的对象、端口和服务。

创建NAT规则并配置规则的设置以管理LAN流量的路由。

NAT策略规则在大约一分钟内应用于一个站点。

定义NAT规则：

从导航菜单中，点击网络 > 站点并选择站点。

注意

注意： 如果您在菜单中看不到NAT策略并希望启用它，请联系您的账户代表或客户支持。
从导航菜单中，点击站点配置 > NAT。
点击新建。 添加NAT规则面板打开。
在常规部分，为规则配置以下设置：
- 输入规则的名称。
- 使用滑块启用或禁用规则（绿色为启用，灰色为禁用）。
- 配置规则顺序。为更具体的规则定义较高的数字，为不太具体的规则定义较低的数字。
配置原始源IP设置。
- 选择IP范围或任何。
  
  IP范围可以是单个IP地址或一系列地址。您可以创建多个条目。
配置原始目的IP和端口/协议设置：
- 在目的IP下，选择IP范围或任何。
  
  IP范围可以是单个IP地址或一系列地址。您可以创建多个条目。
- 在目的端口/协议下，使用协议/端口格式定义协议和端口：
  
  例如，TCP/80，UDP/53，TCP/443
在NAT操作下，确认是否更改源或目的NAT。您可以更改源和目的地，但不能保留两个原始地址。
点击应用，然后点击保存。

规则已添加到表格中。