Was ist SNAT?

Source NAT (SNAT) schreibt die Quell-IP-Adresse einer ausgehenden Sitzung in eine Adresse um, die aus einem konfigurierten Pool oder einer Schnittstelle stammt. Auf Geräten mit dem Betriebssystem „ Versa “ (VOS) bündelt SNAT DNS-Proxy, HTTP/HTTPS-Proxy, URL-Filterung und Cloud-URL-Abfrage und sorgt dafür, dass der Rückverkehr über dasselbe Gerät zurückgeleitet wird.

Die wichtigsten Erkenntnisse

• SNAT schreibt die Quell-IP-Adresse einer Sitzung in eine Adresse aus einem konfigurierten Pool um.
• VOS-SNAT-Pools verwenden statische IPv4-Adressen, Adressbereiche oder Ausgangsnetzwerke.
• Die Cloud-URL-Abfrage, der DNS-Proxy und die URL-Filterung basieren alle auf SNAT-Pools.
• NAPT-44 ordnet viele Sitzungen dynamisch einer gemeinsamen Pooladresse zu.
• SNAT sorgt in HA- und Cloud-Gateway-Bereitstellungen für symmetrischen Rückverkehr.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SNAT & Versa · Häufig gestellte Fragen

Warum ist SNAT wichtig?

Geräte hinter einer NAT-Grenze sind von außen selten über ihre tatsächlichen Adressen erreichbar, und Administratoren möchten dies oft auch gar nicht. SNAT löst dieses Problem, indem es die Quelladresse beim Ausgang umschreibt, sodass sich viele interne Hosts eine kleine Menge routbarer, durch Richtlinien gesteuerter Adressen teilen können, wenn sie auf das Internet oder einen Cloud-Dienst zugreifen.

SNAT spielt auch für die Routingsymmetrie eine Rolle. Wenn ein Gerät eine ausgehende Anfrage sendet – eine DNS-Abfrage, eine über einen Proxy geleitete Webanfrage, eine Cloud-Reputationsprüfung –, muss die Antwort über denselben Pfad und dasselbe Gerät zurückgesendet werden. Durch das Umschreiben der Quelladresse auf eine Adresse, die diesem Gerät gehört, wird sichergestellt, dass der Rückverkehr korrekt weitergeleitet wird und nicht verloren geht, was in redundanten WAN- und Hochverfügbarkeitskonzepten von entscheidender Bedeutung ist.

Was ist SNAT?

Bei SNAT wird das Feld für die Quell-IP-Adresse im Header eines Pakets durch eine andere Adresse ersetzt, bevor das Paket das Gerät verlässt, und diese Ersetzung wird bei übereinstimmendem Rückverkehr wieder rückgängig gemacht. Auf VOS-Geräten stammt die Ersatzadresse aus einem SNAT-Pool – einem benannten Objekt, das an eine Routing-Instanz gebunden ist und entweder statische IPv4-Adressen, einen IPv4-Adressbereich oder ein Ausgangsnetzwerk bereitstellt – niemals eine Mischung daraus.

Dienste, die ihren eigenen Datenverkehr initiieren müssen, verweisen auf einen SNAT-Pool, anstatt selbst eine Adresse auszuwählen. Bei der Cloud-URL-Abfrage beispielsweise wird das Cloud-Profil auf einen SNAT-Pool verweist, sodass Abfrageanfragen eine bekannte, routbare und richtlinienkonforme Quelladresse anstelle einer internen Adresse enthalten.

Arten von SNAT

VOS unterstützt verschiedene SNAT-Verhaltensweisen. Statisches, eins-zu-eins-SNAT ordnet eine interne Adresse einer externen Adresse zu und bewahrt dabei eine feste Identität für einen Host. Dynamisches, poolbasiertes SNAT – in einer CGNAT-Regel als NAPT-44 konfiguriert – übersetzt viele gleichzeitige Sitzungen über eine gemeinsam genutzte Pooladresse, wobei auch der Quellport umgeschrieben wird, sodass ein kleiner Pool eine große Anzahl interner Hosts bedienen kann.

Ein dritter Fall, „Twice NAT“, kombiniert Quell- und Ziel-NAT in einer Regel: Bei eingehendem Datenverkehr zu einer öffentlich gehosteten Anwendung wird das Ziel auf die tatsächliche Adresse der Anwendung umgeschrieben, während die Quelle gleichzeitig auf die Adresse der eigenen Schnittstelle des Geräts umgeschrieben wird, sodass der Antwortdatenverkehr weiterhin über das Ursprungsgerät zurückgeleitet wird. VOS konfiguriert dies als „Twice-Dynamic-NAT-44“.

SNAT & Versa

Auf VOS-Geräten werden SNAT-Pools in Director unter „Objekte & Konnektoren“ konfiguriert und überall dort referenziert, wo ausgehender Datenverkehr eine kontrollierte Quelladresse benötigt: DNS-Proxy, HTTP/HTTPS-Proxy, URL-Filterung, Dateifilterung und Cloud-URL-Lookup. Das Feld „Source NAT Pool“ eines Cloud-Profils verweist auf den SNAT-Pool, der Adressen für Abfragen bei Versa URM bereitstellt. Bei redundanten WAN-Bereitstellungen sorgt die Konfiguration von SNAT-Pools in Verbindung mit CGNAT- und DNS-Forwarder-Einstellungen dafür, dass Anfragen unabhängig davon, welche Verbindung aktiv ist, korrekt weitergeleitet werden.

SNAT spielt auch eine zentrale Rolle für die Symmetrie des Datenverkehrs in Cloud-Hochverfügbarkeitskonzepten. Bei VOS-Bereitstellungen hinter einem AWS Gateway Load Balancer leitet eine CGNAT-Richtlinie den Datenverkehr per Source-NAT an die LAN-Schnittstellenadresse des VOS weiter, sodass der Rückverkehr stets über die VOS-Instanz zurückgeleitet wird, die den Vorwärtsfluss bearbeitet hat – andernfalls kann der Load Balancer asymmetrische Flüsse nicht verarbeiten.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SNAT und DNAT?

SNAT ändert die Quelladresse eines Pakets, in der Regel bei ausgehendem Datenverkehr, damit Antworten korrekt zurückgeleitet werden. DNAT ändert die Zieladresse, in der Regel, um eingehenden Datenverkehr an einen internen Server umzuleiten. „Twice NAT“ wendet beide Verfahren in einer einzigen Regel an, meist bei öffentlich gehosteten Anwendungen.

Was ist ein SNAT-Pool?

Ein SNAT-Pool ist ein VOS-Konfigurationsobjekt, das an eine Routing-Instanz gebunden ist und die Adressen bereitstellt, die SNAT beim Umschreiben von Quell-IP-Adressen verwendet. Er enthält entweder statische IPv4-Adressen, einen IPv4-Adressbereich oder ein Ausgangsnetzwerk – niemals eine Mischung aus Adressen und Ausgangsnetzwerken.

Warum ist für die Cloud-URL-Abfrage SNAT erforderlich?

Bei der Cloud-URL-Abfrage werden Reputationsanfragen vom VOS-Gerät an einen Cloud-Server gesendet. Ohne einen konfigurierten SNAT-Pool verfügt das Gerät über keine kontrollierte, routbare Quelladresse, die für diese Anfragen verwendet werden kann, und Fehlerbehebungszähler wie „sslcld-snat-resolved-cnt“ dienen speziell dazu, Fehlkonfigurationen des SNAT-Pools zu erkennen.

Was ist NAPT-44?

NAPT-44 ist ein dynamischer NAT-Modus, der IPv4-Quelladressen und Portnummern gemeinsam übersetzt, sodass sich viele interne Sitzungen einen kleinen Pool externer Adressen teilen können. Es handelt sich um den NAT-Modus, den CGNAT-Regeln für poolbasiertes Many-to-One-Quell-NAT verwenden, und um die typische Wahl für SNAT-Pools, die Cloud-Lookup- und direkten Internetzugangsverkehr bedienen.

Kann ein SNAT-Pool sowohl statische Adressen als auch ein Ausgangsnetzwerk verwenden?

Nein. Ein VOS-SNAT-Pool konfiguriert entweder einzelne IPv4-Adressen (statisch oder als Bereich) oder ein Ausgangsnetzwerk, jedoch niemals beides für denselben Pool. Administratoren wählen je nach Einsatzszenario eine Adressierungsmethode pro Pool aus, da das Fenster „Add SNAT Pool“ in Director die Kombination beider Methoden nicht unterstützt.

Mehr zu SNAT

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SNAT informieren, sollten Sie sich als Nächstes diese Artikel ansehen.