¿Qué es SNAT?

El NAT de origen (SNAT) reescribe la dirección IP de origen de una sesión saliente por una dirección extraída de un grupo configurado o de una interfaz. En los dispositivos con el sistema operativ Versa (VOS), el SNAT agrupa el proxy DNS, el proxy HTTP/HTTPS, el filtrado de URL y la búsqueda de URL en la nube, y garantiza que el tráfico de retorno se redirija a través del mismo dispositivo.

Puntos clave

• SNAT reescribe la dirección IP de origen de una sesión por una dirección de un conjunto configurado.
• Los grupos VOS SNAT utilizan direcciones IPv4 estáticas, rangos o redes de salida.
• La búsqueda de URL en la nube, el proxy DNS y el filtrado de URL dependen de los grupos SNAT.
• NAPT-44 asigna dinámicamente numerosas sesiones a través de una dirección de grupo compartida.
• SNAT mantiene el tráfico de retorno simétrico en implementaciones de alta disponibilidad (HA) y de pasarelas en la nube.

En esta página: Por qué es importante · Cómo funciona · Tipos · SNAT y Versa · Preguntas frecuentes

¿Por qué es importante el SNAT?

Las direcciones reales de los dispositivos situados detrás de un NAT rara vez son accesibles desde el exterior, y a menudo los administradores no desean que lo sean. El SNAT resuelve este problema reescribiendo la dirección de origen al salir, de modo que muchos hosts internos pueden compartir un pequeño conjunto de direcciones enrutables, controladas por políticas, a la hora de conectarse a Internet o a un servicio en la nube.

El SNAT también es importante para la simetría del enrutamiento. Cuando un dispositivo envía una solicitud saliente —una consulta DNS, una solicitud web a través de un proxy, una comprobación de reputación en la nube—, la respuesta debe volver por la misma ruta y el mismo dispositivo. Al reescribir la dirección de origen con una que pertenezca a ese dispositivo, se garantiza que el tráfico de retorno se enrute correctamente en lugar de perderse, lo cual es fundamental en diseños de WAN redundantes y de alta disponibilidad.

¿Qué es SNAT?

El SNAT funciona sustituyendo el campo de la dirección IP de origen en la cabecera de un paquete por una dirección diferente antes de que el paquete salga del dispositivo, y revirtiendo dicha sustitución en el tráfico de retorno que coincida. En los dispositivos VOS, la dirección de sustitución procede de un grupo SNAT —un objeto con nombre, vinculado a una instancia de enrutamiento, que proporciona direcciones IPv4 estáticas, un rango de direcciones IPv4 o una red de salida—, pero nunca una combinación de estos.

Los servicios que necesitan generar su propio tráfico hacen referencia a un grupo SNAT en lugar de seleccionar ellos mismos una dirección. La búsqueda de URL en la nube, por ejemplo, dirige su perfil en la nube a un grupo SNAT, de modo que las solicitudes de búsqueda incluyan una dirección de origen conocida, enrutable y coherente con la política, en lugar de una dirección interna.

Tipos de SNAT

VOS admite varios comportamientos distintos de SNAT. El SNAT estático, uno a uno, asigna una dirección interna a una dirección externa, conservando una identidad fija para un host. El SNAT dinámico, basado en un grupo de direcciones —configurado como NAPT-44 en una regla CGNAT—, traduce muchas sesiones simultáneas a través de un grupo de direcciones compartido, reescribiendo además el puerto de origen, de modo que un grupo pequeño puede dar servicio a un gran número de hosts internos.

Un tercer caso, el «Twice NAT», combina el NAT de origen y el de destino en una sola regla: el tráfico entrante dirigido a una aplicación alojada en un servidor público ve cómo se reescribe su destino a la dirección real de la aplicación, mientras que, al mismo tiempo, su origen se reescribe a la dirección de la propia interfaz del dispositivo, de modo que el tráfico de respuesta sigue enrutándose de vuelta a través del dispositivo de origen. VOS configura esto como «Twice-Dynamic-NAT-44».

SNAT y Versa

En los dispositivos VOS, los grupos SNAT se configuran en Director, en la sección «Objetos y conectores», y se utilizan siempre que el tráfico saliente requiera una dirección de origen controlada: proxy DNS, proxy HTTP/HTTPS, filtrado de URL, filtrado de archivos y búsqueda de URL en la nube. El campo «Source NAT Pool» (Grupo SNAT de origen) de un perfil en la nube apunta al grupo SNAT que proporciona direcciones para las búsquedas en Versa URM y, en el caso de implementaciones de WAN redundantes, la configuración de los grupos SNAT junto con los ajustes de CGNAT y del reenviador DNS garantiza que las solicitudes se enruten correctamente independientemente del enlace que esté activo.

El SNAT también es fundamental para la simetría del tráfico en los diseños de alta disponibilidad en la nube. En las implementaciones de VOS situadas detrás de un AWS Gateway Load Balancer, una política CGNAT realiza un NAT de origen del tráfico hacia la dirección de la interfaz LAN de VOS, de modo que el tráfico de retorno siempre se redirige a través de la instancia de VOS que gestionó el flujo de ida; de lo contrario, el equilibrador de carga no podría gestionar flujos asimétricos.

Preguntas frecuentes

¿Cuál es la diferencia entre SNAT y DNAT?

El SNAT reescribe la dirección de origen de un paquete, normalmente en el tráfico saliente, para que las respuestas se redirijan correctamente. El DNAT reescribe la dirección de destino, normalmente para redirigir el tráfico entrante a un servidor interno. El «NAT doble» aplica ambas funciones en una sola regla, sobre todo en el caso de aplicaciones alojadas en servidores públicos.

¿Qué es un grupo SNAT?

Un grupo SNAT es un objeto de configuración de VOS, vinculado a una instancia de enrutamiento, que proporciona las direcciones que utiliza SNAT al reescribir las direcciones IP de origen. Contiene direcciones IPv4 estáticas, un rango de direcciones IPv4 o una red de salida; nunca una combinación de direcciones y redes de salida.

¿Por qué es necesario el SNAT para la búsqueda de URL en la nube?

La búsqueda de URL en la nube envía solicitudes de reputación desde el dispositivo VOS a un servidor en la nube. Sin un grupo SNAT configurado, el dispositivo no dispone de una dirección de origen controlada y enrutable que pueda utilizar para esas solicitudes, y los contadores de resolución de problemas, como «sslcld-snat-resolved-cnt», existen precisamente para detectar una configuración incorrecta del grupo SNAT.

¿Qué es el NAPT-44?

NAPT-44 es un modo dinámico de NAT que traduce conjuntamente las direcciones IPv4 de origen y los números de puerto, lo que permite que numerosas sesiones internas compartan un pequeño conjunto de direcciones externas. Es el modo de NAT que utilizan las reglas CGNAT para el NAT de origen «muchos a uno» basado en conjuntos, y la opción habitual para los conjuntos SNAT que dan servicio al tráfico de búsqueda en la nube y de acceso directo a Internet.

¿Puede un grupo SNAT utilizar tanto direcciones estáticas como una red de salida?

No. Un grupo SNAT de VOS configura o bien direcciones IPv4 individuales (estáticas o un rango) o bien una red de salida, pero nunca ambas cosas para el mismo grupo. Los administradores eligen un método de direccionamiento por grupo en función de la implementación, ya que la ventana «Añadir grupo SNAT» de Director no permite combinar ambos.

Más información sobre SNAT

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SNAT, te conviene echar un vistazo a lo siguiente.