Qu'est-ce que le SNAT ?

Le NAT source (SNAT) remplace l'adresse IP source d'une session sortante par une adresse issue d'un pool ou d'une interface configurés. Sur les périphériques équipés du système d'exploiti Versa (VOS), le SNAT regroupe les fonctions de proxy DNS, de proxy HTTP/HTTPS, de filtrage d'URL et de recherche d'URL dans le cloud, et assure que le trafic de retour soit acheminé via le même périphérique.

Points clés à retenir

• Le SNAT remplace l'adresse IP source d'une session par une adresse issue d'un pool configuré.
• Les pools VOS SNAT utilisent des adresses IPv4 statiques, des plages d'adresses ou des réseaux de sortie.
• La recherche d'URL dans le cloud, le proxy DNS et le filtrage d'URL reposent tous sur des pools SNAT.
• NAPT-44 effectue une mise en correspondance dynamique de nombreuses sessions via une adresse de pool partagée.
• Le SNAT garantit la symétrie du trafic de retour dans les déploiements haute disponibilité (HA) et de passerelles cloud.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · SNAT et Versa · FAQ

Pourquoi le SNAT est-il important ?

Les appareils situés derrière une frontière NAT sont rarement accessibles depuis l'extérieur via leur adresse réelle, et les administrateurs préfèrent souvent qu'il en soit ainsi. Le SNAT résout ce problème en réécrivant l'adresse source lors de la sortie du réseau, ce qui permet à de nombreux hôtes internes de partager un petit ensemble d'adresses routables, gérées par des règles, lorsqu'ils accèdent à Internet ou à un service cloud.

Le SNAT joue également un rôle important pour la symétrie du routage. Lorsqu’un périphérique envoie une requête sortante (une requête DNS, une requête Web via un proxy, une vérification de réputation dans le cloud), la réponse doit revenir par le même chemin et passer par le même périphérique. La réécriture de l’adresse source pour qu’elle corresponde à celle de ce périphérique garantit que le trafic de retour est correctement acheminé au lieu d’être perdu, ce qui est essentiel dans les architectures WAN redondantes et à haute disponibilité.

Qu'est-ce que le SNAT ?

Le SNAT fonctionne en remplaçant le champ d’adresse IP source dans l’en-tête d’un paquet par une autre adresse avant que le paquet ne quitte le périphérique, puis en annulant cette substitution lors de la réception du trafic de retour correspondant. Sur les périphériques VOS, l’adresse de remplacement provient d’un pool SNAT – un objet nommé, lié à une instance de routage, qui fournit soit des adresses IPv4 statiques, soit une plage d’adresses IPv4, soit un réseau de sortie – mais jamais un mélange des trois.

Les services qui doivent générer leur propre trafic font appel à un pool SNAT plutôt que de choisir eux-mêmes une adresse. La recherche d'URL dans le cloud, par exemple, associe son profil cloud à un pool SNAT afin que les requêtes de recherche portent une adresse source connue, routable et conforme à la politique, au lieu d'une adresse interne.

Types de SNAT

VOS prend en charge plusieurs modes de fonctionnement SNAT distincts. Le SNAT statique, de type « un-à-un », associe une adresse interne à une adresse externe, en conservant une identité fixe pour un hôte. Le SNAT dynamique, basé sur un pool – configuré en tant que NAPT-44 dans une règle CGNAT – traduit plusieurs sessions simultanées via une adresse de pool partagée en réécrivant également le port source, ce qui permet à un petit pool de desservir un grand nombre d’hôtes internes.

Un troisième cas, appelé « Twice NAT », combine le NAT source et le NAT destination en une seule règle : le trafic entrant destiné à une application hébergée en public voit sa destination remplacée par l'adresse réelle de l'application, tandis que sa source est simultanément remplacée par l'adresse de l'interface du périphérique lui-même, de sorte que le trafic de réponse continue d'être acheminé via le périphérique d'origine. VOS configure cette option sous le nom « Twice-Dynamic-NAT-44 ».

SNAT & Versa

Sur les appareils VOS, les pools SNAT sont configurés dans Director, sous « Objects & Connectors », et sont utilisés chaque fois que le trafic sortant nécessite une adresse source contrôlée : proxy DNS, proxy HTTP/HTTPS, filtrage d’URL, filtrage de fichiers et recherche d’URL dans le cloud. Le champ « Source NAT Pool » d’un profil cloud pointe vers le pool SNAT fournissant des adresses pour les recherches sur Versa URM. Dans le cas de déploiements WAN redondants, la configuration des pools SNAT parallèlement aux paramètres CGNAT et de redirection DNS garantit un acheminement correct des requêtes, quelle que soit la liaison active.

Le SNAT joue également un rôle central dans la symétrie du trafic au sein des architectures cloud à haute disponibilité. Dans les déploiements VOS situés derrière un AWS Gateway Load Balancer, une politique CGNAT effectue un NAT source sur le trafic vers l’adresse de l’interface LAN du VOS, de sorte que le trafic de retour soit toujours acheminé via l’instance VOS qui a géré le flux aller ; sans cela, l’équilibreur de charge ne pourrait pas gérer les flux asymétriques.

Questions fréquentes

Quelle est la différence entre le SNAT et le DNAT ?

Le SNAT modifie l'adresse source d'un paquet, généralement pour le trafic sortant, afin que les réponses soient correctement acheminées. Le DNAT modifie l'adresse de destination, généralement pour rediriger le trafic entrant vers un serveur interne. Le « Twice NAT » applique ces deux techniques dans une seule règle, le plus souvent pour les applications hébergées en ligne.

Qu'est-ce qu'un pool SNAT ?

Un pool SNAT est un objet de configuration VOS, associé à une instance de routage, qui fournit les adresses utilisées par le SNAT lors de la réécriture des adresses IP sources. Il contient soit des adresses IPv4 statiques, soit une plage d'adresses IPv4, soit un réseau de sortie – mais jamais un mélange d'adresses et de réseaux de sortie.

Pourquoi la recherche d'URL dans le cloud nécessite-t-elle le SNAT ?

La recherche d'URL dans le cloud envoie des requêtes de réputation depuis le périphérique VOS vers un serveur cloud. En l'absence de pool SNAT configuré, le périphérique ne dispose d'aucune adresse source contrôlée et routable à utiliser pour ces requêtes, et des compteurs de dépannage tels que `sslcld-snat-resolved-cnt` existent précisément pour détecter les erreurs de configuration du pool SNAT.

Qu'est-ce que la norme NAPT-44 ?

Le NAPT-44 est un mode NAT dynamique qui traduit simultanément les adresses source IPv4 et les numéros de port, permettant ainsi à de nombreuses sessions internes de partager un petit pool d'adresses externes. Il s'agit du mode NAT utilisé par les règles CGNAT pour le NAT source « plusieurs vers un » basé sur un pool, et c'est le choix habituel pour les pools SNAT desservant le trafic de recherche dans le cloud et d'accès direct à Internet.

Un pool SNAT peut-il utiliser à la fois des adresses statiques et un réseau de sortie ?

Non. Un pool SNAT VOS permet de configurer soit des adresses IPv4 individuelles (statiques ou une plage), soit un réseau de sortie, mais jamais les deux pour un même pool. Les administrateurs choisissent une méthode d’adressage par pool en fonction du déploiement, car la fenêtre « Ajouter un pool SNAT » de Director ne prend pas en charge la combinaison des deux.

En savoir plus sur le SNAT

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au SNAT, voici quelques liens qui pourraient vous intéresser.