Cómo configurar NAT de reserva si se agota el pool de IP dinámico
Resolution
Incidencia
Hay instancias en las que queremos origen de direcciones IP NAT a un pool de direcciones (Pool dinámico) y no realizamos traducciones de IP y puertos (IP y Puerto dinámicos). El NAT de origen funcionaría bien sin problemas de tráfico para las fuentes originarias, hasta que el pool de IP esté agotado (no hay más IP disponible para usar para NAT). Una vez que se haya agotado la piscina, no se establecerá ninguna sesión para una nueva fuente de origen y esto causará las gotas de paquetes para este nuevo tráfico.
Resolución
PAN-OS 5,0 introdujo una característica llamada "suplencia dinámica de traducción IP" para ayudar a resolver este problema. Utilice esta opción para crear una agrupación de caída atrás que realice la traducción de IP y de puerto y se usará si el grupo principal se queda sin direcciones. Las direcciones se pueden definir para el grupo utilizando la opción de dirección traducida o la opción de dirección de interfaz, que es para las interfaces que reciben una dirección IP dinámicamente. Cuando cree una agrupación de retroceder, asegúrese de que las direcciones no se solapan con las direcciones del pool primario. *
Pasos
El método de traducción de suplencia puede configurarse para utilizar una forma alternativa de traducir las direcciones IP de origen de las nuevas fuentes originarias, una vez que se agote el pool. El respaldo se configura bajo la configuración "Advanced (IP dinámica/reserva de puertos), como se indica a continuación:
- Vaya a la ficha paquetes traducidos de la regla de directiva de NAT.
- Seleccione "dirección traducida" en el desplegable bajo "avanzado (Dynamic IP/Port suplencia)"
- Configurar otra agrupación de direcciones para IP dinámica
- Seleccione "dirección de interfaz" en el desplegable bajo "avanzado (respaldo de IP/puerto dinámico)"
- Configurar la traducción de puertos basada en interfaces (IP y Puerto dinámicos)
Nota: cuando cree una agrupación de retroceder, asegúrese de que las direcciones no se solapan con las direcciones del grupo primario.
* Origen de la guía de ayuda > políticas y perfiles de seguridad > tabla 148. Configuración de regla NAT (ficha paquete traducido)
Propietario: kprakash