Juniper ACX2100

Chapter 31 Configuring Network Address Translation (NAT) and Stateful Firewall
Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 999
Network Address Translation Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 999
Network Address Port Translation Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1001
Network Address Translation Address Overload in ACX Series . . . . . . . . . . . . . 1001
Network Address Translation Constraints on ACX . . . . . . . . . . . . . . . . . . . . . . . 1003
Network Address Translation Rules Overview . . . . . . . . . . . . . . . . . . . . . . . . . . 1004
Configuring Match Direction for NAT Rules . . . . . . . . . . . . . . . . . . . . . . . . . 1005
Configuring Match Conditions in NAT Rules . . . . . . . . . . . . . . . . . . . . . . . . 1005
Configuring Actions in NAT Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1006
Configuring Translation Types . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1006
Configuring Address Pools for Network Address Port Translation (NAPT)
Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1007
Endpoint Independent Flow for NAPT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1007
Enabling Inline Services Interface on ACX Series . . . . . . . . . . . . . . . . . . . . . . . . 1008
ALGs Available by Default for Junos OS Address Aware NAT on ACX500
Router . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1009
ALG Support Details . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1010
Basic TCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1011
Basic UDP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1011
DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1012
FTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1013
ICMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1016
TFTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1016
UNIX Remote-Shell Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1018
Junos Network Secure Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1020
Stateful Firewall Support for Application Protocols . . . . . . . . . . . . . . . . . . . 1021
Stateful Firewall Anomaly Checking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1021
Configuring Stateful Firewall Rules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1023
Configuring Match Direction for Stateful Firewall Rules . . . . . . . . . . . . . . . 1024
Configuring Match Conditions in Stateful Firewall Rules . . . . . . . . . . . . . . . 1025
Configuring Actions in Stateful Firewall Rules . . . . . . . . . . . . . . . . . . . . . . . 1026
Configuring IP Option Handling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1027
Understanding Service Sets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1028
Configuring Service Sets for Network Address Translation . . . . . . . . . . . . . . . . 1030
Configuring Service Sets to Be Applied to Services Interfaces . . . . . . . . . . . . . . 1031
Configuring Services Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1032
Configuring Next-Hop Service Sets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1032
Determining Traffic Direction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1033
Interface-Style Service Sets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1034
Next-Hop-Style Service Sets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1034
Service Filters in ACX Series . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1035
Guidelines for Applying Service Filters . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1036
Restrictions for Inline Services Interfaces . . . . . . . . . . . . . . . . . . . . . . . . . . . 1036
Statement Hierarchy for Applying Service Filters . . . . . . . . . . . . . . . . . . . . 1036
Associating Service Rules with Inline Services Interfaces . . . . . . . . . . . . . . 1037
Filtering Traffic Before Accepting Packets for Service Processing . . . . . . . . 1037
Service Filter Match Conditions for IPv4 Traffic . . . . . . . . . . . . . . . . . . . . . . . . . 1038
Service Filter Actions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1039
xxiiiCopyright © 2017, Juniper Networks, Inc.
Table of Contents