Juniper: Destination NAT (Portranges / multiple portforward)

[Tranzy]

Ik heb sinds kort een SRX210HE2 voor mijn werk maar speel ook zo nu en dan een spelletje op mijn PS4. Helaas moet ik het ermee doen. Ik heb hem zelf al aardig doorgenomen maar ik ben niet bekend met Junipers.

Heb eindelijk pas de VPN naar de zaak (SSG5) voor elkaar middels policy based vpn maar dit is weer een nieuwe horde die mij net te ver gaat.

Nu moet ik voor Online Gaming op de PS4 meerdere poorten openen om van een NAT type 3 naar 2 te gaan, wat ervoor zorgt dat ik probleemloos online kan.

Ik heb een applicatie set gemaakt middels deze commando's

code:

set applications application tcp-1935 protocol tcp destination-port 1935
set applications application tcp-9293 protocol tcp destination-port 9293
set applications application tcp-3478-3480 protocol tcp destination-port 3478-3480
set applications application udp-3478-3479 protocol udp destination-port 3478-3479
set applications application udp-3047 protocol udp destination-port 3047
set applications application udp-2001 protocol udp destination-port 2001
set applications application tcp-1040-1060 protocol tcp destination-port 1040-10060
set applications application udp-50000-60000 protocol  destination-port 50000-60000

Dit aan een set gehangen genaamd PS4.

Heb via DHCP de PS4 een vast adres gegeven en hoopte een port forward middels de applicatie te doen maar helaas.

Ik heb niet zo veel zin om tig individuele mappings aan te maken.

Dit is mijn config:

code:

}
    services {
        ssh;
        telnet;
        web-management {
            http {
                interface vlan.0;
            }
            https {
                system-generated-certificate;
                interface [ vlan.0 ge-0/0/0.0 ];
            }
            session {
                idle-timeout 60;
            }
        }
        dhcp {
            pool 192.168.1.0/24 {
                address-range low 192.168.1.100 high 192.168.1.150;
                router {
                    192.168.1.1;
                }
            }
            static-binding c8:2a:14:1b:11:91 {
                fixed-address {
                    192.168.1.100;
                }
                host-name IMAC;
            }
            static-binding c0:3f:d5:62:d3:95 {
                fixed-address {
                    192.168.1.101;
                }
                host-name XBMC;
            }
            static-binding c0:3f:d5:63:18:29 {
                fixed-address {
                    192.168.1.102;
                }
                host-name XBMC2;
            }
            static-binding b0:65:bd:5e:8c:48 {
                fixed-address {
                    192.168.1.103;
                }
                host-name IMPad;
            }
            static-binding 00:15:5d:01:65:01 {
                fixed-address {
                    192.168.1.104;
                }
                host-name DiskStation;
            }
            static-binding 70:9e:29:5c:90:27 {
                fixed-address {
                    192.168.1.108;
                }
                host-name PS4;
            }
            propagate-settings ge-0/0/0;
        }
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 5;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
    ntp {
        server 0.nl.pool.ntp.org;
    }
}
interfaces {
    ge-0/0/0 {
        unit 0 {
            family inet {
                dhcp;
            }
        }
    }
    ge-0/0/1 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/2 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/3 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/4 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/5 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/6 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    fe-0/0/7 {
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan0;
                }
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.1.1/24;
            }
        }
    }
}
protocols {
    stp;
}
security {
    ike {
        policy IKE-POL {
            mode aggressive;
            proposal-set compatible;
            pre-shared-key ascii-text "xxxxxxxxxxxxx";
        }
        gateway IKE-GW {
            ike-policy IKE-POL;
            address XXXXXXX;
            no-nat-traversal;
            local-identity user-at-hostname "XXXXXX";
            external-interface ge-0/0/0.0;
        }
    }
    ipsec {
        vpn-monitor-options {
            interval 10;
            threshold 10;
        }
        proposal IPSEC-PROP {
            protocol esp;
        }
        policy IPSEC-POL {
            perfect-forward-secrecy {
                keys group2;
            }
            proposals IPSEC-PROP;
        }
        vpn IPSEC-VPN {
            ike {
                gateway IKE-GW;
                ipsec-policy IPSEC-POL;
            }
            establish-tunnels immediately;
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    nat {
        source {
            rule-set nsw_srcnat {
                from zone Trust;
                to zone Untrust;
                rule NoNatVPN {
                    match {
                        source-address 192.168.1.0/24;
                        destination-address 10.0.0.0/8;
                    }
                    then {
                        source-nat {
                            off;
                        }
                    }
                }
                rule nsw-src-interface {
                    match {
                        source-address 0.0.0.0/0;
                        destination-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
        destination {
            pool sabnzbd {
                address 192.168.1.101/32 port 1978;
            }
            pool Diskstation {
                address 192.168.1.104/32 port 5000;
            }
            pool vnc {
                address 192.168.1.100/32 port 5900;
            }
            pool spotweb {
                address 192.168.1.104/32 port 80;
            }
            pool rdp-xbmc {
                address 192.168.1.101/32 port 3389;
            }
            pool rdp-xbmc2 {
                address 192.168.1.102/32 port 3389;
            }
            pool PS4 {
                address 192.168.1.108/32 port 1935;
            }
            pool PS4_2 {
                address 192.168.1.108/32 port 3478;
            }
            pool PS4_3 {
                address 192.168.1.108/32 port 3479;
            }
            pool PS4_4 {
                address 192.168.1.108/32 port 3480;
            }
            pool PS4_destiny {
                address 192.168.1.108/32 port 2001;
            }
            rule-set Portforward {
                from zone Untrust;
                rule sabnzbd {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 1978;
                    }
                    then {
                        destination-nat pool sabnzbd;
                    }
                }
                rule Diskstation {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 5000;
                    }
                    then {
                        destination-nat pool Diskstation;
                    }
                }
                rule spotweb {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 1986;
                    }
                    then {
                        destination-nat pool spotweb;
                    }
                }
                rule vnc {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 5900;
                    }
                    then {
                        destination-nat pool vnc;
                    }
                }
                rule rdp-xbmc {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 33899;
                    }
                    then {
                        destination-nat pool rdp-xbmc;
                    }
                }
                rule rdp-xbmc2 {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 33890;
                    }
                    then {
                        destination-nat pool rdp-xbmc2;
                    }
                }
                rule PS4 {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 1935;
                    }
                    then {
                        destination-nat pool PS4;
                    }
                }
                rule PS4_2 {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 3478;
                        protocol udp;
                    }
                    then {
                        destination-nat pool PS4_2;
                    }
                }
                rule PS4_3 {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 3479;
                        protocol udp;
                    }
                    then {
                        destination-nat pool PS4_3;
                    }
                }
                rule PS4_4 {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 3480;
                    }
                    then {
                        destination-nat pool PS4_4;
                    }
                }
                rule PS4_destiny {
                    match {
                        destination-address 0.0.0.0/0;
                        destination-port 2001;
                    }
                    then {
                        destination-nat pool PS4_destiny;
                    }
                }
            }
        }
    }
    policies {
        from-zone Trust to-zone Untrust {
            policy VPN_OUT {
                match {
                    source-address Prive_LAN;
                    destination-address XXXXX
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-vpn IPSEC-VPN;
                        }
                    }
                }
            }
            policy All_Trust_Untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
        from-zone Untrust to-zone Trust {
            policy VPN_IN {
                match {
                    source-address XXXXX;
                    destination-address Prive_LAN;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-vpn IPSEC-VPN;
                        }
                    }
                }
            }
            policy Diskstation-FW {
                match {
                    source-address any;
                    destination-address Diskstation;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy XBMC-FW {
                match {
                    source-address any;
                    destination-address xbmc;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy IMAC-FW {
                match {
                    source-address any;
                    destination-address iMAC;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy XBMC2-FW {
                match {
                    source-address any;
                    destination-address xbmc2;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy PS4 {
                match {
                    source-address any;
                    destination-address PS4;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
    zones {
        security-zone Trust {
            address-book {
                address xbmc 192.168.1.101/32;
                address Diskstation 192.168.1.104/32;
                address iMAC 192.168.1.100/32;
                address xbmc2 192.168.1.102/32;
                address Prive_LAN 192.168.1.0/24;
                address PS4 192.168.1.108/32;
            }
            interfaces {
                vlan.0 {
                    host-inbound-traffic {
                        system-services {
                            ping;
                            dhcp;
                            http;
                            https;
                            ssh;
                            telnet;
                        }
                    }
                }
            }
        }
        security-zone Untrust {
            address-book {
                address XXXXXXXX;
                address XXXXXXXX;
            }
            host-inbound-traffic {
                system-services {
                    ike;
                }
            }
            interfaces {
                ge-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            https;
                            ssh;
                        }
                    }
                }
            }
        }
    }
}
applications {
    application tcp-1935 {
        protocol tcp;
        destination-port 1935;
    }
    application tcp-9293 {
        protocol tcp;
        destination-port 9293;
    }
    application tcp-3478-3480 {
        protocol tcp;
        destination-port 3478-3480;
    }
    application udp-3478-3479 {
        protocol udp;
        destination-port 3478-3479;
    }
    application udp-3047 {
        protocol udp;
        destination-port 3047;
    }
    application udp-2001 {
        protocol udp;
        destination-port 2001;
    }
    application tcp-1040-1060 {
        protocol tcp;
        destination-port 1040-10060;
    }
    application udp-50000-60000 {
        protocol udp;
        destination-port 50000-60000;
    }
    application-set PS4 {
        application tcp-1935;
        application tcp-9293;
        application tcp-3478-3480;
        application udp-3478-3479;
        application udp-3047;
        application udp-2001;
        application tcp-1040-1060;
        application udp-50000-60000;
    }
}
vlans {
    vlan0 {
        vlan-id 2;
        l3-interface vlan.0;
    }
}

Zoek de juiste manier om dit te doen.

[Koffie]

Move PNS > NT

Wat probeer je nu exact voor elkaar te krijgen, en wat lukt er niet en wat lukt er wel ?

[Tranzy]

Ik heb mijzelf suf gezocht en het enige wat ik lees is dat het niet mogelijk is om hele portranges te forwarden met destination NAT. Dit kan wel met static NAT.

Enige optie zou zijn om al die duizenden poortjes handmatig aan te maken. En daar pas ik voor.

Wat ik voor elkaar wil krijgen is de mogelijkheid om de SRX te blijven gebruiken zonder dat dit mij (en mijn kinderen) belemmerd in prive gebruik. Bijvoorbeeld online gaming. Daar dit hele ranges nodig heeft.

Ik heb de hele setup verwijderd en mijn Netgear router terug als gateway ingesteld welke dhcp en nat afhandelt. Mijn idee is om de SRX aan de binnenkant te zetten en op een of andere manier zo werkend te krijgen.

Heb een kleine tekening om dit duidelijk te maken.

Ben dus eigenlijk op zoek naar iemand met juniper kennis.

[ Voor 5% gewijzigd door Tranzy op 10-12-2014 16:42 ]