发布时间 : 星期二 文章Juniper防火墙维护手册更新完毕开始阅读
《Juniper维护手册》深圳发展银行
DIP动态地址转换可以实现一对一，一对多，多对一和多对多的访问。 DIP地址池和MIP一样要设置在出站接口上来实现源地址的翻译。 DIP地址池可以和出站接口不再一个网段（使用扩展IP技术）。 如果访问是多对一的（多个客户端访问一个服务器），必须使用Port-Xlate端口转换特性（默认设置，建议都使用这种方式）。 如果DIP被策略引用则无法编辑和更改，必须先移除策略后才可以编辑。
创建新的DIP地址池：
29
《Juniper维护手册》深圳发展银行
如果DIP地址池和出站接口不在同一网段必须使用扩展IP特性，把选择框选择到下方“In the same as the extended ip”，并输入一个扩展IP的地址。
例如出站接口是9X.2.244.1/28，而源地址出站时我们想转换成192.168.1.X的地址，那么在扩展IP框中我们可以输入192.168.1.0/24。
扩展IP地址可以使用一个地址也可以用一个网段，推荐使用网段的方式。
同一DIP地址网段可以同时分布在多个接口上，比如9X.2.18.0虚拟地址簿可以同时设置在E1、E2和E3口上。
30
《Juniper维护手册》深圳发展银行
但同一个DIP地址只能同时设置在一个接口上，比如9X.2.18.1地址只能设置在E1或E2或E3口上，不能同时在多个接口上都设置9X.2.18.1。 CLI:
1、NAT-DIP 带PAT功能 配置接口参数
set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat
set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 定义DIP
set interface ethernet3 dip 5 1.1.1.30 1.1.1.30 定义策略
set policy from trust to untrust any any http nat src dip-id 5 permit save
2、NAT-DIP 不带PAT功能 接口
set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat
31
《Juniper维护手册》深圳发展银行
set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 DIP
set interface ethernet3 dip 6 1.1.1.50 1.1.1.150 fix-port 策略
set policy from trust to untrust any any e-stock nat src dip-id 6 permit save
3、带有地址变换的 NAT-Src 接口
set interface ethernet1 zone trust set interface ethernet1 ip 10.1.1.1/24 set interface ethernet1 nat
set interface ethernet3 zone untrust set interface ethernet3 ip 1.1.1.1/24 DIP
set interface ethernet3 dip 10 shift-from 10.1.1.11 to 1.1.1.101 1.1.1.105 地址
set address trust host1 10.1.1.11/32 set address trust host2 10.1.1.12/32 set address trust host3 10.1.1.13/32
32