在 Juniper SRX 设备上配置 IPv4 与 IPv6 之间的网络地址转换，首先需要理解设备的工作模式。在实验环境中，Site1 和 Site2 的 SRX 设备被放置在数据包模式。在此模式下，设备充当路由器而非安全设备，因此无需配置安全策略。配置命令包括将 inet6、mpls 和 iso 协议族的数据包转发模式设置为 packet-based。然而，主 SRX 仍处于流模式，必须配置全局安全策略以允许流量通过。文中给出的安全策略示例为全局策略 PERMIT-ALL，匹配源地址、目的地址和应用均为 any，并允许从 IPv4 和 IPv6 安全区之间的流量。
IPv4 与 IPv6 网络的拓扑结构
实验拓扑展示了两个隔离的网络环境。左侧蓝色区域为纯 IPv4 网络，使用 192.168.100.0/24 子网。主机分配 IP 为 192.168.100.2，SRX 接口 IP 为 192.168.100.1，安全区命名为 IPv4。右侧红色区域为 IPv6 网络，使用 2001:db8::/64 子网。主机分配 IP 为 2001:db8::2/64，SRX 接口 IP 为 2001:db8::1，安全区命名为 IPv6。为了实现这两个网络之间的通信，必须同时使用源 NAT 和目的 NAT。源 NAT 用于将流量从一个安全区转换到另一个安全区的接口和子网，而目的 NAT 则允许 IPv4 主机通过 IPv4 NAT 地址发起对 IPv6 主机的流量。
IPv4 与 IPv6 的地址转换配置
为了实现双向通信，文中定义了特定的 NAT 地址。对于 IPv4 主机访问 IPv6 网络，使用 IPv4 NAT 地址 192.168.100.254。对于 IPv6 主机访问 IPv4 网络，使用 IPv6 NAT 地址 2001:db8::254。这种配置确保了不同协议网络间的互通性。在配置过程中，需要明确指定源地址转换和目的地址转换的规则，将内部网络的私有地址映射到指定的 NAT 地址上。通过这种方式，IPv4 主机可以发起连接到 IPv6 网络，反之亦然，从而解决了纯 IPv4 和纯 IPv6 网络之间的互连问题。
安全策略的配置与验证
在完成 NAT 配置后，必须确保全局安全策略允许流量通过。文中提到的全局安全策略 PERMIT-ALL 定义了允许从 IPv4 安全区到 IPv6 安全区以及从 IPv6 安全区到 IPv4 安全区的任何流量。该策略匹配源地址、目的地址和应用均为 any。由于 Site1 和 Site2 的 SRX 处于 packet mode，它们不需要额外的安全策略，只需主 SRX 具备允许流量的策略即可。这种配置方式简化了实验环境中的安全设置，使得网络工程师能够专注于 NAT 机制的实现和验证，而无需处理复杂的安全过滤规则。
原文: APNIC Blog（2019-05-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog