[Juniper][Junos] Hairpin NAT 이론

1) Hairpin NAT란?

   - DNS NAT, Trust NAT, one-to-one NAT 등 다양한 이름으로 불리는 NAT 기술이다. 

     Hairpin NAT를 적용하게 되는 구성은 아래와 같다

 참고 : https://supportportal.juniper.net/s/article/SRX-How-to-set-up-NAT-hairpinning?language=en_US

[SRX] How to set up NAT hairpinning

 

 

 

A) 공인IP 155.100.1.1는 서버의 사설 IP 10.0.0.5과 1:1로 NAT가 매핑되어 있다 (DNAT 혹은 Static NAT)

B) 클라이언트 10.0.0.15에서 155.100.1.1을 호출하면 방화벽에서는 DNAT을 처리하여 10.10.10.5로 요청패킷을 보낸다 

C) 10.0.0.5 서버는 요청패킷에서  출발지 IP가 10.0.0.15로 보이기 때문에 응답 패킷을 방화벽으로 보내지 않고 10.0.0.15 클라이언트에게 바로 던져준다

D) 클라이언트 10.0.0.15 는 본인이 요청패킷을 보낸 155.100.1.1이 아닌 10.0.0.5에게 받은 응답패킷을 드랍하여 통신이 이루어지지 않는다

 

* 핵심1) 10.0.0.5 서버에서 요청패킷의 출발지가 같은 네트워크 대역에 있는 10.0.0.15가 아닌 다른 IP로 보이도록 SNAT시켜야 한다

* 핵심2) Hairpin NAT는 SNAT와 DNAT가 동시에 필요하다. 위 구성에서는 155.100.1.1 -> 10.0.0.5로 DNAT는 설정되어 있는 상태이므로 SNAT만 추가해주면 된다