Central NAT FortiGate sépare les règles de traduction d'adresses des politiques de filtrage réseau.
Définition simple
Lorsque le mode Central SNAT est activé sur FortiOS, les traductions source sont gérées dans une table dédiée et non dans chaque règle firewall. L'ordre des règles, les interfaces, les pools d'adresses et les correspondances de destination doivent être vérifiés lors d'une migration.
Définition technique
En mode Central NAT, le FortiGate applique les traductions source au moyen d’une table Central SNAT indépendante des policies IPv4. Chaque règle peut tenir compte des interfaces, adresses et services ; l’ordre des entrées est déterminant. Une policy reste nécessaire pour autoriser le trafic.
À quoi cela sert ?
Séparer la décision de sécurité de la traduction d’adresse et permettre d’utiliser des adresses source publiques différentes selon les flux.
Exemple concret
Deux VLAN sortent vers Internet. La policy autorise les connexions ; deux règles Central SNAT traduisent les flux vers des adresses publiques distinctes selon leur réseau d’origine.
Comment diagnostiquer Central NAT FortiGate ?
Commencez par vérifier si le mode Central NAT est réellement activé dans les paramètres système, puis affichez les règles Central SNAT. Pour un flux donné, relevez interface source, interface destination, adresses et service, puis recherchez la première règle qui correspond. Contrôlez ensuite la policy de sécurité séparément : une traduction correcte ne signifie pas que le trafic est autorisé.
- Confirmer le mode Central NAT.
- Identifier la policy qui autorise le flux.
- Identifier la règle Central SNAT correspondante.
- Comparer les journaux avec l’adresse traduite attendue.
Problèmes fréquents
Les erreurs les plus fréquentes sont l’ordre des règles, une interface ou un objet d’adresse trop large, et la confusion entre policy et NAT. Une règle Central SNAT placée trop haut peut traduire un trafic qui devait utiliser une autre adresse. Évitez aussi de rechercher uniquement l’option NAT dans la policy lorsqu’un FortiGate fonctionne en mode Central NAT.
Comment valider la correction — Central NAT FortiGate
Après modification, testez un flux précis et contrôlez simultanément les logs de trafic et l’adresse source vue côté destination. Si plusieurs règles peuvent correspondre, documentez leur ordre avant de les déplacer. Une validation propre doit confirmer trois éléments : la bonne policy, la bonne règle Central SNAT et la traduction réellement observée sur le trafic.
FAQ — Central NAT FortiGate
Central NAT remplace-t-il les policies FortiGate ?
Non. Les policies continuent d’autoriser ou de refuser le trafic ; Central NAT gère séparément la traduction.
Pourquoi l’ordre des règles est-il important ?
La première règle Central SNAT correspondant au flux peut déterminer la traduction appliquée.
Comment valider une correction ?
Rejouez un flux connu, lisez les logs et vérifiez l’adresse source réellement présentée à la destination.