PaloAlto_20 的 Routing & NAT

 

一場封包的迷航記，以及工程師的自我修行

如果你第一次打開 Palo Alto Networks Firewall，大概會有一種感覺：
「介面好漂亮。」
三分鐘後：
「Routing 跑去哪？」
十分鐘後：
「為什麼 NAT 看起來像在玩邏輯題？」

放心，你不是一個人。
在 PaloAlto_20（泛指 PA 防火牆 10.x 世代設定邏輯）裡，Routing 與 NAT 從來不是單純的「網路設定」，而是一場工程師心智成熟度測驗。

一、Routing：不是幫你指路，是決定你的人生方向

在工程師的世界裡，Routing 就像人生規劃。
你以為只要設定一條 Default Route（0.0.0.0/0），封包就會自動走向幸福的彼岸。
但 Palo Alto 冷冷地告訴你一句話：

「不好意思，我要先看 Virtual Router。」

是的，Palo Alto 沒有「全域 Routing Table」，
每個 Interface 都要掛在正確的 Virtual Router 底下，
否則你的封包會陷入量子狀態——
介於「送出」與「消失」之間。

工程師常見錯誤清單：

• Interface 掛錯 Virtual Router

• 靜態路由寫得很美，但根本沒人用

• OSPF 開得很開心，對面根本沒鄰居

這時候你會學到 Palo Alto 的第一堂人生課：
👉 Routing 沒錯，只是你想得太天真。

二、NAT：封包的變裝秀，比你想得更複雜

如果 Routing 是人生方向，那 NAT 就是身分證改名大賽。

在 Palo Alto 裡，NAT 不是「順手設定一下」，
而是明確告訴你：
「我什麼時候要改你、在哪裡改你、改成什麼樣子。」

Palo Alto 的 NAT 三大靈魂問題：

1. Original Packet 長怎樣？

2. Translated Packet 要變成誰？

3. 這一切發生在 Security Policy 之前，還是之後？

很多新手工程師會天真地問：
「為什麼我 NAT 設好了，還是連不上？」

答案通常只有一句：
👉 因為你的 Security Policy 根本不是用 NAT 後的 IP 在比對。

這一刻，你會突然理解為什麼資深工程師都不愛說話。
不是冷漠，是已經痛過。

三、Routing × NAT：當兩個世界開始互相傷害

真正的修羅場，是 Routing 跟 NAT 同時出問題。

經典場景如下：

• 封包進來 → Routing 看得懂

• NAT 改得很開心

• 封包出去 → Routing 說「這不是我認識的你」

然後 Session 就這樣死在 Log 裡，
留下你一個人盯著 Monitor → Traffic，看著封包的最後一跳。

這時候你會開始做工程師的三大儀式：

1. 開 Packet Capture

2. 打開 CLI 看 test routing fib-lookup

3. 默默懷疑人生選擇

四、工程師的覺醒：你終於開始「看流程」

某一天，你突然不再亂改設定了。

你會開始照流程思考：

1. 封包從哪個 Interface 進來？

2. 屬於哪個 Zone？

3. Routing 決定往哪走？

4. NAT 什麼時候介入？

5. Security Policy 用的是哪個 IP？

6. 回程路由是不是對稱？

那一刻，你不會特別開心，
但你會很平靜地說一句話：

「嗯，這個我大概知道問題在哪。」

恭喜你，你已經從「亂試工程師」
進化成「有邏輯的工程師」。

五、結語：Palo Alto 沒有很難，只是很誠實

PaloAlto_20 的 Routing & NAT，
其實沒有陷阱、沒有魔法、也沒有黑箱。

它只是把網路的本質攤開來，
逼你面對現實。

如果你哪天設定完，
封包一次就通，Log 乾乾淨淨，
那不是因為運氣好——

而是因為你已經學會用工程師的方式思考。

最後送你一句 Palo Alto 生存守則：

「Routing 決定你去哪，NAT 決定你是誰。」

而工程師，決定要不要再加班。