Cisco ASA 5500 シリーズ コンフィギュレーション ガイド (CLIを使用) ソフトウェア バージョン8.4
ネットワーク オブジェクト NA T の設定
ネットワーク オブジェクト NAT の設定
発行日;2012/05/09 | 英語版ドキュメント(2012/02/27 版) | ドキュメントご利用ガイド | ダウンロード ; この章pdf , ドキュメント全体pdf (PDF - 17MB) | フィードバック

目次

ネットワーク オブジェクト NAT の設定

ネットワーク オブジェクト NAT に関する情報

ネットワーク オブジェクト NAT のライセンス要件

ネットワーク オブジェクト NAT の前提条件

ガイドラインと制限事項

デフォルト設定

ネットワーク オブジェクト NAT の設定

ダイナミック NAT の設定

ダイナミック PAT(隠蔽)の設定

スタティック NAT またはポート変換を設定したスタティック NAT の設定

アイデンティティ NAT の設定

ネットワーク オブジェクト NAT のモニタリング

ネットワーク オブジェクト NAT の設定例

内部 Web サーバへのアクセスの提供(スタティック NAT)

内部ホストの NAT(ダイナミック NAT)および外部 Web サーバの NAT(スタティック NAT)

複数のマッピング アドレス(スタティック NAT、1 対多)を持つ内部ロード バランサ

FTP、HTTP、および SMTP の単一アドレス(ポート変換を設定したスタティック NAT)

マッピング インターフェイス上の DNS サーバ、実際のインターフェイス上の Web サーバ(DNS 修正を設定したスタティック NAT)

マッピング インターフェイス上の DNS サーバおよび Web サーバ、Web サーバが変換される(DNS 修正を設定したスタティック NAT)

ネットワーク オブジェクト NAT の機能履歴

ネットワーク オブジェクト NAT の設定

ネットワーク オブジェクトのパラメータとして設定されているすべての NAT ルールは、 ネットワーク オブジェクト NAT ルールと見なされます。ネットワーク オブジェクト NAT は、1 つの IP アドレス、アドレスの範囲、またはサブネットであるネットワーク オブジェクトの NAT を設定するための迅速かつ容易な方法です。ネットワーク オブジェクトを設定したら、このオブジェクトのマッピング アドレスを識別できます。

この章では、ネットワーク オブジェクト NAT を設定する方法について説明します。この章は、次の項で構成されています。

「ネットワーク オブジェクト NAT に関する情報」

「ネットワーク オブジェクト NAT のライセンス要件」

「ネットワーク オブジェクト NAT の前提条件」

「ガイドラインと制限事項」

「デフォルト設定」

「ネットワーク オブジェクト NAT の設定」

「ネットワーク オブジェクト NAT のモニタリング」

「ネットワーク オブジェクト NAT の設定例」

「ネットワーク オブジェクト NAT の機能履歴」


) NAT の機能の詳細については、「NAT に関する情報」を参照してください。


ネットワーク オブジェクト NAT に関する情報

パケットがASAに入ると、送信元 IP アドレスと宛先 IP アドレスの両方がネットワーク オブジェクト NAT ルールと照合されます。個別の照合が行われる場合、パケット内の送信元 IP アドレスと宛先 IP アドレスは、個別のルールによって変換できます。これらのルールは、相互に結び付けられていません。トラフィックに応じて、異なる組み合わせのルールを使用できます。

ルールがペアになることはありません。したがって、宛先 X に向かう場合は送信元アドレスが A と変換され、宛先 Y に向かう場合は B と変換されるように指定することはできません。この種の機能には、Twice NAT を使用します(Twice NAT を使用すると、1 つのルールで送信元アドレスおよび宛先アドレスを識別できます)。

Twice NAT とネットワーク オブジェクト NAT の違いの詳細については、「NAT の実装方法」を参照してください。

ネットワーク オブジェクト NAT ルールは、NAT ルール テーブルのセクション 2 に追加されます。NAT の順序の詳細については、「NAT ルールの順序」を参照してください。

ネットワーク オブジェクト NAT のライセンス要件

次の表に、この機能のライセンス要件を示します。

 

モデル
ライセンス要件

すべてのモデル

基本ライセンス

ネットワーク オブジェクト NAT の前提条件

コンフィギュレーションによって、必要に応じてマッピング アドレスをインラインに設定するか、マッピング アドレスのネットワーク オブジェクトまたはネットワーク オブジェクト グループを作成できます( object network コマンドまたは object-group network コマンド)。ネットワーク オブジェクト グループは、非連続的な IP アドレス範囲または複数のホストやサブネットで構成されるマッピング アドレスを作成する場合に特に便利です。ネットワーク オブジェクトまたはグループを作成するには、「オブジェクトとグループの設定」を参照してください。

オブジェクトおよびグループに関する特定のガイドラインについては、設定する NAT タイプの設定の項を参照してください。「ガイドラインと制限事項」の項も参照してください。

ガイドラインと制限事項

この項では、この機能のガイドラインと制限事項について説明します。

コンテキスト モードのガイドライン

シングル コンテキスト モードとマルチ コンテキスト モードでサポートされています。

ファイアウォール モードのガイドライン

ルーテッド ファイアウォール モードとトランスペアレント ファイアウォール モードでサポートされています。

トランスペアレント モードでは、実際のインターフェイスおよびマッピング インターフェイスを指定する必要があります。 any は使用できません。

トランスペアレント モードでは、インターフェイス PAT を設定できません。トランスペアレント モードのインターフェイスには、IP アドレスが設定されていないためです。管理 IP アドレスもマッピング アドレスとして使用できません。

IPv6 のガイドライン

IPv6 はサポートされません。

その他のガイドライン

特定のオブジェクトに対して 1 つの NAT ルールだけを定義できます。複数の NAT ルールを設定する場合は、 object network obj-10.10.10.1-01 object network obj-10.10.10.1-02 などのように、同じ IP アドレスを指定する複数のオブジェクトを異なる名前で作成する必要があります。

NAT コンフィギュレーションを変更したときに、既存の変換がタイムアウトするまで待機せずに新しい NAT コンフィギュレーションを使用する必要がある場合は、 clear xlate コマンドを使用して変換テーブルを消去できます。ただし、変換テーブルを消去すると、変換を使用している現在の接続がすべて切断されます。


) ダイナミック NAT または PAT ルールを削除し、次に削除したルールに含まれるアドレスと重複するマッピング アドレスを含む新しいルールを追加すると、新しいルールは、削除されたルールに関連付けられたすべての接続がタイムアウトするか、clear xlate コマンドを使用してクリアされるまで使用されません。この予防手段のおかげで、同じアドレスが複数のホストに割り当てられないようにできます。


NAT で使用されるオブジェクトおよびオブジェクト グループを未定義にすることはできません。IP アドレスを含める必要があります。

複数の NAT ルールで同じマッピング オブジェクトまたはグループを使用できます。

マッピング IP アドレス プールは、次のアドレスを含むことができません。

マッピング インターフェイスの IP アドレス。ルールに any インターフェイスを指定すると、すべてのインターフェイスの IP アドレスが拒否されます。インターフェイス PAT(ルーテッド モードのみ)では、IP アドレスではなく、 interface キーワードを使用します。

(トランスペアレント モード)管理 IP アドレス。

(ダイナミック NAT)VPN がイネーブルの場合は、スタンバイ インターフェイスの IP アドレス。

既存の VPN プールのアドレス。

デフォルト設定

(ルーテッド モード)デフォルトの実際のインターフェイスおよびマッピング インターフェイスは Any です。この場合、ルールがすべてのインターフェイスに適用されます。

(8.3(1)、8.3(2)、8.4(1))アイデンティティ NAT のデフォルト動作で、プロキシ ARP はディセーブルにされます。これは設定できません。(8.4(2) 以降)アイデンティティ NAT のデフォルト動作で、プロキシ ARP はイネーブルにされ、他のスタティック NAT ルールに一致します。必要に応じてプロキシ ARP をディセーブルにできます。

オプションのインターフェイスを指定すると、ASA は NAT コンフィギュレーションを使用して出力インターフェイスを決定します。(8.3(1) ~ 8.4(1))唯一の例外はアイデンティティ NAT です。アイデンティティ NAT では、NAT コンフィギュレーションに関係なく、常にルート ルックアップが使用されます。(8.4(2) 以降)アイデンティティ NAT の場合、デフォルト動作では NAT コンフィギュレーションが使用されますが、常にルート ルックアップを使用するように変更できます。

ネットワーク オブジェクト NAT の設定

この項では、ネットワーク オブジェクト NAT を設定する方法について説明します。この項は、次の内容で構成されています。

「ダイナミック NAT の設定」

「ダイナミック PAT(隠蔽)の設定」

「スタティック NAT またはポート変換を設定したスタティック NAT の設定」

「アイデンティティ NAT の設定」

ダイナミック NAT の設定

この項では、ネットワーク オブジェクト NAT を使用してダイナミック NAT を設定する方法について説明します。詳細については、「ダイナミック NAT」を参照してください。

手順の詳細

 

コマンド
目的

ステップ 1

ネットワーク オブジェクト:

object network obj_name

range ip_address_1 ip_address_2

 

ネットワーク オブジェクト グループ:

object-group network grp_name

{ network-object { object net_obj_name | host ip_address } | group-object grp_obj_name }
 
 

hostname(config)# object network TEST

hostname(config-network-object)# range 10.1.1.1 10.1.1.70

 

hostname(config)# object network TEST2

hostname(config-network-object)# range 10.1.2.1 10.1.2.70

 

hostname(config-network-object)# object-group network MAPPED_IPS

hostname(config-network)# network-object object TEST

hostname(config-network)# network-object object TEST2

hostname(config-network)# network-object host 10.1.2.79

(変換先である) マッピング アドレスを指定するには、ネットワーク オブジェクトまたはネットワーク オブジェクト グループを設定します。ネットワーク オブジェクト グループは、オブジェクトまたはインライン アドレス、あるいはその両方を含むことができます。

(注) オブジェクトまたはグループは、サブネットを含むことはできません。

マッピング ネットワーク オブジェクトに範囲とホスト IP アドレスの両方が含まれている場合、ダイナミック NAT には範囲が使用され、ホスト IP アドレスは PAT フォールバックとして使用されます。フォールバックに別の PAT プールを指定すると、ダイナミック NAT にもホスト IP アドレスが使用されます。

拒否されるマッピング IP アドレスについては、「ガイドラインと制限事項」を参照してください。

ネットワーク オブジェクトまたはグループの設定の詳細については、「オブジェクトの設定」を参照してください。

ステップ 2

object network obj_name

 

hostname(config)# object network my-host-obj1

NAT を設定するネットワーク オブジェクトを設定するか、既存のネットワーク オブジェクトについてオブジェクト ネットワーク コンフィギュレーション モードを開始します。

ステップ 3

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }

 

hostname(config-network-object)# subnet 10.1.1.0 255.255.255.0

新しいネットワーク オブジェクトを作成している場合、変換する 実際の IP アドレスを定義します。

ステップ 4

nat [ ( real_ifc , mapped_ifc ) ] dynamic mapped_obj [ pat-pool mapped_obj [ round-robin ]] [ interface ] [ dns ]

 

hostname(config-network-object)# nat (inside,outside) dynamic MAPPED_IPS interface

オブジェクト IP アドレスの ダイナミック NAT を設定します。

(注) 指定したオブジェクトには、1 つの NAT しか定義できません。「その他のガイドライン」を参照してください。

次のガイドラインを参照してください。

インターフェイス:(トランスペアレント モードでは必須)実際のインターフェイスおよびマッピング インターフェイスを指定します。コマンドには、丸カッコを含める必要があります。ルーテッド モードの場合、実際のインターフェイスおよびマッピング インターフェイスを指定しないと、すべてのインターフェイスが使用されます。1 つまたは両方のインターフェイスに any キーワードを指定することもできます。

マッピング IP アドレス:次のものとしてマッピング IP アドレスを指定します。

既存のネットワーク オブジェクト(ステップ 1 を参照)

既存のネットワーク オブジェクト グループ(ステップ 1 を参照)

PAT プール フォールバック:(オプション) pat-pool キーワードにより、フォールバック用アドレスの PAT プールがイネーブルになります。マッピング IP アドレスを使い果たすと、PAT プール アドレスが使用されます。 :マッピング アドレスに実際の送信元ポートを使用できる場合、ASA は、変換時に送信元ポートの値を維持します。 :ダイナミック NAT マッピング IP アドレスにオブジェクト グループを使用して、グループにホスト アドレスを含めた場合に、PAT プールをイネーブルにすると、ホスト アドレスの使用が PAT フォールバックからダイナミック NAT に変更されます。

round-robin キーワードは、PAT プールのラウンドロビン アドレス割り当てをイネーブルにします。デフォルトでは、次の PAT アドレスが使用される前に PAT アドレスのすべてのポートが割り当てられます。ラウンドロビン方式では、最初のアドレスを使用するために戻る前に、プールにある各 PAT アドレスのアドレス/ポートを割り当ててから、2 番目のアドレスを使用する、などのように処理されます。 :ラウンド ロビンでは、ホストは異なる接続の異なる IP アドレスを使用する可能性があるため、ホストに関する情報を交換する 2 つの Web サイトにアクセスするときに問題が生じることがあります。たとえば、e-コマース サイトや支払サイトなどが例として挙げられます。これらのサイトが、1 つのホストとして扱うべきものを 2 つの異なる IP アドレスと見なした場合、トランザクションは失敗することがあります。

 

(続き)

インターフェイス PAT フォールバック:(オプション) interface キーワードは、インターフェイス PAT フォールバックをイネーブルにします。マッピング IP アドレスを使い果たすと、マッピング インターフェイスの IP アドレスが使用されます。このオプションでは、 mapped_ifc に特定のインターフェイスを設定する必要があります。(トランスペアレント モードでは、 interface を指定できません)。

DNS:(オプション) dns キーワードは、DNS 応答を変換します。DNS インスペクションがイネーブルになっていることを確認してください(デフォルトではイネーブルです)。詳細については、「DNS および NAT」を参照してください。

 

次の例では、外部アドレス 10.2.2.1 ~ 10.2.2.10 の範囲の背後に 192.168.2.0 ネットワークを隠すダイナミック NAT を設定します。

hostname(config)# object network my-range-obj
hostname(config-network-object)# range 10.2.2.1 10.2.2.10
hostname(config)# object network my-inside-net
hostname(config-network-object)# subnet 192.168.2.0 255.255.255.0
hostname(config-network-object)# nat (inside,outside) dynamic my-range-obj
 

次の例では、ダイナミック PAT バックアップを設定したダイナミック NAT を設定します。ネットワーク 10.76.11.0 内のホストは、まず nat-range1 プール(10.10.10.10 ~ 10.10.10.20)にマッピングされます。nat-range1 プール内のすべてのアドレスが割り当てられたら、pat-ip1 アドレス(10.10.10.21)を使用してダイナミック PAT が実行されます。PAT 変換もすべて使用されることはほとんどありませんが、このような場合には、外部インターフェイス アドレスを使用してダイナミック PAT が実行されます。

hostname(config)# object network nat-range1
hostname(config-network-object)# range 10.10.10.10 10.10.10.20
 
hostname(config-network-object)# object network pat-ip1
hostname(config-network-object)# host 10.10.10.21
 
hostname(config-network-object)# object-group network nat-pat-grp
hostname(config-network-object)# network-object object nat-range1
hostname(config-network-object)# network-object object pat-ip1
 
hostname(config-network-object)# object network my_net_obj5
hostname(config-network-object)# subnet 10.76.11.0 255.255.255.0
hostname(config-network-object)# nat (inside,outside) dynamic nat-pat-grp interface
 

ダイナミック PAT(隠蔽)の設定

この項では、ネットワーク オブジェクト PAT を使用してダイナミック NAT(隠蔽)ルールを設定する方法について説明します。詳細については、「ダイナミック PAT」を参照してください。

手順の詳細

 

コマンド
目的

ステップ 1

(オプション)

ネットワーク オブジェクト:

object network obj_name

{ host ip_address | range ip_address_1 ip_address_2 }

 

ネットワーク オブジェクト グループ:

object-group network grp_name

{ network-object { object net_obj_name | host ip_address } | group-object grp_obj_name }
 
 

hostname(config)# object network PAT_POOL1

hostname(config-network-object)# range 10.5.1.80 10.7.1.80

 

hostname(config)# object network PAT_POOL2

hostname(config-network-object)# range 10.9.1.1 10.10.1.1

 

hostname(config)# object network PAT_IP

hostname(config-network-object)# host 10.5.1.79

 

hostname(config-network-object)# object-group network PAT_POOLS

hostname(config-network)# network-object object PAT_POOL1

hostname(config-network)# network-object object PAT_POOL2

hostname(config-network)# network-object object PAT_IP

(変換する) マッピング アドレスを指定します。1 つのアドレスを設定できます。PAT プールの場合は、複数のアドレスを設定できます。ネットワーク オブジェクトまたはネットワーク オブジェクト グループを設定できます。ネットワーク オブジェクト グループは、オブジェクトまたはインライン アドレス、あるいはその両方を含むことができます。 nat コマンドのインライン値として 1 つの IP アドレスを入力する場合や、 interface キーワードを指定してインターフェイス アドレスを使用する場合は、この手順をスキップすることもできます。

PAT プールとして使用されるマッピング アドレスの場合、オブジェクトまたはグループのすべてのアドレスは、範囲を含め、PAT アドレスとして使用されます。

(注) オブジェクトまたはグループは、サブネットを含むことはできません。

拒否されるマッピング IP アドレスについては、「ガイドラインと制限事項」を参照してください。

ネットワーク オブジェクトまたはグループの設定の詳細については、「オブジェクトの設定」を参照してください。

ステップ 2

object network obj_name

 

hostname(config)# object network my-host-obj1

NAT を設定するネットワーク オブジェクトを設定するか、既存のネットワーク オブジェクトについてオブジェクト ネットワーク コンフィギュレーション モードを開始します。

ステップ 3

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }

 

hostname(config-network-object)# range 10.1.1.1 10.1.1.90

新しいネットワーク オブジェクトを作成している場合、変換する 実際の IP アドレスを定義します。

ステップ 4

nat [ ( real_ifc , mapped_ifc ) ] dynamic { mapped_inline_host_ip | mapped_obj | pat-pool mapped_obj [ round-robin ] | interface } [ dns ]

 

hostname(config-network-object)# nat (any,outside) dynamic interface

オブジェクト IP アドレスの ダイナミック PAT を設定します。

(注) 指定したオブジェクトには、1 つの NAT しか定義できません。「その他のガイドライン」を参照してください。

次のガイドラインを参照してください。

インターフェイス:(トランスペアレント モードでは必須)実際のインターフェイスおよびマッピング インターフェイスを指定します。コマンドには、丸カッコを含める必要があります。ルーテッド モードの場合、実際のインターフェイスおよびマッピング インターフェイスを指定しないと、すべてのインターフェイスが使用されます。1 つまたは両方のインターフェイスに any キーワードを指定することもできます。

マッピング IP アドレス:マッピング IP アドレスを次のものとして指定できます。

インライン ホスト アドレス。

ホスト アドレスとして定義される既存のネットワーク オブジェクト(ステップ 1を参照)。

pat-pool :複数のアドレスを含む、既存のネットワーク オブジェクトまたはグループ。 :マッピング アドレスに実際の送信元ポートを使用できる場合、ASA は、変換時に送信元ポートの値を維持します。

interface :(ルーテッド モードのみ)マッピング インターフェイスの IP アドレスは、マッピング アドレスとして使用されます。このオプションでは、 mapped_ifc に特定のインターフェイスを設定する必要があります。このキーワードは、インターフェイスの IP アドレスを使用するときに使用する必要があります。インラインで、またはオブジェクトとして入力することはできません。

Round robin:(オプション)PAT プールの場合、 round-robin キーワードは PAT プールのラウンドロビン アドレス割り当てをイネーブルにします。デフォルトでは、次の PAT アドレスが使用される前に PAT アドレスのすべてのポートが割り当てられます。ラウンドロビン方式では、最初のアドレスを使用するために戻る前に、プールにある各 PAT アドレスのアドレス/ポートを割り当ててから、2 番目のアドレスを使用する、などのように処理されます。 :ラウンド ロビンでは、ホストは異なる接続の異なる IP アドレスを使用する可能性があるため、ホストに関する情報を交換する 2 つの Web サイトにアクセスするときに問題が生じることがあります。たとえば、e-コマース サイトや支払サイトなどが例として挙げられます。これらのサイトが、1 つのホストとして扱うべきものを 2 つの異なる IP アドレスと見なした場合、トランザクションは失敗することがあります。

 

(続き)

DNS:(オプション) dns キーワードは、DNS 応答を変換します。DNS インスペクションがイネーブルになっていることを確認してください(デフォルトではイネーブルです)。詳細については、「DNS および NAT」を参照してください。

次の例では、アドレス 10.2.2.2 の背後に 192.168.2.0 ネットワークを隠すダイナミック PAT を設定します。

hostname(config)# object network my-inside-net
hostname(config-network-object)# subnet 192.168.2.0 255.255.255.0
hostname(config-network-object)# nat (inside,outside) dynamic 10.2.2.2
 

次の例では、外部インターフェイス アドレスの背後に 192.168.2.0 ネットワークを隠蔽するダイナミック PAT を設定します。

hostname(config)# object network my-inside-net
hostname(config-network-object)# subnet 192.168.2.0 255.255.255.0
hostname(config-network-object)# nat (inside,outside) dynamic interface
 

スタティック NAT またはポート変換を設定したスタティック NAT の設定

この項では、ネットワーク オブジェクト NAT を使用してスタティック NAT ルールを設定する方法について説明します。詳細については、「スタティック NAT」を参照してください。

手順の詳細

 

コマンド
目的

ステップ 1

(オプション)

ネットワーク オブジェクト:

object network obj_name

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }

 

ネットワーク オブジェクト グループ:

object-group network grp_name

{ network-object { object net_obj_name | subnet_address netmask | host ip_address } | group-object grp_obj_name }
 
 

hostname(config)# object network MAPPED_IPS

hostname(config-network-object)# subnet 10.1.1.0 255.255.255.0

(変換先である) マッピング アドレスを指定するには、ネットワーク オブジェクトまたはネットワーク オブジェクト グループを設定します。ネットワーク オブジェクト グループは、オブジェクトまたはインライン アドレス、あるいはその両方を含むことができます。 nat コマンドのインライン値として IP アドレスを入力する場合や、 interface キーワードを指定してインターフェイス アドレスを使用する場合(ポート変換を設定したスタティック NAT の場合)は、この手順をスキップすることもできます。

拒否されるマッピング IP アドレスについては、「ガイドラインと制限事項」を参照してください。

ネットワーク オブジェクトまたはグループの設定の詳細については、「オブジェクトの設定」を参照してください。

ステップ 2

object network obj_name

 

hostname(config)# object network my-host-obj1

NAT を設定するネットワーク オブジェクトを設定するか、既存のネットワーク オブジェクトについてオブジェクト ネットワーク コンフィギュレーション モードを開始します。

ステップ 3

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }

 

hostname(config-network-object)# subnet 10.2.1.0 255.255.255.0

新しいネットワーク オブジェクトを作成している場合、変換する 実際の IP アドレスを定義します。

ステップ 4

nat [ ( real_ifc , mapped_ifc ) ] static { mapped_inline_ip | mapped_obj | interface } [ dns | service { tcp | udp } real_port mapped_port ] [ no-proxy-arp ]

 

hostname(config-network-object)# nat (inside,outside) static MAPPED_IPS service tcp 80 8080

オブジェクト IP アドレスの スタティック NAT を設定します。

(注) 指定したオブジェクトには、1 つの NAT しか定義できません。「その他のガイドライン」を参照してください。

次のガイドラインを参照してください。

インターフェイス:(トランスペアレント モードでは必須)実際のインターフェイスおよびマッピング インターフェイスを指定します。コマンドには、丸カッコを含める必要があります。ルーテッド モードの場合、実際のインターフェイスおよびマッピング インターフェイスを指定しないと、すべてのインターフェイスが使用されます。1 つまたは両方のインターフェイスに any キーワードを指定することもできます。

マッピング IP アドレス:マッピング IP アドレスを次のものとして指定できます。

インライン IP アドレス。マッピング ネットワークのネットマスクまたは範囲は、実際のネットワークと同じです。たとえば、実際のネットワークがホストの場合、このアドレスは、ホスト アドレスです。範囲の場合、マッピング アドレスには、実際の範囲と同じ数のアドレスが含まれます。たとえば、実際のアドレスが 10.1.1.1 ~ 10.1.1.6 の範囲として定義され、172.20.1.1 をマッピング アドレスとして指定する場合、マッピング範囲には、172.20.1.1 ~ 172.20.1.6 が含まれます。

既存のネットワーク オブジェクト グループ(ステップ 1 を参照)。

interface :(ポート変換を設定したスタティック NAT のみ、ルーテッド モード)このオプションでは、 mapped_ifc に特定のインターフェイスを設定する必要があります。 service キーワードも必ず設定します

通常、1 対 1 のマッピングでは、実際のアドレスと同じ数のマッピング アドレスを設定します。しかし、アドレスの数が一致しない場合もあります。詳細については、「スタティック NAT」を参照してください。

DNS:(オプション) dns キーワードは、DNS 応答を変換します。DNS インスペクションがイネーブルになっていることを確認してください(デフォルトではイネーブルです)。詳細については、「DNS および NAT」を参照してください。 service キーワードを指定した場合、このオプションは使用できません

Port translation:(ポート変換を設定したスタティック NAT のみ) tcp または udp および実際のマッピング ポートを指定します。ポート番号または予約済みポートの名前( ftp など)のいずれかを入力できます。

 

(続き)

No Proxy ARP:(オプション)マッピング IP アドレスに着信したパケットのプロキシ ARP をディセーブルにするには、 no-proxy-arp を指定します。詳細については、「マッピング アドレスとルーティング」を参照してください。

 

 

次の例では、内部にある実際のホスト 10.1.1.1 の、DNS リライトがイネーブルに設定された外部にある 10.2.2.2 へのスタティック NAT を設定します。

hostname(config)# object network my-host-obj1
hostname(config-network-object)# host 10.1.1.1
hostname(config-network-object)# nat (inside,outside) static 10.2.2.2 dns
 

次の例では、内部にある実際のホスト 10.1.1.1 の、マッピングされたオブジェクトを使用する外部にある 2.2.2.2 へのスタティック NAT を設定します。

hostname(config)# object network my-mapped-obj
hostname(config-network-object)# host 10.2.2.2
 
hostname(config-network-object)# object network my-host-obj1
hostname(config-network-object)# host 10.1.1.1
hostname(config-network-object)# nat (inside,outside) static my-mapped-obj
 

次の例では、10.1.1.1 の TCP ポート 21 の、外部インターフェイスのポート 2121 への、ポート変換を使用するスタティック NAT を設定します。

hostname(config)# object network my-ftp-server
hostname(config-network-object)# host 10.1.1.1
hostname(config-network-object)# nat (inside,outside) static interface service tcp 21 2121
 

アイデンティティ NAT の設定

この項では、ネットワーク オブジェクト NAT を使用してアイデンティティ NAT ルールを設定する方法について説明します。詳細については、「アイデンティティ NAT」を参照してください。

手順の詳細

 

コマンド
目的

ステップ 1

(オプション)

object network obj_name

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }
 
 

hostname(config)# object network MAPPED_IPS

hostname(config-network-object)# subnet 10.1.1.0 255.255.255.0

(実際のアドレスと同じ) マッピング アドレスについて、ネットワーク オブジェクトを設定します。 nat コマンドのインライン値として IP アドレスを入力する場合は、この手順をスキップすることもできます。

ネットワーク オブジェクトの設定の詳細については、「オブジェクトの設定」を参照してください。

ステップ 2

object network obj_name

 

hostname(config)# object network my-host-obj1

アイデンティティ NAT を実行するネットワーク オブジェクトを設定するか、既存のネットワーク オブジェクトについてオブジェクト ネットワーク コンフィギュレーション モードを開始します。

ステップ 3

{ host ip_address | subnet subnet_address netmask | range ip_address_1 ip_address_2 }

 

hostname(config-network-object)# subnet 10.1.1.0 255.255.255.0

新しいネットワーク オブジェクトを作成している場合、アイデンティティ NAT を実行する実際の IP アドレスを定義します。ステップ 1 でマッピング アドレスのネットワーク オブジェクトを設定した場合、これらのアドレスは一致する必要があります。

ステップ 4

nat [ ( real_ifc , mapped_ifc ) ] static { mapped_inline_ip | mapped_obj } [ no-proxy-arp ] [ route-lookup ]

 

hostname(config-network-object)# nat (inside,outside) static MAPPED_IPS

オブジェクト IP アドレスの アイデンティティ NAT を設定します。

(注) 指定したオブジェクトには、1 つの NAT しか定義できません。「その他のガイドライン」を参照してください。

次のガイドラインを参照してください。

インターフェイス:(トランスペアレント モードでは必須)実際のインターフェイスおよびマッピング インターフェイスを指定します。コマンドには、丸カッコを含める必要があります。ルーテッド モードの場合、実際のインターフェイスおよびマッピング インターフェイスを指定しないと、すべてのインターフェイスが使用されます。1 つまたは両方のインターフェイスに any キーワードを指定することもできます。

マッピング アドレス:マッピング アドレスと実際のアドレスの両方に同じ IP アドレスを設定してください。次のいずれかを使用します。

ネットワーク オブジェクト:実際のオブジェクトと同じ IP アドレスを含めます(ステップ 1を参照)。

インライン IP アドレス:マッピング ネットワークのネットマスクまたは範囲は、実際のネットワークと同じです。たとえば、実際のネットワークがホストである場合、このアドレスはホストのアドレスになります。範囲の場合は、マッピング アドレスには実際の範囲と同じ数のアドレスが含まれます。たとえば、実際のアドレスが 10.1.1.1 ~ 10.1.1.6 の範囲で定義されている場合、マッピング アドレスとして 10.1.1.1 を指定するには、マッピングされた範囲に 10.1.1.1 ~ 10.1.1.6 が含まれます。

No Proxy ARP:マッピング IP アドレスに着信したパケットのプロキシ ARP をディセーブルにするには、 no-proxy-arp を指定します。詳細については、「マッピング アドレスとルーティング」を参照してください。

ルート ルックアップ:(ルーテッド モードのみ、インターフェイスを指定)NAT コマンドに指定したインターフェイスを使用する代わりに、ルート ルックアップを使用して出力インターフェイスを決定するには、 route-lookup を指定します。詳細については、「出力インターフェイスの決定」を参照してください。

 

次の例では、インラインのマッピング アドレスを使用して、ホスト アドレスを自身にマッピングします。

hostname(config)# object network my-host-obj1

hostname(config-network-object)# host 10.1.1.1

hostname(config-network-object)# nat (inside,outside) static 10.1.1.1

 

次の例では、ネットワーク オブジェクトを使用して、ホスト アドレスを自身にマッピングします。

hostname(config)# object network my-host-obj1-identity

hostname(config-network-object)# host 10.1.1.1

 

hostname(config-network-object)# object network my-host-obj1

hostname(config-network-object)# host 10.1.1.1

hostname(config-network-object)# nat (inside,outside) static my-host-obj1-identity

 

ネットワーク オブジェクト NAT のモニタリング

オブジェクト NAT をモニタするには、次のいずれかのコマンドを入力します。

 

コマンド
目的

show nat

各 NAT ルールのヒットを含む NAT の統計情報を表示します。

show nat pool

割り当てられたアドレスとホスト、および割り当て回数を含む、NAT プールの統計情報を表示します。

show running-config nat

NAT コンフィギュレーションを表示します。

コマンドが定義される場所で表示されます。このコマンド出力によって、オブジェクト、オブジェクト グループ、NAT の順に定義されることが保証されます。次に例を示します。

hostname# show running-config
...
object network obj1
range 192.168.49.1 192.150.49.100
object network obj2
object 192.168.49.100
object network network-1
subnet <network-1>
object network network-2
subnet <network-2>
object-group network pool
network-object object obj1
network-object object obj2
...
object network network-1
nat (inside,outside) dynamic pool
object network network-2
nat (inside,outside) dynamic pool

show xlate

現在の NAT セッション情報を表示します。

ネットワーク オブジェクト NAT の設定例

この項では、次の設定例を示します。

「内部 Web サーバへのアクセスの提供(スタティック NAT)」

「内部ホストの NAT(ダイナミック NAT)および外部 Web サーバの NAT(スタティック NAT)」

「複数のマッピング アドレス(スタティック NAT、1 対多)を持つ内部ロード バランサ」

「FTP、HTTP、および SMTP の単一アドレス(ポート変換を設定したスタティック NAT)」

「マッピング インターフェイス上の DNS サーバ、実際のインターフェイス上の Web サーバ(DNS 修正を設定したスタティック NAT)」

「マッピング インターフェイス上の DNS サーバおよび Web サーバ、Web サーバが変換される(DNS 修正を設定したスタティック NAT)」

内部 Web サーバへのアクセスの提供(スタティック NAT)

次の例では、内部 Web サーバに対してスタティック NAT を実行します。実際のアドレスはプライベート ネットワーク上にあるので、パブリック アドレスが必要です。スタティック NAT は、固定アドレスにある Web サーバへのトラフィックをホストが開始できるようにするために必要です (図 30-1 を参照)。

図 30-1 内部 Web サーバのスタティック NAT

 

ステップ 1 内部 Web サーバのネットワーク オブジェクトを作成します。

hostname(config)# object network myWebServ
 

ステップ 2 Web サーバのアドレスを定義します。

hostname(config-network-object)# host 10.1.2.27
 

ステップ 3 オブジェクトのスタティック NAT を設定します。

hostname(config-network-object)# nat (inside,outside) static 209.165.201.10
 


 

内部ホストの NAT(ダイナミック NAT)および外部 Web サーバの NAT(スタティック NAT)

次の例では、プライベート ネットワーク上の内部ユーザが外部にアクセスする場合、このユーザにダイナミック NAT を設定します。また、内部ユーザが外部 Web サーバに接続する場合、この Web サーバのアドレスが内部ネットワークに存在するように見えるアドレスに変換されます (図 30-2 を参照)。

図 30-2 内部のダイナミック NAT、外部 Web サーバのスタティック NAT

 


ステップ 1 内部アドレスに変換するダイナミック NAT プールのネットワーク オブジェクトを作成します。

hostname(config)# object network myNatPool
hostname(config-network-object)# range 209.165.201.20 209.165.201.30
 

ステップ 2 内部ネットワークのネットワーク オブジェクトを作成します。

hostname(config)# object network myInsNet
hostname(config-network-object)# subnet 10.1.2.0 255.255.255.0
 

ステップ 3 内部ネットワークのダイナミック NAT をイネーブルにします。

hostname(config-network-object)# nat (inside,outside) dynamic myNatPool
 

ステップ 4 外部 Web サーバのネットワーク オブジェクトを作成します。

hostname(config)# object network myWebServ
 

ステップ 5 Web サーバのアドレスを定義します。

hostname(config-network-object)# host 209.165.201.12
 

ステップ 6 Web サーバのスタティック NAT を設定します。

hostname(config-network-object)# nat (outside,inside) static 10.1.2.20
 


 

複数のマッピング アドレス(スタティック NAT、1 対多)を持つ内部ロード バランサ

次の例では、複数の IP アドレスに変換される内部ロード バランサを示しています。外部ホストがマッピング IP アドレスの 1 つにアクセスする場合、1 つのロード バランサのアドレスには変換されません。要求される URL に応じて、トラフィックを正しい Web サーバにリダイレクトします。(図 30-3 を参照)。

図 30-3 内部ロード バランサのスタティック NAT(1 対 多)

 


ステップ 1 ロード バランサをマッピングするアドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network myPublicIPs
hostname(config-network-object)# range 209.165.201.3 209.265.201.8
 

ステップ 2 ロード バランサのネットワーク オブジェクトを作成します。

hostname(config)# object network myLBHost
 

ステップ 3 ロード バランサのアドレスを定義します。

hostname(config-network-object)# host 10.1.2.27
 

ステップ 4 ロード バランサのスタティック NAT を設定します。

hostname(config-network-object)# nat (inside,outside) static myPublicIPs
 


 

FTP、HTTP、および SMTP の単一アドレス(ポート変換を設定したスタティック NAT)

次のポート変換を設定したスタティック NAT の例では、リモート ユーザが FTP、HTTP、および SMTP にアクセスするための単一のアドレスを提供します。実際にはこれらのサーバは、実際のネットワーク上の異なるデバイスですが、各サーバに対して、異なるポートでも同じマッピング IP アドレスを使用するというポート変換ルールを設定したスタティック NAT を指定できます (図 30-4 を参照)。

図 30-4 ポート変換を設定したスタティック NAT

 


ステップ 1 FTP サーバ アドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network FTP_SERVER
 

ステップ 2 FTP サーバのアドレスを定義し、アイデンティティ ポート変換を設定したスタティック NAT を FTP サーバに設定します。

hostname(config-network-object)# host 10.1.2.27
hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcp ftp ftp
 

ステップ 3 HTTP サーバ アドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network HTTP_SERVER
 

ステップ 4 HTTP サーバのアドレスを定義し、アイデンティティ ポート変換を設定したスタティック NAT を HTTP サーバに設定します。

hostname(config-network-object)# host 10.1.2.28
hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcp http http
 

ステップ 5 SMTP サーバ アドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network SMTP_SERVER
 

ステップ 6 SMTP サーバのアドレスを定義し、アイデンティティ ポート変換を設定したスタティック NAT を SMTP サーバに設定します。

hostname(config-network-object)# host 10.1.2.29
hostname(config-network-object)# nat (inside,outside) static 209.165.201.3 service tcp smtp smtp
 


 

マッピング インターフェイス上の DNS サーバ、実際のインターフェイス上の Web サーバ(DNS 修正を設定したスタティック NAT)

たとえば、DNS サーバが外部インターフェイスからアクセス可能であるとします。ftp.cisco.com というサーバが内部インターフェイス上にあります。ftp.cisco.com の実際のアドレス(10.1.3.14)を、外部ネットワーク上で可視のマッピング アドレス(209.165.201.10)にスタティックに変換するように、ASAを設定します (図 30-5 を参照)。この場合、このスタティック ルールで DNS 応答修正をイネーブルにする必要があります。これにより、実際のアドレスを使用して ftp.cisco.com にアクセスすることを許可されている内部ユーザは、マッピング アドレスではなく実際のアドレスを DNS サーバから受信できるようになります。

内部ホストが ftp.cisco.com のアドレスを求める DNS 要求を送信すると、DNS サーバは応答でマッピング アドレス(209.165.201.10)を示します。ASAは、内部サーバのスタティック ルールを参照し、DNS 応答内のアドレスを 10.1.3.14 に変換します。DNS 応答修正をイネーブルにしない場合、内部ホストは ftp.cisco.com に直接アクセスする代わりに、209.165.201.10 にトラフィックを送信することを試みます。

図 30-5 DNS 応答修正

 


ステップ 1 FTP サーバ アドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network FTP_SERVER
 

ステップ 2 FTP サーバのアドレスを定義し、DNS 修正を設定したスタティック NAT を設定します。

hostname(config-network-object)# host 10.1.3.14
hostname(config-network-object)# nat (inside,outside) static 209.165.201.10 dns
 


 

マッピング インターフェイス上の DNS サーバおよび Web サーバ、Web サーバが変換される(DNS 修正を設定したスタティック NAT)

図 30-6 に、外部の Web サーバと DNS サーバを示します。ASAには、外部サーバ用のスタティック変換があります。この場合、ftp.cisco.com のアドレスを DNS サーバに要求すると、DNS サーバは応答で実際のアドレス 209.165.20.10 を示します。ftp.cisco.com のマッピング アドレス(10.1.2.56)が内部ユーザによって使用されるようにするには、スタティック変換に対して DNS 応答修正を設定する必要があります。

図 30-6 外部 NAT を使用する DNS 応答修正

 


ステップ 1 FTP サーバ アドレスのネットワーク オブジェクトを作成します。

hostname(config)# object network FTP_SERVER
 

ステップ 2 FTP サーバのアドレスを定義し、DNS 修正を設定したスタティック NAT を設定します。

hostname(config-network-object)# host 209.165.201.10
hostname(config-network-object)# nat (outside,inside) static 10.1.2.56 dns
 


 

ネットワーク オブジェクト NAT の機能履歴

表 30-1 に、各機能変更と、それが実装されたプラットフォーム リリースを示します。

 

表 30-1 ネットワーク オブジェクト NAT の機能履歴

機能名
プラットフォーム リリース
機能情報

ネットワーク オブジェクト NAT

8.3(1)

ネットワーク オブジェクトの IP アドレスの NAT を設定します。

nat (オブジェクト ネットワーク コンフィギュレーション モード)、 show nat show xlate show nat pool コマンドが導入または変更されました。

アイデンティティ NAT の設定が可能なプロキシ ARP およびルート ルックアップ

8.4(2)

アイデンティティ NAT の以前のリリースでは、プロキシ ARP はディセーブルにされ、出力インターフェイスの決定には常にルート ルックアップが使用されていました。これらを設定することはできませんでした。8.4(2) 以降、アイデンティティ NAT のデフォルト動作は他のスタティック NAT コンフィギュレーションの動作に一致するように変更されました。これにより、デフォルトでプロキシ ARP はイネーブルにされ、NAT コンフィギュレーションにより出力インターフェイスが決定されるようになりました(指定されている場合)。これらの設定をそのまま残すこともできますし、個別にイネーブルまたはディセーブルにすることもできます。通常のスタティック NAT のプロキシ ARP をディセーブルにすることもできるようになっています。

8.3(1)、8.3(2)、8.4(1) から 8.4(2) にアップグレードすると、既存機能を保持するため、すべてのアイデンティティ NAT コンフィギュレーションに no-proxy-arp キーワードと route-lookup キーワードが含まれるようになっています。

nat static [ no-proxy-arp ] [ route-lookup ] のコマンドが変更されました。

PAT プールおよびラウンド ロビン アドレス割り当て

8.4(2)

1 つのアドレスの代わりに、PAT アドレスのプールを指定できるようになりました。PAT アドレスのすべてのポートを使用してからプール内の次のアドレスを使用するのではなく、必要に応じて、PAT アドレスのラウンドロビン割り当てをイネーブルにすることもできます。これらの機能は、1 つの PAT アドレスで多数の接続を行っている場合にそれが DoS 攻撃の対象となることを防止するのに役立ちます。またこの機能により、多数の PAT アドレスを簡単に設定できます。

nat dynamic [ pat-pool mapped_object [ round-robin ]] のコマンドが変更されました。