内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

設定

ネットワーク図

コンフィギュレーション

確認

トラブルシュート

要約

関連情報

はじめに

このドキュメントでは、ip nat outside source static コマンドを使用した設定と、NATプロセスの結果としてのIPパケットについて説明します。

前提条件

要件

次の項目に関する専門知識があることが推奨されます。

- NAT：ローカルおよびグローバルの定義

使用するコンポーネント

このドキュメントの情報は、Cisco IOS(R) ソフトウェア リリース 12.2(27) が稼働する Cisco 2500 シリーズ ルータに基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

このドキュメントには、ip nat outside source static コマンドを使用した設定例が記載されています。また、NAT プロセスにおいて IP パケットがどのように処理されるかについても簡単に説明しています。例として、このドキュメントで示されているネットワーク トポロジを取り上げます。

設定

注：このドキュメントで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。内部ツールと情報にアクセスできるのは、登録されたシスコのユーザのみです。

ネットワーク図

このドキュメントでは、次のネットワーク設定を使用します。

ネットワーク図

ルータ2514WのLoopback1インターフェイスを送信元、ルータ2501EのLoopback0インターフェイスを宛先にしてpingを発行すると、次のようになります。

- ルータ2514Xの外部インターフェイス(S1)では、pingパケットの送信元アドレス(SA)は172.16.89.32、宛先アドレス(DA)は172.16.68.1になっています。

- NATはSAを外部ローカルアドレス172.16.68.5(ルータ2514Xで設定されたip nat outside source static コマンドに対応)に変換します。

- 次に、ルータ2514Xはルーティングテーブルで172.16.68.1へのルートをチェックします。

- ルートが存在しない場合、ルータ2514Xはパケットをドロップします。この例では、ルータ2514Xには172.31.1.0へのスタティックルートを経由した172.16.68.1へのルートがあります。 パケットは宛先に転送されます。

- ルータ2501Eは、172.16.68.5のSAと172.16.68.1のDAを持つ着信インターフェイス(E0)上のパケットを確認します。

- 172.16.68.5にインターネット制御メッセージプロトコル(ICMP)エコー応答を送信する。ルートがない場合はパケットを廃棄します。

- この例では（デフォルト）ルートがあります。

- したがって、ルータ2514Xに応答パケットを送信し、SAは172.16.68.1、DAは172.16.68.5になります。

- ルータ2514Xはパケットを確認し、アドレス172.16.68.5へのルートをチェックします。

- 経路がない場合、ICMP 到達不能応答で応答します。

- この例では、172.16.68.5 へのルートは存在します（スタティック ルートを使用）。

- したがって、このパケットは元の 172.16.89.32 アドレスに変換されて、外部インターフェイス（S1）に転送されます。

コンフィギュレーション

このドキュメントでは、次のコンフィギュレーションを使用します。

- ルータ2514W

- ルータ2514X

- ルータ2501E

ルータ2514W

hostname 2514W

!

!--- Output suppressed.

interface Loopback1

ip address 172.16.89.32 255.255.255.0

!

interface Ethernet1

no ip address

no ip mroute-cache

!

interface Serial0

ip address 172.16.191.254 255.255.255.252

no ip mroute-cache

!

!--- Output suppressed.

ip classless

ip route 0.0.0.0 0.0.0.0 172.16.191.253

!--- Default route to forward packets to 2514X.

!

!--- Output suppressed.

ルータ2514X

hostname 2514X

!

!--- Output suppressed.

ip nat outside source static 172.16.89.32 172.16.68.5

!--- Outside local address.

!

!--- Output suppressed.

interface Ethernet1

ip address 172.31.192.202 255.255.255.0

ip nat inside

!--- Defines Ethernet 1 as a NAT inside interface.

no ip mroute-cache

no ip route-cache

!

interface Serial1

ip address 172.16.191.253 255.255.255.252

no ip route-cache

ip nat outside

!--- Defines Serial 1 as a NAT outside interface.

clockrate 2000000

!

!--- Output suppressed.

ip classless

ip route 172.31.1.0 255.255.255.0 172.31.192.201

ip route 172.31.16.0 255.255.255.0 172.16.191.254

!--- Static routes for reaching the loopback interfaces

!--- on 2514E and 2514W.

!

!--- Output suppressed.

ルータ2501E

hostname rp-2501E

!

!--- Output suppressed.

interface Loopback0

ip address 172.16.68.1 255.255.255.0

!

interface Ethernet0

ip address 172.31.192.201 255.255.255.0

!

!--- Output suppressed.

ip classless

ip route 0.0.0.0 0.0.0.0 172.31.192.202

!--- Default route to forward packets to 2514X.

!

!--- Output suppressed.

確認

注：内部ツールおよび情報にアクセスできるのは、登録済みのシスコユーザーのみです。

Cisco CLIアナライザを使用して、showコマンド出力の解析を表示します。 Cisco CLI Analyzer(OIT)では、いくつかのshowコマンドをサポートしています。

変換エントリを確認するには、次の出力に示すようにshow ip nat translations コマンドを使用します。

2514X#show ip nat translations

Pro Inside global      Inside local       Outside local      Outside global

--- ---                ---                172.16.68.5        172.16.89.32

2514X#

トラブルシュート

この例では、NATプロセスを示すために、NAT変換デバッグとIPパケットデバッグを使用します。

注：debugコマンドは大量の出力を生成するため、使用するのはIPネットワークのトラフィックが少なく、システムの他の機能が悪影響を受けない場合だけにしてください。

注：debug コマンドを使用する前に、『debug コマンドの重要な情報』を参照してください。

この出力は、ルータ2514Wのloopback1インターフェイスアドレス(172.16.89.32)からルータ2501のE loopback0インターフェイスアドレス(172.16.68.1)にpingを実行しながら、ルータ2514Xでdebug ip packetコマンドとdebug ip natコマンドを同時に使用した場合の結果です。

この出力は、ルータ2514Xの外部インターフェイスに到達した最初のパケットを示します。172.16.89.32 の送信元アドレスは 172.16.68.5 に変換されます。ICMP パケットは Ethernet1 インターフェイス外部の送信先に向けて転送されます。

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [171]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

この出力では、172.16.68.1 からのリターン パケットの宛先アドレスが 172.16.68.5 から 172.16.89.32 に変換されることが示されています。結果のICMPパケットがSerial1インターフェイスから転送されます。

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [171]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

ICMP パケットの交換は継続されます。このデバッグ出力の NAT プロセスは、上の出力と同じです。

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [172]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [172]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [173]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [173]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [174]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [174]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

5d17h: NAT: s=172.16.89.32->172.16.68.5, d=172.16.68.1 [175]

5d17h: IP: tableid=0, s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), routed

via RIB

5d17h: IP: s=172.16.68.5 (Serial0), d=172.16.68.1 (Ethernet0), g=172.31.192.201,

len 100, forward

5d17h:     ICMP type=8, code=0

5d17h: IP: tableid=0, s=172.16.68.1 (Ethernet0), d=172.16.68.5 (Serial0), routed

via RIB

5d17h: NAT: s=172.16.68.1, d=172.16.68.5->172.16.89.32 [175]

5d17h: IP: s=172.16.68.1 (Ethernet0), d=172.16.89.32 (Serial0), g=172.16.191.254,

len 100, forward

5d17h:     ICMP type=0, code=0

要約

パケットが外部から内部に移動する場合は、先に変換が行われてから、ルーティング テーブルで宛先がチェックされます。パケットが内部から外部へ移動するとき、まず送信先についてルーティング テーブルをチェックしてから次に変換が行われます。詳細については、『NAT の処理順序』を参照してください。

上記の各コマンドとともに使用した場合に変換されるIPパケットの部分は取り上げないでください。次の表にガイドラインを示します。

コマンド

アクション

ip nat outside source static

- 外部から内部へ移動する IP パケットの発信元を変換します。

- 内部から外部へ移動する IP パケットの宛先を変換します。

ip nat inside source static

- 内部から外部へ移動する IP パケットの発信元を変換します。

- 外部から内部へ移動する IP パケットの宛先を変換します。

これらのガイドラインは、パケットの変換方法が複数あることを示しています。特定のニーズに基づいて、NATインターフェイス（内部または外部）の定義方法と、変換前または変換後にルーティングテーブルに含まれるルートを決定する必要があります。パケットのどの部分が変換されるかは、パケットの移動方向と NAT の設定によって決定されるということを常に念頭に置いてください。

関連情報

- ip nat outside source list コマンドを使用した設定例

- ネットワークアドレス変換の設定

- NAT IPアドレッシングサービス

- シスコのテクニカルサポートとダウンロード