ネットワーク アドレス変換（NAT）は、登録されていない IP アドレスを使用してインターネットへ接続するプライベート IP インターネットワークをイネーブルにします。NAT はデバイス（通常、2 つのネットワークを接続するもの）で動作し、パケットを別のネットワークに転送する前に、社内ネットワークの（グローバルに一意のアドレスではなく）プライベート IP アドレスを正規の IP アドレスに変換します。NAT は、ネットワーク全体に対して 1 つの IP アドレスだけを外部にアドバタイズするように設定できます。この機能により、1 つの IP アドレスの後ろに内部ネットワーク全体を効果的に隠すことで、セキュリティが強化されます。

NAT が設定されたデバイスには、内部ネットワークと外部ネットワークのそれぞれに接続するインターフェイスが少なくとも 1 つずつあります。標準的な環境では、NAT はスタブ ドメインとバックボーンの間の出口ルータに設定されます。パケットがドメインから出て行くとき、NAT はローカルで意味のある送信元 アドレスをグローバルで一意の アドレスに変換します。パケットがドメインに入ってくる際は、NAT はグローバルに一意な宛先アドレスをローカル アドレスに変換します。出口点が複数存在する場合、個々の NAT は同じ変換テーブルを持っている必要があります。

NAT は RFC 1631 に記述されています。

静的ネットワーク アドレス変換（NAT）を使用すると、ユーザは内部ローカル IP アドレスから内部グローバル IP アドレスへの 1 対 1 変換を構成することができます。これにより、内部から外部トラフィックおよび外部から内部トラフィックへの IP アドレスとポート番号の両方の変換が可能になります。Cisco Nexus デバイスはヒットレス NAT をサポートします。これは、既存の NAT トラフィック フローに影響を与えずに NAT 構成で NAT 変換を追加または削除できることを意味します。

スタティック NAT では、プライベート アドレスからパブリック アドレスへの固定変換が作成されます。スタティック NAT では 1 対 1 ベースでアドレスが割り当てられるため、プライベート アドレスと同じ数のパブリック アドレスが必要です。スタティック NAT では、パブリック アドレスは連続する各接続で同じであり、永続的な変換規則が存在するため、宛先ネットワークのホストは変換済みのホストへのトラフィックを開始できます（そのトラフィックを許可するアクセス リストがある場合）。

静的または、ダイナミック NAT の主な違いは、ダイナミック NAT の場合、変換対象のトラフィックデバイスに受信するまでは、NAT 変換テーブルには変換エントリが存在しません。ダイナミック変換は、新しいエントリ用のスペースを確保するために使用されていない場合、クリアまたはタイムアウトされます。静的エントリは、トラフィックを受信するデバイスに関係なく、常に存在します。ただし、静的 NAT とダイナミック NATの両方で、各ホストは、オーバーロードなどのさまざまな構成に基づいて、後続の変換ごとに異なるアドレスまたはポートを使用できます。

次の図に、一般的なスタティック NAT のシナリオを示します。変換は常にアクティブであるため、変換対象ホストとリモート ホストの両方で接続を生成でき、マップ アドレスは static コマンドによって静的に割り当てられます。

次に、スタティック NAT を理解するのに役立つ主な用語を示します。

• NAT の内部インターフェイス：プライベート ネットワークに面するレイヤ 3 インターフェイス。

• NAT の外部インターフェイス：パブリック ネットワークに面するレイヤ 3 インターフェイス。

• ローカル アドレス：ネットワークの内部（プライベート）部分に表示される任意のアドレス。

• グローバル アドレス：ネットワークの外部（パブリック）部分に表示される任意のアドレス。

• 正規の IP アドレス：Network Information Center（NIC）やサービス プロバイダーにより割り当てられたアドレス。

• 内部ローカル アドレス：内部ネットワーク上のホストに割り当てられた IP アドレス。このアドレスは正規の IP アドレスである必要はありません。

• 外部ローカル アドレス：内部ネットワークから見た外部ホストの IP アドレス。これは、内部ネットワークのルーティング可能なアドレス空間から割り当てられるため、正規のアドレスである必要はありません。

• 内部グローバルアドレス：1 つ以上の内部ローカル IP アドレスを外部に対して表すために使用できる正規の IP アドレス。

• 外部グローバル アドレス：ホスト所有者が外部ネットワーク上のホストに割り当てる IP アドレス。このアドレスは、ルート可能なアドレスまたはネットワーク空間から割り当てられた正規のアドレスです。

ダイナミック ネットワーク アドレス変換（NAT）では、実際のアドレスのグループは、接続先ネットワーク上でルーティング可能なマッピング アドレスのプールに変換されます。またダイナミック NAT では、未登録の IP アドレスと登録済み IP アドレス間で一対一のマッピング確立しますが、通信時にプール内で利用可能な登録済みアドレスによって、マッピングは変化します。

ダイナミック NAT を設定自動Aすると、使用している内部ネットワークと外部ネットワークまたはインターネット間に、ファイウォールが構築されます。ダイナミックNATは、スタブドメイン内で発信された接続のみを許可します。外部ネットワーク上のデバイスは、接続を開始していない限り、ネットワーク内のデバイスに接続できません。

ダイナミック NAT の場合、変換対象のトラフィックデバイスに受信するまでは、NAT 変換テーブルには変換エントリが存在しません。ダイナミック変換は、新しいエントリ用のスペースを確保するために使用されていない場合、クリアまたはタイムアウトされます。通常、 NAT 変換エントリはタイマーに基づいてクリアされます。ダイナミック NAT 変換のデフォルトの最小タイムアウトは 3600 秒です。

（注）	この項で説明している ip nat translation sampling-timeout コマンドはサポートされていません。統計情報はインストール済みの NAT ポリシーに 60 秒ごとに収集されます。これらの統計情報はフローがアクティブかまたはアクティブでないかを決定するために使用されます。

ダイナミックNATは、ポートアドレス変換（PAT）およびアクセスコントロールリスト（ACL）をサポートします。PAT（暗号化ともいう）、オーバーロードは未登録の複数の IP アドレスを、さまざまなポートを使うことによって、登録済みの単一の IP アドレスにマッピングするダイナミック NAT の 1 形態です。

ダイナミック NAT 変換を作成した後は、特に TCAM エントリの数が制限されている場合、新しい変換を作成できるように、使用していないものをクリアする必要があります。このリリースでは、syn-timeout および finrst-timeout がサポートされています。スイッチでは、次のNAT変換タイムアウトタイマーがサポートされています。

スイッチでは、次のNAT変換タイムアウトタイマーがサポートされています。

• syn-timeout：TCP データの パケット タイムアウト値。SYN リクエストを送信後、SYN-ACK 応答を受信するまでの最大待ち時間です。タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

• finrst-timeout ：RST または FIN パケットの受信によって接続が終了したときのフロー エントリのタイムアウト値。RSTパケットとFINパケットの両方の動作を設定するには、同じキーワードを使用します。タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

  接続が確立された後に SYN パケット（SYN >SYN-ACK >FIN）が受信されると、finrst タイマーが開始されます。

  相手側からFIN-ACKを受信すると、変換エントリはすぐにクリアされます。それ以外の場合は、タイムアウト値の完了後にクリアされます。

  接続が確立された後に RST パケットを受信した場合（SYN >SYN-ACK >RST）、変換エントリはすぐにクリアされます。

• tcp-timeout：TCP 変換のタイムアウト値。3 ウェイ ハンドシェイク（SYN、SYN-ACK、ACK）の後に確立した接続の最大待ち時間です。接続が確立された後にアクティブ フローが発生しない場合、変換は設定されたタイム アウト値に従って期限切れになります。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルトは、3600 秒です。

• udp-timeout：すべての NAT UDP パケットのタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルトは、3600 秒です。

• timeout：ダイナミック NAT 変換のタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルトは、3600 秒です。

• icmp-timeout：ICMP パケットのタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルトは、3600 秒です。

（注）	構成されたタイムアウトのないダイナミック エントリを作成すると、3600 秒のデフォルトのタイムアウトが使用されます。デフォルトのタイムアウト値を新しい値に変更した後に作成された変換エントリは、最新のタイムアウト値を取得します。

NAT 内部とは、変換を必要とする組織が所有するネットワークを指します。NAT が設定されている場合、このネットワーク内のホストは、別の空間（グローバル アドレス空間として知られている）にあるものとしてネットワークの外側に現れる 1 つ空間（ローカル アドレス空間として知られている）内のアドレスを持つことになります。

同様に、NAT 外部とは、スタブ ネットワークが接続するネットワークを指します。通常、組織の管理下にはありません。外部ネットワーク内のホストを変換の対象にすることもできるため、これらのホストもローカル アドレスとグローバル アドレスを持つことができます。

NAT では、次の定義が使用されます。

• ローカル アドレス：ネットワークの内側部分に表示されるローカルな IP アドレスです。

• グローバル アドレス：ネットワークの外側部分に表示されるグローバルな IP アドレスです。

• 内部ローカル アドレス：内部ネットワーク上のホストに割り当てられた IP アドレス。このアドレスは、多くの場合、インターネット ネットワーク情報センター（InterNIC）やサービス プロバイダーにより割り当てられた正規の IP アドレスではありません。

• 内部グローバル アドレス：外部に向けて、1 つ以上の内部ローカル IP アドレスを表現した正規の IP アドレス（InterNIC またはサービス プロバイダーにより割り当てられたもの）。

• 外部ローカル アドレス：内部ネットワークから見た外部ホストの IP アドレス。必ずしも正規のアドレスでありません。内部でルート可能なアドレス空間から割り当てられたものです。

• 外部グローバル アドレス：外部ネットワークに存在するホストに対して、ホストの所有者により割り当てられた IP アドレス。このアドレスは、グローバルにルート可能なアドレス、またはネットワーク空間から割り当てられたものです。

Cisco NX-OS は、ダイナミック NAT のプールをサポートします。ダイナミック NAT を使用すると、グローバル アドレスのプールを設定して、新しい変換ごとにプールからグローバル アドレスを動的に割り当てることができます。アドレスは、セッションが期限切れになるか、閉じられた後にプールに返されます。これにより、要件に基づいてアドレスをより効率的に使用できます。

PAT のサポートには、グローバル アドレス プールの使用が含まれます。これにより、IP アドレスの使用率がさらに最適化されます。PAT は、ポート番号を使用して、一度に 1 つの IP アドレスを使い果たします。ポートが該当グループで見つけられなかった場合や、複数の IP アドレスが設定されている場合、PAT は次の IP アドレスに移動して、ユーザー定義プールに基づいて、（ソース ポートを無視するか、それを保存しようと試みて）割り当てを取得します。

ダイナミック NAT および PAT では、各ホストは変換するたびに異なるアドレスまたはポートを使用します。ダイナミック NAT とスタティック NAT の主な違いは、スタティック NAT ではリモート ホストが変換済みのホストへの接続を開始でき（それを許可するアクセス リストがある場合）、ダイナミック NAT では開始できないという点です。

スタティック NAT 設定時の注意事項および制約事項は、次のとおりです。

• NAT は、IPv4 ユニキャストだけでサポートされています。

• 変換された IP が、外部インターフェイス サブネットの一部である場合、NAT の外部インターフェイスで ip proxy-arp コマンドを使用します。add-route キーワードを使用する場合は、ip proxy-arp を有効にする必要があります。

• Cisco Nexus デバイスは、次のインターフェイスタイプで NAT をサポートします。

  • スイッチ仮想インターフェイス（SVI）

  • 物理層レイヤ 3 インターフェイス

  • ポート チャンネル レイヤ 3 インターフェイス

• 非 TCP/UDP パケットは、常にソフトウェア変換されます。

• キーワードが付いている show コマンドはサポートされていません。 internal

• IP アドレスがスタティック NAT 変換または PAT 変換に使用される場合、他の目的には使用できません。たとえば、インターフェイスに割り当てることはできません。

• （100 を超える）多数の変換を設定する場合、変換を設定してから NAT インターフェイスを設定する方が迅速に設定できます。

• Twice NAT はサポートされていません。

• NAT の内部ルールと外部ルールを同時に構成することはサポートされていません。

• IP NAT 内部または IP NAT 外部などの NAT 構成は、ループバック インターフェイスではサポートされていません。

ダイナミックネットワークアドレス変換（NAT）には、次の制約事項が適用されます。

• キーワードが付いている show コマンドはサポートされていません。 internal

• VXLANルーティングはCisco Nexusデバイスではサポートされません。

• フラグメント化されたパケットはサポートされません。

• アプリケーション層ゲートウェイ（ALG）変換はサポートされていません。ALG、またはアプリケーションレベル ゲートウェイは、アプリケーション パケットのペイロード内の IP アドレス情報を変換するアプリケーションです。

• 出力 ACL は、変換されたパケットには適用されません。

• MIB はサポートされていません。

• Cisco Data Center Network Manager（DCNM）はサポートされていません。

• Cisco Nexusデバイスでは、複数のグローバル仮想デバイスコンテキスト（VDC）はサポートされていません。

• ダイナミックNAT変換は、アクティブデバイスおよびスタンバイデバイスと同期されません。

• ステートフルNATはサポートされていません。ただし、NATとHot Standby Router Protocol（HSRP）は共存できます。

• のタイムアウト値は、設定されたタイムアウト+ 119秒までかかります。

• ダイナミックNATでは、プールのオーバーロードとインターフェイスのオーバーロードは外部NATではサポートされません。

• Cisco Nexus デバイスは、インターフェイス上で同時に設定された NAT および VLAN アクセス コントロール リスト（VACL）。

• [ ip nat 内部（ip nat inside）] または [ip nat 外部（ip nat outside）] などの NAT 構成は、ループバック インターフェイスではサポートされていません。