ネットワーク アドレス変換（NAT）は、登録されていない IP アドレスを使用してインターネットへ接続するプライベート IP インターネットワークをイネーブルにします。NAT はデバイス（通常、2 つのネットワークを接続するもの）で動作し、パケットを別のネットワークに転送する前に、社内ネットワークの（グローバルに一意のアドレスではなく）プライベート IP アドレスを正規の IP アドレスに変換します。NAT は、ネットワーク全体に対して 1 つの IP アドレスだけを外部にアドバタイズするように設定できます。この機能により、1 つの IP アドレスの後ろに内部ネットワーク全体を効果的に隠すことで、セキュリティが強化されます。

NAT が設定されたデバイスには、内部ネットワークと外部ネットワークのそれぞれに接続するインターフェイスが少なくとも 1 つずつあります。標準的な環境では、NAT はスタブ ドメインとバックボーンの間の出口ルータに設定されます。パケットがドメインから出て行くとき、NAT はローカルで意味のある送信元 アドレスをグローバルで一意の アドレスに変換します。パケットがドメインに入ってくる際は、NAT はグローバルに一意な宛先アドレスをローカル アドレスに変換します。出口点が複数存在する場合、個々の NAT は同じ変換テーブルを持っている必要があります。

NAT は RFC 1631 に記述されています。

スタティック ネットワーク アドレス変換（NAT）を使用すると、ユーザは内部ローカル アドレスから外部グローバル アドレスへの 1 対 1 変換を設定することができます。これにより、内部から外部トラフィックおよび外部から内部トラフィックへの IP アドレスとポート番号の両方の変換が可能になります。Cisco Nexus デバイス はヒットレス NAT をサポートします。これは、既存の NAT トラフィック フローに影響を与えずに NAT 設定で NAT 変換を追加または削除できることを意味します。

スタティック NAT では、プライベート アドレスからパブリック アドレスへの固定変換が作成されます。スタティック NAT では 1 対 1 ベースでアドレスが割り当てられるため、プライベート アドレスと同じ数のパブリック アドレスが必要です。スタティック NAT では、パブリック アドレスは連続する各接続で同じであり、永続的な変換規則が存在するため、宛先ネットワークのホストは変換済みのホストへのトラフィックを開始できます（そのトラフィックを許可するアクセス リストがある場合）。

ダイナミック NAT およびポート アドレス変換（PAT）では、各ホストは後続する変換ごとに異なるアドレスまたはポートを使用します。ダイナミック NAT とスタティック NAT の主な違いは、スタティック NAT ではリモート ホストが変換済みのホストへの接続を開始でき（それを許可するアクセス リストがある場合）、ダイナミック NAT では開始できないという点です。

次の図に、一般的なスタティック NAT のシナリオを示します。変換は常にアクティブであるため、変換対象ホストとリモート ホストの両方で接続を生成でき、マップ アドレスは static コマンドによって静的に割り当てられます。

次に、スタティック NAT を理解するのに役立つ主な用語を示します。

• NAT の内部インターフェイス：プライベート ネットワークに面するレイヤ 3 インターフェイス。

• NAT の外部インターフェイス：パブリック ネットワークに面するレイヤ 3 インターフェイス。

• ローカル アドレス：ネットワークの内部（プライベート）部分に表示される任意のアドレス。

• グローバル アドレス：ネットワークの外部（パブリック）部分に表示される任意のアドレス。

• 正規の IP アドレス：Network Information Center（NIC）やサービス プロバイダーにより割り当てられたアドレス。

• 内部ローカル アドレス：内部ネットワーク上のホストに割り当てられた IP アドレス。このアドレスは正規の IP アドレスである必要はありません。

• 外部ローカル アドレス：内部ネットワークから見た外部ホストの IP アドレス。これは、内部ネットワークのルーティング可能なアドレス空間から割り当てられるため、正規のアドレスである必要はありません。

• 内部グローバルアドレス：1 つ以上の内部ローカル IP アドレスを外部に対して表すために使用できる正規の IP アドレス。

• 外部グローバル アドレス：ホスト所有者が外部ネットワーク上のホストに割り当てる IP アドレス。このアドレスは、ルート可能なアドレスまたはネットワーク空間から割り当てられた正規のアドレスです。

ダイナミック Network Address Translation (NAT) では、実際の IP アドレスのグループは、宛先ネットワーク上でルーティング可能なマッピング IP アドレスのプールに変換されます。ダイナミックNATは、未登録のIPアドレスと登録済みのIPアドレスの間に 1 対 1 のマッピングを確立します。ただし、マッピングは、通信時に使用可能な登録済み IP アドレスによって異なります。

ダイナミック NAT を設定自動Aすると、使用している内部ネットワークと外部ネットワークまたはインターネット間に、ファイウォールが構築されます。ダイナミックNATは、スタブドメイン内で発信された接続のみを許可します。外部ネットワーク上のデバイスは、接続を開始していない限り、ネットワーク内のデバイスに接続できません。

ダイナミック NAT の場合、変換対象のトラフィックデバイスに受信するまでは、NAT 変換テーブルには変換エントリが存在しません。ダイナミック変換は、新しいエントリ用のスペースを確保するために使用されていない場合、クリアまたはタイムアウトされます。通常、NAT変換エントリは、Ternary Content Addressable Memory（TCAM）エントリが制限されるとクリアされます。ダイナミックNAT変換のデフォルトの最小タイムアウトは30分です。 ip nat translation sampling-timeout コマンドのサンプリングタイムアウトの最小値は、30 分から 15 分に短縮されました。

ダイナミック NAT 変換のタイムアウトには、サンプリングタイムアウト値と TCP または UDP タイムアウト値の両方が含まれます。サンプリングタイムアウトは、デバイスが動的変換アクティビティをチェックするまでの時間を指定します。デフォルト値は12時間です。他のすべてのタイムアウトは、sample-timeoutがタイムアウトした後にのみ開始されます。サンプリングタイムアウト後、デバイスはこの変換にヒットしているパケットを検査します。このチェックは、TCPまたはUDPのタイムアウト期間に行われます。TCPまたはUDPタイムアウト期間のパケットがない場合、変換はクリアされます。変換でアクティビティが検出されると、チェックはすぐに停止され、サンプリングタイムアウト期間が開始されます。

この新しいサンプリングタイムアウト期間を待機した後、デバイスはダイナミック変換アクティビティを再度チェックします。アクティビティチェック中に、TCAMはダイナミックNAT変換に一致するパケットのコピーをCPUに送信します。コントロールプレーンポリシング（CoPP）が低しきい値に設定されている場合、TCPまたはUDPパケットがCPUに到達しない可能性があり、CPUはこれをNAT変換の非アクティブと見なします。

ダイナミックNATは、ポートアドレス変換（PAT）およびアクセスコントロールリスト（ACL）をサポートします。PAT（暗号化ともいう）、オーバーロードは未登録の複数の IP アドレスを、さまざまなポートを使うことによって、登録済みの単一の IP アドレスにマッピングするダイナミック NAT の 1 形態です。NAT設定には、同じまたは異なるACLを持つ複数のダイナミックNAT変換を含めることができます。ただし、特定のACLに対して指定できるインターフェイスは1つだけです。

ダイナミック NAT 変換を作成した後は、特に TCAM エントリの数が制限されている場合、新しい変換を作成できるように、使用していないものをクリアする必要があります。Cisco NX-OSリリース 7.xは syn-timeout および finrst-timeout をサポートします。スイッチでは、次の NAT 変換タイムアウト タイマーがサポートされています。

• syn-timeout ：TCP データの パケット タイムアウト値。SYN リクエストを送信後、SYN-ACK 応答を受信するまでの最大待ち時間です。

  タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

• finrst-timeout ：RST または FIN パケットの受信によって接続が終了したときのフロー エントリのタイムアウト値。RSTパケットとFINパケットの両方の動作を設定するには、同じキーワードを使用します。

  • 接続が確立された後にRSTパケットが受信されると（SYN-> SYN-ACK-> RST）、フローは設定されたタイムアウト値の後に期限切れになります。

  • 接続が確立された後にSYNパケット（SYN-> SYN-ACK-> FIN）が受信されると、finrstタイマーが開始されます。

  • 相手側からFIN-ACKを受信すると、変換エントリはすぐにクリアされます。それ以外の場合は、タイムアウト値の完了後にクリアされます。

    （注）	ダイナミックプールベースの設定を使用し、FIN-ACKを受信した場合、変換エントリはクリアされません。

  タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

• tcp-timeout ：TCP 変換のタイムアウト値。3 ウェイ ハンドシェイク（SYN、SYN-ACK、ACK）の後に確立した接続の最大待ち時間です。接続が確立された後にアクティブ フローが発生しない場合、変換は設定されたタイム アウト値に従って期限切れになります。このタイムアウト値は、サンプリング タイムアウト値の完了後に開始されます。

  タイムアウト値の範囲は、1 ～ 172800 秒です。これにはサンプリングタイムアウトも含まれます。

• udp-timeout ：すべての NAT UDP パケットのタイムアウト値。

  タイムアウト値の範囲は、1 ～ 172800 秒です。これにはサンプリングタイムアウトも含まれます。

• timeout：ダイナミック NAT 変換のタイムアウト値。

  タイムアウト値の範囲は、1 ～ 172800 秒です。これにはサンプリングタイムアウトも含まれます。

• sampling-timeout ：デバイスがダイナミック変換アクティビティをチェックするまでの時間。

  タイムアウト値の範囲は、1 ～ 172800 秒です。

tcp-timeout、udp-timeout、および timeout 値のタイマーは、ip nat translation sampling-timeout コマンドで設定されているタイムアウトの期限が切れた後にトリガーされます。

（注）	上記のタイマーはすべて、期限が切れるまでさらに時間がかかります（1 〜 30 秒）。この追加時間は、パフォーマンスと最適化のためにタイマー期限切れイベントをランダム化するためのものです。

NAT 内部とは、変換を必要とする組織が所有するネットワークを指します。NAT が設定されている場合、このネットワーク内のホストは、別の空間（グローバル アドレス空間として知られている）にあるものとしてネットワークの外側に現れる 1 つ空間（ローカル アドレス空間として知られている）内のアドレスを持つことになります。

同様に、NAT 外部とは、スタブ ネットワークが接続するネットワークを指します。通常、組織の管理下にはありません。外部ネットワーク内のホストを変換の対象にすることもできるため、これらのホストもローカル アドレスとグローバル アドレスを持つことができます。

ダイナミック NAT を使用すると、グローバル アドレスのプールを設定して、新しい変換ごとにプールからグローバル アドレスを動的に割り当てることができます。アドレスは、セッションが期限切れになるか、閉じられた後にプールに返されます。これにより、要件に基づいてアドレスをより効率的に使用できます。

PAT のサポートには、グローバル アドレス プールの使用が含まれます。これにより、IP アドレスの使用率がさらに最適化されます。PAT は、ポート番号を使用して、一度に 1 つの IP アドレスを使い果たします。ポートが該当グループで見つけられなかった場合や、複数の IP アドレスが設定されている場合、はユーザー定義プールに基づいて、（ソース ポートを無視するか、それを保存しようと試みて）割り当てを取得します。

ダイナミック NAT および PAT では、各ホストは変換するたびに異なるアドレスまたはポートを使用します。ダイナミック NAT とスタティック NAT の主な違いは、スタティック NAT ではリモート ホストが変換済みのホストへの接続を開始でき（それを許可するアクセス リストがある場合）、ダイナミック NAT では開始できないという点です。

送信元 IP アドレスと宛先 IP アドレスの両方が、ネットワークアドレス変換（NAT）デバイスを通過する単一のパケットとして変換される場合、Twice NAT と呼ばれます。Twice NAT は、スタティックおよびダイナミック変換でサポートされます。

Twice NAT では、2 つの NAT 変換（1 つは内部、もう 1 つは変換）を変換グループの一部として設定できます。これらの変換は、NAT デバイスを通過する単一のパケットに適用できます。グループの一部として 2 つの変換を追加すると、個々の変換と結合された変換の両方が有効になります。

NAT 内部変換は、パケットが内部から外部に流れるときに送信元 IP アドレスとポート番号を変更します。パケットが外部から内部に戻るときに、宛先 IP アドレスとポート番号を変更します。NAT 外部変換は、パケットが外部から内部に流れるときに送信元 IP アドレスとポート番号を変更し、パケットが内部から外部に戻るときに宛先 IP アドレスとポート番号を変更します。

Twice NAT を使用しない場合、送信元 IP アドレスとポート番号、または宛先 IP アドレスとポート番号のいずれか 1 つの変換ルールのみがパケットに適用されます。

同じグループに属するスタティック NAT 変換は、Twice NAT 設定の対象となります。スタティック設定にグループ ID が設定されていない場合、Twice NAT 設定は機能しません。グループ ID で識別される単一のグループに属するすべての内部および外部 NAT 変換は、ペアになって Twice NAT 変換を形成します。

ダイナミック双方向 NAT 変換は、事前定義された ip nat pool または インターフェイス オーバーロード 設定から、送信元 IP アドレスとポート番号の情報を動的に選択します。パケット フィルタリングは ACL の設定によって行われ、トラフィックはダイナミック NAT 変換ルールの方向から発信される必要があります。そのため、送信元変換はダイナミック NAT ルールを使用して行われます。

ダイナミック Twice NAT では、2 つの NAT 変換（内部と外部）を変換グループの一部として設定できます。1 つの変換はダイナミックで、他の変換はスタティックである必要があります。これらの 2 つの変換が変換のグループの一部である場合、内部から外部または外部から内部のいずれかで NAT デバイスを通過するときに、両方の変換を 1 つのパケットに適用できます。

スタティック NAT 設定時の注意事項および制約事項は、次のとおりです。

• NAT は、スタティック NAT とダイナミック NAT の両方を含む最大 1024 の変換をサポートします。

• Cisco Nexus 3500 シリーズ スイッチは、vPC トポロジでの NAT をサポートしていません。

• Cisco Nexus デバイスは、次のインターフェイス タイプ上の NAT をサポートします。

  • スイッチ仮想インターフェイス（SVI）

  • ルーテッド ポート

  • レイヤ 3 ポート チャネル

• NAT は、IPv4 ユニキャストだけでサポートされています。

• Cisco Nexus デバイスは、次をサポートしません。

  • アプリケーション層の変換。レイヤ 4 およびその他の組み込み IP は変換されません（FTP、ICMP の障害、IPSec、HTTPS など）。

  • インターフェイス上で同時に設定された NAT および VLAN アクセス コントロール リスト（VACL）。

  • フラグメント化された IP パケットの PAT 変換。

  • ソフトウェア転送パケットの NAT 変換。たとえば、IP オプションを持つパケットは NAT 変換されません。

• 出力 ACL は元のパケットに適用され、NAT 変換済みパケットには適用されません。

• デフォルトでは、NAT は 256 TCAM エントリで最大 127 の変換まで実行できます。より多くの NAT 変換が必要な場合は、他のエリア内の TCAM リージョン割り当てを減らしてから、hardware profile tcam region nat コマンドを使用して、NAT TCAM リージョンを増やします。

• HSRP および VRRP は NAT 内部アドレスではサポートされますが、NAT 外部アドレスではサポートされません。

• ワープ モード遅延パフォーマンスは、外部から内部ドメインに着信するパケットではサポートされません。

• IP アドレスがスタティック NAT 変換または PAT 変換に使用される場合、他の目的には使用できません。たとえば、インターフェイスに割り当てることはできません。

• スタティック NAT の場合は、外部グローバル IP アドレスが外部インターフェイス IP アドレスと異なる必要があります。

• 変換された IP が、外部インターフェイス サブネットの一部である場合、NAT の外部インターフェイスで ip local-proxy-arp コマンドを使用します。

• NAT 統計情報は利用できません。

• （100 を超える）多数の変換を設定する場合、変換を設定してから NAT インターフェイスを設定する方が迅速に設定できます。

• インターフェイスで一度に有効にできるのは、次の機能のいずれか1つだけです。これらの機能の1つ以上がインターフェイスで有効になっている場合、最後に有効になっている機能のみが機能します。

  • NAT
  • DHCP リレー
  • VACL

• 127 を超える PD NAT スタティック エントリは、一貫性のない CoPP ハードウェア カウンタの増分を行うハードウェアの制限によりサポートされません。

ダイナミック双方向 NAT の設定については、次の注意事項を参照してください。

• ダイナミック双方向 NATでは、スタティック NAT フローを作成する前にダイナミック NAT フローを作成しないと、ダイナミック双方向 NAT フローが正しく作成されません。

• 空の ACL が作成されると、permit ip any any のデフォルト ルールが設定されます。最初の ACL が空白の場合、NAT-ACL はそれ以上の ACL エントリに一致しません。

• TCAM スペースを最適に使用するためにサポートされる ICMP 変換またはフローエントリの最大数は 176 です。

• 冗長アクセス制御エントリ（ACE）を含むパント ACL を使用して NAT が構成されている場合は、NAT TCAM を十分に活用できません。最適な NAT パフォーマンスとリソース使用率を確保するために、冗長 ACE でパント ACL を構成しないようにすることを推奨します。

• NAT は ECMP 対応であり、最大 24 の ECMP パスをサポートします。

• Cisco NX-OS リリース 9.x は、Cisco Nexus 3548 スイッチのネットワーク アドレス変換 (NAT) 統計情報をサポートします。

• traceroute は、スタティックおよびダイナミック NAT ではサポートされていません。

VRF 対応 NAT は、スタティックおよびダイナミック NAT 設定でサポートされます。トラフィックが、デフォルト以外の VRF（内部）から同じデフォルト以外の VRF（外部）に流れるように設定されている場合、IP NAT コマンドの match-in-vrf オプションを指定する必要があります。 

トラフィックが、デフォルト以外の VRF（内部）からデフォルトの VRF（外部）に流れるように設定されている場合、IP NAT コマンドの match-in-vrf オプションを指定することはできません。NAT の内部設定がデフォルトの VRF インターフェイスで設定されている場合、NAT の外部設定はデフォルト以外の VRF インターフェイスではサポートされません。

NAT 内部インターフェイスの異なる VRF 間で重複したアドレスが設定されている場合、NAT 外部インターフェイスをデフォルトの VRF インターフェイスにすることはできませんたとえば、vrfA と vrfB が同じ送信元サブネットを持つ NAT 内部インターフェイスとして設定され、NAT 外部インターフェイスはデフォルト VRF として設定されていたとします。このような設定では、NAT 外部インターフェイスから NAT 内部インターフェイスへのパケットのルーティングがあいまいであるため、NAT はサポートされません。