ネットワーク アドレス変換（NAT）は、登録されていない IP アドレスを使用してインターネットへ接続するプライベート IP インターネットワークをイネーブルにします。NAT はデバイス（通常、2 つのネットワークを接続するもの）で動作し、パケットを別のネットワークに転送する前に、社内ネットワークの（グローバルに一意のアドレスではなく）プライベート IP アドレスを正規の IP アドレスに変換します。NAT は、ネットワーク全体に対して 1 つの IP アドレスだけを外部にアドバタイズするように設定できます。この機能により、1 つの IP アドレスの後ろに内部ネットワーク全体を効果的に隠すことで、セキュリティが強化されます。

NAT が設定されたデバイスには、内部ネットワークと外部ネットワークのそれぞれに接続するインターフェイスが少なくとも 1 つずつあります。標準的な環境では、NAT はスタブ ドメインとバックボーンの間の出口ルータに設定されます。パケットがドメインから出て行くとき、NAT はローカルで意味のある送信元 アドレスをグローバルで一意の アドレスに変換します。パケットがドメインに入ってくる際は、NAT はグローバルに一意な宛先アドレスをローカル アドレスに変換します。出口点が複数存在する場合、個々の NAT は同じ変換テーブルを持っている必要があります。

NAT は RFC 1631 に記述されています。

スタティック ネットワーク アドレス変換（NAT）を使用すると、ユーザは内部ローカル アドレスから外部グローバル アドレスへの 1 対 1 変換を設定することができます。これにより、内部から外部トラフィックおよび外部から内部トラフィックへの IP アドレスとポート番号の両方の変換が可能になります。Cisco Nexus デバイスはヒットレス NAT をサポートします。これは、既存の NAT トラフィック フローに影響を与えずに NAT 設定で NAT 変換を追加または削除できることを意味します。

スタティック NAT では、プライベート アドレスからパブリック アドレスへの固定変換が作成されます。スタティック NAT では 1 対 1 ベースでアドレスが割り当てられるため、プライベート アドレスと同じ数のパブリック アドレスが必要です。スタティック NAT では、パブリック アドレスは連続する各接続で同じであり、永続的な変換規則が存在するため、宛先ネットワークのホストは変換済みのホストへのトラフィックを開始できます（そのトラフィックを許可するアクセス リストがある場合）。

ダイナミック NAT およびポート アドレス変換（PAT）では、各ホストは後続する変換ごとに異なるアドレスまたはポートを使用します。ダイナミック NAT とスタティック NAT の主な違いは、スタティック NAT ではリモート ホストが変換済みのホストへの接続を開始でき（それを許可するアクセス リストがある場合）、ダイナミック NAT では開始できないという点です。

次の図に、一般的なスタティック NAT のシナリオを示します。変換は常にアクティブであるため、変換対象ホストとリモート ホストの両方で接続を生成でき、マップ アドレスは static コマンドによって静的に割り当てられます。

ダイナミック ネットワーク アドレス変換（NAT）では、実際のアドレスのグループは、宛先ネットワーク上でルーティング可能なマッピング アドレスのプールに変換されます。またダイナミック NAT では、未登録の IP アドレスと登録済み IP アドレス間で一対一のマッピング確立しますが、通信時にプール内で利用可能な登録済みアドレスによって、マッピングは変化します。

ダイナミック NAT を設定自動Aすると、使用している内部ネットワークと外部ネットワークまたはインターネット間に、ファイウォールが構築されます。ダイナミックNATは、スタブドメイン内で発信された接続のみを許可します。外部ネットワーク上のデバイスは、接続を開始していない限り、ネットワーク内のデバイスに接続できません。

ダイナミック NAT の場合、変換対象のトラフィックデバイスに受信するまでは、NAT 変換テーブルには変換エントリが存在しません。ダイナミック変換は、新しいエントリ用のスペースを確保するために使用されていない場合、クリアまたはタイムアウトされます。通常、NAT変換エントリは、Ternary Content Addressable Memory（TCAM）エントリが制限されるとクリアされます。ダイナミックNAT変換のデフォルトの最小タイムアウトは30分です。

（注）	この項で説明している ip nat translation sampling-timeout コマンドはサポートされていません。統計情報はインストール済みの NAT ポリシーに 60 秒ごとに収集されます。これらの統計情報はフローがアクティブかまたはアクティブでないかを決定するために使用されます。

ダイナミックNATは、ポートアドレス変換（PAT）およびアクセスコントロールリスト（ACL）をサポートします。PAT（暗号化ともいう）、オーバーロードは未登録の複数の IP アドレスを、さまざまなポートを使うことによって、登録済みの単一の IP アドレスにマッピングするダイナミック NAT の 1 形態です。NAT設定には、同じまたは異なるACLを持つ複数のダイナミックNAT変換を含めることができます。ただし、特定のACLに対して指定できるインターフェイスは1つだけです。

スイッチでは、次のNAT変換タイムアウトタイマーがサポートされています。

• syn-timeout ：TCP データの パケット タイムアウト値。SYN リクエストを送信後、SYN-ACK 応答を受信するまでの最大待ち時間です。

  タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

  （注）	syn-timeout オプションは、Cisco Nexus 9200 および 9300-EX、-FX、-FX2、-FX3、-FXP、-GX プラットフォーム スイッチでサポートされています。

• finrst-timeout ：RST または FIN パケットの受信によって接続が終了したときのフロー エントリのタイムアウト値。RSTパケットとFINパケットの両方の動作を設定するには、同じキーワードを使用します。

  タイムアウト値の範囲は、1 ～ 172800 秒です。デフォルト値は 60 秒です。

  • 接続が確立された後にSYNパケット（SYN-> SYN-ACK-> FIN）が受信されると、finrstタイマーが開始されます。

  • 相手側からFIN-ACKを受信すると、変換エントリはすぐにクリアされます。それ以外の場合は、タイムアウト値の完了後にクリアされます。

  • 接続が確立された後に RST パケットを受信した場合（SYN-->SYN-ACK-->RST）、変換エントリはすぐにクリアされます。

  （注）	finrst-timeout オプションは、Cisco Nexus 9200 および 9300-EX、-FX、-FX2、-FX3、-FXP、-GX プラットフォーム スイッチでサポートされています。

• tcp-timeout ：TCP 変換のタイムアウト値。3 ウェイ ハンドシェイク（SYN、SYN-ACK、ACK）の後に確立した接続の最大待ち時間です。接続が確立された後にアクティブ フローが発生しない場合、変換は設定されたタイム アウト値に従って期限切れになります。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルト値は 3600 秒です。

• udp-timeout ：すべての NAT UDP パケットのタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルト値は 3600 秒です。

• timeout：ダイナミック NAT 変換のタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルト値は 3600 秒です。

• icmp-timeout ：ICMP パケットのタイムアウト値。

  タイムアウト値の範囲は、60 ～ 172800 秒です。デフォルト値は 3600 秒です。

• sampling-timeout ：デバイスがダイナミック変換アクティビティをチェックするまでの時間。

  タイムアウト値の範囲は、900 ～ 172800 秒です。

（注）	構成されたタイムアウトのないダイナミック エントリを作成すると、3600 秒のデフォルトのタイムアウトが使用されます。デフォルトのタイムアウト値を新しい値に変更した後に作成された変換エントリは、最新のタイムアウト値を取得します。

udp-timeout および timeout 値のタイマーは、ip nat translation sampling-timeout に設定されたタイムアウト後トリガーされます コマンドで設定されているタイムアウトの期限が切れた後にトリガーされます。

（注）	エージングに関して設定可能な次の 3 つの異なるオプションがあります。 タイムアウト: すべてのタイプのフロー（TCP および UDP 両方）に適用可能です。 TCP TIME-OUT: TCP フローにのみ適用可能です。 UDP TIME-OUT: UDP フローにのみ適用可能です。

（注）	設定されたタイムアウトのないダイナミック エントリを作成すると、1 時間のデフォルトのタイムアウトが使用されます（60 秒後）。タイムアウトを設定した後、clear ip nat translations all コマンドを入力すると、設定されたタイムアウトが有効になります。タイムアウトは、60 ～ 172800 秒まで設定することができます。

NAT 内部とは、変換を必要とする組織が所有するネットワークを指します。NAT が設定されている場合、このネットワーク内のホストは、別の空間（グローバル アドレス空間として知られている）にあるものとしてネットワークの外側に現れる 1 つ空間（ローカル アドレス空間として知られている）内のアドレスを持つことになります。

同様に、NAT 外部とは、スタブ ネットワークが接続するネットワークを指します。通常、組織の管理下にはありません。外部ネットワーク内のホストを変換の対象にすることもできるため、これらのホストもローカル アドレスとグローバル アドレスを持つことができます。

NAT では、次の定義が使用されます。

• ローカル アドレス：ネットワークの内側部分に表示されるローカルな IP アドレスです。

• グローバル アドレス：ネットワークの外側部分に表示されるグローバルな IP アドレスです。

• 内部ローカル アドレス：内部ネットワーク上のホストに割り当てられた IP アドレス。このアドレスは、多くの場合、インターネット ネットワーク情報センター（InterNIC）やサービス プロバイダーにより割り当てられた正規の IP アドレスではありません。

• 内部グローバル アドレス：外部に向けて、1 つ以上の内部ローカル IP アドレスを表現した正規の IP アドレス（InterNIC またはサービス プロバイダーにより割り当てられたもの）。

• 外部ローカル アドレス：内部ネットワークから見た外部ホストの IP アドレス。必ずしも正規のアドレスでありません。内部でルート可能なアドレス空間から割り当てられたものです。

• 外部グローバル アドレス：外部ネットワークに存在するホストに対して、ホストの所有者により割り当てられた IP アドレス。このアドレスは、グローバルにルート可能なアドレス、またはネットワーク空間から割り当てられたものです。

Cisco NX-OS は、ダイナミック NAT のプールをサポートします。ダイナミック NAT を使用すると、グローバル アドレスのプールを設定して、新しい変換ごとにプールからグローバル アドレスを動的に割り当てることができます。アドレスは、セッションが期限切れになるか、閉じられた後にプールに返されます。これにより、要件に基づいてアドレスをより効率的に使用できます。

PAT のサポートには、グローバル アドレス プールの使用が含まれます。これにより、IP アドレスの使用率がさらに最適化されます。PAT は、ポート番号を使用して、一度に 1 つの IP アドレスを使い果たします。ポートが該当グループで見つけられなかった場合や、複数の IP アドレスが設定されている場合、PAT は次の IP アドレスに移動して、ユーザー定義プールに基づいて、（ソース ポートを無視するか、それを保存しようと試みて）割り当てを取得します。

ダイナミック NAT および PAT では、各ホストは変換するたびに異なるアドレスまたはポートを使用します。ダイナミック NAT とスタティック NAT の主な違いは、スタティック NAT ではリモート ホストが変換済みのホストへの接続を開始でき（それを許可するアクセス リストがある場合）、ダイナミック NAT では開始できないという点です。

ダイナミック NAT が、ローカルで使用できない、またはローカルに設定されていない IP アドレスのプールを使用するように設定されている場合、アウトツーイン トラフィックは DEST MISS と見なされます。この動作により、show system internal access-list dest-miss stats コマンドの出力に DEST MISS カウンタの増分が表示されます。DEST MISS 統計情報は、Cisco NX-OS リリース 9.3(5) 以降でサポートされます。Cisco NX-OS リリース 10.1(1) 以降、この機能は Cisco Nexus 9300-FX3 プラットフォーム スイッチでサポートされます。

送信元 IP アドレスと宛先 IP アドレスの両方が、ネットワークアドレス変換（NAT）デバイスを通過する単一のパケットとして変換される場合、Twice NAT と呼ばれます。Twice NAT は、スタティックおよびダイナミック変換でサポートされます。

Twice NAT では、2 つの NAT 変換（1 つは内部、もう 1 つは変換）を変換グループの一部として設定できます。これらの変換は、NAT デバイスを通過する単一のパケットに適用できます。グループの一部として 2 つの変換を追加すると、個々の変換と結合された変換の両方が有効になります。

NAT 内部変換は、パケットが内部から外部に流れるときに送信元 IP アドレスとポート番号を変更します。パケットが外部から内部に戻るときに、宛先 IP アドレスとポート番号を変更します。NAT 外部変換は、パケットが外部から内部に流れるときに送信元 IP アドレスとポート番号を変更し、パケットが内部から外部に戻るときに宛先 IP アドレスとポート番号を変更します。

Twice NAT を使用しない場合、送信元 IP アドレスとポート番号、または宛先 IP アドレスとポート番号のいずれか 1 つの変換ルールのみがパケットに適用されます。

同じグループに属するスタティック NAT 変換は、Twice NAT 設定の対象となります。スタティック設定にグループ ID が設定されていない場合、Twice NAT 設定は機能しません。グループ ID で識別される単一のグループに属するすべての内部および外部 NAT 変換は、ペアになって Twice NAT 変換を形成します。

ダイナミック Twice NAT 変換は、事前定義された ip nat pool または インターフェイス過負荷 設定から動的に送信元 IP アドレスとポート番号の情報を選択します。パケット フィルタリングは ACL の設定によって行われ、トラフィックはダイナミック NAT 変換ルールの方向から発信される必要があります。そのため、送信元変換はダイナミック NAT ルールを使用して行われます。

ダイナミック Twice NAT では、2 つの NAT 変換（内部と外部）を変換グループの一部として設定できます。1 つの変換はダイナミックで、他の変換はスタティックである必要があります。これらの 2 つの変換が変換のグループの一部である場合、内部から外部または外部から内部のいずれかで NAT デバイスを通過するときに、両方の変換を 1 つのパケットに適用できます。

VRF対応NAT機能により、スイッチはVRF（仮想ルーティングおよび転送インスタンス）のアドレス空間を認識し、パケットを変換できます。これにより、NAT機能は2つのVRF間で使用される重複アドレス空間のトラフィックを変換できます。

VRF対応NATに関する注意事項：

• VRF対応のNAT機能は、N9K-9408PC-CFP2、N9K-X9564PX、N9K-C9272Q、N9K-C9272Q、N9K-X9464TX、N9K-X9464TX2、N9K-X9564TX、N9K-X9464PX、N9K-X9536PQ、N9K-X6963でサポートされています。 N9K-X9432PQ、N9K-C9332PQ、N9K-C9372PX、N9K-C9372PX-E、N9K-C9372TX、N9K-C9372TX-E、N9K-C93120TX

• Cisco NX-OS リリース 10.4(2)F 以降、VRF over NAT は、N9K-C93400LD-H1 でサポートされます。

• Cisco NX-OS リリース 10.4(1)F 以降、VRF over NAT は、N9K-C9332D-H2R でサポートされます。

• VRF 対応 NAT 機能は Cisco Nexus 9300-EXプラットフォーム スイッチではサポートされていません。

  （注）	これは、Cisco Nexus 9300-EXFX プラットフォーム スイッチの NAT TCAM の制限です。NAT TCAM は VRF 対応ではありません。NAT は、Cisco Nexus 9300-EXプラットフォーム スイッチで重複する IP アドレスでは動作しません。

• Cisco NX-OS リリース 10.2(3)F 以降、VRF 対応 NAT は Cisco Nexus 9300-FX、FX2、GX と GX2 プラットフォーム スイッチでサポートされます。Cisco Nexus 9346C スイッチではサポートされません。

• 1つのnon-default-vrfから別のnon-default-vrfに流れるトラフィックは変換されません。（たとえば、vrfAからvrfB）。

• VRFからグローバルVRFに流れるトラフィックの場合、nat-outside設定はデフォルト以外のVRFインターフェイスではサポートされません。

• VRF対応NATは、スタティックおよびダイナミックNAT設定でサポートされます。

  • トラフィックが、デフォルト以外の VRF（内部）からデフォルトの VRF（外部）に流れるように設定されている場合、 match-in-vrf オプション（ ip nat ）の コマンドは指定できません。

  • トラフィックが、デフォルト以外の VRF（内部）から同じデフォルト以外の VRF（外部）に流れるように設定されている場合、 match-in-vrf オプション（ ip nat ）の コマンドを指定する必要があります。

    次に設定例を示します。

    
    Switch(config)# ip nat inside source {list <acl-name>} {pool <pool-name> [vrf <vrf-name> [match-in-vrf]] [overload] | interface <globalAddrInterface> [vrf <vrf-name> [match-in-vrf]] overload} [group <group-id> dynamic]
    

    
    Switch(config)#ip nat outside source list <acl-name> pool <pool-name> [vrf <vrf-name> [match-in-vrf]] [group <group-id> dynamic]} 
    
    

• VRF 対応 NATは、フラグメント化されたパケットをサポートしていません。

• VRF 対応 NATは、アプリケーション層の変換をサポートしていません。

  したがって、レイヤ4およびその他の組み込みIPは変換されず、次のエラーが発生します。

  • FTP

  • ICMP障害

  • IPSec

  • HTTPS

• VRF対応NATは、インターフェイス上でNATまたはVACLをサポートします。（ただし、インターフェイスで両方の機能を同時にサポートすることはできません）。

• VRF対応NATは、NAT変換パケットではなく、元のパケットに適用される出力ACLをサポートします。

• VRF対応NATは、デフォルトのVRFのみをサポートします。

• VRF対応NATはMIBサポートを提供しません。

• VRF対応NATはDCNMサポートを提供しません。

• VRF対応NATは、単一のグローバルVDCのみをサポートします。

• VRF対応NATは、アクティブ/スタンバイスーパーバイザモデルをサポートしません。

• サブネットが重複する VRF は、NAT なしで共通の宛先に移動できません。ただし、ダイナミック NAT ルール設定で VRF 間 NAT を使用すると、この機能を実現できます。スタティック NAT 設定は、重複アドレスではサポートされません。

スタティック NAT 設定時の注意事項および制約事項は、次のとおりです。

• Broadcom ベースの Cisco Nexus 9000 シリーズ スイッチでは、変換デバイス上の内部グローバル アドレスへのルートが外部インターフェイスを介して到達可能な場合、外部から内部へのネットワーク アドレス変換フローのパケットは、ネットワークでソフトウェアで転送、複製、およびループされます。この状況では、このフローの NAT 設定の最後に add-route CLI 引数を入力する必要があります。例えば、ip nat inside source static 192.168.1.1 172.16.1.1 add-route のようになります。

• キーワードが付いている show コマンドはサポートされていません。 internal

• スタティック NAT 機能は Cisco Nexus 9300 プラットフォーム スイッチでサポートされています。

• スタティック NAT 機能は Cisco Nexus 9200 プラットフォーム スイッチでサポートされています。

• Cisco Nexus 9200 および 9300-EX、-FX、-FX2、-FX3、-FXP、-GX プラットフォーム スイッチ、 add-route オプションはポリシーの内部と外部の両方に必要です。

  （注）	NAT のサポートは、Cisco Nexus 9500 プラットフォーム スイッチでは使用されません。

• NATは、スタティック NAT とダイナミック NAT の両方を含む最大 1024 の変換をサポートします。

• 変換された IP が、外部インターフェイス サブネットの一部である場合、NAT の外部インターフェイスで ip proxy-arp コマンドを使用します。add-route キーワードを使用する場合は、ip proxy-arp を有効にする必要があります。

• NAT と Flow は同じポートではサポートされません。

• Cisco NX-OS リリース 10.2(1)F 以降では、VXLAN NAT および分散型 Elastic NAT 機能が Cisco Nexus 9300-FX2 プラットフォーム シリーズ スイッチでサポートされます。分散型Elastic NAT機能は、VXLANトポロジのリーフとスパインでNATを有効にします。

• VXLAN NAT および分散型 Elastic NAT は次をサポートします。

  • Upto 8000 NAT 変換

  • VRF

  • スタティック内部設定のアドルート

  • IP アドレス設定なしの SVI

• VXLAN および分散型 Elastic NAT は次をサポートしません。

  • IPv6

  • NAT は vPC を認識しません。すべての設定を両方の vPC ピアに適用する必要があります。

• Cisco Nexus デバイスは、次のインターフェイスタイプで NAT をサポートします。

  • スイッチ仮想インターフェイス（SVI）

  • ルーテッド ポート

  • レイヤ 3 とレイヤ 3 サブインターフェイス

• NAT はデフォルトの仮想ルーティングおよびフォワーディング（VRF）テーブルのみでサポートされます。

• NAT は、IPv4 ユニキャストだけでサポートされています。

• Cisco Nexusデバイスは次をサポートしていません。

  • ソフトウェアの変換。すべての変換はハードウェアで行われます。

  • アプリケーション層の変換。レイヤ 4 およびその他の組み込み IP は変換されません（FTP、ICMP の障害、IPSec、HTTPS など）。

  • インターフェイス上で同時に設定された NAT および VLAN アクセス コントロール リスト（VACL）。

  • フラグメント化された IP パケットの PAT 変換。

  • ソフトウェア転送パケットの NAT 変換。たとえば、IP オプションを持つパケットは NAT 変換されません。

• デフォルトでは、NAT機能にTCAMエントリは割り当てられません。NAT機能にTCAMサイズを割り当てるには、他の機能のTCAMサイズを調整します。TCAM は hardware access-list tcam region nat tcam-size コマンドで割り当て可能です。

• HSRP および VRRP は NAT インターフェイスではサポートされません。

• IP アドレスがスタティック NAT 変換または PAT 変換に使用される場合、他の目的には使用できません。たとえば、インターフェイスに割り当てることはできません。

• スタティック NAT の場合は、外部グローバル IP アドレスが外部インターフェイス IP アドレスと異なる必要があります。

• （100 を超える）多数の変換を設定する場合、変換を設定してから NAT インターフェイスを設定する方が迅速に設定できます。

• NAT は（無中断の）In Service Software Upgrade（ISSU）をサポートしています。

• NAT TCAM が切り分けられている場合、UDF ベースの機能が動作しないことがあります。

• ECMP NAT は Cisco Nexus 9000 スイッチではサポートされません。

• [ ip nat 内部（ip nat inside）] または [ip nat 外部（ip nat outside）] などの NAT 構成は、ループバック インターフェイスではサポートされていません。

ダイナミックネットワークアドレス変換（NAT）には、次の制約事項が適用されます。

• Broadcom ベースの Cisco Nexus 9000 シリーズ スイッチでは、変換デバイス上の内部グローバル アドレスへのルートが外部インターフェイスを介して到達可能な場合、外部から内部へのネットワーク アドレス変換フローのパケットは、ネットワークでソフトウェアで転送、複製、およびループされます。この状況では、このフローの NAT 設定の最後に add-route CLI 引数を入力する必要があります。例えば、ip nat inside source static 192.168.1.1 172.16.1.1 add-route のようになります。

• VRF 対応 NAT は、Cisco Nexus 9200 および 9300-EX プラットフォーム スイッチでの内部/外部 IP サブネット アドレスの重複に対してはサポートされません。

• キーワードが付いている show コマンドはサポートされていません。 internal

• ダイナミック NAT 機能は Cisco Nexus 9300 プラットフォーム スイッチでサポートされています。

• ダイナミック NAT 機能は Cisco Nexus 9200 プラットフォーム スイッチでサポートされています。

• Cisco Nexus 9200 および 9300-EX、-FX、-FX2、-FX3、-FXP、-GX プラットフォーム スイッチ、 add-route オプションはポリシーの内部と外部の両方に必要です。

• interface overload option for inside policies オプションは、外部および内部ポリシー両方の Cisco Nexus 9200、9300-EX、9300-FX、9300-FX2、9300-FX3、9300-FXP、および 9300-GX プラットフォーム スイッチではサポートされていません。

• VXLANルーティングはCisco Nexusデバイスではサポートされません。

• フラグメント化されたパケットはサポートされません。

• アプリケーション層ゲートウェイ（ALG）変換はサポートされていません。ALG、またはアプリケーションレベル ゲートウェイは、アプリケーション パケットのペイロード内の IP アドレス情報を変換するアプリケーションです。

• 出力 ACL は、変換されたパケットには適用されません。

• デフォルト以外の仮想ルーティングおよび転送（VRF）インスタンスはサポートされません。

• MIB はサポートされていません。

• Cisco Data Center Network Manager（DCNM）はサポートされていません。

• Cisco Nexusデバイスでは、複数のグローバル仮想デバイスコンテキスト（VDC）はサポートされていません。

• ダイナミックNAT変換は、アクティブデバイスおよびスタンバイデバイスと同期されません。

• ステートフルNATはサポートされていません。ただし、NATとHot Standby Router Protocol（HSRP）は共存できます。

• のタイムアウト値は、設定されたタイムアウト+ 119秒までかかります。

• 通常、ICMP NATフローは、設定されたサンプリングタイムアウトおよび変換タイムアウトの満了後にタイムアウトします。ただし、スイッチに存在するICMP NATフローがアイドル状態になると、設定されたサンプリングタイムアウトの期限が切れた直後にタイムアウトします。

• Cisco Nexus 9300 プラットフォーム スイッチの ICMP にハードウェア プログラミングが導入されました。したがって、ICMP エントリはハードウェアの TCAM リソースを消費します。ICMP はハードウェア内にあるため、Cisco Nexus プラットフォーム シリーズ スイッチの NAT 変換の最大制限は 1024 に変更されます。リソースを最大限に活用するには、最大 100 ICMP エントリが許可されます。

• Cisco Nexus 9000シリーズスイッチで新しい変換を作成すると、変換がハードウェアでプログラムされるまでフローがソフトウェア転送されます。これには数秒かかることがあります。この期間中、内部グローバルアドレスの変換エントリはありません。したがって、リターントラフィックはドロップされます。この制限を克服するには、ループバックインターフェイスを作成し、NATプールに属するIPアドレスを割り当てます。

• ダイナミックNATでは、プールのオーバーロードとインターフェイスのオーバーロードは外部NATではサポートされません。

• NATオーバーロードは PBR（ポリシーベース ルーティング）を使用するため、PBR テーブル内の使用可能なネクストホップ エントリの最大数によって NAT の規模が決まります。NAT 内部インターフェイスの数が PBR テーブルで使用可能なネクストホップ エントリの範囲内にある場合、最大 NAT 変換スケールは変わりません。そうしないと、サポートされる変換の最大数が減少する可能性があります。PBR と NAT オーバーロードは相互に排他的ではありません。相互に制限されています。

• Cisco Nexus デバイスは、インターフェイス上で同時に設定された NAT および VLAN アクセス コントロール リスト（VACL）。

• [ ip nat 内部（ip nat inside）] または [ip nat 外部（ip nat outside）] などの NAT 構成は、ループバック インターフェイスではサポートされていません。

• vPC を介したダイナミック NAT 機能はサポートされていません。

• トラフィックが PBR 対応インターフェイスに入り、NAT エントリがある場合、トラフィックは PBR 経由でルーティングされますが、IP アドレスは変換されません。

Broadcom ベースの Cisco Nexus 9000 シリーズ スイッチでは、変換デバイス上の内部グローバル アドレスへのルートが外部インターフェイスを介して到達可能な場合、外部から内部へのネットワーク アドレス変換フローのパケットは、ネットワークでソフトウェアで転送、複製、およびループされます。この状況では、このフローの NAT 設定の最後に add-route CLI 引数を入力する必要があります。例えば、ip nat inside source static 192.168.1.1 172.16.1.1 add-route のようになります。

TCP/UDP/ICMP ヘッダーのない IP パケットは、ダイナミック NAT では変換されません。

ダイナミック Twice NAT では、スタティック NAT のフローを作成する前にダイナミック NAT のフローが作成されない場合、ダイナミック Twice NAT のフローは正しく作成されません。

空の ACL が作成されると、permit ip any any のデフォルトのルール が設定されます。最初の ACL が空白な場合、NAT-ACL は、さらに ACL エントリと一致しません。

TCP 対応 NAT には次の制限があります。

• TCP 対応 NAT は、Cisco Nexus 9500 および Cisco Nexus 9300-EX、FX、および FX2 シリーズ スイッチでサポートされます。

• Cisco NX-OS リリース 9.3(5) 以降、TCP 対応 NAT は Cisco Nexus N9K-C9316D-GX、N9K-C93600CD-GX、N9K-C9364C-GX スイッチでサポートされます。

• 1 つの範囲のアドレス プールに関連付けることができる一致 ACL は 1 つだけです。プールを一致 ACL に関連付けると、インターフェイス IP を変更したり、プール範囲を変更したりできなくなります。

• ダイナミック NAT 設定で設定または使用する前に、プールを定義する必要があります。

• インターフェイスの過負荷の場合にプール範囲またはインターフェイス アドレスが変更されるたびに、ダイナミック NAT ルールを再設定する必要があります。