ASDM ブック 2：Cisco ASA シリーズ ファイアウォール ASDM 7.4 コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

ASDM ブック 2：Cisco ASA シリーズ ファイアウォール ASDM 7.4 コンフィギュレーション ガイド

Chapter Title

ネットワークアドレス変換（NAT）

検索結果

Updated:
2020年1月6日

章のタイトル： ネットワークアドレス変換（NAT）

ネットワークアドレス変換（NAT）

ここでは、ネットワーク アドレス変換（NAT）とその設定方法について説明します。

NAT を使用する理由

IP ネットワーク内の各コンピュータおよびデバイスには、ホストを識別する固有の IP アドレスが割り当てられています。パブリック IPv4 アドレスが不足しているため、これらの IP アドレスの大部分はプライベートであり、プライベートの企業ネットワークの外部にルーティングできません。RFC 1918 では、アドバタイズされない、内部で使用できるプライベート IP アドレスが次のように定義されています。

  • 10.0.0.0 ～ 10.255.255.255

  • 172.16.0.0 ～ 172.31.255.255

  • 192.168.0.0 ～ 192.168.255.255

NAT の主な機能の 1 つは、プライベート IP ネットワークがインターネットに接続できるようにすることです。NAT は、プライベート IP アドレスをパブリック IP に置き換え、内部プライベート ネットワーク内のプライベート アドレスをパブリック インターネットで使用可能な正式の、ルーティング可能なアドレスに変換します。このようにして、NAT はパブリック アドレスを節約します。これは、ネットワーク全体に対して 1 つのパブリック アドレスだけを外部に最小限にアドバタイズするように NAT を設定できるからです。

NAT の他の機能には、次のおりです。

  • セキュリティ：内部アドレスを隠蔽し、直接攻撃を防止します。

  • IP ルーティング ソリューション：NAT を使用する際は、重複 IP アドレスが問題になりません。

  • 柔軟性：外部で使用可能なパブリック アドレスに影響を与えずに、内部 IP アドレッシング スキームを変更できます。たとえば、インターネットにアクセス可能なサーバの場合、インターネット用に固定 IP アドレスを維持できますが、内部的にはサーバのアドレスを変更できます。

  • IPv4 と IPv6（ルーテッド モードのみ）の間の変換（バージョン 9.0(1) 以降）：IPv4 ネットワークに IPv6 ネットワークを接続する場合は、NAT を使用すると、2 つのタイプのアドレス間で変換を行うことができます。


（注）  

NAT は必須ではありません。特定のトラフィック セットに NAT を設定しない場合、そのトラフィックは変換されませんが、セキュリティ ポリシーはすべて通常どおりに適用されます。

NAT の基本

ここでは、NAT の基本について説明します。

NAT の用語

このマニュアルでは、次の用語を使用しています。

  • 実際のアドレス/ホスト/ネットワーク/インターフェイス：実際のアドレスとは、ホストで定義されている、変換前のアドレスです。内部ネットワークが外部にアクセスするときに内部ネットワークを変換するという典型的な NAT のシナリオでは、内部ネットワークが「実際の」ネットワークになります。内部ネットワークだけでなく、デバイスに接続されている任意のネットワークに変換できることに注意してください。したがって、外部アドレスを変換するように NAT を設定した場合、「実際の」は、外部ネットワークが内部ネットワークにアクセスしたときの外部ネットワークを指します。

  • マッピング アドレス/ホスト/ネットワーク/インターフェイス：マッピング アドレスとは、実際のアドレスが変換されるアドレスです。内部ネットワークが外部にアクセスするときに内部ネットワークを変換するという典型的な NAT のシナリオでは、外部ネットワークが「マッピング」ネットワークになります。


    （注）  

    アドレスの変換中、デバイス インターフェイスに設定された IP アドレスは変換されません。

  • 双方向の開始：スタティック NAT では、双方向に接続を開始できます。つまり、ホストへの接続とホストからの接続の両方を開始できます。

  • 送信元および宛先の NAT：任意のパケットについて、送信元 IP アドレスと宛先 IP アドレスの両方を NAT ルールと比較し、1 つまたは両方を変換する、または変換しないことができます。スタティック NAT の場合、ルールは双方向であるため、たとえば、特定の接続が「宛先」アドレスから発生する場合でも、このガイドを通じてのコマンドおよび説明では「送信元」および「宛先」が使用されていることに注意してください。

NAT タイプ

NAT は、次の方法を使用して実装できます。

  • ダイナミック NAT：実際の IP アドレスのグループが、（通常は、より小さい）マッピング IP アドレスのグループに先着順でマッピングされます。実際のホストだけがトラフィックを開始できます。ダイナミック NATを参照してください。

  • ダイナミック ポート アドレス変換（PAT）：実際の IP アドレスのグループが、1 つの IP アドレスにマッピングされます。この IP アドレスのポートが使用されます。ダイナミック PATを参照してください。

  • スタティック NAT：実際の IP アドレスとマッピング IP アドレスとの間での一貫したマッピング。双方向にトラフィックを開始できます。スタティック NATを参照してください。

  • アイデンティティ NAT：実際のアドレスが同一アドレスにスタティックに変換され、基本的に NAT をバイパスします。大規模なアドレスのグループを変換するものの、小さいアドレスのサブセットは免除する場合は、NAT をこの方法で設定できます。「アイデンティティ NAT」を参照してください。

ネットワークオブジェクト NAT および Twice NAT

ネットワークオブジェクト NAT および twice NAT という 2 種類の方法でアドレス変換を実装できます。

twice NATの追加機能を必要としない場合は、ネットワークオブジェクト NATを使用することをお勧めします。ネットワークオブジェクト NAT の設定が容易で、Voice over IP（VoIP）などのアプリケーションでは信頼性が高い場合があります（VoIP では、ルールで使用されているオブジェクトのいずれにも属さない間接アドレスの変換が失敗することがあります）。

ネットワークオブジェクト NAT

ネットワーク オブジェクトのパラメータとして設定されているすべての NAT ルールは、ネットワークオブジェクト NAT ルールと見なされます。これは、ネットワーク オブジェクトに NAT を設定するための迅速かつ簡単な方法です。しかし、グループ オブジェクトに対してこれらのルールを作成することはできません。

ネットワーク オブジェクトを設定すると、このオブジェクトのマッピング アドレスをインライン アドレスとして、または別のネットワーク オブジェクトやネットワーク オブジェクト グループのいずれかとして識別できるようになります。

パケットがインターフェイスに入ると、送信元 IP アドレスと宛先 IP アドレスの両方が ネットワークオブジェクト NAT ルールと照合されます。個別の照合が行われる場合、パケット内の送信元 IP アドレスと宛先 IP アドレスは、個別のルールによって変換できます。これらのルールは、相互に結び付けられていません。トラフィックに応じて、異なる組み合わせのルールを使用できます。

ルールがペアになることはないため、sourceA/destinationA で sourceA/destinationB とは別の変換が行われるように指定することはできません。この種の機能には、twice NAT を使用することで、1 つのルールで送信元アドレスおよび宛先アドレスを識別できます。

Twice NAT

Twice NAT では、1 つのルールで送信元アドレスおよび宛先アドレスの両方を識別できます。送信元アドレスと宛先アドレスの両方を指定すると、sourceA/destinationA で sourceA/destinationB とは別の変換が行われるように指定できます。


（注）  

スタティック NAT の場合、ルールは双方向であるため、たとえば、特定の接続が「宛先」アドレスから発生する場合でも、このガイドを通じてのコマンドおよび説明では「送信元」および「宛先」が使用されていることに注意してください。たとえば、ポート アドレス変換を使用するスタティック NAT を設定し、送信元アドレスを Telnet サーバとして指定する場合に、Telnet サーバに向かうすべてのトラフィックのポートを 2323 から 23 に変換するには、変換する送信元ポート（実際：23、マッピング：2323）を指定する必要があります。Telnet サーバ アドレスを送信元アドレスとして指定しているため、その送信元ポートを指定します。

宛先アドレスはオプションです。宛先アドレスを指定する場合、宛先アドレスを自身にマッピングするか（アイデンティティ NAT）、別のアドレスにマッピングできます。宛先マッピングは、常にスタティック マッピングです。

ネットワークオブジェクト NAT と Twice NAT の比較

これら 2 つの NAT タイプの主な違いは、次のとおりです。

  • 実際のアドレスの定義方法

    • ネットワーク オブジェクト NAT：NAT をネットワーク オブジェクトのパラメータとして定義します。ネットワーク オブジェクトは、IP ホスト、範囲、またはサブネットの名前を指定するので、実際の IP アドレスではなく、NAT コンフィギュレーション内のオブジェクトを使用できます。ネットワーク オブジェクトの IP アドレスが実際のアドレスとして機能します。この方法では、ネットワーク オブジェクトがコンフィギュレーションの他の部分ですでに使用されていても、そのネットワーク オブジェクトに NAT を容易に追加できます。

    • Twice NAT— 実際のアドレスとマッピングアドレスの両方のネットワークオブジェクトまたはネットワーク オブジェクト グループを識別します。この場合、NAT はネットワーク オブジェクトのパラメータではありません。ネットワーク オブジェクトまたはグループが、NAT コンフィギュレーションのパラメータです。実際のアドレスのネットワーク オブジェクト グループを使用できることは、twice NAT がよりスケーラブルであることを意味します。

  • 送信元および宛先 NAT の実装方法

    • ネットワークオブジェクト NAT— 各ルールは、パケットの送信元または宛先のいずれかに適用できます。このため、送信元 IP アドレス、宛先 IP アドレスにそれぞれ 1 つずつ、計 2 つのルールが使用される場合もあります。このような 2 つのルールを 1 つに結合し、送信元/宛先ペアに対して特定の変換を強制することはできません。

    • Twice NAT— 1 つのルールで送信元と宛先の両方を変換します。パケットは 1 つのルールにのみ一致し、それ以上のルールはチェックされません。オプションの宛先アドレスを設定しない場合でも、マッチングするパケットは 1 つの twice NAT ルールだけに一致します。送信元および宛先は相互に結び付けられるため、送信元と宛先の組み合わせに応じて、異なる変換を適用できます。たとえば、sourceA/destinationA には、sourceA/destinationB とは異なる変換を設定できます。

  • NAT ルールの順序。

    • ネットワークオブジェクト NAT— NAT テーブルで自動的に順序付けされます。

    • Twice NAT：NAT テーブルで手動で順序付けします（ネットワークオブジェクト NAT ルールの前または後）。

NAT ルールの順序

ネットワークオブジェクト NAT および twice NAT ルールは、3 つのセクションに分かれた単一のテーブルに保存されます。最初にセクション 1 のルール、次にセクション 2、最後にセクション 3 というように、一致が見つかるまで順番に適用されます。たとえば、セクション 1 で一致が見つかった場合、セクション 2 とセクション 3 は評価されません。次の表に、各セクション内のルールの順序を示します。

表 1. NAT ルール テーブル

テーブルのセクション

ルール タイプ

セクション内のルールの順序

セクション 1

Twice NAT

コンフィギュレーションに登場する順に、最初の一致ベースで適用されます。最初の一致が適用されるため、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、固有のルールを期待どおりに適用できない可能性があります。デフォルトでは、twice NAT ルールはセクション 1 に追加されます。

セクション 2

ネットワークオブジェクト NAT

セクション 1 で一致が見つからない場合、セクション 2 のルールが次の順序で適用されます。

  1. スタティック ルール

  2. ダイナミック ルール

各ルールタイプでは、次の順序ガイドラインが使用されます。

  1. 実際の IP アドレスの数量：小から大の順。たとえば、アドレスが 1 個のオブジェクトは、アドレスが 10 個のオブジェクトよりも先に評価されます。

  2. 数量が同じ場合には、アドレス番号（低から高の順）が使用されます。たとえば、10.1.1.0 は、11.1.1.0 よりも先に評価されます。

  3. 同じ IP アドレスが使用される場合、ネットワーク オブジェクトの名前がアルファベット順で使用されます。たとえば、abracadabra は catwoman よりも先に評価されます。

セクション 3

Twice NAT

まだ一致が見つからない場合、セクション 3 のルールがコンフィギュレーションに登場する順に、最初の一致ベースで適用されます。このセクションには、最も一般的なルールを含める必要があります。このセクションにおいても、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、一般的なルールが適用されます。

たとえばセクション 2 のルールでは、ネットワーク オブジェクト内に定義されている次の IP アドレスがあるとします。

  • 192.168.1.0/24（スタティック）

  • 192.168.1.0/24（ダイナミック）

  • 10.1.1.0/24（スタティック）

  • 192.168.1.1/32（ダイナミック）

  • 172.16.1.0/24（ダイナミック）（オブジェクト def）

  • 172.16.1.0/24（ダイナミック）（オブジェクト abc）

この結果、使用される順序は次のとおりです。

  • 192.168.1.1/32（ダイナミック）

  • 10.1.1.0/24（スタティック）

  • 192.168.1.0/24（スタティック）

  • 172.16.1.0/24（ダイナミック）（オブジェクト abc）

  • 172.16.1.0/24（ダイナミック）（オブジェクト def）

  • 192.168.1.0/24（ダイナミック）

NAT インターフェイス

ブリッジ グループ メンバーのインターフェイスを除き、任意のインターフェイス（つまり、すべてのインターフェイス）に適用できるように NAT ルールを設定することも、特定の実際のインターフェイスおよびマッピング インターフェイスを識別することもできます。実際のアドレスには任意のインターフェイスを指定できます。マッピング インターフェイスには特定のインターフェイスを指定できます。または、その逆も可能です。

たとえば、複数のインターフェイスで同じプライベート アドレスを使用し、外部へのアクセス時にはすべてのインターフェイスを同じグローバル プールに変換する場合、実際のアドレスに任意のインターフェイスを指定し、マッピング アドレスには outside インターフェイスを指定します。

図 1. 任意のインターフェイスの指定

NAT のガイドライン

ここでは、NAT を実装するためのガイドラインについて詳細に説明します。

NAT のファイアウォール モードのガイドライン

NAT は、ルーテッド モードとトランスペアレント ファイアウォール モードでサポートされています。

ただし、ブリッジ グループ メンバーのインターフェイス（ブリッジ グループ仮想インターフェイスの一部であるインターフェイス、BVI）での NAT 設定には次の制限があります。

  • ブリッジ グループのメンバーの NAT を設定するには、メンバー インターフェイスを指定します。ブリッジ グループ インターフェイス（BVI）の NAT 自体を設定することはできません。

  • ブリッジ グループ メンバーのインターフェイス間で NAT を実行するときには、実際のおよびマッピングされたアドレスを指定する必要があります。インターフェイスとして「任意」を指定することはできません。

  • インターフェイスに接続されている IP アドレスがないため、マッピングされたアドレスがブリッジ グループ メンバーのインターフェイスである場合、インターフェイス PAT を設定することはできません。

  • 送信元と宛先インターフェイスが同じブリッジ グループのメンバーである場合、IPv4 と IPv6 ネットワーク間の変換はできません（NAT64/46）。スタティック NAT/PAT 44/66、ダイナミック NAT44/66 およびダイナミック PAT44 だけが許可される方法であり、ダイナミック PAT66 はサポートされません。

IPv6 NAT のガイドライン

NAT では、IPv6 のサポートに次のガイドラインと制約が伴います。

  • ルーテッド モード インターフェイスの場合は、IPv4 と IPv6 との間の変換もできます。

  • 同じブリッジ グループのメンバーであるインターフェイスでは IPv4 と IPv6 の間の変換はできません。2 つの IPv6 または 2 つの IPv4 ネットワーク間でのみ変換できます。

  • 同じブリッジ グループのインターフェイス間で変換するときは、IPv6 のダイナミック PAT（NAT66）を使用できません。

  • スタティック NAT の場合は、/64 までの IPv6 サブネットを指定できます。これよりも大きいサブネットはサポートされません。

  • FTP を NAT46 とともに使用する場合は、IPv4 FTP クライアントが IPv6 FTP サーバに接続するときに、クライアントは拡張パッシブ モード（EPSV）または拡張ポート モード（EPRT）を使用する必要があります。PASV コマンドおよび PORT コマンドは IPv6 ではサポートされません。

IPv6 NAT のベスト プラクティス

NAT を使用すると、IPv6 ネットワーク間、さらに IPv4 および IPv6 ネットワークの間で変換できます（ルーテッド モードのみ）。次のベスト プラクティスを推奨します。

  • NAT66（IPv6-to-IPv6）：スタティック NAT を使用することを推奨します。ダイナミック NAT または PAT を使用できますが、IPv6 アドレスは大量にあるため、ダイナミック NAT を使用する必要がありません。リターントラフィックを許可しない場合は、スタティック NAT ルールを単一方向にできます（twice NAT のみ）。

  • NAT46（IPv4-to-IPv6）：スタティック NAT を使用することを推奨します。IPv6 アドレス空間は IPv4 アドレス空間よりもかなり大きいので、容易にスタティック変換に対応できます。リターン トラフィックを許可しない場合は、スタティック NAT ルールを単一方向にできます （twice NAT のみ）。IPv6 サブネットに変換する場合（/96 以下）、結果のマッピング アドレスはデフォルトで IPv4 埋め込み IPv6 アドレスとなります。このアドレスでは、IPv4 アドレスの 32 ビットが IPv6 プレフィックスの後に埋め込まれています。たとえば、IPv6 プレフィックスが /96 プレフィックスの場合、IPv4 アドレスは、アドレスの最後の 32 ビットに追加されます。たとえば、201b::0/96 に 192.168.1.0/24 をマッピングする場合、192.168.1.4 は 201b::0.192.168.1.4 にマッピングされます（混合表記で表示）。/64 など、より小さいプレフィックスの場合、IPv4 アドレスがプレフィックスの後に追加され、サフィックスの 0s が IPv4 アドレスの後に追加されます。また、任意で、ネット間のアドレスを変換できます。この場合、最初の IPv6 アドレスに最初の IPv4 アドレス、2 番目 IPv6 アドレスに 2 番目の IPv4 アドレス、のようにマッピングします。

  • NAT64（IPv6-to-IPv4）：IPv6 アドレスの数に対応できる十分な数の IPv4 アドレスがない場合があります。大量の IPv4 変換を提供するためにダイナミック PAT プールを使用することを推奨します。

NAT のその他のガイドライン

  • （ネットワークオブジェクト NAT のみ）。特定のオブジェクトに対して 1 つの NAT ルールだけを定義できます。オブジェクトに対して複数の NAT ルールを設定する場合は、同じ IP アドレスを指定する異なる名前の複数のオブジェクトを作成する必要があります。

  • VPN がインターフェイスで定義されると、インターフェイスの着信 ESP トラフィックに NAT ルールは適用されません。システムでは確立された VPN トンネルの ESP トラフィックのみ許可され、既存のトンネルに関連付けられていないトラフィックは廃棄されます。この制約は ESP と UDP ポート 500 および 4500 に適用されます。

  • ダイナミック PAT を適用するデバイスの背後のデバイス（VPN UDP ポート 500 と 4500 は実際に使用されるポートではない）でサイト間 VPN を定義した場合、PAT デバイスの背後にあるデバイスから接続を開始する必要があります。正しいポート番号がわからないため、レスポンダはセキュリティ アソシエーション（SA）を開始できません。

  • NAT コンフィギュレーションを変更したときに、既存の変換がタイムアウトするまで待たずに新しい NAT コンフィギュレーションを使用できるようにするには、デバイス CLI で clear xlate コマンドを使用して変換テーブルを消去します。ただし、変換テーブルを消去すると、変換を使用している現在の接続がすべて切断されます。


    （注）  

    ダイナミック NAT または PAT ルールを削除し、次に削除したルールに含まれるアドレスと重複するマッピングアドレスを含む新しいルールを追加すると、新しいルールは、削除されたルールに関連付けられたすべての接続がタイムアウトするか clear xlate コマンドを使用してクリアされるまで使用されません。この予防手段のおかげで、同じアドレスが複数のホストに割り当てられないようにできます。

  • NAT で使用されるオブジェクトおよびオブジェクト グループを未定義にすることはできません。IP アドレスを含める必要があります。

  • 1 つのオブジェクト グループに IPv4 と IPv6 の両方のアドレスを入れることはできません。オブジェクト グループには、1 つのタイプのアドレスだけが含まれている必要があります。

  • （Twice NATのみ）。NAT ルールで送信元アドレスとして any を使用する場合、「any」トラフィックの定義（IPv4 と IPv6）はルールによって異なります。 ASAがパケットに対して NAT を実行する前に、パケットが IPv6-to-IPv6 または IPv4-to-IPv4 である必要があります。この前提条件では、ASAは、NAT ルールの any の値を決定できます。たとえば、「any」から IPv6 サーバへのルールを設定しており、このサーバが IPv4 アドレスからマップされている場合、any は「任意の IPv6 トラフィック」を意味します。「any」から「any」へのルールを設定しており、送信元をインターフェイス IPv4 アドレスにマッピングする場合、マッピングされたインターフェイス アドレスによって宛先も IPv4 であることが示されるため、any は「任意の IPv4 トラフィック」を意味します。

  • 同じマッピング オブジェクトやグループを複数の NAT ルールで使用できます。

  • マッピング IP アドレス プールは、次のアドレスを含むことができません。

    • マッピング インターフェイスの IP アドレス。ルールに「any」インターフェイスを指定すると、すべてのインターフェイスの IP アドレスが拒否されます。インターフェイス PAT（ルーテッド モードのみ）の場合は、インターフェイス アドレスの代わりにインターフェイス名を指定します。

    • フェールオーバー インターフェイスの IP アドレス。

    • （トランスペアレント モード）管理 IP アドレス。

    • （ダイナミック NAT）VPN がイネーブルの場合は、スタンバイ インターフェイスの IP アドレス。

    • 既存の VPN プールのアドレス。

  • スタティックおよびダイナミック NAT ポリシーでは重複アドレスを使用しないでください。たとえば、重複アドレスを使用すると、PPTP のセカンダリ接続がダイナミック xlate ではなくスタティックにヒットした場合、PPTP 接続の確立に失敗する可能性があります。

  • NAT ルールの送信元アドレスとリモート アクセス VPN アドレス プールの重複アドレスは使用できません。

  • NAT や PAT に伴うアプリケーション インスペクションの制限については、デフォルト インスペクションと NAT に関する制限事項を参照してください。

  • （8.3(1)、8.3(2)、8.4(1)）アイデンティティ NAT のデフォルト動作で、プロキシ ARP は無効になっています。これは設定できません。（8.4(2) 以降）アイデンティティ NAT のデフォルト動作で、プロキシ ARP はイネーブルにされ、他のスタティック NAT ルールと一致します。必要に応じてプロキシ ARP をディセーブルにできます。詳細については、「NAT パケットのルーティング」を参照してください。

  • arp permit-nonconnected コマンドを有効にすると、マッピングされたアドレスが接続されているサブネットの一部ではなく、しかも、マッピングされているインターフェイスを NAT ルールに指定しなかった（つまり、「any」インターフェイスを指定した）場合に、システムは ARP 要求に応答しません。この問題を解決するには、マッピングされたインターフェイスを指定します。

  • ルールで宛先インターフェイスを指定すると、ルーティング テーブルでルートが検索されるのではなく、そのインターフェイスが出力インターフェイスとして使用されます。ただし、アイデンティティ NAT の場合は、代わりにルート ルックアップを使用するオプションがあります。8.3(1) 〜 8.4(1) では、アイデンティティ NAT は常にルーティング テーブルを使用します。

  • NAT はトラフィックを介してのみ適用されます。システムによって生成されたトラフィックは NAT の対象にはなりません。

  • NAT のトランザクション コミット モデルを使用すると、システムのパフォーマンスと信頼性を向上させることができます。詳細については、一般的な操作設定ガイドの基本設定の章を参照してください。このオプションは、[Configurations] > [Device Management] > [Advanced] > [Rule Engine] の下にあります。

マッピング アドレス オブジェクトのネットワーク オブジェクト NAT のガイドライン

ダイナミック NAT の場合は、マッピングされたアドレスに対してオブジェクトまたはグループを使用する必要があります。他のタイプの NAT の場合は、オブジェクトまたはグループを作成することも、インライン アドレスを使用することもできます。ネットワーク オブジェクト グループは、非連続的な IP アドレスの範囲または複数のホストやサブネットで構成されるマッピング アドレスを作成する場合に特に便利です。

マッピング アドレスのオブジェクトを作成する場合は、次のガイドラインを考慮してください。

  • 1 つのネットワーク オブジェクト グループには、IPv4 アドレスと IPv6 アドレスのいずれか一方のオブジェクトやインライン アドレスを入れることができます。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

  • 拒否されるマッピング IP アドレスについては、NAT のその他のガイドラインを参照してください。

  • ダイナミック NAT：

    • インライン アドレスは使用できません。ネットワーク オブジェクトまたはグループを設定する必要があります。

    • オブジェクトまたはグループには、サブネットを含めることはできません。オブジェクトは、範囲を定義する必要があります。グループには、ホストと範囲を含めることができます。

    • マッピングされたネットワーク オブジェクトに範囲とホスト IP アドレスの両方が含まれている場合、範囲はダイナミック NAT に使用され、ホスト IP アドレスは PAT のフォール バックとして使用されます。

  • ダイナミック PAT（隠蔽）：

    • オブジェクトを使用する代わりに、任意でインライン ホスト アドレスを設定するか、またはインターフェイス アドレスを指定できます。

    • オブジェクトを使用する場合は、オブジェクトまたはグループにサブネットを含めることはできません。オブジェクトは、1 つのホスト、または範囲（PAT プールの場合）を定義する必要があります。グループ（PAT プールの場合）には、複数のホストと範囲を含めることができます。

  • スタティック NAT またはポート変換を使用するスタティック NAT：

    • オブジェクトを使用する代わりに、インライン アドレスを設定するか、またはインターフェイス アドレスを指定できます（ポート変換を使用するスタティック NAT の場合）。

    • オブジェクトを使用する場合は、オブジェクトまたはグループにホスト、範囲、またはサブネットを入れることができます。

  • アイデンティティ NAT

    • オブジェクトを使用する代わりに、インライン アドレスを設定できます。

    • オブジェクトを使用する場合は、オブジェクトは、変換する実際のアドレスと一致する必要があります。

実際のアドレス オブジェクトおよびマッピング アドレス オブジェクトの Twice NAT のガイドライン

NAT ルールごとに、次に関するネットワーク オブジェクトまたはグループを 4 つまで設定します。

  • 送信元の実際のアドレス

  • 送信元のマッピング アドレス

  • 宛先の実際のアドレス

  • 宛先のマッピング アドレス

すべてのトラフィックを表す any キーワード インライン、または一部のタイプの NAT の場合はインターフェイス アドレスを表す interface キーワードを指定しない場合は、オブジェクトが必要です。ネットワーク オブジェクト グループは、非連続的な IP アドレスの範囲または複数のホストやサブネットで構成されるマッピング アドレスを作成する場合に特に便利です。

Twice NAT のオブジェクトを作成する場合は、次のガイドラインを考慮してください。

  • 1 つのネットワーク オブジェクト グループには、IPv4 アドレスと IPv6 アドレスのいずれか一方のオブジェクトやインライン アドレスを入れることができます。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

  • 拒否されるマッピング IP アドレスについては、NAT のその他のガイドラインを参照してください。

  • 送信元ダイナミック NAT：

    • 通常は、実際のアドレスの大きいグループが小さいグループにマッピングされるように設定します。

    • マッピングされたオブジェクトまたはグループには、サブネットを含めることはできません。オブジェクトは、範囲を定義する必要があります。グループには、ホストと範囲を含めることができます。

    • マッピングされたネットワーク オブジェクトに範囲とホスト IP アドレスの両方が含まれている場合、範囲はダイナミック NAT に使用され、ホスト IP アドレスは PAT のフォール バックとして使用されます。

  • 送信元ダイナミック PAT（隠蔽）：

    • オブジェクトを使用する場合は、オブジェクトまたはグループにサブネットを含めることはできません。オブジェクトは、1 つのホスト、または範囲（PAT プールの場合）を定義する必要があります。グループ（PAT プールの場合）には、複数のホストと範囲を含めることができます。

  • 送信元スタティック NAT またはポート変換を設定したスタティック NAT：

    • マッピングされたオブジェクトまたはグループには、ホスト、範囲、またはサブネットを含めることができます。

    • スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。

  • 送信元アイデンティティ NAT

    • 実際のオブジェクトとマッピングされたオブジェクトが一致する必要があります。両方に同じオブジェクトを使用することも、同じ IP アドレスが含まれる個別のオブジェクトを作成することもできます。

  • 宛先スタティック NAT またはポート変換を設定したスタティック NAT（宛先の変換は常にスタティックです）：

    • Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

    • アイデンティティ NAT では、実際のオブジェクトとマッピングされたオブジェクトが一致する必要があります。両方に同じオブジェクトを使用することも、同じ IP アドレスが含まれる個別のオブジェクトを作成することもできます。

    • スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。

    • ポート変換（ルーテッド モードのみ）が設定されたスタティック インターフェイス NAT では、マッピング アドレスのネットワーク オブジェクト/グループではなく、interface キーワードを指定できます。

実際のポートおよびマッピング ポートのサービス オブジェクトの Twice NAT のガイドライン

必要に応じて、次のサービス オブジェクトを設定できます。

  • 送信元の実際のポート（スタティックのみ）または宛先の実際のポート

  • 送信元のマッピング ポート（スタティックのみ）または宛先のマッピング ポート

Twice NAT のオブジェクトを作成する場合は、次のガイドラインを考慮してください。

  • NAT は TCP または UDP のみをサポートします。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方が同じにします（両方とも TCP または両方とも UDP）。

  • 「not equal（等しくない）」（neq）演算子はサポートされていません。

  • アイデンティティ ポート変換では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。

  • 送信元ダイナミック NAT：送信元ダイナミック NAT では、ポート変換はサポートされません。

  • 送信元ダイナミック PAT（隠蔽）：送信元ダイナミック PAT では、ポート変換はサポートされません。

  • 送信元スタティック NAT、ポート変換を設定したスタティック NAT、またはアイデンティティ NAT：サービス オブジェクトには、送信元ポートと宛先ポートの両方を含めることができます。ただし、両方のサービス オブジェクトに、送信元ポートまたは宛先ポートのいずれかを指定する必要があります。ご使用のアプリケーションが固定の送信元ポートを使用する場合（一部の DNS サーバなど）に送信元ポートおよび宛先ポートの両方を指定する必要がありますが、固定の送信元ポートはめったに使用されません。たとえば、送信元ホストのポートを変換する場合は、送信元サービスを設定します。

  • 宛先スタティック NAT またはポート変換を設定したスタティック NAT（宛先の変換は常にスタティックです）：非スタティックな送信元 NAT では、宛先でのみポート変換を実行できます。サービス オブジェクトには送信元ポートと宛先ポートの両方を含めることができますが、この場合は、宛先ポートだけが使用されます。送信元ポートを指定した場合、無視されます。

ダイナミック NAT

ここでは、ダイナミック NAT とその設定方法について説明します。

ダイナミック NAT について

ダイナミック NAT では、実際のアドレスのグループは、宛先ネットワーク上でルーティング可能なマッピング アドレスのプールに変換されます。マッピングされたプールにあるアドレスは、通常、実際のグループより少なくなります。変換対象のホストが宛先ネットワークにアクセスすると、NAT は、マッピングされたプールから IP アドレスをそのホストに割り当てます。変換は、実際のホストが接続を開始したときにだけ作成されます。変換は接続が継続している間だけ有効であり、変換がタイムアウトすると、そのユーザは同じ IP アドレスを保持しません。したがって、アクセス ルールでその接続が許可されている場合でも、宛先ネットワークのユーザは、ダイナミック NAT を使用するホストへの確実な接続を開始できません。


（注）  

変換が継続している間、アクセス ルールで許可されていれば、リモート ホストは変換済みホストへの接続を開始できます。アドレスは予測不可能であるため、ホストへの接続は確立されません。ただし、この場合は、アクセス ルールのセキュリティに依存できます。

次の図に、一般的なダイナミック NAT のシナリオを示します。実際のホストだけが NAT セッションを作成でき、応答トラフィックが許可されます。

図 2. ダイナミック NAT

次の図に、マッピング アドレスへの接続開始を試みているリモート ホストを示します。このアドレスは、現時点では変換テーブルにないため、パケットはドロップされます。

図 3. マッピング アドレスへの接続開始を試みているリモート ホスト

ダイナミック NAT の欠点と利点

ダイナミック NAT には、次の欠点があります。

  • マッピングされたプールにあるアドレスが実際のグループより少ない場合、予想以上にトラフィックが多いと、アドレスが不足する可能性があります。

    PAT では、1 つのアドレスのポートを使用して 64,000 を超える変換を処理できるため、このイベントが頻繁に発生する場合は、PAT または PAT のフォールバック方式を使用します。

  • マッピング プールではルーティング可能なアドレスを多数使用する必要があるのに、ルーティング可能なアドレスは多数用意できない場合があります。

ダイナミック NAT の利点は、一部のプロトコルが PAT を使用できないということです。たとえば、PAT は次の場合は機能しません。

  • GRE バージョン 0 などのように、オーバーロードするためのポートがない IP プロトコルでは機能しません。

  • 一部のマルチメディア アプリケーションなどのように、1 つのポート上にデータ ストリームを持ち、別のポート上に制御パスを持ち、公開規格ではないアプリケーションでも機能しません。

NAT および PAT のサポートの詳細については、デフォルト インスペクションと NAT に関する制限事項を参照してください。

ダイナミック ネットワーク オブジェクト NAT の設定

この項では、ダイナミック NAT のネットワーク オブジェクト NAT を設定する方法について説明します。

手順

ステップ 1

新規または既存のネットワーク オブジェクトに NAT を追加します。

  • 新しいネットワーク オブジェクトを追加するには、[Configuration] > [Firewall] > [NAT Rules] を選択し、[Add] > [Add Network Object NAT Rule] をクリックします。

  • 既存のネットワーク オブジェクトに NAT を追加するには、[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] を選択し、ネットワーク オブジェクトを編集します。

ステップ 2

新しいオブジェクトの場合は、次のフィールドに値を入力します。

  1. [Name]：オブジェクト名。a ～ z、A ～ Z、0 ～ 9、ピリオド、ハイフン、カンマ、またはアンダースコアの文字を使用してください。名前は 64 文字以下にする必要があります。

  2. [Type]：ホスト、ネットワーク、または範囲。

  3. [IP Addresses]：IPv4 または IPv6 アドレス。ホストの場合は単一のアドレスを、範囲の場合は開始アドレスと終了アドレスを、サブネットの場合は IPv4 ネットワーク アドレスおよびマスク（たとえば、10.100.10.0 255.255.255.0）または IPv6 アドレスおよびプレフィックス長（たとえば、2001:DB8:0:CD30::/60）を入力します。

ステップ 3

[NAT] セクションが表示されていない場合は、[NAT] をクリックしてセクションを展開します。

ステップ 4

[Add Automatic Translation Rules] チェックボックスをオンにします。

ステップ 5

[Type] ドロップダウン リストから、[Dynamic] を選択します。

ステップ 6

[Translated Addr] フィールドの右の参照ボタンをクリックし、マッピング アドレスが含まれるネットワーク オブジェクトまたはネットワーク オブジェクト グループを選択します。

必要に応じて新しいオブジェクトを作成できます。

オブジェクトまたはグループは、サブネットを含むことはできません。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

ステップ 7

（任意、マッピングされたインターフェイスが非ブリッジ グループ メンバーのときのみ）他のマッピング アドレスがすべて割り当て済みの場合にインターフェイス IP アドレスをバックアップ方法として使用するには、[Fall through to interface PAT (dest intf)] チェック ボックスをオンにして、インターフェイスをドロップダウン リストから選択します。インターフェイスの IPv6 アドレスを使用するには、[Use IPv6 for interface PAT] チェック ボックスをオンにします。

ステップ 8

（任意）[Advanced] をクリックし、[Advanced NAT Settings] ダイアログボックスで次のオプションを設定して [OK] をクリックします。

  • [Translate DNS replies for rule]：DNS 応答内の IP アドレスを変換します。DNS インスペクションがイネーブルになっていることを確認してください（デフォルトではイネーブルです）。詳細については、「NAT を使用した DNS クエリと応答の書き換え」を参照してください。

  • （ブリッジ グループ メンバーのインターフェイスに必要）[Interface]：この NAT ルールを適用する実際のインターフェイス（送信元）およびマッピング インターフェイス（宛先）を指定します。デフォルトでは、ルールはブリッジ グループ メンバーを除くすべてのインターフェイスに適用されます。

ステップ 9

[OK]、続いて [Apply] をクリックします。

ダイナミック Twice NAT の設定

この項では、ダイナミック NAT の Twice NAT を設定する方法について説明します。

手順

ステップ 1

[Configuration] > [Firewall] > [NAT Rules] を選択して、次のいずれかを実行します。

  • [Add] または [Add] > [Add NAT Rule Before Network Object NAT Rules] をクリックします。

  • [Add] > [Add NAT Rule After Network Object NAT Rules] をクリックします。

  • Twice NAT ルールを選択して [Edit] をクリックします。

[Add NAT Rule] ダイアログボックスが表示されます。

ステップ 2

（ブリッジ グループ メンバーのインターフェイスに必要）送信元インターフェイスおよび宛先インターフェイスを設定します。

ルーテッド モードでは、デフォルトは送信元と宛先の両方のインターフェイスです。いずれかまたは両方のオプションに、特定のインターフェイスを選択できます。ただし、ブリッジ グループ メンバーのインターフェイスにルールを記述するときに、インターフェイスを選択する必要があります。「any」にはこれらのインターフェイスが含まれていません。

  1. [Match Criteria: Original Packet] > [Source Interface] ドロップダウンリストから、送信元インターフェイスを選択します。

  2. [Match Criteria: Original Packet] > [Destination Interface] ドロップダウンリストから、宛先インターフェイスを選択します。

ステップ 3

[Action: Translated Packet] > [Source NAT Type] ドロップダウンリストから、[Dynamic] を選択します。

この設定は送信元アドレスにのみ適用されます。宛先の変換は常にスタティックになります。

ステップ 4

パケットの元の IPv4 または IPv6 のアドレス、つまり、送信元インターフェイス ネットワーク上に出現するときのパケットのアドレス（実際の送信元アドレスとマッピング宛先アドレス）を識別します。元のパケットと変換されたパケットの例については、次の図を参照してください。

  1. [Match Criteria: Original Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Original Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。デフォルトは any です。

  2. （任意）[Match Criteria: Original Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクト、グループ、またはインターフェイスを選択するか、[Browse Original Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

    Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

    ポート変換を設定したスタティック インターフェイス NAT に限り、[Browse] ダイアログボックスからインターフェイスを選択します。サービス変換も必ず設定します。このオプションでは、[Source Interface] に特定のインターフェイスを設定する必要があります。詳細については、「ポート変換を設定したスタティック NAT」を参照してください。

ステップ 5

パケットの変換された IPv4 または IPv6 のアドレス、つまり、宛先インターフェイス ネットワーク上に出現するときのパケットのアドレス（マッピング送信元アドレスと実際の宛先アドレス）を識別します。必要に応じて、IPv4 と IPv6 の間で変換できます。

  1. [Action: Translated Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    ダイナミック NAT では、通常、大きい送信元アドレスのグループが小さいグループにマッピングされます。

    （注）   

    オブジェクトまたはグループは、サブネットを含むことはできません。

  2. [Action: Translated Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    宛先アドレスのアイデンティティ NAT では、実際のアドレスとマッピング アドレスの両方に単に同じオブジェクトまたはグループを使用します。

    宛先アドレスを変換する場合、スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。詳細については、スタティック NATを参照してください。拒否されるマッピング IP アドレスについては、NAT のその他のガイドラインを参照してください。

ステップ 6

（任意）サービス変換の宛先サービス ポートを識別します。

  • 元のパケット ポート（マッピング宛先ポート）を識別します。[Match Criteria: Original Packet] > [Service] について、参照ボタンをクリックしてTCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Original Service] ダイアログボックスから新しいオブジェクトを作成します。

  • 変換されたパケット ポート（実際の宛先ポート）を識別します。[Action: Original Packet] > [Service] について、参照ボタンをクリックしてTCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Translated Service] ダイアログボックスから新しいオブジェクトを作成します。

ダイナミック NAT では、ポート変換はサポートされません。しかし、宛先変換は常にスタティックなので、宛先ポートに対してポート変換を実行できます。サービス オブジェクトには送信元ポートと宛先ポートの両方を含めることができますが、この場合は、宛先ポートだけが使用されます。送信元ポートを指定した場合、無視されます。NAT では、TCP または UDP だけがサポートされます。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方が同じにします（両方とも TCP または両方とも UDP）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。「not equal（等しくない）」（!=）演算子はサポートされていません。

次に例を示します。

ステップ 7

（任意、マッピングされたインターフェイスが非ブリッジ グループ メンバーのときのみ）他のマッピングされた送信元アドレスがすでに割り当てられている場合に、インターフェイス IP アドレスをバックアップの手段として使用するには、[Fall through to interface PAT] チェック ボックスをオンにします。IPv6 インターフェイス アドレスを使用するには、[Use IPv6 for interface PAT] チェックボックスもオンにします。

宛先インターフェイス IP アドレスが使用されます。このオプションは、特定の [Destination Interface] を設定する場合にだけ使用できます。

ステップ 8

（任意）[Options] 領域で NAT オプションを設定します。

  • [Enable rule]：この NAT ルールをイネーブルにします。このルールはデフォルトでイネーブルになっています。

  • （送信元専用ルールの場合）[Translate DNS replies that match this rule]：DNS 応答内の DNS A レコードを書き換えます。DNS インスペクションがイネーブルになっていることを確認してください（デフォルトではイネーブルです）。宛先アドレスを設定する場合、DNS 修正は設定できません。詳細については、「NAT を使用した DNS クエリと応答の書き換え」を参照してください。

  • [Description]：ルールに関する説明を 200 文字以内で追加します。

ステップ 9

[OK] をクリックし、続いて [Apply] をクリックします。

ダイナミック PAT

次のトピックでは、ダイナミック PAT について説明します。

ダイナミック PAT について

ダイナミック PAT では、実際のアドレスおよび送信元ポートが 1 つのマッピング アドレスおよび固有のポートに変換されることによって、複数の実際のアドレスが 1 つのマッピング IP アドレスに変換されます。使用できる場合、実際の送信元ポート番号がマッピング ポートに対して使用されます。ただし、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（0 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。そのため、1024 よりも下のポートでは、小さい PAT プールのみを使用できます。下位ポート範囲を使用するトラフィックの量が多い場合は、サイズの異なる 3 つの層ではなく、フラットなポート範囲が使用されるように指定できます。

送信元ポートが接続ごとに異なるため、各接続には別の変換セッションが必要です。たとえば、10.1.1.1:1025 には、10.1.1.1:1026 とは別の変換が必要です。

次の図に、一般的なダイナミック PAT のシナリオを示します。実際のホストだけが NAT セッションを作成でき、応答トラフィックが許可されます。マッピング アドレスはどの変換でも同じですが、ポートがダイナミックに割り当てられます。

図 4. ダイナミック PAT

変換が継続している間、アクセス ルールで許可されていれば、宛先ネットワーク上のリモート ホストは変換済みホストへの接続を開始できます。実際のポート アドレスおよびマッピング ポート アドレスはどちらも予測不可能であるため、ホストへの接続は確立されません。ただし、この場合は、アクセス ルールのセキュリティに依存できます。

接続の有効期限が切れると、ポート変換も有効期限切れになります。マルチセッション PAT では、PAT のタイムアウト（デフォルトでは 30 秒）が使用されます。セッションごとの PAT では（9.0(1) 以降）、xlate がただちに削除されます。


（注）  

インターフェイスごとに異なる PAT プールを使用することをお勧めします。複数のインターフェイス、特に「any」インターフェイスに同じプールを使用すると、プールがすぐに枯渇し、新しい変換に使用できるポートがなくなります。

ダイナミック PAT の欠点と利点

ダイナミック PAT では、1 つのマッピング アドレスを使用できるため、ルーティング可能なアドレスが節約されます。さらに、ASA インターフェイスの IP アドレスを PAT アドレスとして使用できます。

同じブリッジ グループのインターフェイス間で変換するときは、IPv6 のダイナミック PAT（NAT66）を使用できません。

ダイナミック PAT は、制御パスとは異なるデータ ストリームを持つ一部のマルチメディア アプリケーションでは機能しません。NAT および PAT のサポートの詳細については、デフォルト インスペクションと NAT に関する制限事項を参照してください。

ダイナミック PAT によって、単一の IP アドレスから送信されたように見える数多くの接続が作成されることがあります。この場合、このトラフィックはサーバで DoS 攻撃として解釈される可能性があります。 アドレスの PAT プールを設定して、PAT アドレスのラウンドロビン割り当てを使用すると、この状況を緩和できます。

PAT プール オブジェクトの注意事項

PAT プールのネットワーク オブジェクトを作成する場合は、次のガイドラインに従ってください。

PAT プールの場合

  • 使用できる場合、実際の送信元ポート番号がマッピング ポートに対して使用されます。ただし、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（0 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。そのため、1024 よりも下のポートでは、小さい PAT プールのみを使用できます。 下位ポート範囲を使用するトラフィックが数多くある場合は、サイズが異なる 3 つの層の代わりにフラットなポート範囲を使用するように指定できます。1024 ～ 65535 または 1 ～ 65535 です。

  • 同じ PAT プール オブジェクトを 2 つの異なるルールの中で使用する場合は、必ず同じオプションを各ルールに指定してください。たとえば、1 つのルールで拡張 PAT およびフラットな範囲が指定される場合は、もう一方のルールでも拡張 PAT およびフラットな範囲が指定される必要があります。

PAT プールの拡張 PAT の場合

  • 多くのアプリケーション インスペクションでは、拡張 PAT はサポートされていません。サポート対象外のインスペクションの完全なリストについては、デフォルト インスペクションと NAT に関する制限事項を参照してください。

  • ダイナミック PAT ルールに対して拡張 PAT をイネーブルにする場合、PAT プールのアドレスを、ポート トランスレーション ルールを持つ別のスタティック NAT の PAT アドレスとしても使用することはできません。たとえば、PAT プールに 10.1.1.1 が含まれている場合、PAT アドレスとして 10.1.1.1 を使用する、ポート トランスレーション ルールを持つスタティック NAT は作成できません。

  • PAT プールを使用し、フォールバックのインターフェイスを指定する場合、拡張 PAT を使用できません。

  • ICE または TURN を使用する VoIP 配置では、拡張 PAT を使用しないでください。ICE および TURN は、すべての宛先に対して同じであるために PAT バインディングに依存しています。

PAT プールのラウンド ロビン方式の場合

  • ホストに既存の接続がある場合は、そのホストからの以降の接続は同じ PAT IP アドレスを使用します（ポートが使用可能である場合）。ただし、この「粘着性」は、フェールオーバーが発生すると失われます。デバイスがフェールオーバーすると、ホストからの後続の接続では最初の IP アドレスが使用されない場合があります。

  • PAT プール ルール/ラウンド ロビン ルールとインターフェイス PAT ルールが同じインターフェイス上で混在していると、IP アドレスの「スティッキ性」も影響を受けます。指定したインターフェイスで PAT プールまたはインターフェイス PAT のいずれかを選択します。競合する PAT ルールは作成しないでください。

  • ラウンドロビンでは、特に拡張 PAT と組み合わせた場合に、大量のメモリが消費されます。NAT プールはマッピングされるプロトコル/IP アドレス/ポート範囲ごとに作成されるため、ラウンドロビンでは数多くの同時 NAT プールが作成され、メモリが使用されます。拡張 PAT では、さらに多くの同時 NAT プールが作成されます。

ダイナミック ネットワーク オブジェクト PAT（隠蔽）の設定

この項では、PAT プールの代わりに変換のための単一のアドレスを使用するダイナミック PAT（隠蔽）のネットワーク オブジェクト NAT を設定する方法について説明します。

手順

ステップ 1

新規または既存のネットワーク オブジェクトに NAT を追加します。

  • 新しいネットワーク オブジェクトを追加するには、[Configuration] > [Firewall] > [NAT Rules] を選択し、[Add] > [Add Network Object NAT Rule] をクリックします。

  • 既存のネットワーク オブジェクトに NAT を追加するには、[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] を選択し、ネットワーク オブジェクトを編集します。

ステップ 2

新しいオブジェクトの場合は、次のフィールドに値を入力します。

  1. [Name]：オブジェクト名。a ～ z、A ～ Z、0 ～ 9、ピリオド、ハイフン、カンマ、またはアンダースコアの文字を使用してください。名前は 64 文字以下にする必要があります。

  2. [Type]：ホスト、ネットワーク、または範囲。

  3. [IP Addresses]：IPv4 または IPv6 アドレス。ホストの場合は単一のアドレスを、範囲の場合は開始アドレスと終了アドレスを、サブネットの場合は IPv4 ネットワーク アドレスおよびマスク（たとえば、10.100.10.0 255.255.255.0）または IPv6 アドレスおよびプレフィックス長（たとえば、2001:DB8:0:CD30::/60）を入力します。

ステップ 3

[NAT] セクションが表示されていない場合は、[NAT] をクリックしてセクションを展開します。

ステップ 4

[Add Automatic Translation Rules] チェックボックスをオンにします。

ステップ 5

[Type] ドロップダウン リストから、[Dynamic PAT (Hide)] を選択します。

ステップ 6

マッピング アドレスを 1 つだけ指定します。[Translated Addr] フィールドで、次のいずれかを行ってマッピング IP アドレスを指定します。

  • ホスト IP アドレスを入力します。

  • 参照ボタンをクリックし、ホスト ネットワーク オブジェクトを選択します（または新しいホスト ネットワーク オブジェクトを作成します）。

  • （非ブリッジ グループ メンバーのインターフェイスのみ）インターフェイス名を入力するか、または参照ボタンをクリックし、[Browse Translated Addr] ダイアログボックスでインターフェイスを選択します。

    インターフェイス名を指定する場合は、インターフェイス PAT をイネーブルにしてください。このときに指定したインターフェイス IP アドレスがマッピング アドレスとして使用されます。IPv6 インターフェイス アドレスを使用するには、[Use IPv6 for interface PAT] チェック ボックスもオンにする必要があります。インターフェイス PAT によって、NAT ルールはブリッジ グループのメンバーになることがない指定されたマッピング インターフェイスにのみ適用されます。（インターフェイス PAT を使用しない場合、ルールはデフォルトですべてのインターフェイスに適用されます）。トランスペアレント モードでは、インターフェイスを指定することはできません。

ステップ 7

（任意）[Advanced] をクリックし、[Advanced NAT Settings] ダイアログボックスで次のオプションを設定して [OK] をクリックします。

  • （ブリッジ グループ メンバーのインターフェイスに必要）[Interface]：この NAT ルールを適用する実際のインターフェイス（送信元）およびマッピング インターフェイス（宛先）を指定します。デフォルトでは、ルールはブリッジ グループ メンバーを除くすべてのインターフェイスに適用されます。

ステップ 8

[OK]、続いて [Apply] をクリックします。

PAT プールを使用するダイナミック ネットワーク オブジェクト PAT の設定

この項では、PAT プールを使用するダイナミック PAT のネットワーク オブジェクト NAT を設定する方法について説明します。

手順

ステップ 1

新規または既存のネットワーク オブジェクトに NAT を追加します。

  • 新しいネットワーク オブジェクト NAT ルールを追加するには、[Configuration] > [Firewall] > [NAT Rules] を選択し、[Add] > [Add Network Object NAT Rule] をクリックします。

  • 既存のネットワーク オブジェクトに NAT を追加するには、[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] を選択し、ネットワーク オブジェクトを編集します。

ステップ 2

新しいオブジェクトの場合は、次のフィールドに値を入力します。

  1. [Name]：オブジェクト名。a ～ z、A ～ Z、0 ～ 9、ピリオド、ハイフン、カンマ、またはアンダースコアの文字を使用してください。名前は 64 文字以下にする必要があります。

  2. [Type]：ホスト、ネットワーク、または範囲。

  3. [IP Addresses]：IPv4 または IPv6 アドレス。ホストの場合は単一のアドレスを、範囲の場合は開始アドレスと終了アドレスを、サブネットの場合は IPv4 ネットワーク アドレスおよびマスク（たとえば、10.100.10.0 255.255.255.0）または IPv6 アドレスおよびプレフィックス長（たとえば、2001:DB8:0:CD30::/60）を入力します。

ステップ 3

[NAT] セクションが表示されていない場合は、[NAT] をクリックしてセクションを展開します。

ステップ 4

[Add Automatic Translation Rules] チェックボックスをオンにします。

ステップ 5

PAT プールを使用するダイナミック PAT を設定している場合でも [Type] ドロップダウンリストから [Dynamic] を選択します。

ステップ 6

PAT プールを設定するには、次の手順を実行します。

  1. [Translated Addr] フィールドには値を入力せず、空白のままにしてください。

  2. [PAT Pool Translated Address] チェック ボックスをオンにしてから、参照ボタンをクリックして、PAT プール アドレスが含まれるネットワーク オブジェクトまたはグループを選択します。または、[Browse Translated PAT Pool Address] ダイアログボックスから新しいオブジェクトを作成します。

    （注）   

    PAT プール オブジェクトまたはグループにサブネットが含まれていてはなりません。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

  3. （オプション）必要に応じて、次のオプションを選択します。

    • [Round Robin] ：アドレスおよびポートをラウンドロビン方式で割り当てる場合。デフォルトではラウンドロビンは使用されず、1 つの PAT アドレスのポートがすべて割り当てられると次の PAT アドレスが使用されます。ラウンドロビン方式では、プール内の各 PAT アドレスから 1 つずつアドレス/ポートが割り当てられると最初のアドレスに戻り、次に 2 番目のアドレスというように順に使用されます。

    • [Extend PAT uniqueness to per destination instead of per interface] （8.4(3) 以降、ただし 8.5(1) または 8.6(1) は含まず）：拡張 PAT を使用する場合。拡張 PAT では、変換情報の宛先アドレスとポートを含め、IP アドレスごとではなく、サービスごとに 65535 個のポートが使用されます。通常は、PAT 変換を作成するときに宛先ポートとアドレスは考慮されないため、PAT アドレスごとに 65535 個のポートに制限されます。たとえば、拡張 PAT を使用して、192.168.1.7:23 に向かう場合の 10.1.1.1:1027 の変換、および 192.168.1.7:80 に向かう場合の 10.1.1.1:1027 の変換を作成できます。

    • [Translate TCP or UDP ports into flat range (1024-65535)] （8.4(3) 以降、ただし 8.5(1) または 8.6(1) は含まず）：ポートの割り当て時に 1 つのフラットな範囲として 1024 ～ 65535 のポート範囲を使用する場合。変換のマッピング ポート番号を選択するときに、ASA によって、使用可能な場合は実際の送信元ポート番号が使用されます。ただし、このオプションを設定しないと、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（1 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。下位範囲でポートが不足するのを回避するには、この設定を行います。1 ～ 65535 の全範囲を使用するには、[Include range 1 to 1023] チェックボックスもオンにします。

ステップ 7

（任意、マッピングされたインターフェイスが非ブリッジ グループ メンバーのときのみ）他のマッピング アドレスがすべて割り当て済みの場合にインターフェイス IP アドレスをバックアップ方法として使用するには、[Fall through to interface PAT] チェック ボックスをオンにして、インターフェイスをドロップダウン リストから選択します。インターフェイスの IPv6 アドレスを使用するには、[Use IPv6 for interface PAT] チェック ボックスをオンにします。

ステップ 8

（任意）[Advanced] をクリックし、[Advanced NAT Settings] ダイアログボックスで次のオプションを設定して [OK] をクリックします。

  • （ブリッジ グループ メンバーのインターフェイスに必要）[Interface]：この NAT ルールを適用する実際のインターフェイス（送信元）およびマッピング インターフェイス（宛先）を指定します。デフォルトでは、ルールはブリッジ グループ メンバーを除くすべてのインターフェイスに適用されます。

ステップ 9

[OK]、続いて [Apply] をクリックします。

ダイナミック Twice PAT（隠蔽）の設定

この項では、PAT プールの代わりに変換のための単一のアドレスを使用するダイナミック PAT（隠蔽）の Twice NAT を設定する方法について説明します。

手順

ステップ 1

[Configuration] > [Firewall] > [NAT Rules] を選択して、次のいずれかを実行します。

  • [Add] または [Add] > [Add NAT Rule Before Network Object NAT Rules] をクリックします。

  • [Add] > [Add NAT Rule After Network Object NAT Rules] をクリックします。

  • Twice NAT ルールを選択して [Edit] をクリックします。

[Add NAT Rule] ダイアログボックスが表示されます。

ステップ 2

（ブリッジ グループ メンバーのインターフェイスに必要）送信元インターフェイスおよび宛先インターフェイスを設定します。

ルーテッド モードでは、デフォルトは送信元と宛先の両方のインターフェイスです。いずれかまたは両方のオプションに、特定のインターフェイスを選択できます。ただし、ブリッジ グループ メンバーのインターフェイスにルールを記述するときに、インターフェイスを選択する必要があります。「any」にはこれらのインターフェイスが含まれていません。

  1. [Match Criteria: Original Packet] > [Source Interface] ドロップダウンリストから、送信元インターフェイスを選択します。

  2. [Match Criteria: Original Packet] > [Destination Interface] ドロップダウンリストから、宛先インターフェイスを選択します。

ステップ 3

[Action: Translated Packet] > [Source NAT Type] ドロップダウンリストから、[Dynamic PAT (Hide)] を選択します。

この設定は送信元アドレスにのみ適用されます。宛先の変換は常にスタティックになります。

（注）   

PAT プールを使用するダイナミック PAT を設定するには、[Dynamic PAT (Hide)] の代わりに [Dynamic] を選択します。PAT プールを使用するダイナミック Twice PAT の設定 を参照してください。

ステップ 4

パケットの元の IPv4 または IPv6 のアドレス、つまり、送信元インターフェイス ネットワーク上に出現するときのパケットのアドレス（実際の送信元アドレスとマッピング宛先アドレス）を識別します。元のパケットと変換されたパケットの例については、次の図を参照してください。

  1. [Match Criteria: Original Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Original Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。デフォルトは any です。

  2. （任意）[Match Criteria: Original Packet] > [Destination Address] の場合、参照ボタンをクリックして既存のネットワーク オブジェクト、グループ、またはインターフェイス（非ブリッジ グループ メンバーのインターフェイスのみ）を選択するか、[Browse Original Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

    Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

    ポート変換を設定したスタティック インターフェイス NAT に限り、[Browse] ダイアログボックスからインターフェイスを選択します。サービス変換も必ず設定します。このオプションでは、[Source Interface] に特定のインターフェイスを設定する必要があります。詳細については、「ポート変換を設定したスタティック NAT」を参照してください。

ステップ 5

パケットの変換された IPv4 または IPv6 のアドレス、つまり、宛先インターフェイス ネットワーク上に出現するときのパケットのアドレス（マッピング送信元アドレスと実際の宛先アドレス）を識別します。必要に応じて、IPv4 と IPv6 の間で変換できます。

  1. [Action: Translated Packet] > [Source Address] について、参照ボタンをクリックしてホスト アドレスまたはインターフェイスを定義する既存のネットワーク オブジェクトを選択するか、[Browse Translated Source Address] ダイアログボックスから新しいオブジェクトを作成します。インターフェイスはブリッジ グループ メンバーになることはできません。

    インターフェイスの IPv6 アドレスを使用するには、[Use IPv6 for interface PAT] チェックボックスをオンにします。

  2. （任意）[Action: Translated Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

    宛先アドレスのアイデンティティ NAT では、実際のアドレスとマッピング アドレスの両方に単に同じオブジェクトまたはグループを使用します。

    宛先アドレスを変換する場合、スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。詳細については、スタティック NATを参照してください。拒否されるマッピング IP アドレスについては、NAT のガイドラインを参照してください。

ステップ 6

（任意）サービス変換の宛先サービス ポートを識別します。

  • 元のパケット ポート（マッピング宛先ポート）を識別します。[Match Criteria: Original Packet] > [Service] について、参照ボタンをクリックしてTCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Original Service] ダイアログボックスから新しいオブジェクトを作成します。

  • 変換されたパケット ポート（実際の宛先ポート）を識別します。[Action: Original Packet] > [Service] について、参照ボタンをクリックしてTCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Translated Service] ダイアログボックスから新しいオブジェクトを作成します。

ダイナミック NAT では、ポート変換はサポートされません。しかし、宛先変換は常にスタティックなので、宛先ポートに対してポート変換を実行できます。サービス オブジェクトには送信元ポートと宛先ポートの両方を含めることができますが、この場合は、宛先ポートだけが使用されます。送信元ポートを指定した場合、無視されます。NAT では、TCP または UDP だけがサポートされます。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方が同じにします（両方とも TCP または両方とも UDP）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。「not equal（等しくない）」（!=）演算子はサポートされていません。

次に例を示します。

ステップ 7

（任意）[Options] 領域で NAT オプションを設定します。

  • [Enable rule]：この NAT ルールをイネーブルにします。このルールはデフォルトでイネーブルになっています。

  • [Description]：ルールに関する説明を 200 文字以内で追加します。

ステップ 8

[OK] をクリックし、続いて [Apply] をクリックします。

PAT プールを使用するダイナミック Twice PAT の設定

この項では、PAT プールを使用するダイナミック PAT の Twice NAT を設定する方法について説明します。

手順

ステップ 1

[Configuration] > [Firewall] > [NAT Rules] を選択して、次のいずれかを実行します。

  • [Add] または [Add] > [Add NAT Rule Before Network Object NAT Rules] をクリックします。

  • [Add] > [Add NAT Rule After Network Object NAT Rules] をクリックします。

  • Twice NAT ルールを選択して [Edit] をクリックします。

[Add NAT Rule] ダイアログボックスが表示されます。

ステップ 2

（ブリッジ グループ メンバーのインターフェイスに必要）送信元インターフェイスおよび宛先インターフェイスを設定します。

ルーテッド モードでは、デフォルトは送信元と宛先の両方のインターフェイスです。いずれかまたは両方のオプションに、特定のインターフェイスを選択できます。ただし、ブリッジ グループ メンバーのインターフェイスにルールを記述するときに、インターフェイスを選択する必要があります。「any」にはこれらのインターフェイスが含まれていません。

  1. [Match Criteria: Original Packet] > [Source Interface] ドロップダウンリストから、送信元インターフェイスを選択します。

  2. [Match Criteria: Original Packet] > [Destination Interface] ドロップダウンリストから、宛先インターフェイスを選択します。

ステップ 3

[Action: Translated Packet] > [Source NAT Type] ドロップダウンリストから、[Dynamic] を選択します。

この設定は送信元アドレスにのみ適用されます。宛先の変換は常にスタティックになります。

ステップ 4

パケットの元の IPv4 または IPv6 のアドレス、つまり、送信元インターフェイス ネットワーク上に出現するときのパケットのアドレス（実際の送信元アドレスとマッピング宛先アドレス）を識別します。元のパケットと変換されたパケットの例については、次の図を参照してください。

  1. [Match Criteria: Original Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Original Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。デフォルトは any です。

  2. （任意）[Match Criteria: Original Packet] > [Destination Address] の場合、参照ボタンをクリックして既存のネットワーク オブジェクト、グループ、またはインターフェイス（非ブリッジ グループ メンバーのインターフェイスのみ）を選択するか、[Browse Original Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

    Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

    ポート変換を設定したスタティック インターフェイス NAT に限り、[Browse] ダイアログボックスからインターフェイスを選択します。サービス変換も必ず設定します。このオプションでは、[Source Interface] に特定のインターフェイスを設定する必要があります。詳細については、「ポート変換を設定したスタティック NAT」を参照してください。

ステップ 5

パケットの変換された IPv4 または IPv6 のアドレス、つまり、宛先インターフェイス ネットワーク上に出現するときのパケットのアドレス（マッピング送信元アドレスと実際の宛先アドレス）を識別します。必要に応じて、IPv4 と IPv6 の間で変換できます。

  1. [PAT Pool Translated Address] チェック ボックスをオンにしてから、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated PAT Pool Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。注：[Source Address] フィールドは空のままにしておきます。

    （注）   

    オブジェクトまたはグループは、サブネットを含むことはできません。

  2. （任意）[Action: Translated Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    宛先アドレスのアイデンティティ NAT では、実際のアドレスとマッピング アドレスの両方に単に同じオブジェクトまたはグループを使用します。

    宛先アドレスを変換する場合、スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。詳細については、スタティック NATを参照してください。拒否されるマッピング IP アドレスについては、NAT のガイドラインを参照してください。

ステップ 6

（任意）サービス変換の宛先サービス ポートを識別します。

  • 元のパケット ポート（マッピング宛先ポート）を識別します。[Match Criteria: Original Packet] > [Service] について、参照ボタンをクリックして TCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Original Service] ダイアログボックスから新しいオブジェクトを作成します。

  • 変換されたパケット ポート（実際の宛先ポート）を識別します。[Action: Translated Packet] > [Service] について、参照ボタンをクリックして TCP ポートまたは UDP ポートを指定する既存のサービス オブジェクトを選択するか、[Browse Translated Service] ダイアログボックスから新しいオブジェクトを作成します。

ダイナミック NAT では、ポート変換はサポートされません。しかし、宛先変換は常にスタティックなので、宛先ポートに対してポート変換を実行できます。サービス オブジェクトには送信元ポートと宛先ポートの両方を含めることができますが、この場合は、宛先ポートだけが使用されます。送信元ポートを指定した場合、無視されます。NAT では、TCP または UDP だけがサポートされます。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方が同じにします（両方とも TCP または両方とも UDP）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。「not equal（等しくない）」（!=）演算子はサポートされていません。

次に例を示します。

ステップ 7

（任意）PAT プールの場合は、必要に応じて次のオプションを設定します。

  • [Round Robin]：アドレス/ポートをラウンドロビン方式で割り当てる場合。デフォルトではラウンドロビンは使用されず、1 つの PAT アドレスのポートがすべて割り当てられると次の PAT アドレスが使用されます。ラウンドロビン方式では、プール内の各 PAT アドレスから 1 つずつアドレス/ポートが割り当てられると最初のアドレスに戻り、次に 2 番目のアドレスというように順に使用されます。

  • [Extend PAT uniqueness to per destination instead of per interface] （8.4(3) 以降、ただし 8.5(1) または 8.6(1) は含まず）：拡張 PAT を使用する場合。拡張 PAT では、変換情報の宛先アドレスとポートを含め、IP アドレスごとではなく、サービスごとに 65535 個のポートが使用されます。通常は、PAT 変換を作成するときに宛先ポートとアドレスは考慮されないため、PAT アドレスごとに 65535 個のポートに制限されます。たとえば、拡張 PAT を使用して、192.168.1.7:23 に向かう場合の 10.1.1.1:1027 の変換、および 192.168.1.7:80 に向かう場合の 10.1.1.1:1027 の変換を作成できます。

  • [Translate TCP or UDP ports into flat range (1024-65535)] （8.4(3) 以降、ただし 8.5(1) または 8.6(1) は含まず）：ポートの割り当て時に 1 つのフラットな範囲として 1024 ～ 65535 のポート範囲を使用する場合。変換のマッピング ポート番号を選択するときに、ASA によって、使用可能な場合は実際の送信元ポート番号が使用されます。ただし、このオプションを設定しないと、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（1 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。下位範囲でポートが不足するのを回避するには、この設定を行います。1 ～ 65535 の全範囲を使用するには、[Include range 1 to 1023] チェックボックスもオンにします。

ステップ 8

（任意、マッピングされたインターフェイスが非ブリッジ グループ メンバーのときのみ）他のマッピングされた送信元アドレスがすでに割り当てられている場合に、インターフェイス IP アドレスをバックアップの手段として使用するには、[Fall through to interface PAT] チェック ボックスをオンにします。IPv6 インターフェイス アドレスを使用するには、[Use IPv6 for interface PAT] チェックボックスもオンにします。

宛先インターフェイス IP アドレスが使用されます。このオプションは、特定の [Destination Interface] を設定する場合にだけ使用できます。

ステップ 9

（任意）[Options] 領域で NAT オプションを設定します。

  • [Enable rule]：この NAT ルールをイネーブルにします。このルールはデフォルトでイネーブルになっています。

  • [Description]：ルールに関する説明を 200 文字以内で追加します。

ステップ 10

[OK] をクリックし、続いて [Apply] をクリックします。

Per-Session PAT または Multi-Session PAT（バージョン 9.0(1) 以降）の設定

デフォルトでは、すべての TCP PAT トラフィックおよびすべての UDP DNS トラフィックが Per-Session PAT を使用します。トラフィックに Multi-Session PAT を使用するには、Per-Session PAT ルールを設定します。許可ルールで Per-Session PAT を使用し、拒否ルールで Multi-Session PAT を使用します。

Per-Session PAT によって PAT のスケーラビリティが向上し、クラスタリングの場合に各メンバ ユニットに独自の PAT 接続を使用できるようになります。Multi-Session PAT 接続は、マスター ユニットに転送してマスター ユニットを所有者とする必要があります。Per-Session PAT セッションの終了時に、ASA からリセットが送信され、即座に xlate が削除されます。このリセットによって、エンド ノードは即座に接続を解放し、TIME_WAIT 状態を回避します。対照的に、Multi-Session PAT では、PAT タイムアウトが使用されます（デフォルトでは 30 秒）。

HTTP や HTTPS などの「ヒットエンドラン」トラフィックの場合、Per-Session PAT は、1 つのアドレスによってサポートされる接続率を大幅に増やすことができます。Per-Session PAT を使用しない場合は、特定の IP プロトコルに対する 1 アドレスの最大接続率は約 2000/秒です。Per-Session PAT を使用する場合は、特定の IP プロトコルに対する 1 アドレスの接続率は 65535/平均ライフタイムです。

Multi-Session PAT のメリットを活用できるトラフィック、たとえば H.323、SIP、Skinny に対して Per-session PAT をディセーブルにするには、Per-session 拒否ルールを作成します。ただし、これらのプロトコルで使用する UDP ポートにセッション単位の PAT も使用する場合は、それらに許可ルールを作成する必要があります。

始める前に

デフォルトでは、次のルールがインストールされます。

  • any（IPv4 および IPv6）から any（IPv4 および IPv6）への TCP を許可する。

  • any（IPv4 および IPv6）からドメインへの UDP を許可する。

これらのルールは、テーブルに表示されません。

これらのルールは削除できません。これらのルールは常に、手動作成されたルールの後に存在します。ルールは順番に評価されるので、デフォルト ルールを無効にすることができます。たとえば、これらのルールを完全に反転させるには、次のものを追加します。

  • any（IPv4 および IPv6）から any（IPv4 および IPv6）への TCP を拒否する。

  • any（IPv4 および IPv6）からドメインへの UDP を拒否する。

手順

ステップ 1

[Configuration] > [Firewall] > [Advanced] > [Per-Session NAT Rules] を選択します。

ステップ 2

次のいずれかを実行します。

  • [Add] > [Add Per-Session NAT Rule] を選択します。

  • ルールを選択して [Edit] をクリックします。

ステップ 3

ルールを設定します。

  • [Action]：[Permit] または [Deny] をクリックします。許可ルールは、per-session PAT を使用し、拒否ルールは multi-session PAT を使用します。

  • [Source]：アドレスを入力するか、または [...] ボタンをクリックし、オブジェクトを選択して、送信元アドレスを指定します。サービスの場合、UDP または TCP を選択します。通常は宛先ポートだけを指定しますが、任意で送信元ポートを指定できます。[UDP/port] または [TCP/port] に入力するか、[...] ボタンをクリックして、共通の値またはオブジェクトを選択します。

  • [Destination]：アドレスを入力するか、または [...] ボタンをクリックし、オブジェクトを選択して、宛先アドレスを指定します。サービスの場合、UDP または TCP を選択します。これは送信元サービスと一致する必要があります。任意で宛先ポートを指定できます。[UDP/port] または [TCP/port] に入力するか、[...] ボタンをクリックして、共通の値またはオブジェクトを選択します。演算子（!=（等しくない)、>（より大きい）、<（より小さい））を使用することも、ハイフン（たとえば、100-200）を指定することもできます。

ステップ 4

[OK] をクリックし、続いて [Apply] をクリックします。

スタティック NAT

ここでは、スタティック NAT とその実装方法について説明します。

スタティック NAT について

スタティック NAT では、実際のアドレスからマッピング アドレスへの固定変換が作成されます。マッピング アドレスは連続する各接続で同じなので、スタティック NAT では、双方向の接続（ホストへの接続とホストから接続の両方）を開始できます（接続を許可するアクセス ルールが存在する場合）。一方、ダイナミック NAT および PAT では、各ホストが以降の各変換に対して異なるアドレスまたはポートを使用するので、双方向の開始はサポートされません。

次の図に、一般的なスタティック NAT のシナリオを示します。この変換は常にアクティブなので、実際のホストとリモート ホストの両方が接続を開始できます。

図 5. スタティック NAT

（注）  

必要に応じて、双方向をディセーブルにできます。

ポート変換を設定したスタティック NAT

ポート変換を設定したスタティック NAT では、実際のプロトコルおよびポートとマッピングされたプロトコルおよびポートを指定できます。

スタティック NAT を使用してポートを指定する場合、ポートまたは IP アドレスを同じ値にマッピングするか、別の値にマッピングするかを選択できます。

次の図に、ポート変換が設定された一般的なスタティック NAT のシナリオを示します。自身にマッピングしたポートと、別の値にマッピングしたポートの両方を示しています。いずれのケースでも、IP アドレスは別の値にマッピングされています。この変換は常にアクティブなので、変換されたホストとリモート ホストの両方が接続を開始できます。

図 6. ポート変換を設定したスタティック NAT の一般的なシナリオ

ポート変換ルールを設定したスタティック NAT は、指定されたポートの宛先 IP アドレスのみにアクセスを制限します。NAT ルール対象外の別のポートで宛先 IP アドレスにアクセスしようとすると、接続がブロックされます。さらに、twice NAT の場合、NAT ルールの送信元 IP アドレスと一致しないトラフィックが宛先 IP アドレスと一致する場合、宛先ポートに関係なくドロップされます。したがって、宛先 IP アドレスに対して許可される他のすべてのトラフィックに追加ルールを追加する必要があります。たとえば、ポートを指定せずに IP アドレスにスタティック NAT ルールを設定し、ポート変換ルールの後ろにそれを配置できます。


（注）  

セカンダリ チャネルのアプリケーション インスペクションが必要なアプリケーション（FTP、VoIP など）を使用する場合は、NAT が自動的にセカンダリ ポートを変換します。

次に、ポート変換を設定したスタティック NAT のその他の使用例の一部を示します。

アイデンティティ ポート変換を設定したスタティック NAT

内部リソースへの外部アクセスを簡素化できます。たとえば、異なるポートでサービスを提供する 3 つの個別のサーバ（FTP、HTTP、SMTP など）がある場合は、それらのサービスにアクセスするための単一の IP アドレスを外部ユーザに提供できます。その後、アイデンティティ ポート変換を設定したスタティック NAT を設定し、アクセスしようとしているポートに基づいて、単一の外部 IP アドレスを実サーバの正しい IP アドレスにマッピングすることができます。サーバは標準のポート（それぞれ 21、80、および 25）を使用しているため、ポートを変更する必要はありません。 この例の設定方法については、 FTP、HTTP、および SMTP の単一アドレス（ポート変換を設定したスタティック NAT）を参照してください

標準以外のポートのポート変換を設定したスタティック NAT

ポート変換を設定したスタティック NAT を使用すると、予約済みポートから標準以外のポートへの変換や、その逆の変換も実行できます。たとえば、内部 Web サーバがポート 8080 を使用する場合、ポート 80 に接続することを外部ユーザに許可し、その後、変換を元のポート 8080 に戻すことができます。同様に、セキュリティをさらに高めるには、Web ユーザに標準以外のポート 6785 に接続するように指示し、その後、変換をポート 80 に戻すことができます。

ポート変換を設定したスタティック インターフェイス NAT

スタティック NAT は、実際のアドレスをインターフェイス アドレスとポートの組み合わせにマッピングするように設定できます。たとえば、デバイスの外部インターフェイスへの Telnet アクセスを内部ホストにリダイレクトする場合、内部ホストの IP アドレス/ポート 23 を外部インターフェイス アドレス/ポート 23 にマッピングできます。

一対多のスタティック NAT

通常、スタティック NAT は 1 対 1 のマッピングで設定します。しかし場合によっては、1 つの実際のアドレスを複数のマッピング アドレスに設定することがあります（1 対多）。1 対多のスタティック NAT を設定する場合、実際のホストがトラフィックを開始すると、常に最初のマッピング アドレスが使用されます。しかし、ホストに向けて開始されたトラフィックの場合、任意のマッピング アドレスへのトラフィックを開始でき、1 つの実際のアドレスには変換されません。

次の図に、一般的な 1 対多のスタティック NAT シナリオを示します。実際のホストが開始すると、常に最初のマッピング アドレスが使用されるため、実際のホスト IP/最初のマッピング IP の変換は、理論的には双方向変換のみが行われます。

図 7. 一対多のスタティック NAT

たとえば、10.1.2.27 にロード バランサが存在するとします。要求される URL に応じて、トラフィックを正しい Web サーバにリダイレクトします。この例の設定方法については、複数のマッピング アドレス（スタティック NAT、一対多）を持つ内部ロード バランサを参照してください。

図 8. 一対多のスタティック NAT の例

他のマッピング シナリオ（非推奨）

NAT には、1 対 1、1 対多だけではなく、少対多、多対少、多対 1 など任意の種類のスタティック マッピング シナリオを使用できるという柔軟性があります。1 対 1 マッピングまたは 1 対多マッピングだけを使用することをお勧めします。これらの他のマッピング オプションは、予期しない結果が発生する可能性があります。

機能的には、少対多は、1 対多と同じです。しかし、コンフィギュレーションが複雑化して、実際のマッピングが一目では明らかでない場合があるため、必要とする実際の各アドレスに対して 1 対多のコンフィギュレーションを作成することを推奨します。たとえば、少対多のシナリオでは、少数の実際のアドレスが多数のマッピング アドレスに順番にマッピングされます（A は 1、B は 2、C は 3）。すべての実際のアドレスがマッピングされたら、次にマッピングされるアドレスは、最初の実際のアドレスにマッピングされ、すべてのマッピング アドレスがマッピングされるまで続行されます（A は 4、B は 5、C は 6）。この結果、実際の各アドレスに対して複数のマッピング アドレスが存在することになります。1 対多のコンフィギュレーションのように、最初のマッピングだけが双方向であり、以降のマッピングでは、実際のホストへのトラフィックを開始できますが、実際のホストからのすべてのトラフィックは、送信元の最初のマッピング アドレスだけを使用できます。

次の図に、一般的な少対多のスタティック NAT シナリオを示します。

図 9. 少対多のスタティック NAT

多対少または多対 1 コンフィギュレーションでは、マッピング アドレスよりも多くの実際のアドレスが存在します。実際のアドレスが不足するよりも前に、マッピング アドレスが不足します。双方向の開始を実現できるのは、最下位の実際の IP アドレスとマッピングされたプールの間でマッピングを行ったときだけです。残りの上位の実際のアドレスはトラフィックを開始できますが、これらへのトラフィックを開始できません。接続のリターン トラフィックは、接続の固有の 5 つの要素（送信元 IP、宛先 IP、送信元ポート、宛先ポート、プロトコル）によって適切な実際のアドレスに転送されます。


（注）  

多対少または多対 1 の NAT は PAT ではありません。2 つの実際のホストが同じ送信元ポート番号を使用して同じ外部サーバおよび同じ TCP 宛先ポートにアクセスする場合は、両方のホストが同じ IP アドレスに変換されると、アドレスの競合がある（5 つのタプルが一意でない）ため、両方の接続がリセットされます。

次の図に、一般的な多対少のスタティック NAT シナリオを示します。

図 10. 多対少のスタティック NAT

このようにスタティック ルールを使用するのではなく、双方向の開始を必要とするトラフィックに 1 対 1 のルールを作成し、残りのアドレスにダイナミック ルールを作成することをお勧めします。

スタティック ネットワーク オブジェクト NAT またはポート変換を設定したスタティック NAT の設定

この項では、ネットワーク オブジェクト NAT を使用してスタティック NAT ルールを設定する方法について説明します。

手順

ステップ 1

新規または既存のネットワーク オブジェクトに NAT を追加します。

  • 新しいネットワーク オブジェクトを追加するには、[Configuration] > [Firewall] > [NAT Rules] を選択し、[Add] > [Add Network Object NAT Rule] をクリックします。

  • 既存のネットワーク オブジェクトに NAT を追加するには、[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] を選択し、ネットワーク オブジェクトを編集します。

ステップ 2

新しいオブジェクトの場合は、次のフィールドに値を入力します。

  • [Name]：オブジェクト名。a ～ z、A ～ Z、0 ～ 9、ピリオド、ハイフン、カンマ、またはアンダースコアの文字を使用してください。名前は 64 文字以下にする必要があります。

  • [Type]：ホスト、ネットワーク、または範囲。

  • [IP Addresses]：IPv4 または IPv6 アドレス。ホストの場合は単一のアドレスを、範囲の場合は開始アドレスと終了アドレスを、サブネットの場合は IPv4 ネットワーク アドレスおよびマスク（たとえば、10.100.10.0 255.255.255.0）または IPv6 アドレスおよびプレフィックス長（たとえば、2001:DB8:0:CD30::/60）を入力します。

ステップ 3

[NAT] セクションが表示されていない場合は、[NAT] をクリックしてセクションを展開します。

ステップ 4

[Add Automatic Translation Rules] チェックボックスをオンにします。

ステップ 5

[Type] ドロップダウン リストから、[Static] を選択します。



ステップ 6

[Translated Addr] フィールドで、マッピング IP アドレスを次のいずれかとして指定します。通常、1 対 1 のマッピングでは、実際のアドレスと同じ数のマッピング アドレスを設定します。しかし、アドレスの数が一致しない場合もあります。詳細については、スタティック NATを参照してください。

  • ホスト IP アドレスを入力します。これにより、ホストオブジェクトに 1 対 1 のマッピングが提供されます。サブネットオブジェクトの場合は、インラインホストアドレスに対して同じネットマスクが使用され、マッピングされたインラインホストのサブネット内のアドレスに対して 1 対 1 の変換が行われます。範囲オブジェクトの場合は、マッピングされたアドレスには、範囲オブジェクトにある同じ数のホストが含まれ、それらはマッピングされたホストアドレスから始まります。たとえば、実際のアドレスが 10.1.1.1 ～ 10.1.1.6 の範囲として定義され、172.20.1.1 をマッピング アドレスとして指定する場合、マッピング範囲には、172.20.1.1 ～ 172.20.1.6 が含まれます。NAT46 または NAT66 変換では、IPv6 ネットワーク アドレスを指定できます。

  • 参照ボタンをクリックし、ネットワーク オブジェクトを選択します（または新しいネットワーク オブジェクトを作成します）。IP アドレスの範囲に 1 対 1 のマッピングを行うには、同じ数のアドレスを含む範囲を含むオブジェクトを選択します。

  • （ポート変換を設定したスタティック NAT の場合のみ）インターフェイス名を入力するか、または参照ボタンをクリックし、[Browse Translated Addr] ダイアログボックスでインターフェイスを選択します。ブリッジ グループ メンバーのインターフェイスを選択することはできません。

    IPv6 インターフェイス アドレスを使用するには、[Use IPv6 for interface PAT] チェック ボックスもオンにする必要があります。[Advanced] をクリックしてサービス ポート変換も必ず設定します（トランスペアレント モードでは、インターフェイスを指定することはできません）。

ステップ 7

（任意）NAT46 の場合、[Use one-to-one address translation] をオンにします。NAT 46 の場合、最初の IPv4 アドレスを最初の IPv6 アドレス、2 番目の IPv4 アドレスを 2 番目の IPv6 アドレス、以下同様に 1 対 1 で順に変換するように指定します。このオプションを指定しない場合は、IPv4 埋め込み方式が使用されます。1 対 1 変換の場合は、このキーワードを使用する必要があります。

ステップ 8

（任意）[Advanced] をクリックし、[Advanced NAT Settings] ダイアログボックスで次のオプションを設定して [OK] をクリックします。

  • [Translate DNS replies for rule]：DNS 応答内の IP アドレスを変換します。DNS インスペクションがイネーブルになっていることを確認してください（デフォルトではイネーブルです）。詳細については、「NAT を使用した DNS クエリと応答の書き換え」を参照してください。

  • [Disable Proxy ARP on egress interface]：マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。プロキシ ARP のディセーブル化が必要となる可能性がある状況については、マッピング アドレスとルーティングを参照してください。

  • （ブリッジ グループ メンバーのインターフェイスに必要）[Interface]：この NAT ルールを適用する実際のインターフェイス（送信元）およびマッピング インターフェイス（宛先）を指定します。デフォルトでは、ルールはブリッジ グループ メンバーを除くすべてのインターフェイスに適用されます。

  • [Service]：ポート変換を設定したスタティック NAT を設定します。プロトコルを選択してから、実際のポートとマッピング ポートを入力します。ポート番号または既知のポート名（http など）を使用できます。

ステップ 9

[OK]、続いて [Apply] をクリックします。

スタティック ルールが二方向である（開始を実際のホストの間で許可する）ため、NAT ルール テーブルは各スタティック ルールに対して、各方向に 1 つずつ 2 つの行を表示します。

スタティック Twice NAT またはポート変換を設定したスタティック NAT の設定

この項では、Twice NAT を使用してスタティック NAT ルールを設定する方法について説明します。

手順

ステップ 1

[Configuration] > [Firewall] > [NAT Rules] を選択して、次のいずれかを実行します。

  • [Add] または [Add] > [Add NAT Rule Before Network Object NAT Rules] をクリックします。

  • [Add] > [Add NAT Rule After Network Object NAT Rules] をクリックします。

  • Twice NAT ルールを選択して [Edit] をクリックします。

[Add NAT Rule] ダイアログボックスが表示されます。



ステップ 2

（ブリッジ グループ メンバーのインターフェイスに必要）送信元インターフェイスおよび宛先インターフェイスを設定します。

ルーテッド モードでは、デフォルトは送信元と宛先の両方のインターフェイスです。いずれかまたは両方のオプションに、特定のインターフェイスを選択できます。ただし、ブリッジ グループ メンバーのインターフェイスにルールを記述するときに、インターフェイスを選択する必要があります。「any」にはこれらのインターフェイスが含まれていません。

  1. [Match Criteria: Original Packet] > [Source Interface] ドロップダウンリストから、送信元インターフェイスを選択します。

  2. [Match Criteria: Original Packet] > [Destination Interface] ドロップダウンリストから、宛先インターフェイスを選択します。

ステップ 3

[Action: Translated Packet] > [Source NAT Type] ドロップダウンリストから、[Static] を選択します。[Static] がデフォルトの設定です。

この設定は送信元アドレスにのみ適用されます。宛先の変換は常にスタティックになります。

ステップ 4

パケットの元の IPv4 または IPv6 のアドレス、つまり、送信元インターフェイス ネットワーク上に出現するときのパケットのアドレス（実際の送信元アドレスとマッピング宛先アドレス）を識別します。元のパケットと変換されたパケットの例については、次の図を参照してください。

  1. [Match Criteria: Original Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Original Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。デフォルトは any ですが、アイデンティティ NAT を除いてはこのオプションを使用しないでください。

  2. （任意）[Match Criteria: Original Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクト、グループ、またはインターフェイスを選択するか、[Browse Original Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

ステップ 5

パケットの変換された IPv4 または IPv6 のアドレス、つまり、宛先インターフェイス ネットワーク上に出現するときのパケットのアドレス（マッピング送信元アドレスと実際の宛先アドレス）を識別します。必要に応じて、IPv4 と IPv6 の間で変換できます。

  1. [Action: Translated Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    スタティック NAT のマッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。

    ポート変換が設定されたスタティック インターフェイス NAT では、マッピング アドレスのネットワーク オブジェクト/グループではなく、インターフェイスを指定できます。インターフェイスの IPv6 アドレスを使用するには、[Use IPv6 for interface PAT] チェックボックスをオンにします。ブリッジ グループ メンバーのインターフェイスを選択することはできません。

    詳細については、ポート変換を設定したスタティック NATを参照してください。拒否されるマッピング IP アドレスについては、NAT のガイドラインを参照してください。

  2. （任意）[Action: Translated Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

ステップ 6

（任意）サービス変換の送信元サービス ポートまたは宛先サービス ポートを識別します。

  • 元のパケットの送信元ポートまたは宛先ポート（実際の送信元ポートまたはマッピング宛先ポート）を識別します。[Match Criteria: Original Packet] > [Service] について、参照ボタンをクリックしてポートを指定する既存のサービス オブジェクトを選択するか、[Browse Original Service] ダイアログボックスから新しいオブジェクトを作成します。

  • 変換されたパケットの送信元ポートまたは宛先ポート（マッピング送信元ポートまたは実際の宛先ポート）を識別します。[Action: Original Packet] > [Service] について、参照ボタンをクリックしてポートを指定する既存のサービス オブジェクトを選択するか、[Browse Translated Service] ダイアログボックスから新しいオブジェクトを作成します。

サービス オブジェクトは、送信元ポートと宛先ポートの両方を含むことができます。実際のサービス オブジェクトとマッピング サービス オブジェクトの両方に、送信元ポートまたは宛先ポートのいずれかを指定する必要があります。ご使用のアプリケーションが固定の送信元ポートを使用する場合（一部の DNS サーバなど）に送信元ポートおよび宛先ポートの両方を指定する必要がありますが、固定の送信元ポートはめったに使用されません。オブジェクトで送信元ポートと宛先ポートの両方を指定することはほとんどありませんが、この場合には、元のパケットのサービス オブジェクトに実際の送信元ポート/マッピングされた宛先ポートが含まれます。変換されたパケットのサービス オブジェクトには、マッピングされた送信元ポート/実際の宛先ポートが含まれます。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方を同じにします（たとえば両方とも TCP にします）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。「not equal（等しくない）」（!=）演算子はサポートされていません。

次に例を示します。

ステップ 7

（任意）NAT46 の場合、[Use one-to-one address translation] チェック ボックスをオンにします。NAT 46 の場合、最初の IPv4 アドレスを最初の IPv6 アドレス、2 番目の IPv4 アドレスを 2 番目の IPv6 アドレス、以下同様に 1 対 1 で順に変換するように指定します。このオプションを指定しない場合は、IPv4 埋め込み方式が使用されます。1 対 1 変換の場合は、このキーワードを使用する必要があります。

ステップ 8

（任意）[Options] 領域で NAT オプションを設定します。

  • [Enable rule]：この NAT ルールをイネーブルにします。このルールはデフォルトでイネーブルになっています。

  • （送信元専用ルールの場合）[Translate DNS replies that match this rule]：DNS 応答内の DNS A レコードを書き換えます。DNS インスペクションがイネーブルになっていることを確認してください（デフォルトではイネーブルです）。宛先アドレスを設定する場合、DNS 修正は設定できません。詳細については、「NAT を使用した DNS クエリと応答の書き換え」を参照してください。

  • [Disable Proxy ARP on egress interface]：マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。詳細については、「マッピング アドレスとルーティング」を参照してください。

  • [Direction]：ルールを単方向にするには、[Unidirectional] を選択します。デフォルトは [Both] です。ルールを単方向にすると、宛先アドレスが実際のアドレスへの接続を開始するのを回避できます。

  • [Description]：ルールに関する説明を 200 文字以内で追加します。

ステップ 9

[OK] をクリックし、続いて [Apply] をクリックします。

アイデンティティ NAT

IP アドレスを自身に変換する必要のある NAT コンフィギュレーションを設定できます。たとえば、NAT を各ネットワークに適するものの、1 つのネットワークを NAT から除外するという広範なルールを作成する場合、スタティック NAT ルールを作成して、アドレスを自身に変換することができます。アイデンティティ NAT は、クライアント トラフィックを NAT から除外する必要のあるリモート アクセス VPN の場合に必須です。

次の図に、一般的なアイデンティティ NAT のシナリオを示します。

図 11. アイデンティティ NAT

ここでは、アイデンティティ NAT の設定方法について説明します。

アイデンティティ ネットワーク オブジェクト NAT の設定

この項では、ネットワーク オブジェクト NAT を使用してアイデンティティ NAT ルールを設定する方法について説明します。

手順

ステップ 1

新規または既存のネットワーク オブジェクトに NAT を追加します。

  • 新しいネットワーク オブジェクトを追加するには、[Configuration] > [Firewall] > [NAT Rules] を選択し、[Add] > [Add Network Object NAT Rule] をクリックします。

  • 既存のネットワーク オブジェクトに NAT を追加するには、[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups] を選択し、ネットワーク オブジェクトを編集します。

ステップ 2

新しいオブジェクトの場合は、次のフィールドに値を入力します。

  • [Name]：オブジェクト名。a ～ z、A ～ Z、0 ～ 9、ピリオド、ハイフン、カンマ、またはアンダースコアの文字を使用してください。名前は 64 文字以下にする必要があります。

  • [Type]：ホスト、ネットワーク、または範囲。

  • [IP Addresses]：IPv4 または IPv6 アドレス。ホストの場合は単一のアドレスを、範囲の場合は開始アドレスと終了アドレスを、サブネットの場合は IPv4 ネットワーク アドレスおよびマスク（たとえば、10.100.10.0 255.255.255.0）または IPv6 アドレスおよびプレフィックス長（たとえば、2001:DB8:0:CD30::/60）を入力します。

ステップ 3

[NAT] セクションが表示されていない場合は、[NAT] をクリックしてセクションを展開します。

ステップ 4

[Add Automatic Translation Rules] チェックボックスをオンにします。

ステップ 5

[Type] ドロップダウン リストから、[Static] を選択します。

ステップ 6

[Translated Addr] フィールドで、次のいずれかの操作を行います。

  • ホストオブジェクトの場合は、同じアドレスを入力します。範囲オブジェクトの場合は、実際の範囲における最初のアドレスを入力します（範囲内の同じ数のアドレスが使用されます）。サブネットオブジェクトの場合は、実際のサブネット内にある任意のアドレスを入力します（サブネット内のすべてのアドレスが使用されます）。

  • 参照ボタンをクリックし、ネットワーク オブジェクトを選択します（または新しいネットワーク オブジェクトを作成します）。アドレスの範囲にアイデンティティ NAT を設定するときは、このオプションを使用します。

ステップ 7

（任意）[Advanced] をクリックし、[Advanced NAT Settings] ダイアログボックスで次のオプションを設定して [OK] をクリックします。

  • [Translate DNS replies for rule]：アイデンティティ NAT にこのオプションを設定しないでください。

  • [Disable Proxy ARP on egress interface]：マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。プロキシ ARP のディセーブル化が必要となる可能性がある状況については、マッピング アドレスとルーティングを参照してください。

  • （ルーテッド モード、インターフェイスを指定）[Lookup route table to locate egress interface]：NAT コマンドに指定したインターフェイスを使用する代わりに、ルート ルックアップを使用して出力インターフェイスを決定します。詳細については、「出力インターフェイスの決定」を参照してください。

  • （ブリッジ グループ メンバーのインターフェイスに必要）[Interface]：この NAT ルールを適用する実際のインターフェイス（送信元）およびマッピング インターフェイス（宛先）を指定します。デフォルトでは、ルールはブリッジ グループ メンバーを除くすべてのインターフェイスに適用されます。

  • [Service]：アイデンティティ NAT にこのオプションを設定しないでください。

ステップ 8

[OK]、続いて [Apply] をクリックします。

スタティック ルールが二方向である（開始を実際のホストの間で許可する）ため、ルート ルックアップ オプションを選択しない限り、NAT ルール テーブルは各スタティック ルールに対して、各方向に 1 つずつ 2 つの行を表示します。

アイデンティティ Twice NAT の設定

この項では、Twice NAT を使用してアイデンティティ NAT ルールを設定する方法について説明します。

手順

ステップ 1

[Configuration] > [Firewall] > [NAT Rules] を選択して、次のいずれかを実行します。

  • [Add] または [Add] > [Add NAT Rule Before Network Object NAT Rules] をクリックします。

  • [Add] > [Add NAT Rule After Network Object NAT Rules] をクリックします。

  • Twice NAT ルールを選択して [Edit] をクリックします。

[Add NAT Rule] ダイアログボックスが表示されます。

ステップ 2

（ブリッジ グループ メンバーのインターフェイスに必要）送信元インターフェイスおよび宛先インターフェイスを設定します。

ルーテッド モードでは、デフォルトは送信元と宛先の両方のインターフェイスです。いずれかまたは両方のオプションに、特定のインターフェイスを選択できます。ただし、ブリッジ グループ メンバーのインターフェイスにルールを記述するときに、インターフェイスを選択する必要があります。「any」にはこれらのインターフェイスが含まれていません。

  1. [Match Criteria: Original Packet] > [Source Interface] ドロップダウンリストから、送信元インターフェイスを選択します。

  2. [Match Criteria: Original Packet] > [Destination Interface] ドロップダウンリストから、宛先インターフェイスを選択します。

ステップ 3

[Action: Translated Packet] > [Source NAT Type] ドロップダウンリストから、[Static] を選択します。[Static] がデフォルトの設定です。

この設定は送信元アドレスにのみ適用されます。宛先の変換は常にスタティックになります。

ステップ 4

パケットの元の IPv4 または IPv6 のアドレス、つまり、送信元インターフェイス ネットワーク上に出現するときのパケットのアドレス（実際の送信元アドレスとマッピング宛先アドレス）を識別します。元のパケットと変換されたパケットの例については、次の図を参照してください。ここでは、内部ホストでアイデンティティ NAT を実行しますが、外部ホストを変換します。

  1. [Match Criteria: Original Packet] > [Source Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Original Source Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。デフォルトは any です。このオプションは、マッピング アドレスも any に設定する場合にのみ使用します。

  2. （任意）[Match Criteria: Original Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクト、グループ、またはインターフェイスを選択するか、[Browse Original Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    Twice NAT の主な機能は、宛先 IP アドレスを含めることですが、宛先アドレスはオプションです。宛先アドレスを指定した場合、このアドレスにスタティック変換を設定できるか、単にアイデンティティ NAT を使用できます。宛先アドレスを使用せずに Twice NAT を設定して、実際のアドレスに対するネットワーク オブジェクト グループの使用または手動でのルールの順序付けを含む、Twice NAT の他の特質の一部を活用することができます。詳細については、ネットワークオブジェクト NAT と Twice NAT の比較を参照してください。

    ポート変換を設定したスタティック インターフェイス NAT に限り、インターフェイスを選択します。インターフェイスを指定する場合は、必ずサービス変換も設定します。詳細については、ポート変換を設定したスタティック NATを参照してください。

ステップ 5

変換されたパケット アドレスを識別します。つまり、宛先インターフェイス ネットワークに表示されるパケット アドレス（マッピング送信元アドレスと実際の宛先アドレス）です。

  1. [Action: Translated Packet] > [Source Address] について、参照ボタンをクリックして [Browse Translated Source Address] ダイアログボックスから実際の送信元アドレスに選択したものと同じネットワーク オブジェクトまたはグループを選択します。実際のアドレスに any を指定した場合は any を使用します。

  2. [Match Criteria: Translated Packet] > [Destination Address] について、参照ボタンをクリックして既存のネットワーク オブジェクトまたはグループを選択するか、[Browse Translated Destination Address] ダイアログボックスから新しいオブジェクトまたはグループを作成します。

    宛先アドレスのアイデンティティ NAT では、実際のアドレスとマッピング アドレスの両方に単に同じオブジェクトまたはグループを使用します。

    宛先アドレスを変換する場合、スタティック マッピングは、通常 1 対 1 です。したがって、実際のアドレスとマッピング アドレスの数は同じです。ただし、必要に応じて異なる数にすることができます。詳細については、スタティック NATを参照してください。拒否されるマッピング IP アドレスについては、NAT のガイドラインを参照してください。

ステップ 6

（任意）サービス変換の送信元サービス ポートまたは宛先サービス ポートを識別します。

  • 元のパケットの送信元ポートまたは宛先ポート（実際の送信元ポートまたはマッピング宛先ポート）を識別します。[Match Criteria: Original Packet] > [Service] について、参照ボタンをクリックしてポートを指定する既存のサービス オブジェクトを選択するか、[Browse Original Service] ダイアログボックスから新しいオブジェクトを作成します。

  • 変換されたパケットの送信元ポートまたは宛先ポート（マッピング送信元ポートまたは実際の宛先ポート）を識別します。[Action: Original Packet] > [Service] について、参照ボタンをクリックしてポートを指定する既存のサービス オブジェクトを選択するか、[Browse Translated Service] ダイアログボックスから新しいオブジェクトを作成します。

サービス オブジェクトは、送信元ポートと宛先ポートの両方を含むことができます。実際のサービス オブジェクトとマッピング サービス オブジェクトの両方に、送信元ポートまたは宛先ポートのいずれかを指定する必要があります。ご使用のアプリケーションが固定の送信元ポートを使用する場合（一部の DNS サーバなど）に送信元ポートおよび宛先ポートの両方を指定する必要がありますが、固定の送信元ポートはめったに使用されません。オブジェクトで送信元ポートと宛先ポートの両方を指定することはほとんどありませんが、この場合には、元のパケットのサービス オブジェクトに実際の送信元ポート/マッピングされた宛先ポートが含まれます。変換されたパケットのサービス オブジェクトには、マッピングされた送信元ポート/実際の宛先ポートが含まれます。ポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方を同じにします（たとえば両方とも TCP にします）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じサービス オブジェクトを使用できます。「not equal（等しくない）」（!=）演算子はサポートされていません。

次に例を示します。

ステップ 7

（任意）[Options] 領域で NAT オプションを設定します。

  • [Enable rule]：この NAT ルールをイネーブルにします。このルールはデフォルトでイネーブルになっています。

  • （送信元専用ルールの場合）[Translate DNS replies that match this rule]：宛先アドレスを設定しない場合でもこのオプションを使用できますが、アドレスをそれ自身に変換しているので DNS 応答に修正が必要ないため、このオプションはアイデンティティ NAT には適用されません。

  • [Disable Proxy ARP on egress interface]：マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。詳細については、「マッピング アドレスとルーティング」を参照してください。

  • （ルーテッド モード、インターフェイスを指定）[Lookup route table to locate egress interface]：NAT コマンドに指定したインターフェイスを使用する代わりに、ルート ルックアップを使用して出力インターフェイスを決定します。詳細については、「出力インターフェイスの決定」を参照してください。

  • [Direction]：ルールを単方向にするには、[Unidirectional] を選択します。デフォルトは [Both] です。ルールを単方向にすると、トラフィックが実際のアドレスへの接続を開始するのを回避できます。この設定は、テストのために使用する場合があります。

  • [Description]：ルールに関する説明を 200 文字以内で追加します。

ステップ 8

[OK] をクリックし、続いて [Apply] をクリックします。

NAT のモニタリング

次のページから NAT に関するグラフを表示できます。

  • [Monitoring] > [Properties] > [Connection Graphs] > [Xlates]：使用中の xlate および最も使用されている xlate を表示するには、[Xlate Utilization] グラフを選択します。これは、show xlate コマンドと同等です。

  • [Monitoring] > [Properties] > [Connection Graphs] > [Perfmon]：NAT のパフォーマンス情報を表示するには、[Xlate Perfmon] グラフを選択します。これは、show perfmon コマンドからの xlate 情報と同等です。

NAT の履歴

機能名

プラットフォーム リリース

説明

ネットワーク オブジェクト NAT

8.3(1)

ネットワーク オブジェクトの IP アドレスの NAT を設定します。

次の画面が導入または変更されました。 [Configuration] > [Firewall] > [NAT Rules]
[Configuration] > [Firewall] > [Objects] > [Network Objects/Groups]

Twice NAT

8.3(1)

Twice NAT では、1 つのルールで送信元アドレスおよび宛先アドレスの両方を識別できます。

次の画面が変更されました。[Configuration] > [Firewall] > [NAT Rules]。

アイデンティティ NAT の設定が可能なプロキシ ARP およびルート ルックアップ

8.4(2)/8.5(1)

アイデンティティ NAT の以前のリリースでは、プロキシ ARP はディセーブルにされ、出力インターフェイスの決定には常にルート ルックアップが使用されていました。これらを設定することはできませんでした。8.4(2) 以降、アイデンティティ NAT のデフォルト動作は他のスタティック NAT コンフィギュレーションの動作に一致するように変更されました。これにより、デフォルトでプロキシ ARP はイネーブルにされ、NAT コンフィギュレーションにより出力インターフェイスが決定されるようになりました（指定されている場合）。これらの設定をそのまま残すこともできますし、個別にイネーブルまたはディセーブルにすることもできます。通常のスタティック NAT のプロキシ ARP をディセーブルにすることもできるようになっています。

8.3 よりも前の設定の場合、8.4(2) 以降への NAT 免除ルール（nat 0 access-list コマンド）の移行には、プロキシ ARP をディセーブルにするキーワード no-proxy-arp およびルート ルックアップを使用するキーワード route-lookup があります。8.3(2) および 8.4(1) への移行に使用された unidirectional キーワードは、移行に使用されなくなりました。8.3(1)、8.3(2)、8.4(1) から 8.4(2) にアップグレードすると、既存機能を保持するため、すべてのアイデンティティ NAT コンフィギュレーションに no-proxy-arp キーワードと route-lookup キーワードが含まれるようになっています。unidirectional キーワードは削除されました。

その次の画面が変更されました。[Configuration] > Firewall] > [NAT Rules] > [Add/Edit Network Object] > [Advanced NAT Settings]、[Configuration] > [Firewall] > [NAT Rules] > [Add/Edit NAT Rule]。

PAT プールおよびラウンド ロビン アドレス割り当て

8.4(2)/8.5(1)

1 つのアドレスの代わりに、PAT アドレスのプールを指定できるようになりました。また、オプションで、PAT アドレスのすべてのポートを使用してからプール内の次のアドレスを使用するのではなく、PAT アドレスのラウンドロビン割り当てをイネーブルにすることもできます。これらの機能は、1 つの PAT アドレスで多数の接続を行っている場合にそれが DoS 攻撃の対象となることを防止するのに役立ちます。またこの機能により、多数の PAT アドレスを簡単に設定できます。

その次の画面が変更されました。[Configuration] > Firewall] > [NAT Rules] > [Add/Edit Network Object]、[Configuration] > [Firewall] > [NAT Rules] > [Add/Edit NAT Rule]。

ラウンドロビン PAT プール割り当てで、既存のホストの同じ IP アドレスを使用

8.4(3)

ラウンドロビン割り当てで PAT プールを使用するときに、ホストに既存の接続がある場合、そのホストからの後続の接続では、ポートが使用可能であれば同じ PAT IP アドレスが使用されます。

変更された画面はありません。

この機能は、8.5(1) または 8.6(1) では使用できません。

PAT プールの PAT ポートのフラットな範囲

8.4(3)

使用できる場合、実際の送信元ポート番号がマッピング ポートに対して使用されます。ただし、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（0 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。そのため、1024 よりも下のポートには、小さい PAT プールのみがあります。

下位ポート範囲を使用するトラフィックが数多くある場合は、PAT プールを使用するときに、サイズが異なる 3 つの層の代わりにフラットなポート範囲を使用するように指定できます。1024 ～ 65535 または 1 ～ 65535 です。

その次の画面が変更されました。[Configuration] > Firewall] > [NAT Rules] > [Add/Edit Network Object]、[Configuration] > [Firewall] > [NAT Rules] > [Add/Edit NAT Rule]。

この機能は、8.5(1) または 8.6(1) では使用できません。

PAT プールの拡張 PAT

8.4(3)

各 PAT IP アドレスでは、最大 65535 個のポートを使用できます。65535 個のポートで変換が不十分な場合は、PAT プールに対して拡張 PAT をイネーブルにすることができます。拡張 PAT では、変換情報の宛先アドレスとポートを含め、IP アドレスごとではなく、サービスごとに 65535 個のポートが使用されます。

その次の画面が変更されました。[Configuration] > Firewall] > [NAT Rules] > [Add/Edit Network Object]、[Configuration] > [Firewall] > [NAT Rules] > [Add/Edit NAT Rule]。

この機能は、8.5(1) または 8.6(1) では使用できません。

VPN ピアのローカル IP アドレスを変換してピアの実際の IP アドレスに戻す自動 NAT ルール

8.4(3)

まれに、内部ネットワークで、割り当てられたローカル IP アドレスではなく、VPN ピアの実際の IP アドレスを使用する場合があります。VPN では通常、内部ネットワークにアクセスするために、割り当てられたローカル IP アドレスがピアに指定されます。ただし、内部サーバおよびネットワーク セキュリティがピアの実際の IP アドレスに基づく場合などに、ローカル IP アドレスを変換してピアの実際のパブリック IP アドレスに戻す場合があります。

この機能は、トンネル グループごとに 1 つのインターフェイスでイネーブルにすることができます。VPN セッションが確立または切断されると、オブジェクト NAT ルールが動的に追加および削除されます。ルールは show nat コマンドを使用して表示できます。

ルーティングの問題のため、この機能が必要でない場合は、この機能の使用は推奨しません。ご使用のネットワークとの機能の互換性を確認するには、Cisco TAC にお問い合わせください。次の制限事項を確認してください。

  • Cisco IPsec および AnyConnect クライアントのみがサポートされます。

  • NAT ポリシーおよび VPN ポリシーが適用されるように、パブリック IP アドレスへのリターン トラフィックは ASA にルーティングされる必要があります。

  • ロードバランシングはサポートされません（ルーティングの問題のため）。

  • ローミング（パブリック IP 変更）はサポートされません。

ASDM ではこのコマンドはサポートされません。コマンドライン ツールを使用してコマンドを入力してください。

IPv6 用の NAT のサポート

9.0(1)

NAT が IPv6 トラフィックをサポートするようになり、IPv4 と IPv6 の間の変換もサポートされます。IPv4 と IPv6 の間の変換は、トランスペアレント モードではサポートされません。

次の画面が変更されました。[Configuration] > [Firewall] > [Objects] > [Network Objects/Group]、[Configuration] > [Firewall] > [NAT Rules]。

逆引き DNS ルックアップ用の NAT のサポート

9.0(1)

NAT ルールがイネーブルにされた DNS インスペクションを使用する IPv4 NAT、IPv6 NAT、および NAT64 を使用する場合、NAT は逆引き DNS ルックアップ用の DNS PTR レコードの変換をサポートするようになりました。

Per-Session PAT

9.0(1)

Per-session PAT 機能によって PAT のスケーラビリティが向上し、クラスタリングの場合に各メンバ ユニットに独自の PAT 接続を使用できるようになります。Multi-Session PAT 接続は、マスター ユニットに転送してマスター ユニットを所有者とする必要があります。Per-Session PAT セッションの終了時に、ASA からリセットが送信され、即座に xlate が削除されます。このリセットによって、エンド ノードは即座に接続を解放し、TIME_WAIT 状態を回避します。対照的に、Multi-Session PAT では、PAT タイムアウトが使用されます（デフォルトでは 30 秒）。「ヒットエンドラン」トラフィック、たとえば HTTP や HTTPS の場合は、Per-session 機能によって、1 アドレスでサポートされる接続率が大幅に増加することがあります。Per-session 機能を使用しない場合は、特定の IP プロトコルに対する 1 アドレスの最大接続率は約 2000/秒です。Per-session 機能を使用する場合は、特定の IP プロトコルに対する 1 アドレスの接続率は 65535/平均ライフタイムです。

デフォルトでは、すべての TCP トラフィックおよび UDP DNS トラフィックが、Per-session PAT xlate を使用します。Multi-Session PAT を必要とするトラフィック、たとえば H.323、SIP、Skinny に対して Per-session PAT をディセーブルにするには、Per-session 拒否ルールを作成します。

次の画面が変更されました。[Configuration] > [Firewall] > [Advanced] > [Per-Session NAT Rules]。

NAT ルール エンジンのトランザクション コミット モデル

9.3(1)

イネーブルの場合、NAT ルールの更新はルール コンパイルの完了後に適用され、ルール照合のパフォーマンスに影響を及ぼすことはありません。

[Configuration] > [Device Management] > [Advanced] > [Rule Engine] 画面に NAT が追加されました。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ