ナビゲーションに移動Ciscoを中心としたネットワーク技術をわかりやすく解説します。NAT/PATの設定と確認FacebooktwitterHatenaPocketCopy目次1NAT/PATの設定NAT/PATの確認NATの設定例NAT/PATの設定CiscoルータでNATの設定を行う主な手順は次の2つです。内部ネットワーク、外部ネットワークの指定NAT変換を行うためには、まず、内部ネットワークと外部ネットワークを指定します。インタフェースコンフィグレーションモードで次のコマンドを入力します。outsideを指定します。内部ネットワークのインタフェース、外部ネットワークのインタフェースは複数になることもあります。NATのアドレス変換は、内部ネットワークのインタフェースと外部ネットワークのインタフェース間でNAT変換対象のパケットを転送する際に行われます。そのため、内部ネットワークと外部ネットワークの指定を間違えてしまうと、意図したようなアドレス変換が行われないので注意してください。NAT変換対象のパケットはこのあとの「アドレス変換の定義」の中で決定します。内部ネットワークと外部ネットワーク間のフローについて、どのようなアドレス変換を行うかを設定します。ここでは、一番多いNATのアドレス変換である内部ネットワークから外部ネットワークへのフローのアドレス変換の設定のみ解説します。NATの変換は双方向で行いますが、設定は行きのフローについてのみでOKです。行きのフローの設定をすれば、戻りのフローのアドレス変換は自動的に行われます。sourceコマンドを利用します。sourceはそのまま解釈してください。「内部ネットワークで受信したIPパケットの送信元IPアドレスを変換する」という意味です。そのあとに、どのようなアドレス変換をするかについてコマンドを続けて入力します。内部ローカルアドレスを内部グローバルアドレスに変換しますが、そのための設定方法として、3つのパターンがあります。アドレス変換の定義の種類パターン1の内部ローカルアドレスと内部グローバルアドレスの対応が必ず決まるアドレス変換をスタティックNATと呼んでいます。パターン2/パターン3のように内部ローカルアドレスが設定のときには特定されずに実際に変換されたときに決まるアドレス変換をダイナミックNATと呼んでいます。内部ローカルアドレス/内部グローバルアドレスの意味は、以下の記事をご覧ください。NAT/PATのアドレスの意味https://www.n-study.com/ip-addressing/cisco-nat-pat-address-meaning/CiscoのNAT/PATは難しい・・・CiscoルータでNAT/PATの設定をしようとすると難しく感じるでしょう。Cisco独特のNATのアドレス用語があるからです。CiscoルータでNATの設定を行う場合、4つのアドレスの意味を知っておくことが重要です。組み合わせて、次のようなアドレスがあります。内部ローカルアドレス外部ローカルアドレス内部グローバルアドレス外部グローバルアドレスこれらのアドレスの意味を理解するうえで、「通信は双...パターン2/パターン3の内部ローカルアドレスは、アクセスリストだけでなくルートマップでpermitされたパケットの送信元IPアドレスとして設定することも可能です。パターン1パターン1は、内部ローカルアドレス、内部グローバルアドレスをともにスタティックに指定します。内部グローバルアドレス<inside-local>のIPアドレスが送信元IPアドレスとなっているパケットがNAT変換の対象で、指定した<inside-global>に変換します。この設定で指定した内部ローカルアドレスと内部グローバルアドレスの対応は、スタティックにNATテーブルに保持されます。パターン2パターン2は、NATのアドレス変換の対象パケットをアクセスリストで指定します。アクセスリストでpermitされたIPパケットの送信元IPアドレスが内部ローカルアドレスです。内部グローバルアドレスとしてルータのインタフェースを指定します。内部グローバルアドレスとして利用するルータのインタフェース内部グローバルアドレスは、ルータのインタフェースを利用するので1つです。overloadをつけることで、1つの内部グローバルアドレスと複数の内部ローカルアドレスの対応が可能なPATの動作になります。パターン3パターン3は、内部グローバルアドレスの範囲をNATプールとして設定します。パターン2と同様にNATの対象パケットをアクセスリストで指定します。アクセスリストでpermitされたIPパケットの送信元IPアドレスが内部ローカルアドレスで、NATプール内の内部グローバルアドレスに変換します。NATプールの設定は、次のコマンドです。sourceコマンドで内部グローバルアドレスとしてNATプールを指定します。NATプール名パターン2と同様にoverloadをつけるとPATです。アクセスリストの設定の詳細については、以下の記事をご覧ください。ACLによるパケットフィルタの設定https://www.n-study.com/security-fundamentals/cisco-acl-packet-filter-configuration/パケットフィルタの設定手順パケットフィルタの設定手順は、次の2つです。permit/denyするフローを識別するためのアクセスコントロールリスト(ACL)を作成インタフェースに作成したアクセスコントロールリストを適用ただ、いきなりルータのコンソールから設定コマンドを入力しても意図したようなパケットフィルタはまずできません。ネットワーク上のフローを洗い出して、必要なフローをきちんと把握しておきます。どの機器のどのインタフェースのどの方向でアクセスコントロールリストを適用すれば、効率のよい設定になるかを検...NAT/PATの確認NATの動作を確認するための主なコマンドは次の通りです。内部ネットワーク、外部ネットワークを確認します。running-config上のNATに関連する設定のみを表示します。NATテーブルを表示します。NATのアドレス変換処理をリアルタイムにコンソールに表示します。以下のネットワーク構成でNATの設定例を考えます。設定を行う条件は次の通りです。Fa0/0を内部ネットワーク、Se0/0を外部ネットワークとします。192.168.1.100のIPアドレスは100.1.1.100に変換されるようにします。192.168.1.0/24上の複数のホストから外部ネットワークへ通信するときには、R1のSe0/0のIPアドレス100.1.1.1に変換します。内部ネットワーク、外部ネットワークの指定R1では、まず、内部ネットワークと外部ネットワークを決めます。outsideアドレス変換の定義そして、内部ローカルアドレスと内部グローバルアドレスの変換について設定します。WebサーバのIPアドレス192.168.1.100のIPアドレスを100.1.1.00に変換する設定はパターン1の設定です。192.168.1.0/24のホストのIPアドレスをR1のSe0/0に変換する設定はパターン2の設定です。Se0/0の同じIPアドレスに変換するのでoverloadが必要です。interfaceを利用します。interfaceは次のようになります。translationsコマンドです。192.168.1.0/24上に192.168.1.3のIPアドレスを持つホストが存在して、外部ネットワークの10.1.1.1のホストへTelnetをした場合のNATテーブルは次のようになります。---このコマンド出力の1つ目のエントリは、次のNATの設定によって変換されたときのエントリです。0.0.0.255overloadのオプションがあるために、IPアドレスだけでなくポート番号の対応も保持しているPATの動作をしていることがわかります。2つ目のエントリは、次の1対1のスタティックなNAT変換のエントリです。100.1.1.100このエントリはスタティックNAT変換の設定がある限り、NATテーブルに登録されています。natの出力の抜粋は次のようになります。[49650]NATの動作の仕組みとCiscoでの設定の理解を深めるために、以下の記事の設定ミスの切り分けと修正も参考にしてください。Part1https://www.n-study.com/ip-addressing/nat-misconfiguration-casestudy-part01/シンプルなNATの設定について、設定ミスの切り分けと修正を行います。ネットワークのおべんきょしませんか?https://www.n-study.com/2022-pv-ranking/2022年「ネットワークのおべんきょしませんか?」コンテンツのページビューランキングTOP10です。ネットワーク技術解説記事のアップデートや新規記事をTwitterでお知らせしています。