Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

次世代サービスステートフルNAT64の設定

次世代サービス ステートフル NAT64 を設定するには、次の手順を実行します

ステートフルNAT64のソースプールの設定

ステートフルNAT64のソースプールを設定するには:

  1. ソース プールを作成します。
  2. 送信元アドレスが変換されるアドレスまたはサブネットを定義します。

    又は

    automatic (random-allocation | round-robin) 設定を指定しないすべての NAT プールに対してラウンドロビン ポート割り当てを無効にするには、グローバル設定を構成します。

  3. プールに割り当てるポートの範囲を設定するには、以下の手順を実行します。
    手記：

    割り当てるポートの範囲を指定した場合、 automatic ステートメントは無視されます。

    1. ポートの下限値と上限値を指定します。自動ポート割り当てを設定しない場合は、ポートの範囲を設定する必要があります。
    2. ランダム割り当てまたはラウンドロビン割り当てのいずれかを指定します。ラウンドロビン割り当てがデフォルトです。
  4. 受信ポートと同じ範囲(0〜1023または1024〜65,535)でポートを割り当てます。この機能は、ポートブロック割り当てを設定した場合には使用できません。
  5. 受信ポートと同じパリティ(偶数または奇数)を持つポートを割り当てます。この機能は、ポートブロック割り当てを設定した場合には使用できません。
  6. ポート変換を使用するNATプールのグローバルなデフォルトポート範囲を設定します。このポート範囲は、NAT プールでポート範囲が指定されておらず、自動ポート割り当ても指定されていない場合に使用されます。グローバルポートの範囲は1024〜65,535です。
  7. ポート変換を使用せずに送信元プールを設定します。
  8. 各ホストに割り当てることができるポートの最大数を設定します。範囲は 2 から 65,535 です。
  9. 使用する各加入者にポートのブロックを割り当てる場合は、ポートブロックの割り当てを設定します。
    1. ブロック内のポート数を設定します。範囲は 1 から 64,512 で、デフォルトは 128 です。
    2. ブロックがアクティブになる間隔を秒単位で設定します。タイムアウト後、アクティブなブロックでポートが使用可能な場合でも、新しいブロックが割り当てられます。タイムアウトを 0 に設定すると、新しいポート ブロックが割り当てられる前にポート ブロックが完全にいっぱいになり、最後のポート ブロックは無期限にアクティブなままになります。範囲は 0 〜 86,400 で、デフォルトは 0 です。
    3. NAT プールを使用するアドレスプールペアマッピングのタイムアウト時間を指定します。範囲は 120 〜 86,400 秒で、デフォルトは 300 です。この時間だけ非アクティブなマッピングはドロップされます。

      エンドポイントに依存しない翻訳に ei-mapping-timeout を設定しない場合、エンドポイントに依存しない翻訳には mapping-timeout 値が使用されます。

    4. ユーザーアドレスに割り当てることができるブロックの最大数を設定します。範囲は 1 から 512 で、デフォルトは 8 です。
    5. アクティブなポートブロックとライブセッションの非アクティブなポートブロックの中間システムログを送信する頻度を指定します。これにより、UDPベースであり、ネットワーク内で失われる可能性のあるシステムログの信頼性が向上します。範囲は 1800 〜 86,400 秒で、デフォルトは 0 です (仮ログは無効です)。
  10. 指定された NAT プールを使用するエンドポイントに依存しない変換のタイムアウト時間を指定します。この時間だけ非アクティブなマッピングはドロップされます。範囲は 120 秒から 86,400 秒です。 ei-mapping-timeoutを設定しない場合、エンドポイントに依存しない翻訳に mapping-timeout 値が使用されます。
  11. NAT プールを使用するアドレスプールペアマッピングのタイムアウト時間を指定します。範囲は 120 〜 86,400 秒で、デフォルトは 300 です。この時間だけ非アクティブなマッピングはドロップされます。

    エンドポイントに依存しない翻訳に ei-mapping-timeout を設定しない場合、エンドポイントに依存しない翻訳には mapping-timeout 値が使用されます。

  12. NAT ソース プールの IP アドレスが、他のサービス セットで使用されているプールの IP アドレスと重複できるようにするには、 allow-overlapping-pools を構成します。

ステートフルNAT64のNATルールの設定

ステートフルNAT64の場合、送信元ルールと宛先ルールを設定する必要があります。ステートフルNAT64のNATルールを設定するには:

  1. 送信元 NAT ルール名を構成します。
  2. NAT ルール セットを適用するトラフィックの方向を指定します。
  3. NAT ルールによって変換される IPv6 送信元アドレスを指定します。
  4. 一致する宛先アドレスを 0.0.0.0/0 として設定します。
  5. NAT ルールが適用されるアプリケーション プロトコルを 1 つ以上指定します。ルールにリストされているアプリケーションの数は、3072を超えてはなりません。
  6. 変換された送信元アドレスのアドレスを含むNAT送信元プールを指定します。
  7. エンドポイントに依存しないマッピングを設定し、特定のホストからのすべての接続に同じ外部アドレスとポートが割り当てられるようにします。
    1. マッピングタイプをエンドポイントに依存しないように設定します。
    2. エンドポイントに依存しないマッピングを使用してインバウンド接続を確立できるホストを含むプレフィックスリストを指定します。(プレフィックスリストは [edit policy-options] 階層レベルで設定されます)。
    3. エンドポイントに依存しないマッピングで同時に許可されるインバウンドフローの最大数を指定します。
    4. アクティブなエンドポイント非依存マッピングが更新される方向を指定します。既定では、マッピングはインバウンドとアウトバウンドの両方のアクティブ フローに対して更新されます。
  8. 宛先 NAT ルール名を構成します。
  9. 宛先 NAT ルール セットが適用されるトラフィックの方向を指定します。
  10. 宛先 NAT ルールによって変換される IPv6 プレフィックス送信元アドレスを指定します。NAT 送信元ルールに使用したのと同じ値を使用します。
  11. IPv6 宛先アドレスに IPv4 宛先アドレスを埋め込むために使用されるプレフィックスを指定します。
  12. IPv6 の宛先アドレスが一致するように設定します。これは、 destination-prefixを使用して IPv6 に埋め込まれた IPv4 宛先アドレスです。
  13. トラフィックが NAT ルール条件に一致した場合の syslog の生成を設定します。

ステートフルNAT64のサービスセットの設定

ステートフルNAT64のサービスセットを設定するには:

  1. サービスセットを定義します。
  2. 単一のサービス インターフェイスを必要とするインターフェイス サービス、または内部および外部サービス インターフェイスを必要とするネクストホップ サービスを設定します。

    又は

  3. サービス セットで使用する NAT ルール セットを指定します。

Don't Fragment ビットのクリア

1280 バイト未満の IPv4 パケットを変換するときに IPv6 フラグメンテーション ヘッダーが不必要に作成されるのを防ぐために、パケット長が 1280 バイト未満のときに IPv4 パケット ヘッダーの DF(Don't Fragment)ビットをクリアするように指定できます。

関連資料