ソースNAT

送信元NATとは、ジュニパーネットワークスデバイスから出るパケットの送信元IPアドレスを変換したものです。ソースNATは、プライベートIPアドレスを持つホストがパブリックネットワークにアクセスできるようにするために使用されます。

ソース NAT を使用すると、たとえば、プライベート ネットワークからインターネットへの接続など、発信ネットワーク 接続に対してのみ接続を開始できます。ソースNATは、通常、以下の変換を実行するために使用されます。

• 1 つの IP アドレスを別のアドレスに変換する (たとえば、プライベート ネットワーク内の 1 つのデバイスにインターネットアクセスを提供する場合など)。

• 連続したアドレスのブロックを、同じサイズの別のアドレスのブロックに変換します。

• 連続したアドレスのブロックを、より小さいサイズのアドレスの別のブロックに変換します。

• ポート変換を使用して、連続したアドレスのブロックを単一のIPアドレスまたはより小さいアドレスのブロックに変換します。

• 連続したアドレスのブロックを、エグレスインターフェイスのアドレスに変換します。

エグレスインターフェイスのアドレスへの変換には、アドレスプールは必要ありません。その他のすべての送信元NAT変換には、アドレスプールの設定が必要です。同じサイズのアドレス ブロックの 1 対 1 および多対多の変換では、変換されるすべてのアドレスに対して利用可能なアドレスがプールに存在するため、ポート変換は必要ありません。

アドレスプールのサイズが変換されるアドレスの数よりも小さい場合、変換可能な同時アドレスの総数はアドレスプールのサイズによって制限されるか、ポート変換を使用する必要があります。たとえば、253個のアドレスのブロックを10個のアドレスのアドレスプールに変換する場合、ポート変換を使用しない限り、最大10台のデバイスを同時に接続できます。

以下のタイプの送信元 NAT がサポートされています。

• 元の送信元 IP アドレスからエグレス インターフェイスの IP アドレス(インターフェイス NAT とも呼ばれる)への変換。ポート アドレス変換は常に実行されます。

• ポートアドレス変換を行わずに、元の送信元IPアドレスをユーザー定義アドレスプールのIPアドレスに変換する。元の送信元 IP アドレスと変換された送信元 IP アドレスの関連付けは動的です。ただし、いったんアソシエーションが発生すると、同じ NAT ルールに一致する新しいトラフィックの同じ元の送信元 IP アドレスに同じアソシエーションが使用されます。

• ポートアドレス変換を使用して、ユーザー定義のアドレスプールからIPアドレスに元の送信元IPアドレスを変換します。元の送信元 IP アドレスと変換された送信元 IP アドレスの関連付けは動的です。アソシエーションが存在していても、同じNAT ルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスが別のアドレスに変換される可能性があります。

• IPアドレスをシフトすることで、元の送信元IPアドレスをユーザー定義のアドレスプールのIPアドレスに変換すること。このタイプの変換は、1 対 1、静的で、ポート アドレス変換なしです。元の送信元 IP アドレス範囲がユーザー定義プールの IP アドレス範囲よりも大きい場合、宛先アドレスが変換されたパケットまたは未変換のパケットは破棄されます。

MXシリーズデバイスで、集約されたマルチサービス(AMS)インターフェイスでソースNATを使用する場合。 service set コマンドは、AMS インターフェイスごとに個別のエントリを作成します。そのため、メモリ使用量が枯渇し、追加のAMSインターフェイスを設定すると、設定コミットエラーが発生します。

• 中心点アーキテクチャは、中心点セッションをサポートしなくなりました。したがって、NATは、IPアドレスまたはポートの割り当てと使用状況を追跡するために、NATトラッカーを維持する必要があります。NAT トラッカーは、NAT リソースの管理に使用される SPU セッション ID から NAT IP またはポートへのマッピングのグローバル配列です。

• デフォルトでは、NAT ルール アラームとトラップ統計カウンターの更新メッセージは、中央ポイント システムの各セッション トリガーに基づいて統計を更新するのではなく、サービス処理ユニット(SPU)から中央ポイントに 1 秒間隔で送信されます。

• NAT 後の 5 タプル ハッシュが NAT 前の元の 5 タプル ハッシュと同じになるように割り当てられた特定の NAT IP アドレスまたはポートをサポートするには、特定の計算によって元のハッシュと同じハッシュになる NAT ポートを選択します。したがって、転送セッションが削減されます。NAT を使用する場合、リバース ウィングは別の SPU にハッシュされます。リバーストラフィックをセッションSPUに転送するには、フォワードセッションをインストールする必要があります。NAT は、リバース ウィングを最初のウィングと同じ SPU にハッシュさせるために、ハッシュ アルゴリズムで使用できるポートを選択しようとします。そのため、このアプローチにより、NATのパフォーマンスとスループットの両方が向上します。

• NAT のパフォーマンスを向上させるため、IP シフト プール(非 PAT プール)の管理は中央ポイントから SPU に移動され、NAT 要求を中央ポイントに送信する代わりに、そのプールのすべてのローカル NAT リソースがローカルで管理されます。したがって、IPアドレスシフトの1秒あたりのNAT プール接続数とスループットが向上します。

ポート オーバーフロー バースト モードでは、割り当てられたポート ブロックを超えてポートを使用できます。IP アドレス内のポート範囲を使用してバースト プールをバースト用に予約するように構成できます。

プライマリ プールとバースト プールのタイプがあり、加入者がプライマリ プールで構成された制限に達すると、デバイスはバースト プールを使用します。

ブラストモードは、以下でサポートされています。

1. PBA タイプ バースト プールを使用した決定論的 NAT 送信元 NAT プール。

2. 動的ネットワーク アドレス ポート変換(NAPT)タイプのバースト プールを備えた、確定的 NAT ソース NAT プール。

3. PBA タイプ バースト プールがある通常の PBA 送信元 NAT プール。

4. 動的 NAPT タイプのバースト プールを備えた標準 PBA 送信元 NAT プール。

PBA バースト タイプ方式:PBA は APP および非 APP 動作モードをサポートします。

• APPモード:ポートはプライマリプールから割り当てられます。その後、加入者制限がプライマリ プールから超えると、バースト プールから同じ IP アドレスに使用可能なポートがあれば、新しいセッションが作成されます。

• 非 APP モード:ポートはプライマリ プールから割り当てられます。プライマリ プールからの加入者制限を超えると、使用可能な IP アドレスとポートを使用して、バースト プールから新しいセッションが作成されます。

DetNAT バースト タイプ方式:ポートはプライマリ プールから割り当てられます。バースト プールの同じ IP アドレス、または使用可能なすべてのポートが同じ IP アドレスから使用できない場合は、別の IP アドレスを使用して新しいセッションが作成されます。バースト プールが 1 次プールとは異なる IP で構成されている場合は、バースト プールの別の IP を使用します。

• ポートランダム化モード(デフォルト)
• ラウンドロビンモード
• セッションアフィニティモード

• 目的
• アクション

この例では、プライベートアドレスのソースNATマッピングをエグレスインターフェイスのパブリックアドレスに設定する方法を説明します。

この例では、単一のプライベートアドレスからパブリックアドレスへの送信元NATマッピングを設定する方法を説明します。

この例では、送信元と宛先の両方の NAT マッピングを設定する方法を説明します。

送信元 NAT ルールでは、2 層の照合条件が指定されています。

• トラフィック方向— from interface、 from zone、または from routing-instance と、 to interface、 to zone、または to routing-instanceの組み合わせを指定できます。異なるルールセットに同じ from および to コンテキストを設定することはできません。

• パケット情報—送信元および宛先の IP アドレスまたはサブネット、送信元ポート番号またはポート範囲、宛先ポート番号またはポート範囲、プロトコル、またはアプリケーションを使用できます。

FTP を除くすべての ALG トラフィックでは、 source-port ルール オプションを使用しないことをお勧めします。このオプションを使用すると、IP アドレスと送信元ポート値 (ランダムな値) がルールと一致しない可能性があるため、データ セッションの作成が失敗する可能性があります。

また、ALG トラフィックの一致条件として destination-port オプションや application オプションを使用しないことをお勧めします。これらのオプションを使用すると、アプリケーション ペイロードのポート値が IP アドレスのポート値と一致しない可能性があるため、変換が失敗する可能性があります。

一致条件で複数の送信元NATルールが重複する場合、最も具体的なルールが選択されます。例えば、ルールAとBで同じ送信元IPアドレスと宛先IPアドレスが指定されているが、ルールAがゾーン1からゾーン2へのトラフィックを指定し、ルールBがゾーン1からインターフェイスge-0/0/0へのトラフィックを指定している場合、ルールBを使用して送信元NATが実行されます。インターフェイスの一致は、ゾーンの一致よりも特定的であると見なされ、ゾーンの一致はルーティング インスタンスの一致よりもより特定的です。

送信元 NAT ルールに指定できるアクションは次のとおりです。

• 消灯 - 送信元 NAT を実行しません。

• pool—指定されたユーザー定義のアドレスプールを使用して、送信元NATを実行します。

• interface—エグレスインターフェイスのIPアドレスを使用して、ソースNATを実行します。

送信元 NAT ルールは、フローまたは ALG のファスト パスで処理される最初のパケットのトラフィックに適用されます。 送信元 NAT ルールは、静的 NAT ルール、宛先 NAT ルール、静的 NAT ルールのリバース マッピングの後、ルートとセキュリティ ポリシーのルックアップの後に処理されます。

ゾーンが rule-set で設定されておらず、アクティブな送信元 NAT が必須ステートメント「from」なしで設定されている場合、コミットの実行時に 「Missing mandatory statement: 'from' error: configuration check-out failed」 というメッセージが表示され、設定のチェックアウトに失敗します。

この例では、複数のルールを使用して送信元 NAT マッピングを設定する方法を説明します。

NAT プールは、変換に使用されるユーザー定義の IP アドレスのセットです。一方向の IP アドレス変換と逆方向の送信元 IP アドレス変換を含む 1 対 1 のマッピングがある静的 NAT とは異なり、送信元 NAT では、元の送信元 IP アドレスをアドレス プール内の IP アドレスに変換します。

NAT(送信元ネットワークアドレス変換)アドレスプールの場合、以下を指定します。

• 送信元 NAT アドレス プールの名前。

• 最大 64 のアドレス範囲。

  手記：

  1 つのルーティング インスタンス内で送信元 NAT、宛先 NAT、静的 NAT の NAT アドレスを重複させないでください。

• ルーティングインスタンス—プールが属するルーティングインスタンス(デフォルトはメインの inet.0 ルーティング インスタンスです)。

• Port :送信元プールのポート アドレス変換(PAT)。デフォルトでは、PAT は送信元 NAT で実行されます。 変換なし オプションを指定した場合、送信元 NAT プールがサポートできるホストの数は、プール内のアドレス数に制限されます。 block-allocationを指定すると、個々のポートが割り当てられるのではなく、ポートのブロックが変換に割り当てられます。 deterministicを指定した場合、受信(送信元)IPアドレスとポートは、事前定義された決定論的NATアルゴリズムに基づいて、常に特定の宛先アドレスとポートブロックにマップされます。 port-overloadingを指定すると、送信元NATでポート過負荷容量を設定できます。 rangeを指定する場合は、プール内の各アドレスにアタッチされているポート番号の範囲と、送信元 NAT プールのツイン ポート範囲を指定できます。

• オーバーフロープール(オプション):指定された送信元NAT プールに使用可能なアドレスがない場合、パケットは破棄されます。 ポートの非変換 オプションが設定されている場合にこのようなことが起こらないようにするには、オーバーフロー プールを指定します。元の送信元 NAT プールのアドレスが枯渇すると、IP アドレスとポート番号がオーバーフロー プールから割り当てられます。ユーザー定義のソースNAT プールまたはエグレスインターフェイスをオーバーフロープールとして使用できます。(オーバーフロー プールが使用される場合は、プール ID がアドレスと共に返されます。

• IPアドレスシフト(オプション):IPアドレスをシフトすることで、元の送信元IPアドレスの範囲を別のIPアドレス範囲または単一のIPアドレスにマッピングできます。 host-address-base オプションには、元の送信元 IP アドレス範囲のベース アドレスを指定します。

• アドレス共有(オプション)- 複数の内部 IP アドレスを同じ外部IPアドレスにマッピングできます。このオプションは、送信元 NAT プールがポート変換なしで設定されている場合にのみ使用できます。ソースNAT プールに使用可能な外部IPアドレスが少ない場合、または外部IPアドレスが1つしかない場合は、 address-shared オプションを指定します。多対1マッピングでは、このオプションを使用するとNATリソースが増加し、トラフィックが増加します。

• アドレス プーリング(オプション):アドレス プーリングは、ペアまたはペアなしとして設定できます。1つの内部IPアドレスに関連付けられたすべてのセッションを、セッションの間、同じ外部IPアドレスにマッピングする必要があるアプリケーションの address-pooling paired を指定します。これは、毎回同じ内部アドレスを同じ外部アドレスに変換する persistent-address オプションとは異なります。ラウンドロビン方式でIPアドレスを割り当てることができるアプリケーションの address-pooling no-paired を指定します。PAT のある送信元NAT プールに address-pooling paired または address-pooling no-paired が設定されている場合、永続アドレス オプションは無効になります。PAT のない送信元NAT プールで address-shared が設定されている場合、 persistent-address オプションが有効になります。PAT を使用しなくても、 address-shared と address-pooling paired の両方を同じ送信元NAT プールに設定できます。

• プール使用率アラーム(オプション):送信元 NAT に raise-threshold オプションが設定されている場合、送信元 NAT プールの使用率がこのしきい値を超えると SNMP トラップがトリガーされます。オプションの clear-threshold オプションが設定されている場合、送信元NAT プールの使用率がこのしきい値を下回ると、SNMPトラップがトリガーされます。 clear-threshold が設定されていない場合、デフォルトでは raise-threshold 値の80%に設定されます。

コマンドを show security nat resource usage source pool 使用して、PAT を使用しない送信元 NAT プールでのアドレス使用を表示し、PAT を使用した送信元 NAT プールでのポート使用を表示できます。

SRX1400、SRX1500、SRX3400、SRX3600、SRX4100、SRX4200、SRX5400、SRX5600、およびSRX5800デバイス上のソースプールとIPアドレスの最大容量は次のとおりです。

設定内のプール数を増やすか、プールあたりの容量や IP アドレス数を増やすことによって、送信元 NAT に使用される IP アドレスの総数を増やすと、ポートの割り当てに必要なメモリが消費されます。送信元 NAT プールと IP アドレスの制限に達した場合は、ポート範囲を再割り当てする必要があります。つまり、IPアドレスと送信元NATプールの数が増える場合は、各IPアドレスのポート数を減らす必要があります。これにより、NAT がメモリを過剰に消費することがなくなります。

たとえば、SRX5000 デバイスの送信元NAT プールで、ポート変換をサポートする IP アドレスの数が制限の 1M に達すると、PAT ポートの総数は 64G になり、384M の制限を超えます。これは、各 IP アドレスがデフォルトで 64,512 ポートをサポートするためです。PAT ポート番号が容量内に収められるようにするには、各 IP のポート範囲を設定して、PAT ポートの総数を減らす必要があります。

[edit security nat source pool port]階層レベルで range オプションと range twin-port オプションを使用して、特定のプールに新しいポート範囲またはツイン ポート範囲を割り当てます。[edit security nat source] 階層レベルで pool-default-port-range および pool-default-twin-port-range オプションを使用して、すべての送信元 NAT プールのグローバルなデフォルト ポート範囲またはツイン ポート範囲を指定します。

送信元NATプールが増加した場合、ポート過負荷の設定も慎重に行う必要があります。

PAT の範囲(63,488 〜 65,535)の送信元プールの場合、SIP、H.323、RTSP などの RTP/RTCP アプリケーション用に一度に 2 つのポートが割り当てられます。これらのシナリオでは、各IPアドレスはPATをサポートし、ALGモジュールで使用するために2048ポート(63,488〜65,535)を占有します。

デフォルトでは、ポートアドレス変換は送信元NATで実行されます。ただし、同じホストから発信された別のトラフィックに対して、元の送信元アドレスを同じIPアドレスに変換することはできません。送信元NAT address-persistent オプションを使用すると、複数の同時セッションに対して、送信元NAT プールから特定のホストに同じIPアドレスが割り当てられます。

このオプションは、内部アドレスが先着順でプール内の外部アドレスにマッピングされ、セッションごとに異なる外部アドレスにマッピングされる可能性があるアドレスプールペアオプションとは異なります。

この例では、デフォルトのポート範囲が設定されていない場合、またはデフォルト ポート範囲をオーバーライドする場合に、ポート アドレス変換(PAT)を使用して送信元 NAT プールの容量を設定する方法について説明します。変換はIPアドレスごとに設定されます。ソース プールが増加したときに、現在のポート番号が制限を超える場合は、ポートを再割り当てする必要があります。

ホストが NAT を必要とするポリシーに一致する複数のセッションを開始し、ポート アドレス変換が有効になっている送信元プールから IP アドレスが割り当てられると、セッションごとに異なる送信元 IP アドレスが使用されます。

アプリケーションによっては、セッションごとに同じ送信元 IP アドレスを必要とするものがあるため、 address-pooling paired 機能を使用して、1 つの内部 IP アドレスに関連付けられているすべてのセッションを、セッション期間中同じ外部IPアドレスにマッピングできます。セッションが終了すると、内部 IP アドレスと外部IPアドレス間のマッピングは停止します。次回ホストがセッションを開始すると、プールの別のIPアドレスが割り当てられる場合があります。

これは、マッピングを静的に保つソースNAT address-persistent 機能とは異なり、毎回同じ内部IPアドレスが同じ外部IPアドレスにマッピングされます。また、 address-persistent 機能とは異なり、 address-pooling paired は特定のプールに対して構成されます。 address-persistent 機能は、すべてのソース・プールに適用されるグローバル構成です。

送信元 NAT ルール セットの一致条件では、アドレス範囲を指定することはできません。ルールで指定できるのは、アドレス プレフィックスのみです。送信元NAT プールを設定する場合、 host-base-address オプションを指定できます。このオプションは、元の送信元 IP アドレス範囲が始まる IP アドレスを指定します。

変換される元の送信元IPアドレスの範囲は、送信元NAT プール内のアドレス数によって決まります。たとえば、送信元 NAT プールに 10 個の IP アドレスの範囲が含まれている場合、指定されたベース アドレスから始めて、最大 10 個の元の送信元 IP アドレスを変換できます。このタイプの変換は、1 対 1、静的で、ポート アドレス変換なしです。

送信元 NAT ルールの一致条件で定義されるアドレス範囲は、送信元 NAT プールで指定されているアドレス範囲よりも広い場合があります。たとえば、一致条件で 256 個のアドレスを含むアドレス プレフィックスが指定されていても、送信元 NAT プールには数個の IP アドレスのみ、または 1 つの IP アドレスのみが含まれる場合があります。パケットの送信元 IP アドレスは送信元 NAT ルールに一致できますが、送信元 IP アドレスが送信元 NAT プールで指定されたアドレス範囲内にない場合、送信元 IP アドレスは変換されません。

この例では、オプションのアドレスシフトを使用して、プライベートアドレス範囲からパブリックアドレスへのソースNATマッピングを構成する方法を説明します。このマッピングは、元の送信元 IP アドレスと変換された IP アドレスの間で 1 対 1 で行われます。

Junos OS は、ポート アドレス変換(PAT)を備えた送信元プールを使用して、送信元 IP アドレスとパケットのポート番号の両方を変換します。PAT を使用すると、複数のホストが同じ IP アドレスを共有できます。

Junos OSは、どのセッションがどのホストに属しているかを区別するために、割り当てられたポート番号のリストを保持します。PAT を有効にすると、最大 63,488 台のホストが 1 つの IP アドレスを共有できます。各ソース プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT を使用するソース プールの場合、ソース プールまたは Junos OS で永続アドレス機能またはペア アドレス プーリング機能が有効になっていない限り、Junos OS は同時セッションごとに 1 つのホストに異なるアドレスを割り当てることができます。

インターフェイス ソース プールと PAT を使用したソース プールの場合、IP アドレスごとのポート番号マッピングに範囲(1024、65535)を使用できます。範囲内(1024, 63487)では、一度に 1 つのポートが割り当てられ、合計で 62,464 ポートになります。範囲(63488、65535)では、SIP、H.323、RTSPなどのRTP/RTCPアプリケーションに一度に2つのポートが割り当てられ、合計2,048ポートになります。

ネットワーク アドレス変換を必要とするポリシーに一致する複数のセッションをホストが開始し、PAT が有効になっている送信元プールからアドレスが割り当てられると、デバイスはセッションごとに異なる送信元 IP アドレスを割り当てます。このようなランダムなアドレス割り当ては、各セッションに同じ送信元 IP アドレスを必要とする複数のセッションを作成するサービスでは問題が発生する可能性があります。たとえば、AOL インスタント メッセージ (AIM) クライアントを使用する場合は、複数のセッションで同じ IP アドレスを使用することが重要です。

ルーターが複数の同時セッションに対してソースプールからホストに同じIPアドレスを割り当てるようにするには、ルーターごとに永続的IPアドレスを有効にします。1 つのセッションの間、デバイスがソース プールからホストに同じ IP アドレスを割り当てるようにするには、ペア アドレス プーリングを有効にします。

この例では、ポートアドレス変換を使用して、プライベートアドレスブロックの小さなパブリックアドレスブロックへのソースNATマッピングを設定する方法を説明します。

ソース プールを定義すると、Junos OS はデフォルトで PAT を有効にします。PAT を無効にするには、ソース プールを定義するときにポート変換を指定しないようにする必要があります。

PAT なしでソース プールを使用する場合、Junos OS は送信元ポート番号に対して PAT を実行せずに、IP アドレスのソース ネットワークアドレス変換を実行します。特定の送信元ポート番号を固定しておく必要があるアプリケーションの場合は、PAT を使用しないソース プールを使用する必要があります。

ソース プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT なしのソース プールでは、address-pooling no-paired オプションが有効になっていない限り、Junos OS はすべての同時セッションに対して 1 つの変換された送信元アドレスを同じホストに割り当てます。

PAT を使用しない送信元 NAT プールがサポートできるホストの数は、プール内のアドレス数に制限されます。1 つの IP アドレスを持つプールがある場合、サポートできるホストは 1 つだけであり、使用可能なリソースがないため、他のホストからのトラフィックはブロックされます。シャーシ クラスタでNATリソース割り当てがアクティブバックアップ モードでないときに、PATなしでソースNAT プールに単一のIPアドレスを設定すると、ノード1を経由するトラフィックがブロックされます。

PAT を使用しない各ソース プールのプール使用率が計算されます。アラームしきい値を設定することで、プール使用率アラームをオンにできます。SNMP トラップは、プールの使用率がしきい値を超えてしきい値を下回るたびにトリガーされます。

この例では、ポート アドレス変換を使用せずに、送信元 NAT プール内の単一のパブリック アドレスにプライベート アドレス ブロックを構成する方法を説明します。

この例では、ポートアドレス変換を行わずに、プライベートアドレスブロックの小さなパブリックアドレスブロックへのソースNATマッピングを設定する方法を説明します。

ポート アドレス変換のない送信元 NAT プールは、1 つの送信元 IP アドレスから 1 つの外部IPアドレスへの静的な 1 対 1 のマッピングを実行します。送信元 no-pat プールで使用可能な外部IPアドレスが 1 つしかない場合、または address-shared オプションを使用すると、トラフィックが異なる送信元ポートから来ている限り、多くの送信元 IP アドレスを 1 つの外部IPアドレスにマッピングできます。

たとえば、2つのIPアドレス(IP 1とIP 2)のみを含むポート変換のない送信元NAT プールがあり、パケットが

1. 元 IP 1、ポート 1 は、IP 1、ポート 1 に変換されます。

2. 元 IP 2、ポート 2、IP 2、ポート 2 に変換されます。

3. 元 IP 3、ポート 1、IP 2、ポート 1 に変換されます。(IP 1 ポート 1 のポートは既に使用されているため、変換できません。

   ただし、別のパケットが元 IP 3、ポート 1 から別の宛先 IP とポートに到着した場合、ポート 1 は両方の使用可能な IP アドレスで既に使用されているため、IP 1、ポート 1 または IP 2、ポート 1 に変換できません。セッションは失敗します。

このオプションにより、NAT リソースが増加し、変換されたトラフィックが正常に設定される可能性が高まります。アドレス共有はすでにデフォルトの動作になっているため、ポートアドレス変換のある送信元NATプールでは使用できません。

ネットワークアドレス変換(NAT)セッション永続性は、NAT設定に変更があった場合に、既存のセッションをクリアするのではなく、保持する手段を提供します。セッション永続性が有効になっている場合、保持されたセッションは、影響を受けるセッションを再構築するために時間とリソースが最適に使用される間、引き続きパケットの処理と転送を行います。そのため、一部またはすべてのセッションでNAT設定が変更されても、パケット転送は停止しません。

Junos OS リリース 18.3R1 以降では、NAT セッション永続性のサポートにより、パケット転送エンジンはセッションをスキャンし、セッションを保持するか、セッションをクリアするかを決定します。Junos OS リリース 18.3R1 より前のリリースでは、NAT 設定に変更があった場合、NAT セッションはクリアされます。

パケット転送エンジンは、次の2種類のスキャンを実行して、セッションを保持するかドロップするかを決定します。

• Source NAT pool session persistence scan—パケット転送エンジンは、既存のセッションIPアドレスと送信元プールのアドレス範囲を比較します。既存のセッション IP アドレスが指定された送信元プールのアドレス範囲内にある場合、セッションは維持され、それ以外の場合はセッションがクリアされます。

• Source NAT rule session persistence scan—パケット転送エンジンはルールIDを使用して、古い設定と新しい設定間で送信元IPアドレス、送信元ポート、IP アドレス、および宛先ポートを比較します。新しい設定と古い設定が同じ場合、セッションは維持され、そうでない場合はセッションがクリアされます。

NAT セッションの永続性は、以下のシナリオの送信元 NAT でのみサポートされます。

• 送信元プール—ポート アドレス変換(PAT)プール内のアドレス範囲の変更。

• 送信元ルール—アドレス帳、アプリケーション、IP アドレス、宛先ポート、送信元IPアドレス、宛先ポート情報の一致条件の変更。

NAT セッション永続性スキャンを有効にするには、[edit security nat source] 階層レベルで session-persistence-scan ステートメントを含めます。

また、 set security nat source session-drop-hold-down CLI コマンドを使用して、指定した期間セッションを保持するようにタイムアウト値を設定することもできます。 session-drop-hold-down オプションの値の範囲は、30 秒から 28,800 秒 (8 時間) です。セッションは、設定されたタイムアウト期間が経過すると期限切れになります。

ネットワークアドレス変換(NAT)の設定は、より多くのユーザーに対応するため、またトラフィック転送の最短ルートを強化するために頻繁に変更されます。トラフィックの再ルーティングによりエグレス インターフェイスが変更された場合、 set security flow enable-reroute-uniform-link-check nat コマンドを使用して既存の NAT 設定とルールを保持できます。

enable-reroute-uniform-link-check nat コマンドが有効な場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致したNAT ルールに変更がない場合、または再ルーティングの前後にルールが適用されていない場合、セッションは既存のNAT ルールで保持されます。

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致したNAT ルールが変更された場合、セッションは期限切れになります。

enable-reroute-uniform-link-check nat コマンドが無効になっている場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにある場合、トラフィックは新しいエグレスインターフェイスに転送されます。

Configuration

再ルーティングによりエグレスインターフェイスが変更された場合に、既存のセッションでNAT設定を有効にするには、次のコマンドを使用します。

[edit] user@host# set security flow enable-reroute-uniform-link-check nat設定変更をコミットすると、新しい設定が適用されます。

enable-reroute-uniform-link-check nat commandはデフォルトで無効になっています。

Limitations

set security flow enable-reroute-uniform-link-check nat コマンドを使用して NAT 設定を保持する場合、以下の制限があります。

• TCP同期では、新しいセッションはトラフィックを転送できません。新しいセッションでのトラフィックの転送を許可するには、TCP同期を無効にする必要があります。

• 通信を初期化するためのスリーウェイ ハンドシェイクの後に再ルートが開始されると、パケット情報が失われる可能性があります。新しいセッションでのトラフィックの転送を許可するには、アプリケーション層ゲートウェイ(ALG)などのJunos OSサービスフレームワーク(JSF)を無効にする必要があります。