ソースNAT

送信元NATは、ジュニパーネットワークスのデバイスから送信されるパケットの送信元IPアドレスの変換です。ソースNATは、プライベートIPアドレスを持つホストがパブリックネットワークにアクセスできるようにするために使用されます。

送信元 NAT では、プライベート ネットワークからインターネットなど、発信ネットワーク接続に対してのみ接続を開始できます。ソースNATは、通常、次の変換を実行するために使用されます。

• 1 つの IP アドレスを別のアドレスに変換します (たとえば、プライベート ネットワーク内の 1 つのデバイスにインターネットへのアクセスを提供する場合など)。

• 連続したアドレス ブロックを、同じサイズの別のアドレス ブロックに変換します。

• 連続したアドレス ブロックを、小さいサイズの別のアドレス ブロックに変換します。

• ポート変換を使用して、連続したアドレス ブロックを単一の IP アドレスまたはより小さなアドレス ブロックに変換します。

• 連続したアドレスブロックをエグレスインターフェイスのアドレスに変換します。

エグレスインターフェイスのアドレスへの変換には、アドレスプールは必要ありません。その他のすべての送信元NAT変換では、アドレスプールの設定が必要です。同じサイズのアドレス ブロックの 1 対 1 および多対多の変換では、変換されるすべてのアドレスに対して使用可能なアドレスがプール内にあるため、ポート変換は必要ありません。

アドレス プールのサイズが変換されるアドレスの数よりも小さい場合、変換できる同時アドレスの総数がアドレス プールのサイズによって制限されるか、ポート変換を使用する必要があります。例えば、253 個のアドレスのブロックが 10 個のアドレスのアドレス プールに変換される場合、ポート変換を使用しない限り、最大 10 個のデバイスを同時に接続できます。

以下のタイプの送信元NATがサポートされています。

• 元の送信元IPアドレスをエグレスインターフェイスのIPアドレスに変換する(インターフェイスNATとも呼ばれる)。ポート アドレス変換は常に実行されます。

• 元の送信元 IP アドレスをユーザー定義のアドレス プールから IP アドレスに変換し、ポート アドレス変換を行わない。元の送信元 IP アドレスと変換された送信元 IP アドレスの間の関連付けは動的です。ただし、アソシエーションが存在すると、同じNATルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスに同じアソシエーションが使用されます。

• 元の送信元 IP アドレスからユーザー定義のアドレス プールから IP アドレスへの変換と、ポート アドレス変換を使用する。元の送信元 IP アドレスと変換された送信元 IP アドレスの間の関連付けは動的です。アソシエーションが存在する場合でも、同じNATルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスが別のアドレスに変換されることがあります。

• IP アドレスをシフトすることによって、元の送信元 IP アドレスをユーザー定義アドレス プールから IP アドレスに変換する。このタイプの変換は 1 対 1 で静的で、ポート アドレス変換は含まれません。元の送信元 IP アドレス範囲がユーザー定義プールの IP アドレス範囲より大きい場合、未変換のパケットは破棄されます。

• 中心点アーキテクチャは、中心点セッションをサポートしなくなりました。そのため、NAT では、IP アドレスまたはポートの割り当てと使用状況を追跡するために、NAT トラッカーを維持する必要があります。NAT トラッカーは、NAT リソースの管理に使用される SPU セッション ID から NAT IP またはポート マッピングへのグローバル配列です。

• デフォルトでは、NAT ルール アラームとトラップ統計カウンターの更新メッセージは、中央ポイント システムの各セッション トリガーに基づいて統計を更新する代わりに、サービス処理ユニット(SPU)から 1 秒間隔で中央ポイントに送信されます。

• NAT 後の 5 タプル ハッシュが NAT 前の元の 5 タプル ハッシュと同じになるように割り当てられた特定の NAT IP アドレスまたはポートをサポートするには、特定の計算によって元のハッシュと同じハッシュになる NAT ポートを選択します。そのため、転送セッションは減少します。NAT を使用すると、リバース ウィングは別の SPU にハッシュされます。リバーストラフィックをセッション SPU に転送するには、転送セッションをインストールする必要があります。NAT は、ハッシュ アルゴリズムで使用できるポートを選択して、リバース ウィングを最初のウィングと同じ SPU にハッシュしようとします。そのため、このアプローチではNATのパフォーマンスとスループットの両方が向上します。

• NAT のパフォーマンスを向上させるために、IP シフト プール(非 PAT プール)の管理は中央ポイントから SPU に移動し、NAT 要求を中央ポイントに送信するのではなく、そのプールのすべてのローカル NAT リソースがローカルで管理されるようになります。そのため、IPアドレスをシフトするNATプール接続数/秒やスループットが向上します。

ポートオーバーフローバーストモードでは、割り当てられたポートブロックを超えてポートを使用できます。IP アドレスのポート範囲を持つバースト プールを、バースト用に予約するように設定できます。

プライマリ プールとバースト プールのタイプがあり、加入者がプライマリ プールで設定された制限に達すると、デバイスはバースト プールを使用します。

ブラストモードは以下でサポートされています。

1. PBA タイプのバースト プールを使用した決定論的 NAT 送信元 NAT プール。

2. 動的ネットワーク アドレス ポート変換(NAPT)タイプのバースト プールを使用した決定論的 NAT 送信元 NAT プール。

3. PBA タイプのバースト プールを使用した通常の PBA ソース NAT プール。

4. 動的 NAPT タイプのバースト プールを使用した通常の PBA ソース NAT プール。

PBAバーストタイプ方式:PBAはAPPおよび非APPモードの動作をサポートします。

• APPモード:ポートはプライマリプールから割り当てられます。その後、加入者の上限がプライマリ プールから超過した場合、バースト プールの同じ IP アドレスに対して使用可能なポートがあれば、新しいセッションが作成されます。

• 非APPモード:ポートはプライマリプールから割り当てられます。加入者の上限がプライマリ プールから超過すると、使用可能な IP アドレスとポートを持つ新しいセッションがバースト プールから作成されます。

DetNAT バースト タイプ方式:ポートはプライマリ プールから割り当てられます。バースト プールの同じ IP アドレスまたは使用可能なすべてのポートが同じ IP アドレスから使用できない場合、新しいセッションは別の IP アドレスで作成されます。バースト プールがプライマリ プールとは異なる IP で構成されている場合、 はバースト プールの別の IP を使用します。

• ポートランダム化モード(デフォルト)
• ラウンドロビンモード
• セッションアフィニティモード

• 目的
• アクション

この例では、プライベートアドレスのエグレスインターフェイスのパブリックアドレスへのソースNATマッピングを設定する方法を説明します。

この例では、単一のプライベートアドレスからパブリックアドレスへの送信元NATマッピングを設定する方法を説明します。

この例では、送信元と宛先の両方の NAT マッピングを設定する方法について説明します。

送信元NATルールは、2層の一致条件を指定します。

• トラフィック方向 - from interface、 from zone、または from routing-instance と、 to interface、 to zone、または to routing-instanceの組み合わせを指定できます。異なるルールセットに同じ from コンテキストと to コンテキストを設定することはできません。

• パケット情報:送信元および宛先IPアドレスまたはサブネット、送信元ポート番号またはポート範囲、宛先ポート番号またはポート範囲、プロトコル、またはアプリケーションを指定できます。

FTP を除くすべての ALG トラフィックでは、 source-port ルール オプションを使用しないことをお勧めします。このオプションを使用すると、IP アドレスと送信元ポート値 (ランダムな値) がルールに一致しない可能性があるため、データ セッションの作成が失敗する可能性があります。

また、ALG トラフィックの一致条件として destination-port オプションや application オプションを使用しないことをお勧めします。これらのオプションを使用すると、アプリケーションペイロードのポート値がIPアドレスのポート値と一致しない可能性があるため、変換が失敗する可能性があります。

複数の送信元NATルールが一致条件で重複する場合は、最も具体的なルールが選択されます。例えば、ルールAとルールBで同じ送信元IPアドレスと宛先IPアドレスを指定し、ルールAでゾーン1からゾーン2へのトラフィックを指定し、ルールBでゾーン1からインターフェイスge-0/0/0へのトラフィックを指定している場合、ルールBを使用してソースNATが実行されます。インターフェイスの一致は、ゾーンの一致よりも具体的であると見なされ、ゾーンの一致はルーティング インスタンスの一致よりも具体的です。

送信元NATルールに指定できるアクションは次のとおりです。

• off:ソースNATを実行しません。

• pool—指定されたユーザー定義のアドレスプールを使用して、ソースNATを実行します。

• インターフェイス—エグレスインターフェイスのIPアドレスを使用して、ソースNATを実行します。

送信元NATルールは、フローに対して処理された最初のパケットのトラフィック、またはALGの高速パスのトラフィックに適用されます。 送信元NATルールは、静的NATルール、宛先NATルール、静的NATルールのリバースマッピングの後、ルートとセキュリティポリシーの検索の後に処理されます。

ルール セットでゾーンが設定されておらず、アクティブ ソース NAT に必須ステートメント「from」が欠落して設定されている場合、コミットを実行すると "必須ステートメントがありません: 'from' エラー: 構成チェックアウトに失敗しました" というメッセージが表示され、構成のチェックアウトに失敗します。

この例では、複数のルールを使用して送信元NATマッピングを設定する方法について説明します。

NAT プールは、変換に使用される IP アドレスのユーザー定義のセットです。一方向の宛先IPアドレス変換と逆方向の送信元IPアドレス変換を含む1対1のマッピングがある静的NATとは異なり、送信元NATでは、元の送信元IPアドレスをアドレスプール内のIPアドレスに変換します。

送信元ネットワークアドレス変換(NAT)アドレスプールの場合は、以下を指定します。

• 送信元NATアドレスプールの名前。

• 最大 64 のアドレス範囲。

  手記：

  1つのルーティングインスタンス内で、送信元NAT、宛先NAT、静的NATのNATアドレスを重複させないでください。

• ルーティングインスタンス—プールが属するルーティングインスタンス(デフォルトはメインの inet.0 ルーティングインスタンスです)。

• ポート:送信元プールのポートアドレス変換(PAT)。デフォルトでは、PAT は送信元 NAT で実行されます。 no-translation オプションを指定した場合、送信元NATプールがサポートできるホストの数は、プール内のアドレス数に制限されます。 block-allocation を指定すると、個々のポートが割り当てられるのではなく、ポートのブロックが変換用に割り当てられます。 deterministic を指定した場合、着信 IP アドレスとポートは、事前定義された決定論的 NAT アルゴリズムに基づいて、常に特定の宛先アドレスとポート ブロックにマップされます。 port-overloadingを指定すると、送信元NATでポートの過負荷容量を設定できます。 rangeを指定する場合は、プール内の各アドレスにアタッチされているポート番号の範囲と、送信元 NAT プールのツイン ポート範囲を指定できます。

• オーバーフロー プール(オプション)- 指定された送信元 NAT プールに使用可能なアドレスがない場合、パケットは廃棄されます。 ポートのno-translation オプションが設定されている場合にこれが発生しないようにするには、オーバーフロープールを指定します。元の送信元NATプールのアドレスが使い果たされると、IPアドレスとポート番号がオーバーフロープールから割り当てられます。ユーザー定義の送信元NATプールまたはエグレスインターフェイスをオーバーフロープールとして使用できます。(オーバーフロー・プールが使用されている場合、プール ID はアドレスとともに戻されます。

• IP アドレス シフト(オプション):IP アドレスをシフトすることで、元の送信元 IP アドレスの範囲を別の IP アドレス範囲にマッピングしたり、単一の IP アドレスにマッピングしたりできます。元の送信元 IP アドレス範囲のベース アドレスで host-address-base オプションを指定します。

• アドレス共有(オプション)- 複数の内部 IP アドレスを同じ外部 IP アドレスにマッピングできます。このオプションは、送信元NATプールがポート変換なしで設定されている場合にのみ使用できます。送信元 NAT プールで使用できる外部 IP アドレスがほとんどない場合、または外部 IP アドレスが 1 つしかない場合は、 address-shared オプションを指定します。多対 1 マッピングでは、このオプションを使用すると NAT リソースが増加し、トラフィックが増加します。

• アドレス プーリング(オプション):アドレス プーリングは、ペアまたはペアなしとして設定できます。1 つの内部 IP アドレスに関連付けられたすべてのセッションを、セッション中に同じ外部 IP アドレスにマップする必要があるアプリケーションの address-pooling paired を指定します。これは、毎回同じ内部アドレスが同じ外部アドレスに変換される persistent-address オプションとは異なります。ラウンドロビン方式でIPアドレスを割り当てることができるアプリケーションの address-pooling no-paired を指定します。PAT を使用する送信元 NAT プールに address-pooling paired または address-pooling no-paired が設定されている場合、永続アドレス オプションは無効になります。送信元NATプールにPATなしで address-shared が設定されている場合、 persistent-address オプションが有効になります。 address-shared と address-pooling paired の両方を、PAT なしで同じ送信元 NAT プール上に設定できます。

• プール使用率アラーム(オプション)— 送信元NATに raise-threshold オプションが設定されている場合、送信元NATプール使用率がこのしきい値を超えるとSNMPトラップがトリガーされます。オプションの clear-threshold(閾値 クリア)オプションが設定されている場合、送信元NATプールの使用率がこの閾値を下回ると、SNMPトラップが起動します。 clear-threshold が設定されていない場合、デフォルトでは 引き上げ閾値の 80% に設定されます。

show security nat resource usage source pool コマンドを使用すると、PAT を使用しないソース NAT プールでのアドレス使用を表示したり、PAT を使用したソース NAT プールでのポート使用を表示したりできます。

SRX1400、SRX1500、SRX3400、SRX3600、SRX4100、SRX4200、SRX5400、SRX5600、SRX5800デバイスのソースプールとIPアドレスの最大容量は次のとおりです。

設定内のプール数を増やすか、プールあたりの容量またはIPアドレスを増やすことによって、送信元NATに使用されるIPアドレスの総数を増やすと、ポート割り当てに必要なメモリが消費されます。送信元 NAT プールと IP アドレスの制限に達したら、ポート範囲を再割り当てする必要があります。つまり、IP アドレスと送信元 NAT プールの数を増やす場合は、各 IP アドレスのポート数を減らす必要があります。これにより、NAT がメモリを過剰に消費しないようにします。

たとえば、SRX5000デバイスの送信元NATプールで、ポート変換をサポートするIPアドレスの数が1Mの制限に達すると、PATポートの総数は64Gになり、384Mの制限を超えます。これは、デフォルトでは、各 IP アドレスが 64,512 ポートをサポートしているためです。PAT ポート番号が容量内に収まるようにするには、各 IP のポート範囲を設定して、PAT ポートの総数を減らす必要があります。

[edit security nat source pool port]階層レベルで [range] オプションと [range twin-port] オプションを使用して、特定のプールに新しいポート範囲またはツイン ポート範囲を割り当てます。[edit security nat source]階層レベルで [pool-default-port-range] オプションと [pool-default-twin-port-range] オプションを使用して、すべての送信元 NAT プールのグローバルなデフォルト ポート範囲またはツイン ポート範囲を指定します。

送信元 NAT プールが増加した場合、ポート オーバーロードの設定も慎重に行う必要があります。

範囲(63,488〜65,535)のPATを持つソースプールの場合、SIP、H.323、RTSPなどのRTP/RTCPアプリケーション用に一度に2つのポートが割り当てられます。これらのシナリオでは、各 IP アドレスは PAT をサポートし、ALG モジュール用に 2048 ポート(63,488 〜 65,535)を占有します。

デフォルトでは、ポートアドレス変換はソースNATで実行されます。ただし、元の送信元アドレスは、同じホストから発信される異なるトラフィックに対して同じIPアドレスに変換されない場合があります。送信元NAT address-persistent オプションは、複数の同時セッションに対して、送信元NATプールから特定のホストに同じIPアドレスを確実に割り当てます。

このオプションは、内部アドレスが先着順でプール内の外部アドレスにマップされ、セッションごとに異なる外部アドレスにマップされる可能性があるアドレス プーリング ペア オプションとは異なります。

この例では、デフォルトのポート範囲が設定されていない場合、または上書きしたい場合に、ポートアドレス変換(PAT)を使用して送信元NATプールの容量を設定する方法を説明します。変換は IP アドレスごとに設定されます。ソース プールが増加したときに、現在のポート番号が制限を超えている場合は、ポートを再割り当てする必要があります。

ホストが NAT を必要とするポリシーに一致する複数のセッションを開始し、ポートアドレス変換が有効になっているソースプールから IP アドレスが割り当てられると、セッションごとに異なるソース IP アドレスが使用されます。

一部のアプリケーションではセッションごとに同じ送信元 IP アドレスが必要なため、 address-pooling paired 機能を使用して、1 つの内部 IP アドレスに関連付けられているすべてのセッションをセッション中に同じ外部 IP アドレスにマップできます。セッションが終了すると、内部 IP アドレスと外部 IP アドレス間のマッピングは停止します。次回ホストがセッションを開始するときに、プールとは異なる IP アドレスが割り当てられる可能性があります。

これは、マッピングを静的に保つソースNATaddress-persistent機能とは異なります。毎回同じ内部IPアドレスが同じ外部IPアドレスにマッピングされます。また、address-pooling pairedが特定のプール用に構成されているという点で、address-persistent機能とも異なります。address-persistent機能は、すべてのソース プールに適用されるグローバル構成です。

送信元NATルールセットの一致条件では、アドレス範囲を指定することはできません。ルールで指定できるのはアドレス プレフィックスのみです。送信元NATプールを設定する場合、 host-base-address オプションを指定できます。このオプションは、元の送信元IPアドレス範囲が始まるIPアドレスを指定します。

変換される元の送信元 IP アドレスの範囲は、送信元 NAT プール内のアドレス数によって決まります。たとえば、送信元 NAT プールに 10 個の IP アドレスの範囲が含まれている場合、指定したベース アドレスから始めて、最大 10 個の元の送信元 IP アドレスを変換できます。このタイプの変換は 1 対 1 で静的で、ポート アドレス変換は含まれません。

送信元 NAT ルールの一致条件では、送信元 NAT プールで指定されたアドレス範囲よりも大きなアドレス範囲を定義できます。たとえば、一致条件では 256 個のアドレスを含むアドレスプレフィックスが指定されていても、送信元 NAT プールには少数の IP アドレスまたは 1 つの IP アドレスのみが含まれる場合があります。パケットの送信元 IP アドレスは送信元 NAT ルールと一致することができますが、送信元 IP アドレスが送信元 NAT プールで指定されたアドレス範囲内にない場合、送信元 IP アドレスは変換されません。

この例では、オプションのアドレスシフトを使用して、プライベートアドレス範囲からパブリックアドレスへのソースNATマッピングを構成する方法について説明します。このマッピングは、元の送信元 IP アドレスと変換された IP アドレスの間で 1 対 1 で行われます。

ポートアドレス変換(PAT)が可能なソースプールを使用して、Junos OSはパケットのソースIPアドレスとポート番号の両方を変換します。PAT を使用すると、複数のホストが同じ IP アドレスを共有できます。

Junos OSは、どのセッションがどのホストに属しているかを区別するために、割り当てられたポート番号のリストを保持します。PAT を有効にすると、最大 63,488 台のホストが 1 つの IP アドレスを共有できます。各ソース プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT を使用するソース プールの場合、ソース プールまたは Junos OS で永続アドレス機能またはペア アドレス プーリング機能が有効になっていない限り、Junos OS は、1 つのホストに異なるアドレスを異なる同時セッションに割り当てることがあります。

インターフェイスのソース プールと PAT を使用するソース プールの場合、IP アドレスごとのポート番号マッピングに範囲(1024, 65535)を使用できます。範囲 (1024、63487) 内では、一度に 1 つのポートが割り当てられ、合計で 62,464 ポートになります。範囲(63488、65535)では、SIP、H.323、RTSP などの RTP/RTCP アプリケーション用に一度に 2 つのポート、合計 2,048 ポートが割り当てられます。

ホストが、ネットワーク アドレス変換を必要とするポリシーに一致する複数のセッションを開始し、PAT が有効になっているソース プールからアドレスが割り当てられると、デバイスはセッションごとに異なる送信元 IP アドレスを割り当てます。このようなランダムなアドレスの割り当ては、セッションごとに同じ送信元 IP アドレスを必要とする複数のセッションを作成するサービスで問題になる可能性があります。たとえば、AOL インスタント メッセージ (AIM) クライアントを使用する場合は、複数のセッションで同じ IP アドレスを使用することが重要です。

ルーターが複数の同時セッションに対して送信元プールからホストに同じIPアドレスを割り当てるようにするには、ルーターごとに永続IPアドレスを有効にします。単一セッションの間、デバイスがソース プールからホストに同じ IP アドレスを割り当てるようにするには、ペア アドレス プーリングを有効にします。

この例では、ポートアドレス変換を使用して、プライベートアドレスブロックからより小さいパブリックアドレスブロックへのソースNATマッピングを設定する方法を説明します。

ソース プールを定義すると、Junos OS によって PAT がデフォルトで有効になります。PAT を無効にするには、ソース プールを定義するときにポート変換を指定しません。

PAT なしでソース プールを使用する場合、Junos OS は、ソース ポート番号に対して PAT を実行せずに、IP アドレスに対してソース ネットワーク アドレス変換を実行します。特定の送信元ポート番号を固定したままにする必要があるアプリケーションの場合は、PAT なしでソース プールを使用する必要があります。

ソース プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT を使用しないソース プールの場合、アドレス プーリングのペアなしオプションが有効になっていない限り、Junos OS はすべての同時セッションに対して、変換された 1 つのソース アドレスを同じホストに割り当てます。

PAT のない送信元 NAT プールがサポートできるホストの数は、プール内のアドレス数に制限されます。1 つの IP アドレスを持つプールがある場合、サポートできるホストは 1 つだけで、使用可能なリソースがないため、他のホストからのトラフィックはブロックされます。シャーシ クラスタでNATリソース割り当てがアクティブ/バックアップ モードでないときに、PATのない送信元NATプールに単一のIPアドレスが設定されている場合、ノード1を通過するトラフィックはブロックされます。

PAT がない各ソース プールのプール使用率が計算されます。アラームしきい値を設定することで、プール使用率アラームをオンにすることができます。SNMP トラップは、プール使用率がしきい値を超えたり、しきい値を下回ったりするたびにトリガーされます。

この例では、ポート アドレス変換を使用せずに、送信元 NAT プール内の単一のパブリック アドレスにプライベート アドレス ブロックを設定する方法について説明します。

この例では、ポートアドレス変換を行わずに、プライベートアドレスブロックからより小さいパブリックアドレスブロックへのソースNATマッピングを設定する方法を説明します。

ポート アドレス変換を使用しないソース NAT プールは、1 つの送信元 IP アドレスから 1 つの外部 IP アドレスへの静的な 1 対 1 マッピングを実行します。外部 IP アドレスが 1 つしかない場合、または送信元 no-PAT プールで使用できるアドレスが非常に少ない場合、 address-shared オプションを使用すると、トラフィックが異なる送信元ポートから来ている限り、多数の送信元 IP アドレスを 1 つの外部 IP アドレスにマッピングできます。

例えば、ポート変換のない送信元NATプールにIP1とIP2の2つのIPアドレスしか含まれていない場合、パケットが到着したときに

1. 送信元IP 1、ポート1は、IP 1、ポート1に変換されます。

2. 送信元IP 2、ポート2は、IP 2、ポート2に変換されます。

3. 送信元IP 3、ポート1は、IP 2、ポート1に変換されます。(IP 1 ポート 1 は既に使用されているため、変換できません。

   ただし、別のパケットが送信元IP 3、ポート1から異なる宛先IPとポート宛てに到着した場合、ポート1は使用可能な両方のIPアドレスにすでに使用されているため、IP 1、ポート1、またはIP 2、ポート1に変換することはできません。セッションは失敗します。

このオプションにより、NATリソースが増加し、変換されたトラフィックが正常に設定される可能性が高まります。アドレス共有はすでにデフォルトの動作になっているため、ポートアドレス変換を使用するソースNATプールでは使用できません。

ネットワーク アドレス変換(NAT)セッションの永続性は、NAT 設定に変更があった場合に、既存のセッションをクリアするのではなく、保持する手段を提供します。セッションの持続性が有効になっている場合、影響を受けるセッションの再構築に時間とリソースが最適に使用されるため、保持されているセッションは引き続きパケットを処理し、転送します。そのため、一部またはすべてのセッションでNAT設定が変更されても、パケット転送は停止しません。

Junos OS Release 18.3R1以降では、NATセッション永続性をサポートすることで、パケット転送エンジンがセッションをスキャンし、セッションを保持するかクリアするかを決定します。Junos OS リリース 18.3R1 より前のリリースでは、NAT 設定に変更があると、NAT セッションはクリアされます。

パケット転送エンジンは、次の 2 種類のスキャンを実行して、セッションを保持するかドロップするかを決定します。

• Source NAT pool session persistence scan- パケット転送エンジンは、既存のセッションIPアドレスと送信元プールのアドレス範囲を比較します。既存のセッション IP アドレスが、指定された送信元プールのアドレス範囲内にある場合、セッションは存続し、それ以外の場合、セッションはクリアされます。

• Source NAT rule session persistence scan—パケット転送エンジンは、ルールIDを使用して、送信元IPアドレス、送信元ポート、宛先IPアドレス、および宛先ポートを古い設定と新しい設定で比較します。新しい設定と古い設定が同じ場合、セッションは維持され、それ以外の場合はセッションがクリアされます。

NAT セッションの永続性は、以下のシナリオのソース NAT に対してのみサポートされます。

• ソース プール - ポート アドレス変換(PAT)プール内のアドレス範囲の変更。

• 送信元ルール:アドレス帳、アプリケーション、宛先 IP アドレス、宛先ポート、送信元 IP アドレス、宛先ポート情報の一致条件の変更。

NATセッション持続性スキャンを有効にするには、[edit security nat source]階層レベルでsession-persistence-scanステートメントを含めます。

また、 set security nat source session-drop-hold-down CLI コマンドを使用して、指定した期間セッションを保持するためのタイムアウト値を設定することもできます。 session-drop-hold-down オプションの値は、30 秒から 28,800 秒 (8 時間) の範囲です。セッションは、設定されたタイムアウト期間が経過すると期限切れになります。

ネットワーク アドレス変換(NAT)の構成は、より多くのユーザーに対応し、トラフィックを転送するための最短ルートを強化するために変更されることがよくあります。トラフィックの再ルーティングによってエグレスインターフェイスに変更が発生した場合、 set security flow enable-reroute-uniform-link-check nat コマンドを使用して既存のNAT設定とルールを保持できます。

enable-reroute-uniform-link-check natコマンドが有効な場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致したNATルールに変更がない場合、または再ルーティングの前後にルールが適用されない場合、セッションは既存のNATルールで保持されます。

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致したNATルールが変更された場合、セッションは期限切れになります。

enable-reroute-uniform-link-check nat コマンドが無効になっている場合:

• 新しいエグレス インターフェイスと以前のエグレス インターフェイスが同じセキュリティ ゾーンにある場合、トラフィックは新しいエグレス インターフェイスに転送されます。

Configuration

再ルーティングによりエグレスインターフェイスに変更があった場合に、既存セッションのNAT設定を有効にするには、次のコマンドを使用します。

[edit] user@host# set security flow enable-reroute-uniform-link-check nat設定変更をコミットすると、新しい設定が適用されます。

enable-reroute-uniform-link-check nat commandはデフォルトで無効になっています。

Limitations

set security flow enable-reroute-uniform-link-check nat コマンドを使用して NAT 設定を保持することには、以下の制限があります。

• TCP 同期では、新しいセッションでのトラフィックの転送は許可されません。新しいセッションでトラフィックを転送できるようにするには、TCP 同期を無効にする必要があります。

• 通信を初期化するために 3 ウェイ ハンドシェイクの後に再ルートが開始されると、パケット情報が失われる可能性があります。新しいセッションでトラフィックを転送できるようにするには、アプリケーション層ゲートウェイ(ALG)などのJunos OSサービスフレームワーク(JSF)を無効にする必要があります。