ソースNAT

送信元 NAT は、ジュニパーネットワークス デバイスから送信されるパケットの送信元 IP アドレスの変換です。送信元NATは、プライベートIPアドレスを持つホストがパブリックネットワークにアクセスできるようにするために使用されます。

ソースNATでは、プライベートネットワークからインターネットなど、発信ネットワーク接続に対してのみ接続を開始できます。ソース NAT は、以下の変換を実行するために一般的に使用されます。

• 単一のIPアドレスを別のアドレスに変換する(例えば、プライベートネットワーク内の単一のデバイスにインターネットへのアクセスを提供する場合など)。

• 連続したアドレスのブロックを、同じサイズの別のアドレスのブロックに変換します。

• 連続したアドレスのブロックをより小さいサイズのアドレスの別のブロックに変換します。

• ポート変換を使用して、連続したアドレスのブロックを単一のIPアドレスまたはそれより小さなアドレスのブロックに変換します。

• アドレスの連続したブロックをエグレスインターフェイスのアドレスに変換します。

エグレスインターフェイスのアドレスへの変換には、アドレスプールは必要ありません。その他のすべての送信元 NAT 変換では、アドレス プールの設定が必要です。同じサイズのアドレスブロックの1対1および多対多変換では、変換されるすべてのアドレスに対してプールに使用可能なアドレスがあるため、ポート変換は必要ありません。

アドレスプールのサイズが変換されるアドレスの数よりも小さい場合は、変換できる同時アドレスの総数がアドレスプールのサイズによって制限されるか、ポート変換を使用する必要があります。例えば、253個のアドレスのブロックを10個のアドレスのアドレスプールに変換した場合、ポート変換を使用しない限り、最大10台のデバイスを同時に接続できます。

以下のタイプの送信元 NAT がサポートされています。

• 元の送信元 IP アドレスからエグレス インターフェイスの IP アドレスへの変換(インターフェイス NAT とも呼ばれます)。ポートアドレス変換は常に実行されます。

• ポートアドレス変換を行わずに、元の送信元IPアドレスをユーザー定義のアドレスプールからIPアドレスに変換します。元の送信元IPアドレスと変換された送信元IPアドレス間の関連付けは動的です。ただし、いったん関連付けが発生すると、同じNATルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスに同じ関連付けが使用されます。

• ポートアドレス変換を使用して、元の送信元IPアドレスをユーザー定義のアドレスプールからIPアドレスに変換します。元の送信元IPアドレスと変換された送信元IPアドレス間の関連付けは動的です。アソシエーションが存在する場合でも、同じNATルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスが別のアドレスに変換される場合があります。

• IPアドレスをシフトして、元の送信元IPアドレスをユーザー定義のアドレスプールからIPアドレスに変換します。このタイプの変換は、1対1の静的で、ポートアドレス変換は行いません。元の送信元IPアドレス範囲がユーザー定義プール内のIPアドレス範囲よりも大きい場合、未変換のパケットは破棄されます。

MXシリーズデバイスで、アグリゲートマルチサービス(AMS)インターフェイスで送信元NATを使用する場合。 service set コマンドは、各AMSインターフェイスに個別のエントリーを作成します。そのため、メモリ使用率が使い果たされ、追加のAMSインターフェイスを設定すると、設定コミットエラーが発生します。

• 中央ポイントアーキテクチャは、中央ポイントセッションをサポートしなくなりました。そのため、NATは、IPアドレスまたはポートの割り当てと使用状況を追跡するために、NATトラッカーを維持する必要があります。NATトラッカーは、NATリソースの管理に使用されるNAT IPまたはポートマッピングへのSPUセッションIDのグローバルNATアレイです。

• デフォルトでは、NATルールのアラームとトラップ統計情報のカウンター更新メッセージは、中央ポイントシステムの各セッショントリガーに基づいて統計情報を更新するのではなく、1秒間隔でサービス処理ユニット(SPU)から中央ポイントに送信されます。

• NAT後の5タプルハッシュがNAT前の元の5タプルハッシュと同じになるように、割り当てられた特定のNAT IPアドレスまたはポートをサポートするには、特定の計算で元のハッシュと同じハッシュになるNATポートを選択します。したがって、転送セッションが短縮されます。NATが使用されている場合、リバースウィングは別のSPUにハッシュされます。リバーストラフィックをセッションSPUに転送するには、フォワードセッションをインストールする必要があります。NATは、ハッシュアルゴリズムで使用できるポートを選択して、リバースウィングを最初のウィングと同じSPUにハッシュしようとします。そのため、このアプローチにより、NATパフォーマンスとスループットの両方が向上します。

• NAT パフォーマンスを向上させるために、IP シフティング プール(非 PAT プール)管理が中央ポイントから SPU に移行され、NAT 要求を中央ポイントに送信するのではなく、そのプールのすべてのローカル NAT リソースがローカルで管理されるように NAT されます。したがって、IPアドレスシフトの1秒あたりのNATプール接続数とスループットが向上します。

ポートオーバーフローバーストモードでは、割り当てられたポートブロックを超えてポートを使用できます。バースト用に予約するIPアドレス内のポート範囲を持つバーストプールを構成できます。

プライマリプールタイプとバーストプールタイプがあり、加入者がプライマリプールに設定された制限に達すると、デバイスはバーストプールを使用します。

Brustモードは、以下でサポートされています。

1. PBAタイプのバーストプールを持つ決定論的なNATソースNATプール。

2. 動的ネットワーク アドレス NAT変換(NAPT)タイプのバースト プールを備えた決定論的 NAT ソース NAT プール。

3. PBAタイプのバーストプールを持つ通常のPBAソースNATプール。

4. 動的NAPTタイプのバーストプールを持つ通常のPBAソースNATプール。

PBAバーストタイプ方式—PBAはAPPおよび非APPモードの操作をサポートします。

• APPモード—ポートはプライマリプールから割り当てられます。プライマリプールからの加入者制限を超えると、バーストプールから同じIPアドレスで使用可能なポートがあれば、新しいセッションが作成されます。

• 非APPモード—ポートはプライマリプールから割り当てられます。プライマリプールからの加入者制限を超えると、バーストプールから使用可能なIPアドレスとポートを使用して新しいセッションが作成されます。

DetNATバーストタイプ方式—ポートはプライマリプールから割り当てられます。バーストプールの同じIPアドレスがある場合、または同じIPアドレスから使用可能なすべてのポートがない場合、別のIPアドレスで新しいセッションが作成されます。バーストプールがプライマリプールとは異なるIPで設定されている場合は、バーストプールの別のIPを使用します。

• ポートランダム化モード(デフォルト)
• ラウンドロビンモード
• セッションアフィニティモード

• 目的
• アクション

この例では、エグレスインターフェイスのパブリックアドレスに対するプライベートアドレスのソースNATマッピングを設定する方法を説明します。

この例では、単一のプライベートアドレスとパブリックアドレスの送信元NATマッピングを設定する方法を説明します。

この例では、送信元と宛先の両方の NAT マッピングを設定する方法を説明します。

送信元 NAT ルールは、2 つのレイヤーの一致条件を指定します。

• トラフィック方向— from interface、 from zone、または from routing-instance と to interface、 to zone、または to routing-instanceの組み合わせを指定できます。異なるルールセットに同じ from コンテキストと to コンテキストを設定することはできません。

• パケット情報—送信元と宛先のIPアドレスまたはサブネット、送信元ポート番号またはポート範囲、宛先ポート番号またはポート範囲、プロトコル、またはアプリケーションです。

FTPを除くすべてのALGトラフィックに対して、 source-port ルールオプションを使用しないことをお勧めします。このオプションを使用すると、IPアドレスと送信元ポート値(ランダムな値)がルールに一致しない可能性があるため、データセッションの作成に失敗することがあります。

また、ALGトラフィックのマッチング条件として destination-port オプションや application オプションを使用しないことを推奨します。これらのオプションを使用すると、アプリケーションペイロードのポート値がIPアドレスのポート値と一致しない可能性があるため、変換に失敗することがあります。

複数の送信元NATルールが一致条件で重複する場合、最も具体的なルールが選択されます。例えば、ルールAとBが同じ送信元と宛先のIPアドレスを指定しているが、ルールAがゾーン1からゾーン2へのトラフィックを指定し、ルールBがゾーン1からインターフェイスge-0/0/0へのトラフィックを指定する場合、ルールBを使用して送信元NATを実行します。インターフェイスの一致は、ルーティングインスタンスの一致よりも具体的なゾーン一致よりも具体的であると見なされます。

ソースNATルールに指定できるアクションは次のとおりです。

• オフ—送信元NATを実行しません。

• プール—指定されたユーザー定義のアドレスプールを使用して、送信元NATを実行します。

• インターフェイス—エグレスインターフェイスのIPアドレスを使用して、送信元NATを実行します。

送信元NATルールは、フローまたはALGの高速パスで処理された最初のパケットのトラフィックに適用されます。送信元NATルールは、静的NATルール、宛先NATルール、静的NATルールのリバースマッピングの後、ルートとセキュリティポリシーの検索後に処理されます。

ゾーンがルールセットで設定されておらず、アクティブな送信元NATが必須ステートメント「from」が欠落して設定されている場合、コミット実行時に「 必須ステートメントがありません:'from'エラー:設定チェックアウトに失敗しました」 というメッセージが表示され、設定のチェックアウトに失敗します。

この例では、複数のルールを使用して送信元 NAT マッピングを設定する方法を説明します。

NATプールは、変換に使用されるユーザー定義のIPアドレスのセットです。一方向への宛先IPアドレス変換と逆方向への送信元IPアドレス変換を含む1対1のマッピングがある静的なNATとは異なり、送信元NATでは元の送信元IPアドレスをアドレスプール内のIPアドレスに変換します。

送信元ネットワークアドレス変換(NAT)アドレスプールの場合、以下を指定します。

• 送信元NATアドレスプールの名前。

• 最大64のアドレス範囲。

  1つのルーティングインスタンス内で、送信元NAT、宛先NAT、静的NATのNATアドレスを重複させないでください。

• ルーティングインスタンス—プールが属するルーティングインスタンス(デフォルトはメインの inet.0 ルーティングインスタンス)。

• ポート—送信元プールのポートアドレス変換(PAT)。デフォルトでは、PAT は送信元 NAT で実行されます。変換 なし オプションを指定した場合、送信元NATプールがサポートできるホストの数は、プール内のアドレス数に制限されます。 block-allocationを指定すると、個々のポートが割り当てられるのではなく、ポートのブロックが変換用に割り当てられます。 deterministicを指定した場合、受信(送信元)IPアドレスとポートは、事前に定義された決定論的なNATアルゴリズムに基づいて、常に特定の宛先アドレスとポートブロックにマッピングされます。 port-overloadingを指定した場合、送信元NATでポートの過負荷容量を設定できます。 rangeを指定した場合、プール内の各アドレスに接続されたポート番号範囲と、送信元NATプールのツインポート範囲を指定できます。

• オーバーフロープール(オプション)—指定された送信元NATプールに使用可能なアドレスがない場合、パケットは破棄されます。 port no-translation オプションが設定されている場合にそれが起こらないようにするには、オーバーフロープールを指定できます。元の送信元 NAT プールのアドレスが枯渇すると、IP アドレスとポート番号がオーバーフロー プールから割り当てられます。オーバーフロープールとして、ユーザー定義の送信元NATプールまたはegressインターフェイスを使用できます。(オーバーフロープールが使用されている場合は、プールIDがアドレスとともに返されます。)

• IPアドレスシフト(オプション)—IPアドレスをシフトすることで、元の送信元IPアドレスの範囲を別のIPアドレス範囲、または単一のIPアドレスにマッピングできます。元の送信元IPアドレス範囲のベースアドレスで host-address-base オプションを指定します。

• アドレス共有(オプション)—複数の内部IPアドレスを同じ外部IPアドレスにマッピングできます。このオプションは、送信元 NAT プールがポート変換なしで設定されている場合にのみ使用できます。ソースNATプールに使用可能な外部IPアドレスがほとんどない場合、または外部IPアドレスが1つしかない場合に、 address-shared オプションを指定します。多対1マッピングでは、このオプションを使用することで、NATリソースが増加し、トラフィックが改善されます。

• アドレスプーリング(オプション)— アドレスプーリングはペア付きまたはペアなしとして設定できます。セッション期間中、1つの内部IPアドレスに関連するすべてのセッションを同じ外部IPアドレスにマッピングする必要があるアプリケーションについては、 address-pooling paired を指定します。これは、毎回同じ内部アドレスを同じ外部アドレスに変換する persistent-address オプションとは異なります。ラウンドロビンでIPアドレスを割り当てることができるアプリケーションの address-pooling no-paired を指定します。PAT を使用する送信元NATプールに address-pooling paired または address-pooling no-paired のいずれかが設定されている場合、永続アドレス オプションは無効になります。 address-shared がPATのない送信元NATプールに設定されている場合、 persistent-address オプションが有効になります。 address-shared と address-pooling paired の両方を、PAT なしで同じ送信元NATプールに設定できます。

• プール使用率アラーム(オプション)— ソース NAT に raise-threshold オプションが設定されている場合、送信元 NAT プール使用率がこのしきい値を超えると、SNMP NAT トラップがトリガーされます。オプションの clear-threshold オプションが設定されている場合、送信元 NAT プールの使用率がこのしきい値を下回ると、SNMP トラップがトリガーされます。 clear-threshold が設定されていない場合、デフォルトでは raise-threshold 値の80%に設定されます。

show security nat resource usage source pool コマンドを使用すると、PAT なしのソース NAT プールでのアドレス使用状況を表示したり、PAT ありの送信元NATプールでのポート使用状況を表示したりできます。

構成内のプール数を増やすか、プールあたりの容量またはIPアドレスを増やすことにより、送信元NATに使用されるIPアドレスの総数を増やすと、ポート割り当てに必要なメモリが消費されます。送信元NATプールとIPアドレスの制限に達した場合は、ポート範囲を再割り当てする必要があります。つまり、IPアドレスと送信元NATプールの数が増えると、各IPアドレスのポート数を減らす必要があります。これにより、NATがメモリを過剰に消費することがなくなります。

詳細については、「 補足プラットフォーム情報 」セクションを参照してください。

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。追加のプラットフォームがサポートされる場合があります。

[edit security nat source pool port]階層レベルでrangeおよびrange twin-portオプションを使用して、特定のプールに新しいポート範囲またはツインポート範囲を割り当てます。[edit security nat source]階層レベルでpool-default-port-rangeオプションとpool-default-twin-port-rangeオプションを使用して、すべての送信元NATプールのグローバルデフォルトポート範囲またはツインポート範囲を指定します。

送信元NATプールが増える場合、ポートオーバーロードの設定も慎重にNAT行う必要があります。

PATが範囲(63,488〜65,535)内のソースプールの場合、SIP、H.323、RTSPなどのRTP/RTCPアプリケーション用に一度に2つのポートが割り当てられます。これらのシナリオでは、各IPアドレスはPATをサポートしており、ALGモジュール用に2048ポート(63,488〜65,535)を占めます。

デフォルトでは、ポートアドレス変換は送信元NATで実行されます。ただし、同じホストから発信された異なるトラフィックに対して、元の送信元アドレスを同じIPアドレスに変換できない場合があります。送信元NAT address-persistent オプションを選択すると、複数の同時セッションに対して同じIPアドレスがソースNATプールから特定のホストに割り当てられます。

このオプションは、アドレスプーリングペアオプションとは異なり、内部アドレスは先着順でプール内の外部アドレスにマップされ、セッションごとに異なる外部アドレスにマップされる場合があります。

この例では、デフォルトのポート範囲が設定されていない場合、または上書きしたい場合に、ポートアドレス変換(PAT)を使用して送信元NATプールの容量を設定する方法を説明します。変換はIPアドレスごとに設定されます。送信元プールが増えたときに、現在のポート番号が制限を超える場合は、ポートを再割り当てする必要があります。

ホストが NAT を必要とするポリシーに一致する複数のセッションを開始し、ポートアドレス変換が有効になっている送信元プールから IP アドレスが割り当てられた場合、セッションごとに異なる送信元 IP アドレスが使用されます。

一部のアプリケーションでは、セッションごとに同じ送信元IPアドレスを必要とするため、 address-pooling paired 機能を使用して、1つの内部IPアドレスに関連付けられたすべてのセッションを、セッション期間中同じ外部IPアドレスにマッピングできるようにすることができます。セッションが終了すると、内部IPアドレスと外部IPアドレス間のマッピングは停止されます。次回ホストがセッションを開始したときに、プールとは異なるIPアドレスが割り当てられる場合があります。

これは、マッピングを静的に維持するソースNATaddress-persistent機能とは異なり、同じ内部IPアドレスが毎回同じ外部IPアドレスにマッピングされます。また、address-pooling pairedが特定のプールに対して設定されているという点でも、address-persistent機能とは異なります。address-persistent機能は、すべての送信元プールに適用されるグローバル設定です。

送信元NATルールセットの一致条件では、アドレス範囲を指定することはできません。ルールで指定できるのはアドレスプレフィックスのみです。送信元NATプールを設定する場合、 host-base-address オプションを指定できます。このオプションは、元の送信元IPアドレス範囲が始まるIPアドレスを指定します。

変換される元の送信元IPアドレスの範囲は、送信元NATプール内のアドレスの数によって決まります。例えば、送信元NATプールに10個のIPアドレスが含まれている場合、指定されたベースアドレスから始まる最大10個の元の送信元IPアドレスを変換できます。このタイプの変換は、1対1の静的で、ポートアドレス変換は行いません。

送信元 NAT ルールの一致条件は、送信元 NAT プールで指定されたアドレス範囲よりも広いアドレス範囲を定義することができます NAT。例えば、一致条件で 256 個のアドレスを含むアドレス プレフィックスを指定する場合がありますが、送信元 NAT プールには、数個の IP アドレスのみ、または 1 つの IP アドレスのみの範囲が含まれている場合があります。パケットの送信元IPアドレスは送信元NATルールに一致できますが、送信元IPアドレスが送信元NATプールで指定されたアドレス範囲内にない場合、送信元NATアドレスは変換されません。

この例では、オプションのアドレスシフトを使用して、プライベートアドレス範囲の送信元NATパブリックアドレスへのマッピングを設定する方法を説明します。このマッピングは、元の送信元IPアドレスと変換されたIPアドレス間の1対1です。

送信元NATルールセットの一致条件では、アドレス範囲を指定することはできません。ルールで指定できるのはアドレスプレフィックスのみです。送信元NATプールを設定する場合、 host-base-address オプションを指定できます。このオプションは、元の送信元IPアドレス範囲が開始されるIPアドレスを指定し、ポート変換を無効にします。

変換される元の送信元IPアドレスの範囲は、送信元NATプール内のアドレスの数によって決まります。例えば、送信元NATプールに10個のIPアドレスが含まれている場合、指定されたベースアドレスから始まる最大10個の元の送信元IPアドレスを変換できます。

送信元 NAT ルールの一致条件は、送信元 NAT プールで指定されたアドレス範囲よりも広いアドレス範囲を定義することができます NAT。例えば、一致条件で256個のアドレスを含むアドレスプレフィックスを指定することができますが、送信元NATプールには10個のIPアドレスしか含まれていません。パケットの送信元IPアドレスは送信元NATルールに一致できますが、送信元IPアドレスが送信元NATプールで指定されたアドレス範囲内にない場合、送信元NATアドレスは変換されません。

Junos OSは、ポートアドレス変換(PAT)を備えたソースプールを使用して、パケットの送信元IPアドレスとポート番号の両方を変換します。PATを使用すると、複数のホストが同じIPアドレスを共有できます。

Junos OS は、どのセッションがどのホストに属しているかを区別するために、割り当てられたポート番号のリストを保持します。PATを有効にすると、最大63,488台のホストが1つのIPアドレスを共有できます。各送信元プールには、複数のIPアドレス、複数のIPアドレス範囲、またはその両方を含めることができます。PATを使用するソースプールの場合、ソースプールまたはJunos OSで永続アドレス機能またはペア対応アドレスプーリング機能が有効になっていない限り、Junos OSは異なる同時セッションに対して単一のホストに異なるアドレスを割り当てることができます。

インターフェイス送信元プールとPAT付きソースプールでは、IPアドレスごとのポート番号マッピングに範囲(1024、65535)を使用できます。範囲(1024、63487)内では、一度に1つのポートが割り当てられ、合計62,464ポートが割り当てられます。範囲(63488、65535)では、SIP、H.323、RTSPなどのRTP/RTCPアプリケーション用に一度に2つのポートが割り当てられ、合計2,048ポートとなります。

ホストが、ネットワークアドレス変換を必要とするポリシーに一致する複数のセッションを開始し、PATが有効な送信元プールからアドレスが割り当てられた場合、デバイスはセッションごとに異なる送信元IPアドレスを割り当てます。このようなランダムなアドレス割り当ては、セッションごとに同じ送信元 IP アドレスを必要とする複数のセッションを作成するサービスでは問題となる可能性があります。たとえば、AOL インスタント メッセージ(AIM)クライアントを使用する場合は、複数のセッションで同じ IP アドレスを使用することが重要です。

ルーターが複数の同時セッションに対してソースプールからホストに同じIPアドレスを割り当てるようにするために、ルーターごとに永続的なIPアドレスを有効にします。デバイスが 1 つのセッションの間、送信元プールからホストに同じ IP アドレスを割り当てるようにするには、ペア アドレス プーリングを有効にします。

この例では、ポートアドレス変換を使用して、プライベートアドレスブロックのソースNATマッピングをより小さいパブリックアドレスブロックに設定する方法を説明します。

ソースプールを定義すると、Junos OSはデフォルトでPATを有効にします。PAT を無効にするには、ソース プールを定義するときにポート変換を指定しなければなりません。

PAT のない送信元プールを使用する場合、Junos OS は送信元ポート番号に対して PAT を実行せずに、IP アドレスの送信元ネットワークアドレス変換を実行します。特定の送信元ポート番号を固定する必要があるアプリケーションでは、PAT なしのソース プールを使用する必要があります。

送信元プールには、複数のIPアドレス、複数のIPアドレス範囲、またはその両方を含めることができます。PAT のない送信元プールの場合、アドレス プーリングのペアなしオプションが有効になっていない限り、Junos OS はすべての同時セッションに対して 1 つの変換された送信元アドレスを同じホストに割り当てます。

PATなしの送信元NATプールがサポートできるホストの数は、プール内のアドレス数に制限されます。単一のIPアドレスを持つプールがある場合、1つのホストしかサポートできず、利用可能なリソースがないため、他のホストからのトラフィックはブロックされます。リソース割り当てがシャーシクラスターでアクティブバックアップモードでないときにNAT PATなしのソースNATプールに単一のIPアドレスが設定されている場合、ノード1を通過するトラフィックはブロックされます。

PATなしの各送信元プールのプール使用率が計算されます。アラームしきい値を設定することで、プール使用率アラームをオンにできます。SNMPトラップは、プール使用率がしきい値を超えてしきい値を下回るたびにトリガーされます。

静的なNATルールが1対1のIP変換用である場合、アドレス共有なしの送信元NO-PATプールが使用されている場合、ルールを宛先ルールと送信元ルールに分割することは避けてください。ルールを分割することを選択した場合は、単一IPでソースpat-poolを使用するか、複数のIPでソースno-patプールを使用する必要があります。

この例では、ポートアドレス変換を使用せずに、送信元NATプール内の単一のパブリックアドレスにプライベートアドレスブロックを設定する方法を説明します。

PATは、送信元NATプールに対してデフォルトで有効になっています。PATが無効になっている場合、送信元NATプールが同時にサポートできる変換数は、プール内のアドレス数に制限されます。送信元NATプールに使用可能なアドレスがない場合、パケットは破棄されます。ただし、 address-shared オプションを使用すると、トラフィックが異なる送信元ポートからのものである限り、複数のプライベートIPアドレスを1つのパブリックIPアドレスにマッピングできます。

この例では、ポートアドレス変換を行わずに、プライベートアドレスブロックのより小さいパブリックアドレスブロックへのソースNATマッピングを設定する方法を説明します。

ポートアドレス変換は、送信元NATプールに対してデフォルトで有効になっています。ポートアドレス変換が無効になっている場合、送信元NATプールが同時にサポートできる変換数は、プール内のアドレス数に制限されます。送信元NATプールに使用可能なアドレスがない場合、パケットは破棄されます。オプションで、元の送信元NATプールに使用可能なアドレスがない場合に、IPアドレスとポート番号が割り当てられるNATプールを指定できます。

ポートアドレス変換なしの送信元NATプールは、1つの送信元IPアドレスから1つの外部IPアドレスへの静的な1対1マッピングを実行します。外部IPアドレスが1つしかない場合、または送信元のno-patプールで使用可能なものが非常に少ない場合、 address-shared オプションを使用すると、トラフィックが異なる送信元ポートから来る限り、多くの送信元IPアドレスを1つの外部IPアドレスにマッピングできます。

例えば、ポート変換なしの送信元NATプールがあり、IP 1とIP 2の2つのIPアドレスのみを含む場合、パケットが

1. 送信元 IP 1、ポート 1、IP 1、IP 1 に変換されます。

2. 送信元 IP 2、ポート 2、IP 2、ポート 2 に変換されます。

3. 送信元 IP 3、ポート 1、IP 2、ポート 1 に変換されます。(IP 1ポート1はすでに使用されているため、そのポートに変換することはできません。

   ただし、別のパケットが送信元IP 3のポート1から異なる宛先IPとポートに到着した場合、ポート1は両方の使用可能なIPアドレスですでに使用されているため、IP 1、ポート1、またはIP 2、ポート1に変換することはできません。セッションは失敗します。

このオプションは、NATリソースを増加させ、正常に変換されたトラフィックを設定する可能性を高めます。アドレス共有はすでにデフォルトの動作になっているため、ポートアドレス変換のある送信元NATプールでは使用できません。

ネットワークアドレス変換(NAT)セッションの永続化は、NATの設定に変更があった場合に、既存のセッションをクリアする代わりに保持する手段を提供します。セッションの永続化が有効になっている場合、影響を受けたセッションの再構築に時間とリソースが最適に使用されるため、保持されたセッションはパケットの処理と転送を続行します。そのため、一部またはすべてのセッションでNAT設定が変更されてもパケット転送が停止することはありません。

Junos OSリリース18.3R1以降では、NATセッションの持続性がサポートされているため、パケット転送エンジンがセッションをスキャンし、セッションを保持するかクリアするかを決定します。Junos OSリリース18.3R1より以前のリリースでは、NAT設定に変更がある場合、NATセッションはクリアされます。

パケット転送エンジンは、以下の2種類のスキャンを実行して、セッションを保持するかドロップするかを決定します。

• Source NAT pool session persistence scan—パケット転送エンジンは、既存のセッションIPアドレスと送信元プールアドレス範囲を比較します。既存のセッションIPアドレスが指定された送信元プールアドレス範囲内にある場合、セッションは維持され、そうでない場合、セッションはクリアされます。

• Source NAT rule session persistence scan—パケット転送エンジンは、ルールIDを使用して、古い設定と新しい設定の間で送信元IPアドレス、送信元ポート、宛先IPアドレス、宛先ポートを比較します。新しい設定と古い設定が同じ場合、セッションは維持され、それ以外の場合はセッションがクリアされます。

NATセッションの持続性は、静的なNATと宛先NATではサポートされていません。

NAT セッションの永続化は、PAT プールがアドレス永続的、アドレス プーリング ペア、送信元アドレス永続化、ポート ブロック割り当て、ポート決定論的、永続的 NAT、およびポート過負荷係数フィールドで設定されている場合、サポートされません。

NAT セッションの持続性は、以下のシナリオのソース NAT に対してのみサポートされます。

• 送信元プール—ポートアドレス変換(PAT)プール内のアドレス範囲の変更。

• 送信元ルール—アドレス帳、アプリケーション、宛先IPアドレス、宛先ポート、送信元IPアドレス、宛先ポート情報の一致条件の変更

NATセッション持続性スキャンを有効にするには、[edit security nat source]階層レベルでsession-persistence-scanステートメントを含めます。

また、 set security nat source session-drop-hold-down CLIコマンドを使用して、指定した時間セッションを保持するタイムアウト値を設定することもできます。 session-drop-hold-down オプションの値は、30秒から28,800秒(8時間)の範囲です。セッションは、設定されたタイムアウト期間が経過すると期限切れになります。

ネットワークアドレス変換(NAT)の設定は、より多くのユーザーに対応するためや、トラフィックを転送するための最短ルートを強化するために頻繁に変更されます。トラフィックの再ルーティングによりエグレスインターフェイスに変更が発生した場合、 set security flow enable-reroute-uniform-link-check nat コマンドを使用して、既存のNAT設定とルールを保持できます。

enable-reroute-uniform-link-check natコマンドが有効になっている場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致したNATルールに変更がない場合、または再ルーティングの前後にルールが適用されていない場合、セッションは既存のNATルールで保持されます。

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにあり、一致するNATルールが変更された場合、セッションは期限切れになります。

enable-reroute-uniform-link-check natコマンドが無効になっている場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンにある場合、トラフィックは新しいエグレスインターフェイスに転送されます。

Configuration

再ルーティングによりエグレスインターフェイスが変更された場合に、既存のセッションのNAT設定を有効にするには、次のコマンドを使用します。

[edit] user@host# set security flow enable-reroute-uniform-link-check nat新しい設定は、設定変更をコミットすると適用されます。

この enable-reroute-uniform-link-check nat command はデフォルトでは無効になっています。

Limitations

set security flow enable-reroute-uniform-link-check natコマンドを使用してNAT設定を保持する場合、以下の制限があります。

• TCP同期では、新しいセッションがトラフィックを転送することはできません。新しいセッションでトラフィックの転送を許可するには、TCP同期を無効にする必要があります。

• 通信を初期化するためのスリーウェイハンドシェイク後に再ルートが開始されると、パケット情報が失われる可能性があります。新しいセッションでトラフィックの転送を許可するには、アプリケーション層ゲートウェイ(ALG)などのJunos OSサービスフレームワーク(JSF)を無効にする必要があります。

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。追加のプラットフォームがサポートされる場合があります。