Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

インライン NAT

インラインネットワーク アドレス変換の概要

インライン NAT MPC ライン カードの機能を使用して、新しいサービス カードをNAT。このため、ラインレートで低遅延のアドレス変換を実行できます(スロット当たり最大 120 Gbps)。現在の実装では、以下が提供されています。

  • 1:1 スタティック アドレス マッピング

  • 双方向マッピング - アウトバウンド トラフィックNAT宛先マッピングの送信元NATトラフィックのソース マッピング。

  • フロー数に制限はありません。

  • 図 1 に示すように、送信元、宛先、NAT 2 回 サポート。インライン サポートNAT変換タイプをサポートします basic-nat44。リリース リリース Junos OSから、15.1R1 インライン インターフェイスもNAT サポートされています twice-basic-nat-44

  • ヘアピンをサポート。

図 1:サポートされるインライン NAT タイプ Supported Inline NAT Types

インライン インターフェイスを設定NAT、サービス インターフェイスをタイプ si- (サービスインライン)インターフェイスとして定義します。また、インライン インターフェイスに十分な帯域幅を確保する必要があります。これにより、仮想ネットワークに使用するインターフェイスとネクストホップ サービス セットの両方をNAT。インターフェイス si- は「仮想サービスPIC」として機能します。

メモ:
  • 静的サービス NATサポートされています。ポート変換、NAT ALGはサポートされていません。したがって、アプリケーションの転送に高度な処理が必要な SIP または FTP アクティブ モードNATは機能しません。ステートフル ファイアウォール処理、ALG サポート、動的ポート変換には、MS-MPC、MS-MIC、MS-DPC、MS-PIC が依然として必要です。

  • インライン NATパケットのサンプリングやロギングはサポートされていません。

インライン インターフェイスのNAT

  • サービスカードが不要

  • サービス カードNATより多くのデータ フローをサポート

例: インライン ネットワーク アドレス変換の設定 — インターフェイスベースの方法

この設定例は、インターフェイススタイルのサービスセットを使用して(サービスインライン)インターフェイスを使用してMX シリーズデバイスでインターフェイスベースのインライン ネットワーク アドレス変換(NAT si- )を設定する方法を示しています。

このトピックでは、以下について説明します。

要件

この例では、次のハードウェアとソフトウェアのコンポーネントを使用しています。

  • MX シリーズ ポート コンセントレータ(MPC)ライン カードを使用したルーターの拡張

  • Junos OS リリース 11.4R1以上

概要とトポロジー

また、Junos OS リリース 11.4R1、MPC ライン カードは、MS-MPC などの専用サービス カードを必要とせずに一部のサービスを実行できます。インライン サービスは一般に、サービス カードを使用するよりもパフォーマンスが向上しますが、機能の基本性は高くなります。たとえば、インライン アプリケーションはNAT静的ネットワークのみをサポートNAT。

この例では、MPC ライン MX シリーズを持つデバイスが、2 つのエンド ホスト間を流れるNATへのインライン ソース サービスを提供します。このシナリオのトポロジーを図 2 に示します。

図 2:MPC NATを使用MX シリーズインライン ソース の設定 Inline Source NAT Using an MX Series Device with an MPC

図に示すように、ホスト H1 はサーバー S1 にトラフィックを送信します。MX シリーズ デバイスは、NAT を実行して、H1 の送信元 IP アドレスを 10.1.1.2 から 192.0.2.2 に変換します。次に、サーバー S1 は宛先 IP アドレス 192.0.2.2 を使用して、ホスト H1 に戻るトラフィックを送信し、MX シリーズ デバイスは H1 の IP アドレスを 10.1.1.2 に戻します。

このシナリオでは、以下の構成要素が使用されます。

  • インライン サービス インターフェイス:MPC のインターフェイスのパケット転送エンジンインターフェイスです。サービスにアクセスするには、トラフィックが(サービスインライン)インターフェイスの si- 内と外に流れます。

  • サービス セット —実行するサービスを定義し、どのインライン インターフェイスがサービス セットに対してトラフィックに送り込むのか特定します。サービス セットを実装するには、次の 2 つの方法があります。

    • インターフェーススタイル:インターフェイスに到着したパケットをインライン サービスを介して転送する、インターフェイスベースの方法です。

    • ネクストホップスタイル:ルートベースの方法で、静的ルートを使用して、インラインサービスを介して特定の宛先宛てのパケットを転送します。

    この例では、インターフェイススタイルのサービス セットを使用しています。

  • NAT — if-then 構造(ファイアウォール フィルターと同様)を使用して照合条件を定義し、アドレス変換を一致するトラフィックに適用します。

  • NAT プール — 変換のルールによって使用されるユーザー定義NAT IP アドレス セット。

これらの要素は、図 3 に 示すようにまとめて表示されます。

図 3:インターフェイスベースのインライン ソース NAT Interface-Based Inline Source NAT

構成

インターフェイススタイルのNATを使用してインライン インターフェイスを設定するには、以下のタスクを実行します。

CLI迅速な設定

この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致する必要がある詳細情報を変更してから、 [edit] 階層レベルでコマンドを CLI にコピー アンド ペーストします。

インライン サービスを有効にし、インライン インターフェイスを作成する

手順
  1. 該当するFPCスロットとPICスロットに対してインラインサービスを有効にし、インラインサービスに当ては消費する帯域幅を指定します。

    FPCとPICの設定がインターフェイスを作成してマップ si- します

  2. インターフェイスで si- 、プロトコル サービスの追加が必要なプロトコル ファミリー(またはNATします。

    メモ:

    このFPCおよびPICの設定は、上記で定義された設定と一致している必要があります。

ルールNAT プールの設定

手順
  1. H1 のサブネット(10.1.1.0/24)から MX デバイスに到着するトラフィックと一致する NAT ルールを設定し、それを基本的な IPv4 NAT を使用して変換し、プールから IP p1アドレスを使用します。

  2. 仮想プールをNATします。

(インターフェイススタイル)サービス セットを設定する

手順
  1. インライン サービス()および上記で定義したインラインnat-rules インターフェイスNATサービス セットを設定します。パラメーターを interface-service 使用して、これがインターフェイススタイルのサービス セットとして指定します。

    トラフィックはインターフェイスの間を流れ、インライン si- トラフィック サービスNATします。

物理インターフェイスの設定

手順
  1. 物理インターフェイスを設定します。

  2. 「inside」インターフェイスで、上記で定義されたサービス セットを介してトラフィックが送信されるを指定します。

結果

検証

設定が正常に機能されていることを確認します。

ホスト H1 からサーバー S1 への到達可能性の検証

目的

H1 と S1 の間の到達可能性を検証します。

アクション

ホスト H1 で、ホストがサーバー S1 に ping を実行できると確認します。

意味

H1 は S1 に正常に到達できます。

アドレス変換の検証

目的

アドレス変換が正しく機能されていることを検証します。

アクション
  1. MXデバイスで、インライン ホストの設定NATが適切に適用されていることを確認します。

  2. サーバー S1 で、サーバーが H1 の NAT 変換ソース IP アドレス(192.0.2.2)から ping を受信しているか確認します。

    次のコマンドを実行し、H1 から ping を再送信します。

    メモ:

    この設定では、別の MX デバイスを使用してサーバー S1 を表し、インバウンド トラフィックの監視を有効にします。

意味

上記のステップ 1 では、サービス パラメーターとNATスタイルのサービス セットへのインライン ポリシーが正しく実装されていることを確認します。上記のステップ 2 では、サーバー S1 が変換された送信元 IP アドレスから H1 の ping をNAT受け取っているのが確認されます。

例: インライン ネットワーク アドレス変換の設定 — ルートベースの方法

この設定例は、ネクスト ホップ スタイルのサービス セットを持つ(サービス インライン)インターフェイスを使用して、MX シリーズ デバイスでルートベースのインライン ネットワーク アドレス変換(NAT si- )を設定する方法を示しています。

このトピックでは、以下について説明します。

要件

この例では、次のハードウェアとソフトウェアのコンポーネントを使用しています。

  • MX シリーズ ポート コンセントレータ(MPC)ライン カードを使用したルーターの拡張

  • Junos OS リリース 11.4R1以上

概要とトポロジー

また、Junos OS リリース 11.4R1、MPC ライン カードは、MS-MPC などの専用サービス カードを必要とせずに一部のサービスを実行できます。インライン サービスは一般に、サービス カードを使用するよりもパフォーマンスが向上しますが、機能の基本性は高くなります。たとえば、インライン アプリケーションはNAT静的ネットワークのみをサポートNAT。

この例では、MPC ライン MX シリーズを持つデバイスが、2 つのエンド ホスト間を流れるNATへのインライン ソース サービスを提供します。このシナリオのトポロジーを図 4 に示します。

図 4:MPC NATをMX シリーズするインライン ソース ソース Inline Source NAT Using an MX Series Device with an MPC

図に示すように、ホスト H1 はサーバー S1 にトラフィックを送信します。MX シリーズ デバイスは、NAT を実行して、H1 の送信元 IP アドレスを 10.1.1.2 から 192.0.2.2 に変換します。次に、サーバー S1 は宛先 IP アドレス 192.0.2.2 を使用して、ホスト H1 に戻るトラフィックを送信し、MX シリーズ デバイスは H1 の IP アドレスを 10.1.1.2 に戻します。

このシナリオでは、以下の構成要素が使用されます。

  • インライン サービス インターフェイス:MPC のインターフェイスのパケット転送エンジンインターフェイスです。サービスにアクセスするには、トラフィックが(サービスインライン)インターフェイスの si- 内と外に流れます。

  • サービス セット —実行するサービスを定義し、どのインライン インターフェイスがサービス セットに対してトラフィックに送り込むのか特定します。サービス セットを実装するには、次の 2 つの方法があります。

    • インターフェーススタイル:インターフェイスに到着したパケットをインライン サービスを介して転送する、インターフェイスベースの方法です。

    • ネクストホップスタイル:ルートベースの方法で、静的ルートを使用して、インラインサービスを介して特定の宛先宛てのパケットを転送します。

    この例では、next-hop スタイルのサービス セットを使用しています。

  • NAT — if-then 構造(ファイアウォール フィルターと同様)を使用して照合条件を定義し、アドレス変換を一致するトラフィックに適用します。

  • NAT プール — 変換のルールによって使用されるユーザー定義NAT IP アドレス セット。

  • ルーティング インスタンス —メイン(デフォルト)のルーティング インスタンスとは別個に実行されるルーティング テーブル、インターフェイス、ルーティング プロトコル パラメータの集め。

    ルートベースのインライン NATは、通常、ルーティング インスタンスを含むシナリオで使用されます。

これらの要素は、図 5 に 示すようにまとめて表示されます

図 5:ルートベースのインライン ソース NAT Route-Based Inline Source NAT

構成

ネクスト ホップ スタイルのNATを使用してインライン ホストを設定するには、以下のタスクを実行します。

CLI迅速な設定

この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致する必要がある詳細情報を変更してから、 [edit] 階層レベルでコマンドを CLI にコピー アンド ペーストします。

物理インターフェイスの設定

手順
  1. 物理インターフェイスを設定します。

インライン サービスを有効にし、インライン インターフェイスを作成する

手順
  1. 該当するFPCスロットとPICスロットに対してインラインサービスを有効にし、インラインサービスに当ては消費する帯域幅を指定します。

    FPCとPICの設定がインターフェイスを作成してマップ si- します

  2. インターフェイスで、 si- 2 つの論理ユニットを作成します。各ユニットについて、NATサービスが必要なプロトコル ファミリー(またはファミリー)と、サービス ドメインの「inside」または「outside」インターフェイスを指定します。

    メモ:

    このFPCおよびPICの設定は、上記で定義された設定と一致している必要があります。

ルーティング インスタンスを設定し、インライン ホスト サービスを介して送信するNAT識別する

手順
  1. 「NAT si- si- side」物理インターフェイスを含むルーティング インスタンスと、トラフィックを識別する静的ルートを設定して、インターフェイスを介してインライン NATサービスに転送します。

    シンプルにするために、ここで使用される静的ルートはサーバー S1 を識別します。

ルールNAT プールの設定

手順
  1. H1 のサブネット(10.1.1.0/24)から MX デバイスに到着するトラフィックと一致する NAT ルールを設定し、それを基本的な IPv4 NAT を使用して変換し、プールから IP p1アドレスを使用します。

  2. 仮想プールをNATします。

(ネクストホップ スタイル)サービス セットの設定

手順
  1. インライン サービス()および上記で定義したインライン インターフェイスNATnat-rulesサービス セットを設定します。パラメーターを next-hop-service 使用 si- して、これをネクストホップスタイルのサービス セットとして指定し、上記の設定に基づいてインターフェイスを「inside」および「outside」として割り当みます。

    トラフィックはインターフェイスの間を流れ si- 、インライン トラフィック トラフィック サービスNATします。

結果

検証

設定が正常に機能されていることを確認します。

ホスト H1 からサーバー S1 への到達可能性の検証

目的

H1 と S1 の間の到達可能性を検証します。

アクション

ホスト H1 で、ホストがサーバー S1 に ping を実行できると確認します。

意味

H1 は S1 に正常に到達できます。

アドレス変換の検証

目的

アドレス変換が正しく機能されていることを検証します。

アクション
  1. MXデバイスで、インライン ホストの設定NATが適切に適用されていることを確認します。

  2. サーバー S1 で、サーバーが H1 の NAT 変換ソース IP アドレス(192.0.2.2)から ping を受信しているか確認します。

    次のコマンドを実行し、H1 から ping を再送信します。

    メモ:

    この設定では、別の MX デバイスを使用してサーバー S1 を表し、インバウンド トラフィックの監視を有効にします。

意味

上記のステップ 1 では、サービス パラメーターとNATネクストホップ スタイルのサービス セットへのインライン ポリシーが正しく実装されていることを確認します。上記のステップ 2 では、サーバー S1 が変換された送信元 IP アドレスから H1 の ping をNAT受け取っているのが確認されます。

リリース履歴テーブル
リリース
説明
15.1R1
リリース Junos OSリリース15.1R1、インライン インターフェイスNAT-basic-nat-44 もサポート