Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

インライン NAT

インラインネットワークアドレス変換の概要

インライン NAT は MPC ライン カードの機能を使用するため、NAT 用のサービス カードは必要ありません。その結果、ラインレートで低遅延のアドレス変換(スロットあたり最大120Gbps)を実現できます。現在の実装では、以下が提供されます。

  • 1:1の静的アドレスマッピング。

  • 双方向マッピング - アウトバウンドトラフィックのソース NAT と、インバウンドトラフィックの宛先 NAT。

  • フロー数に制限はありません。

  • 送信元、宛先、および 2 回 NAT のサポート( 図 1 を参照)。インラインNATは、変換タイプ basic-nat44をサポートしています。Junos OSリリース15.1R1以降、インラインNATも twice-basic-nat-44をサポートします。

  • ヘアピンのサポート。

図1:サポートされているインラインNATタイプ Illustration of Network Address Translation processes: Source NAT changes source IP to 20.1.1.2, Destination NAT changes destination IP to 192.168.1.2, and Twice NAT changes both source and destination IPs to 20.1.1.3 and 100.1.1.8 respectively.

インラインNATを設定するには、サービスインターフェイスをタイプ si- (サービスインライン)インターフェイスとして定義します。また、インラインインターフェイス用に十分な帯域幅を確保する必要があります。これにより、NAT に使用するインターフェイスまたはネクストホップ サービス セットの両方を設定できます。 si- インターフェイスは、「仮想サービスPIC」として機能します。

注:

  • 静的NATのみサポートされます。ポート変換、ダイナミック NAT、ALG はサポートされていません。そのため、NAT の高度な処理を必要とする SIP や FTP アクティブ モードなどのアプリケーションは機能しません。ステートフルファイアウォール処理、ALGサポート、およびダイナミックポート変換には、MS-MPC、MS-MIC、MS-DPC、またはMS-PICが引き続き必要です。

  • インライン NAT は、パケットのサンプリングやロギングをサポートしていません。

インラインNATのメリット

  • サービスカードが不要

  • サービスカードよりも多くのNATフローをサポート

関連項目

例:インラインネットワークアドレス変換の設定 - インターフェイスベースの方式

この設定例では、インターフェイススタイルのサービスセットを備えた si- (サービスインライン)インターフェイスを使用して、MXシリーズデバイス上でインターフェイスベースのインラインネットワークアドレス変換(NAT)を設定する方法を示しています。

このトピックでは、以下の内容を取り上げます。

要件

この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。

  • モジュラーポートコンセントレータ(MPC)ラインカードを搭載したMXシリーズルーター

  • Junos OSリリース11.4R1以降

概要とトポロジー

Junos OSリリース11.4R1以降、MPCラインカードは、MS-MPCなどの専用サービスカードを必要とせずに一部のサービスを実行できます。インライン サービスは一般に、サービス カードを使用するよりも優れたパフォーマンスを提供しますが、その機能はより基本的なものになる傾向があります。例えば、インラインNATは静的NATのみをサポートします。

この例では、MPCラインカードを搭載したMXシリーズデバイスが、2つのエンドホスト間を流れるトラフィックにインラインソースNATサービスを提供します。このシナリオのトポロジーを図 2 に示します

図2:MPCNetwork communication process with NAT: A client with IP 10.1.1.2 sends a request to a server with IP 192.168.1.2. An MX device translates the client's IP to 192.0.2.2 for external communication and modifies the response IP back to 10.1.1.2.を備えたMXシリーズデバイスを使用したインラインソースNAT

図に示すように、ホストH1はサーバーS1にトラフィックを送信します。MXシリーズデバイスは、ソースNATを実行して、H1の送信元IPアドレスを10.1.1.2から192.0.2.2に変換します。その後、サーバーS1は宛先IPアドレス192.0.2.2を使用してホストH1にリターントラフィックを送信し、MXシリーズデバイスはH1のIPアドレスを10.1.1.2に戻します。

このシナリオでは、以下の設定要素が使用されます。

  • インライン サービス インターフェイス - MPC のパケット転送エンジン上に存在する仮想インターフェイス。サービスにアクセスするために、トラフィックはこれらの si- (サービスインライン)インターフェイスに出入りします。

  • サービスセット—実行するサービスを定義し、どのインラインインターフェイスがサービスセットとの間でトラフィックを送り込むかを特定します。サービスセットを実装するには、2つの方法があります。

    • インターフェイススタイル—インターフェイスに到着したパケットがインラインサービスを介して転送される、インターフェイスベースの方式。

    • ネクストホップスタイル—ルートベースの方式で、静的ルートを使用して、特定の宛先宛てのパケットをインラインサービスを介して転送します。

    この例では、インターフェイススタイルのサービスセットを使用しています。

  • NATルール—if-then構造(ファイアウォールフィルターと同様)を使用して一致条件を定義し、一致するトラフィックにアドレス変換を適用します。

  • NATプール—変換のためにNATルールによって使用されるIPアドレスのユーザー定義NATセット。

これらの要素は、図3に示すようにまとめられています

図3:インラインソースNAT Diagram of MX Series Device with two MPCs; MPC 0 handles NAT for Src 10.1.1.0/24 to 192.0.2.0/24 via si-0/0/0.0; traffic flows from xe-0/0/0 to xe-1/0/0.

インラインネットワークアドレス変換の設定

インターフェイススタイルのサービスセットを使用してインラインNATを設定するには、以下のタスクを実行します。

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストします。

インラインサービスを有効にし、インラインインターフェイスを作成する

ステップバイステップの手順

  1. 関連するFPCスロットとPICスロットのインラインサービスを有効にし、インラインサービス専用の帯域幅の量を定義します。

    ここでのFPCとPIC設定は、 si- インターフェイスを作成し、マッピングします。

  2. si-インターフェイスで、NATサービスを必要とするプロトコルファミリーを指定します。

    注:

    ここでのFPCとPICの設定は、上記で定義した設定と一致する必要があります。

NATルールとプールの設定

ステップバイステップの手順

  1. H1のサブネット(10.1.1.0/24)からMXデバイスに到着するトラフィックに一致し、基本的なIPv4 NATを使用して変換し、プール p1のIPアドレスを使用するNATルールを設定します。

  2. NATプールを設定します。

(インターフェイススタイルの)サービスセットを設定します

ステップバイステップの手順

  1. インラインNATサービス(nat-rules)と上記で定義したインラインインターフェイスを使用するサービスセットを設定します。 interface-service パラメーターを使用して、これがインターフェイス スタイルのサービス セットであることを指定します。

    トラフィックは、インラインNATサービスにアクセスするために、 si- インターフェイスに出入りします。

物理インターフェイスの設定

ステップバイステップの手順

  1. 物理インターフェイスを設定します。

  2. 「inside」インターフェイスで、トラフィックが上記で定義されたサービスセットを介して送信されることを指定します。

結果

検証

設定が正常に機能していることを確認します。

ホストH1からサーバーS1への到達可能性の検証

目的

H1とS1の間の到達可能性を検証します。

アクション

ホストH1で、ホストがサーバーS1にpingを実行していることを確認します。

意味

H1は正常にS1に到達できます。

アドレス変換の検証

目的

アドレス変換が正しく機能していることを確認します。

アクション

  1. MXデバイスで、インラインNAT設定の詳細が正しく適用されていることを確認します。

  2. サーバーS1で、サーバーがH1のNAT変換された送信元IPアドレス(192.0.2.2)からpingを受信していることを確認します。

    以下のコマンドを発行し、H1から再度pingを送信します。

    注:

    この設定では、別のMXデバイスを使用してサーバーS1を表し、インバウンドトラフィックの監視を可能にします。
意味

上記のステップ1では、インラインNATサービスパラメーターとインターフェイススタイルサービスセットが正しく実装されていることを確認します。上記のステップ2では、サーバーS1がNAT変換された送信元IPアドレスからH1のpingを正しく受信していることを確認します。

Twice NATの設定

図4:2倍NAT構成 Twice NAT process showing IP translation: Client's IP 10.1.1.3 to 20.1.3, and destination IP 120.1.1.1 to 100.1.1.8, with reverse translation for server response.

インターフェイススタイルのサービスセットを使用してTwice NATを設定するには、以下のタスクを実行します。

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストします。

(インターフェイススタイルの)サービスセットを設定します

  1. Twice NATサービス(nat-rules)を使用するサービスセットを設定します。a interface-service パラメーターを使用して、これがインターフェイススタイルのサービスセットであることを指定します。

物理インターフェイスの設定

ステップバイステップの手順

  1. 物理インターフェイスを設定します。

  2. インターフェイスで、トラフィックが上記で定義されたサービスセットを介して送信されることを指定します。

  3. ファイアウォールフィルターオプションを設定して、トラフィックを si インターフェイスに誘導します。

宛先 NAT の設定

図5:宛先NAT構成 Destination NAT process; client request from IP 100.2.1.1 to 21.1.1.2, NAT MX changes to 192.168.1.2; server response reversed.

インターフェイススタイルのサービスセットを使用して宛先NATを設定するには、以下のタスクを実行します。

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストします。

インラインサービスを有効にする

  1. 関連するFPCスロットとPICスロットのインラインサービスを有効にします。

    ここでのFPCとPIC設定は、 si- インターフェイスを作成し、マッピングします。

(インターフェイススタイルの)サービスセットを設定します

  1. 宛先NATサービス(nat-rules)を使用するサービスセットを設定します。a interface-service パラメーターを使用して、これがインターフェイススタイルのサービスセットであることを指定します。

物理インターフェイスの設定

  1. 物理インターフェイスを設定します。

  2. インターフェイス上で、トラフィックが以前に定義したサービスセットを介して送信されることを指定します。

  3. ファイアウォールフィルターオプションを設定して、トラフィックを si インターフェイスに誘導します。

  4. スタティックルーティングオプションを設定します。

関連項目

例:インラインネットワークアドレス変換の設定 - ルートベース方式

この設定例では、ネクストホップスタイルのサービスセットを備えた si- (サービスインライン)インターフェイスを使用して、MXシリーズデバイス上でルートベースのインラインネットワークアドレス変換(NAT)を設定する方法を示しています。

このトピックでは、以下の内容を取り上げます。

要件

この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。

  • モジュラーポートコンセントレータ(MPC)ラインカードを搭載したMXシリーズルーター

  • Junos OSリリース11.4R1以降

概要とトポロジー

Junos OSリリース11.4R1以降、MPCラインカードは、MS-MPCなどの専用サービスカードを必要とせずに一部のサービスを実行できます。インライン サービスは一般に、サービス カードを使用するよりも優れたパフォーマンスを提供しますが、その機能はより基本的なものになる傾向があります。例えば、インラインNATは静的NATのみをサポートします。

この例では、MPCラインカードを搭載したMXシリーズデバイスが、2つのエンドホスト間を流れるトラフィックにインラインソースNATサービスを提供します。このシナリオのトポロジーを図6に示します

図6:MPCNetwork communication process with NAT: A client with IP 10.1.1.2 sends a request to a server with IP 192.168.1.2. An MX device translates the client's IP to 192.0.2.2 for external communication and modifies the response IP back to 10.1.1.2.を備えたMXシリーズデバイスを使用したインラインソースNAT

図に示すように、ホストH1はサーバーS1にトラフィックを送信します。MXシリーズデバイスは、ソースNATを実行して、H1の送信元IPアドレスを10.1.1.2から192.0.2.2に変換します。その後、サーバーS1は宛先IPアドレス192.0.2.2を使用してホストH1にリターントラフィックを送信し、MXシリーズデバイスはH1のIPアドレスを10.1.1.2に戻します。

このシナリオでは、以下の設定要素が使用されます。

  • インライン サービス インターフェイス - MPC のパケット転送エンジン上に存在する仮想インターフェイス。サービスにアクセスするために、トラフィックはこれらの si- (サービスインライン)インターフェイスに出入りします。

  • サービスセット—実行するサービスを定義し、どのインラインインターフェイスがサービスセットとの間でトラフィックを送り込むかを特定します。サービスセットを実装するには、2つの方法があります。

    • インターフェイススタイル—インターフェイスに到着したパケットがインラインサービスを介して転送される、インターフェイスベースの方式。

    • ネクストホップスタイル—ルートベースの方式で、静的ルートを使用して、特定の宛先宛てのパケットをインラインサービスを介して転送します。

    この例では、ネクストホップスタイルのサービスセットを使用しています。

  • NATルール—if-then構造(ファイアウォールフィルターと同様)を使用して一致条件を定義し、一致するトラフィックにアドレス変換を適用します。

  • NATプール—変換のためにNATルールによって使用されるIPアドレスのユーザー定義NATセット。

  • ルーティングインスタンス—メイン(デフォルト)ルーティングインスタンスとは別に実行されるルーティングテーブル、インターフェイス、ルーティングプロトコルパラメーターの集合。

    ルートベースのインライン NAT は、通常、ルーティング インスタンスが含まれるシナリオで使用されます。

これらの要素は、 図7に示すようにまとめられています。

図7:ルートベースのインラインソースNAT Juniper MX Series router showing NAT configuration. Source IPs 10.1.1.0/24 translate to 192.0.2.0/24 pool. Traffic flows from RI-A via xe-0/0/0, processed by si-0/0/0.1 and si-0/0/0.2, exits through xe-1/0/0 in Default instance.

設定

ネクストホップスタイルのサービスセットを使用してインラインNATを設定するには、以下のタスクを実行します。

CLIクイックコンフィグレーション

この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除して、ネットワーク構成に合わせて必要な詳細を変更し、[edit]階層レベルのCLIにコマンドをコピー&ペーストします。

物理インターフェイスの設定

ステップバイステップの手順

  1. 物理インターフェイスを設定します。

インラインサービスを有効にし、インラインインターフェイスを作成する

ステップバイステップの手順

  1. 関連するFPCスロットとPICスロットのインラインサービスを有効にし、インラインサービス専用の帯域幅の量を定義します。

    ここでのFPCとPIC設定は、 si- インターフェイスを作成し、マッピングします。

  2. si-インターフェイスで、2つの論理ユニットを作成します。ユニットごとに、NATサービスを必要とするプロトコルファミリー(または複数のファミリー)と、サービスドメインの「内部」または「外部」インターフェイスを指定します。

    注:

    ここでのFPCとPICの設定は、上記で定義した設定と一致する必要があります。

ルーティングインスタンスを設定し、インラインNATサービスを介して送信するトラフィックを特定する

ステップバイステップの手順

  1. 「ínside」の物理インターフェイスと si- インターフェイス、および si- インターフェイスを介してインラインNATサービスに転送するトラフィックを特定する静的ルートを含むルーティングインスタンスを設定します。

    わかりやすくするために、ここで使用する静的ルートは、単にサーバーS1を識別します。

NATルールとプールの設定

ステップバイステップの手順

  1. H1のサブネット(10.1.1.0/24)からMXデバイスに到着するトラフィックに一致し、基本的なIPv4 NATを使用して変換し、プール p1のIPアドレスを使用するNATルールを設定します。

  2. NATプールを設定します。

(ネクストホップスタイルの)サービスセットを設定します

ステップバイステップの手順

  1. インラインNATサービス(nat-rules)、および上記で定義したインラインインターフェイスを使用するサービスセットを設定します。 next-hop-service パラメータを使用して、これがネクストホップスタイルのサービスセットであることを指定し、上記の設定に基づいて si- インターフェイスを「inside」と「outside」に割り当てます。

    トラフィックは、インラインNATサービスにアクセスするために、 si- インターフェイスに出入りします。

結果

検証

設定が正常に機能していることを確認します。

ホストH1からサーバーS1への到達可能性の検証

目的

H1とS1の間の到達可能性を検証します。

アクション

ホストH1で、ホストがサーバーS1にpingを実行していることを確認します。

意味

H1は正常にS1に到達できます。

アドレス変換の検証

目的

アドレス変換が正しく機能していることを確認します。

アクション

  1. MXデバイスで、インラインNAT設定の詳細が正しく適用されていることを確認します。

  2. サーバーS1で、サーバーがH1のNAT変換された送信元IPアドレス(192.0.2.2)からpingを受信していることを確認します。

    以下のコマンドを発行し、H1から再度pingを送信します。

    注:

    この設定では、別のMXデバイスを使用してサーバーS1を表し、インバウンドトラフィックの監視を可能にします。
意味

上記のステップ1では、インラインNATサービスパラメーターとネクストホップスタイルサービスセットが正しく実装されていることを確認します。上記のステップ2では、サーバーS1がNAT変換された送信元IPアドレスからH1のpingを正しく受信していることを確認します。

関連項目

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース
説明
15.1R1
Junos OSリリース15.1R1以降、インラインNATも twice-basic-nat-44をサポートします