ポートフォワーディング
ポートフォワーディングの概要
外部のIPアドレスとポートをプライベートネットワーク内のIPアドレスとポートにマッピングできます。ポートフォワーディングと呼ばれるこのマッピングは、MS-DPC、MS-100、MS-400、MS-500マルチサービスPICでサポートされています。Junos OSリリース17.4R1以降、ポートフォワーディングはMS-MPCとMS-MICでもサポートされています。
ポートフォワーディングを使用すると、パケットの宛先アドレスとポートを変更して、ネットワークアドレス変換(NAT)ゲートウェイ内の正しいホストに到達できます。変換により、送信元ホストからパケットを受信したポート番号に基づいて、マスカレードされた(通常はプライベート)ネットワーク内のホストへの到達が容易になります。このタイプの宛先の例は、プライベートネットワーク内のパブリックHTTPサーバーのホストです。宛先アドレスを変換せずにポートフォワーディングを設定することもできます。ポートフォワーディングは、エンドポイント独立マッピング(EIM)、エンドポイント独立フィリング(EIF)、アドレスプーリングペアリング(APP)をサポートします。
ポートフォワーディングは、FTPアプリケーションレベルゲートウェイ(ALG)でのみ動作し、IPv6ラピッドデプロイメント(6rd)やデュアルスタックライト(DS-Lite)など、IPv4インフラストラクチャ上でIPv6サービスを提供する技術はサポートされていません。ポートフォワーディングは、IPv4ネットワーク上の dnat-44 と twice-napt-44 のみをサポートします。
ポートフォワーディングのメリット
インターネット上のパブリックマシンなどのリモートコンピュータが、プライベートネットワーク内に隠れている特定のコンピュータの非標準ポートに接続できるようにします。
静的宛先アドレス変換用のポートフォワーディングの設定
ポートフォワーディングで宛先アドレス変換を設定できます。ポートフォワーディングを使用すると、パケットの宛先アドレスとポートを変更して、ネットワークアドレス変換(NAT)ゲートウェイ内の正しいホストに到達できます。ポートフォワーディングは、MS-DPC、MS-100、MS-400、MS-500マルチサービスPICでサポートされています。Junos OSリリース17.4R1以降、ポートフォワーディングはMS-MPCとMS-MICでもサポートされています。
ポートフォワーディングで宛先アドレス変換を設定するには:
IPv4 の 2 倍 NAT でも同様の設定が可能です。 例:Configuring Port Forwarding with Twice NATを参照してください。
ポートフォワーディングとステートフルファイアウォールを一緒に設定できます。ステートフルファイアウォールは、ポートフォワーディングよりも優先されます。
宛先アドレス変換なしのポートフォワーディングの設定
宛先アドレスを変換せずにポートフォワーディングを設定できます。ポートフォワーディングでは、ネットワークアドレス変換(NAT)ゲートウェイ内の正しいポートに到達するように宛先ポートを変更することができます。ポートフォワーディングは、MS-DPC、MS-100、MS-400、MS-500マルチサービスPICでサポートされています。Junos OSリリース17.4R1以降、ポートフォワーディングはMS-MPCとMS-MICでもサポートされています。
IPv4ネットワークで宛先アドレス変換なしでポートフォワーディングを設定するには:
ポートフォワーディングとステートフルファイアウォールを一緒に設定できます。ステートフルファイアウォールは、ポートフォワーディングよりも優先されます。
例:Twice NAT によるポート転送の設定
次の例では、変換タイプとして twice-napt-44 を使用してポート転送を設定します。この例では、ステートフルファイアウォールと複数のポートマップも設定されています。
ポートフォワーディングは、MS-DPC、MS-100、MS-400、MS-500マルチサービスPICでサポートされています。Junos OSリリース17.4R1以降、ポートフォワーディングはMS-MPCとMS-MICでもサポートされています。
[edit services]
user@host# show
service-set in {
syslog {
host local {
services any;
}
}
stateful-firewall-rules r;
nat-rules r;
interface-service {
service-interface sp-10/0/0.0;
}
}
stateful-firewall {
rule r {
match-direction input;
term t {
from {
destination-port {
range low 20 high 5000;
}
}
then {
reject;
}
}
}
}
nat {
pool x {
address 203.0.113.2/32;
}
rule r {
match-direction input;
term t {
from {
destination-address {
198.51.100.2/32;
}
destination-port {
range low 10 high 20000;
}
}
then {
port-forwarding-mappings y;
translated {
destination-pool x;
translation-type {
twice-napt-44;
}
}
}
}
}
port-forwarding y {
destined-port 45;
translated-port 23;
destined-port 55;
translated-port 33;
destined-port 65;
translated-port 43;
}
}
adaptive-services-pics {
traceoptions {
file sp-trace;
flag all;
}
}
ステートフルファイアウォールは、ポートフォワーディングよりも優先されます。たとえば、この例では、20〜5000のポート宛てのトラフィックは変換されません。
最大32個のポートマップを設定できます。
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。