NAT-Src

ソースNATとは、ジュニパーネットワークスデバイスから離れるパケットの送信元IPアドレスの変換のことです。ソース NAT は、プライベート IP アドレスを持つホストがパブリック ネットワークにアクセスできるようにするために使用されます。

ソースNATでは、プライベートネットワークからインターネットなど、発信ネットワーク接続に対してのみ接続を開始できます。ソース NAT は、通常、以下の変換を実行するために使用されます。

• 単一の IP アドレスを別のアドレスに変換します(たとえば、プライベート ネットワーク内の単一のデバイスにインターネットへのアクセスを提供する場合など)。

• アドレスの連続したブロックを、同じサイズのアドレスの別のブロックに変換します。

• アドレスの連続したブロックをより小さいサイズのアドレスの別のブロックに変換します。

• ポート変換を使用して、連続したアドレスブロックを単一のIPアドレスまたは小規模なアドレスブロックに変換します。

• アドレスの連続したブロックをエグレス インターフェイスのアドレスに変換します。

エグレスインターフェイスのアドレスへの変換には、アドレスプールは必要ありません。他のすべてのソース NAT 変換にはアドレス プールの設定が必要です。同じサイズのアドレス・ブロックに対する 1 対 1 および多対多の変換では、変換されるすべてのアドレスに対してプール内に使用可能なアドレスがあるため、ポート変換は必要ありません。

アドレス プールのサイズが変換されるアドレス数よりも小さい場合、変換可能な同時アドレスの総数は、アドレス プールのサイズによって制限されるか、ポート変換を使用する必要があります。例えば、253 個のアドレスのブロックが 10 個のアドレスのアドレス プールに変換された場合、ポート変換を使用しない限り、同時に最大 10 台のデバイスを接続できます。

以下のタイプのソースNATがサポートされています。

• 元のソースIPアドレスをエグレスインターフェイスのIPアドレス(インターフェイスNATとも呼ばれる)に変換します。ポートアドレス変換は常に実行されます。

• ポート アドレス変換を行うことなく、ユーザー定義のアドレス プールから元の送信元 IP アドレスを IP アドレスに変換する。元の送信元 IP アドレスと変換されたソース IP アドレスとの関連付けは動的です。ただし、一度アソシエーションが存在すると、同じNATルールに一致する新しいトラフィックに対して、同じ元の送信元IPアドレスに同じアソシエーションが使用されます。

• ポート アドレス変換を使用して、ユーザー定義のアドレス プールから元の送信元 IP アドレスを IP アドレスに変換します。元の送信元 IP アドレスと変換されたソース IP アドレスとの関連付けは動的です。関連付けが存在する場合でも、同じ NAT ルールに一致する新しいトラフィックに対して、同じ元の送信元 IP アドレスが別のアドレスに変換される可能性があります。

• IP アドレスをシフトすることで、元の送信元 IP アドレスをユーザー定義のアドレス プールから IP アドレスに変換します。このタイプの変換は、1対1で静的であり、ポートアドレス変換はありません。元の送信元 IP アドレス範囲がユーザー定義プールの IP アドレス範囲よりも大きい場合、未変換パケットは破棄されます。

• 中心ポイント アーキテクチャは、もはや中央ポイント セッションをサポートしません。そのため、NATトラッカーを維持して、IPアドレスやポートの割り当てと使用状況を追跡する必要があります。NATトラッカーは、SPUセッションIDからNATへのIPまたはNATリソースの管理に使用されるポートマッピングのグローバルアレイです。

• デフォルトでは、中央ポイント システムの各セッション トリガーに基づいて統計情報を更新する代わりに、NAT ルール アラームとトラップ統計カウンター更新メッセージがサービス処理ユニット(SPU)から中央ポイントに 1 秒間隔で送信されます。

• NAT後の5タプルハッシュがNAT前の元の5タプルハッシュと同じように割り当てられた特定のNAT IPアドレスまたはポートをサポートするには、特定の計算によって元のハッシュと同じハッシュになるNATポートを選択します。そのため、転送セッションが減少します。NAT を使用すると、リバース ウィングは別の SPU にハッシュされます。リバース トラフィックをセッション SPU に転送するには、フォワード セッションをインストールする必要があります。NAT は、ハッシュ アルゴリズムで使用できるポートを選択して、リバース ウィングを最初のウィングと同じ SPU にハッシュしようとします。そのため、このアプローチによりNATのパフォーマンスとスループットの両方が向上します。

• NAT パフォーマンスを向上させるために、IP シフト プール(非 PAT プール)管理は中央ポイントから SPU に移動されるため、NAT リクエストを中央ポイントに送信する代わりに、そのプールのすべてのローカル NAT リソースがローカルに管理されます。そのため、IP アドレスシフト NAT プール接続数/秒とスループットが向上します。

• ポートランダム化モード(デフォルト)
• ラウンドロビンモード
• セッション アフィニティ モード

• 目的
• アクション

この例では、エグレスインターフェイスのパブリックアドレスにプライベートアドレスのソースNATマッピングを設定する方法を説明します。

この例では、単一のプライベートアドレスのソースNATマッピングをパブリックアドレスに設定する方法を説明します。

この例では、送信元と宛先の両方のNATマッピングを設定する方法を説明します。

ソース NAT ルールは、2 つのレイヤーの一致条件を指定します。

• トラフィック方向 — 、from zoneまたは to zonefrom routing-instance to interfaceのfrom interface組み合わせを指定できます。to routing-instance異なるルール セットに同じfromコンテキストをto設定することはできません。

• パケット情報—送信元と宛先の IP アドレスまたはサブネット、送信元ポート番号またはポート範囲、宛先ポート番号またはポート範囲、プロトコル、アプリケーションなどです。

FTP を除くすべての ALG トラフィックでは、 ルール オプションを source-port 使用しないことをお勧めします。IP アドレスとランダムな値である送信元ポート値がルールに一致しない可能性があるため、このオプションを使用すると、データ セッションの作成が失敗する可能性があります。

さらに、 オプションまたは オプションを ALG トラフィックのdestination-portapplication一致条件として使用しないことをお勧めします。これらのオプションを使用すると、アプリケーション ペイロードのポート値が IP アドレスのポート値と一致しない可能性があるため、変換が失敗する可能性があります。

一致条件で複数のソース NAT ルールが重複する場合、最も具体的なルールが選択されます。例えば、ルールAとBが同じ送信元と宛先のIPアドレスを指定しているが、ルールAがゾーン1からゾーン2へのトラフィックを指定し、ルールBがゾーン1からインターフェイスge-0/0/0へのトラフィックを指定する場合、ルールBはソースNATを実行するために使用されます。インターフェイスの一致は、ルーティングインスタンスの一致よりも具体的なゾーン一致よりも具体的であると見なされます。

ソース NAT ルールに対して指定できるアクションは次のとおりです。

• off — ソース NAT を実行しません。

• pool—指定されたユーザー定義アドレスプールを使用して、ソースNATを実行します。

• インターフェイス—エグレスインターフェイスのIPアドレスを使用して、ソースNATを実行します。

ソース NAT ルールは、フローまたは ALG のファスト パスで処理される最初のパケットのトラフィックに適用されます。ソース NAT ルールは、静的 NAT ルール、ディスティネーション NAT ルール、静的 NAT ルールのリバース マッピングの後、ルートおよびセキュリティ ポリシー ルックアップの後に処理されます。

ルールセットの下でゾーンが設定されていない場合、アクティブソースNATで「送信元」の必須ステートメントが欠落して構成されている場合、コミット 「必須ステートメントの欠落:'from'エラー:設定チェックアウト失敗」 を実行し、設定チェックアウトが失敗した場合、次のメッセージが表示されます。

この例では、ソース NAT マッピングを複数のルールで設定する方法を説明します。

NAT プールは、変換に使用されるユーザー定義の IP アドレスのセットです。静的NATとは異なり、一方向への宛先IPアドレス変換と逆方向のソースIPアドレス変換を含む1対1のマッピングがあり、ソースNATでは、元のソースIPアドレスをアドレスプール内のIPアドレスに変換します。

NAT(送信元ネットワーク アドレス変換)アドレス プールの場合、以下を指定します。

• ソース NAT アドレス プールの名前。

• 最大 8 個のアドレスまたはアドレス範囲。

  メモ：

  1 つのルーティング インスタンス内で、ソース NAT、ディスティネーション NAT、スタティック NAT の NAT アドレスを重複させません。

• ルーティングインスタンス-プールが属するルーティングインスタンス(デフォルトはメイン inet.0 ルーティングインスタンス)。

• ポート —送信元プールの PAT(ポート アドレス変換)。デフォルトでは、ソース NAT で PAT が実行されます。 変換なし オプションを指定した場合、ソースNATプールがサポートできるホスト数は、プール内のアドレス数に制限されます。を指定 block-allocationした場合、個別のポートが割り当てられるのではなく、ポートのブロックが変換に割り当てられます。を指定 deterministicした場合、受信(送信元)IP アドレスとポートは、あらかじめ定義された決定論的 NAT アルゴリズムに基づいて、必ず特定の宛先アドレスとポート ブロックにマッピングされます。を指定 port-overloadingした場合、ソースNATでポートオーバーロード容量を設定できます。を指定 rangeした場合、プール内の各アドレスにアタッチされたポート番号の範囲と、ソース NAT プールのツイン ポート範囲を指定できます。

• オーバーフロープール(オプション)—指定されたソースNATプールに利用可能なアドレスがない場合、パケットは破棄されます。 ポート未変換 オプションが設定されている場合にこれが起こらないようにするには、オーバーフロー プールを指定します。元の NAT プールからのアドレスが枯渇すると、IP アドレスとポート番号がオーバーフロー プールから割り当てられます。ユーザー定義のソースNATプールまたはエグレスインターフェイスをオーバーフロープールとして使用できます。(オーバーフロー プールを使用する場合は、アドレスとともにプール ID が返されます)。

• IP アドレスのシフト(オプション)— 元の送信元 IP アドレスの範囲は、IP アドレスをシフトすることで別の範囲の IP アドレスまたは単一の IP アドレスにマッピングできます。元の送信元IPアドレス範囲のベースアドレスで、 ホスト アドレスベースオプションを指定します。

• アドレス共有(オプション)— 複数の内部 IP アドレスを同じ外部 IP アドレスにマッピングできます。このオプションは、ソースNATプールがポート変換なしで設定されている場合にのみ使用できます。ソース NAT プールで address-shared 使用できる外部 IP アドレスが少ない場合、または外部 IP アドレスが 1 つだけの場合は、 オプションを指定します。多対 1 マッピングでは、このオプションを使用すると NAT リソースが増加し、トラフィックが向上します。

• アドレスプーリング(オプション)—アドレスプーリングは、ペアまたはノーペアとして設定できます。1つの内部IPアドレスに関連付けられたすべてのセッションを、セッション期間中に同じ外部IPアドレスにマッピングすることを必要とするアプリケーションを指定address-pooling pairedします。これは、同じ内部アドレスがpersistent-address毎回同じ外部アドレスに変換されるというオプションとは異なります。ラウンドロビン方式で IP アドレスを割り当てることができるアプリケーションを指定address-pooling no-pairedします。または address-pooling no-paired が address-pooling paired PAT があるソース NAT プールに設定されている場合、永続的アドレス オプションは無効になります。PAT なしのソース NAT プールで設定されている場合address-sharedは、 persistent-address オプションが有効になります。と address-pooling paired の両方address-sharedは、PAT なしで同じソース NAT プール上で設定できます。

• プール使用率アラーム(オプション)—ソースNATに レイズ閾値 オプションが設定されている場合、ソースNATプールの使用率がこのしきい値を超えた場合、SNMPトラップがトリガーされます。オプションの clear-threshold オプションが設定されている場合、ソース NAT プールの使用率がこのしきい値を下回ると、SNMP トラップがトリガーされます。 clear-threshold が設定されていない場合、デフォルトでは しきい値 の80%に設定されます。

show security natリソース使用ソースプールコマンドを使用して、PATなしのソースNATプールにおけるアドレス使用を表示し、PATを使用したソースNATプールのポート使用を表示できます。

SRX1400、SRX1500、SRX3400、SRX3600、SRX4100、SRX4200、SRX5400、SRX5600、SRX5800 デバイスの最大容量は次のとおりです。

構成内のプール数を増やしたり、プールあたりの容量または IP アドレスを増やしたりすることで、ソース NAT に使用される IP アドレスの総数を増やすと、ポート割り当てに必要なメモリが消費されます。ソース NAT プールと IP アドレスの制限に達した場合、ポート範囲は再割り当てする必要があります。つまり、IP アドレスとソース NAT プールの数が増えた場合、各 IP アドレスのポート数を減らす必要があります。これにより、NATがメモリを消費しすぎないようにします。

例えば、SRX5000デバイスのソースNATプールでは、ポート変換をサポートするIPアドレスの数が100万に達すると、PATポートの総数は64Gとなり、384Mの制限を超えます。これは、デフォルトでは、各 IP アドレスが 64,512 ポートをサポートしているためです。PAT ポート番号が容量内であることを確認するには、PAT ポートの総数を減らすよう、各 IP のポート範囲を設定する必要があります。

特定のプールにrange新しいポート範囲またはツインポート範囲を割り当てるには、 階層レベルで [edit security nat source pool port] と range twin-port オプションを使用します。すべてのソース NAT プールのpool-default-port-rangepool-default-twin-port-rangeグローバルデフォルトポート範囲またはツインポート範囲を指定するには、 階層レベルで [edit security nat source] と のオプションを使用します。

ポートオーバーロードの設定は、ソースNATプールが増加した場合にも慎重に行う必要があります。

範囲(63,488~65,535)の PAT を持つソース プールでは、SIP、H.323、RTSP などの RTP/RTCP アプリケーションに 2 つのポートが一度に割り当てられます。これらのシナリオでは、各 IP アドレスは PAT をサポートし、ALG モジュール用に 2048 ポート(63,488~65,535)を占有します。

デフォルトでは、ポートアドレス変換はソースNATで実行されます。ただし、元の送信元アドレスは、同じホストから発信された異なるトラフィックに対して同じ IP アドレスに変換されない場合があります。ソースNAT address-persistent オプションにより、複数の同時セッションに対して、ソースNATプールから特定のホストに同じIPアドレスが割り当てられます。

このオプションは、アドレス・プーリング・ペア・オプションとは異なり、内部アドレスはプール内の外部アドレスに先着順でマッピングされ、セッションごとに異なる外部アドレスにマッピングされる場合があります。

この例では、デフォルトのポート範囲が設定されていない場合、またはオーバーライドする場合に、ポートアドレス変換(PAT)を使用してソースNATプールの容量を設定する方法を説明します。各 IP アドレスに対して変換が設定されます。ソース プールが増加した場合、現在のポート番号が制限を超えた場合、ポートの再割り当てを行う必要があります。

ホストがNATを必要とするポリシーに一致する複数のセッションを開始し、ポートアドレス変換が有効になっているソースプールからIPアドレスが割り当てられた場合、セッションごとに異なる送信元IPアドレスが使用されます。

一部のアプリケーションではセッションごとに同じソース IP アドレスが必要な場合があるため、この機能を address-pooling paired 使用して、1 つの内部 IP アドレスに関連付けられたすべてのセッションを有効にし、セッション期間中は同じ外部 IP アドレスにマップすることができます。セッションが終了すると、内部 IP アドレスと外部 IP アドレス間のマッピングが停止します。ホストが次回セッションを開始する際に、プールから別のIPアドレスが割り当てられる場合があります。

これは、マッピングを静的に維持するソースNAT address-persistent 機能とは異なり、常に同じ内部IPアドレスが同じ外部IPアドレスにマッピングされます。また、特定のプールに address-persistent 対して設定されている address-pooling paired 機能とは異なります。この address-persistent 機能は、すべてのソース プールに適用されるグローバル構成です。

ソース NAT ルール セットの一致条件では、アドレス範囲を指定できません。ルールで指定できるのはアドレスプレフィックスのみです。ソースNATプールを設定する場合、 オプションを host-base-address 指定できます。このオプションは、元の送信元IPアドレス範囲が開始するIPアドレスを指定します。

変換される元のソース IP アドレスの範囲は、ソース NAT プール内のアドレス数によって決定されます。例えば、ソース NAT プールに 10 個の IP アドレスの範囲が含まれている場合、最大 10 個の元のソース IP アドレスを、指定されたベース アドレスから変換できます。このタイプの変換は、1対1で静的であり、ポートアドレス変換はありません。

ソース NAT ルールの一致条件により、ソース NAT プールで指定されたアドレス範囲よりも大きなアドレス範囲が定義される場合があります。例えば、一致条件では、256個のアドレスを含むアドレスプレフィックスを指定することもできますが、送信元NATプールには、数個のIPアドレスの範囲のみ、またはIPアドレスが1つだけ含まれている場合があります。パケットの送信元 IP アドレスはソース NAT ルールと一致できますが、送信元 IP アドレスがソース NAT プールで指定されたアドレス範囲内にない場合、送信元 IP アドレスは変換されません。

この例では、プライベートアドレス範囲のソースNATマッピングをパブリックアドレスに設定し、オプションでアドレスシフトする方法を説明します。このマッピングは、元のソース IP アドレスと変換された IP アドレスの間に 1 対 1 で行われます。

Junos OSは、PAT(ポートアドレス変換)を使用して送信元プールを使用して、送信元IPアドレスとパケットのポート番号の両方を変換します。PAT を使用すると、複数のホストが同じ IP アドレスを共有できます。

Junos OSでは、どのセッションがどのホストに属しているのかを区別するために、割り当てられたポート番号のリストを保持しています。PAT を有効にすると、最大 63,488 個のホストが 1 つの IP アドレスを共有できます。各ソース プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT を使用するソース プールの場合、Junos OS は、送信元プールまたは Junos OS に永続的アドレス機能またはペアのアドレス プーリング機能が有効になっていない限り、異なる同時セッションに対して 1 つのホストに異なるアドレスを割り当てることができます。

PAT を使用したインターフェイスソースプールとソースプールでは、IPアドレスごとのポート番号マッピングで範囲(1024、65535)を使用できます。範囲内(1024、63487)内では、1 つのポートが一度に割り当てられ、合計 62,464 ポートになります。範囲(63488、65535)では、SIP、H.323、RTSP などの RTP/RTCP アプリケーションに 2 個のポートが同時に割り当てられ、合計 2,048 ポートになります。

ホストがネットワークアドレス変換を必要とするポリシーに一致する複数のセッションを開始し、PATが有効になっているソースプールからアドレスが割り当てられた場合、デバイスはセッションごとに異なる送信元IPアドレスを割り当てます。このようなランダム アドレスの割り当ては、セッションごとに同じ送信元 IP アドレスを必要とする複数のセッションを作成するサービスでは問題が発生する可能性があります。たとえば、AOL AIM(インスタント メッセージ)クライアントを使用する場合、複数のセッションに同じ IP アドレスを設定することが重要です。

ルーターが複数の同時セッションに対してソースプールから同じIPアドレスをホストに割り当てるため、ルーターごとに永続的IPアドレスを有効にすることができます。デバイスが単一のセッション期間中にソースプールからホストに同じIPアドレスを割り当てられるようにするには、ペアのアドレスプーリングを有効にします。

この例では、ポートアドレス変換を使用して、プライベートアドレスブロックのソースNATマッピングをより小さなパブリックアドレスブロックに設定する方法を説明します。

ソース プールを定義すると、Junos OS はデフォルトで PAT を有効にします。PAT を無効にするには、ソース プールを定義する際にポート変換なしを指定する必要があります。

PAT なしのソース プールを使用する場合、Junos OS は、送信元ポート番号の PAT を実行せずに、IP アドレスの送信元ネットワーク アドレス変換を実行します。特定のソース ポート番号を固定したままにする必要があるアプリケーションでは、PAT を使用せずにソース プールを使用する必要があります。

送信元プールには、複数の IP アドレス、複数の IP アドレス範囲、またはその両方を含めることができます。PAT なしのソース プールの場合、Junos OS は、アドレスプール非ペア オプションが有効になっていない限り、すべての同時セッションに対して 1 つの変換された送信元アドレスを同じホストに割り当てます。

PAT なしのソース NAT プールがサポートできるホストの数は、プール内のアドレス数に制限されます。1 つの IP アドレスを持つプールがある場合は、1 つのホストのみをサポートでき、他のホストからのトラフィックは利用可能なリソースがないためブロックされます。NAT リソース割り当てがシャーシ クラスタのアクティブバックアップ モードにない場合、PAT なしのソース NAT プールに単一の IP アドレスが設定されている場合、ノード 1 を介したトラフィックはブロックされます。

PAT なしの各ソース プールのプール使用率が計算されます。アラームしきい値を設定することで、プール使用率アラームを有効にすることができます。SNMP トラップは、プールの使用率がしきい値を超え、しきい値を下回るたびにトリガーされます。

この例では、ポートアドレス変換を行うことなく、ソースNATプール内の単一のパブリックアドレスにプライベートアドレスブロックを設定する方法を説明します。

この例では、ポートアドレス変換を行うことなく、プライベートアドレスブロックのソースNATマッピングをより小さなパブリックアドレスブロックに設定する方法を説明します。

ポートアドレス変換のないソースNATプールは、1つのソースIPアドレスから1つの外部IPアドレスへの1対1の静的マッピングを実行します。外部 IP アドレスが 1 つしかない場合、またはソース ノーパット プールで利用可能な数が非常に少ない場合、 address-shared オプションでは、トラフィックが異なるソース ポートから送信される限り、多くの送信元 IP アドレスを 1 つの外部 IP アドレスにマッピングできます。

例えば、ポート変換のないソースNATプールがあり、2つのIPアドレス(IP 1とIP 2)が含まれている場合、パケットが

1. ソースIP1、ポート1は、IP 1、ポート1に変換されます。

2. 送信元IP2、ポート2、IP2、ポート2に変換されます。

3. ソースIP3、ポート1、IP2、ポート1に変換されます。(そのポートは既に使用されているため、IP 1 ポート 1 に変換できません。

   ただし、別のパケットがソース IP 3、ポート 1 から異なる宛先 IP とポートに到着した場合、ポート 1 が両方の使用可能な IP アドレスにすでに使用されているため、IP 1、ポート 1、または IP 2、ポート 1 に変換できません。セッションは失敗します。

このオプションは NAT リソースを増やし、変換されたトラフィックを正常に設定する可能性を高めます。アドレス共有はすでにデフォルトの動作であるため、ポートアドレス変換のあるソースNATプールでは使用できません。

NAT(ネットワーク アドレス変換)セッションの保持は、NAT 設定に変更があった場合に既存のセッションを消去するのではなく、保持する手段を提供します。セッションの持続性が有効になっている場合、保持されたセッションは、時間とリソースが影響を受けたセッションを再構築するのに最適に使用される際に、パケットの処理と転送を継続します。したがって、一部またはすべてのセッションでNAT設定が変更されても、パケット転送は停止しません。

Junos OS リリース 18.3R1 以降では、NAT セッション保持のサポートにより、パケット転送エンジンがセッションをスキャンし、セッションを維持するか、セッションをクリアするかを決定します。Junos OSリリース18.3R1以前のリリースでは、NAT設定に変更がある場合、NATセッションはクリアされます。

パケット転送エンジンは、セッションを保持するかドロップするかを決定するために、以下の2種類のスキャンを実行します。

• Source NAT pool session persistence scan—パケット転送エンジンは、既存のセッションIPアドレスと送信元プールアドレス範囲を比較します。既存のセッションIPアドレスが指定されたソースプールアドレス範囲にある場合、セッションは生き続け、それ以外の場合はセッションがクリアされます。

• Source NAT rule session persistence scan—パケット転送エンジンは、ルール ID を使用して、送信元 IP アドレス、送信元ポート、宛先 IP アドレス、および宛先ポートを新旧の設定と比較します。新しい設定と古い設定が同じ場合、セッションは生き続け、それ以外の場合はセッションがクリアされます。

NAT セッション持続性は、以下のシナリオではソース NAT に対してのみサポートされます。

• 送信元プール—ポートアドレス変換(PAT)プールのアドレス範囲を変更します。

• 送信元ルール — アドレス帳、アプリケーション、宛先 IP アドレス、宛先ポート、送信元 IP アドレス、宛先ポート情報の照合条件を変更します。

NAT セッションの持続性スキャンを有効にするには、 階層レベルで ステートメントを[edit security nat source]含session-persistence-scanめます。

また、CLI コマンドを使用して、タイムアウト値を設定して、指定した期間のセッションを set security nat source session-drop-hold-down 保持することもできます。オプションの値の session-drop-hold-down 範囲は30~28,800秒(8時間)です。セッションは、設定されたタイムアウト期間の後に期限切れになります。

NAT(ネットワークアドレス変換)設定は、多くの場合、より多くのユーザーに対応し、トラフィック転送の最短ルートを強化するために変更されます。トラフィックの再ルーティングが原因でエグレスインターフェイスが変更された場合、 コマンドを set security flow enable-reroute-uniform-link-check nat 使用して既存のNAT設定とルールを保持できます。

コマンドが enable-reroute-uniform-link-check nat 有効な場合:

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンに存在し、一致したNATルールに変更がない場合、または再ルーティングの前後にルールが適用されない場合、セッションは既存のNATルールで保持されます。

• 新しいエグレスインターフェイスと以前のエグレスインターフェイスが同じセキュリティゾーンで、一致したNATルールが変更された場合、セッションは期限切れになります。

コマンドが enable-reroute-uniform-link-check nat 無効になっている場合:

• 新しいエグレス インターフェイスと以前のエグレス インターフェイスが同じセキュリティ ゾーンにある場合、トラフィックは新しいエグレス インターフェイスに転送されます。

Configuration

リルーティングによりエグレスインターフェイスに変更が発生した場合、既存のセッションのNAT設定を有効にするには、次のコマンドを使用します。

[edit] user@host# set security flow enable-reroute-uniform-link-check nat設定変更をコミットすると、新しい設定が適用されます。

は enable-reroute-uniform-link-check nat command デフォルトで無効になっています。

Limitations

コマンドを使用したNAT設定の set security flow enable-reroute-uniform-link-check nat 保持には、以下の制限があります。

• TCP同期では、新しいセッションがトラフィックを転送することはできません。新しいセッションでのトラフィックの転送を許可するには、TCP同期を無効にする必要があります。

• 3 方向のハンドシェイクを使用して通信を初期化した後に再ルートを開始すると、パケット情報が失われる可能性があります。新しいセッションのトラフィック転送を許可するには、ALG(アプリケーションレイヤーゲートウェイ)などのJunos OSサービスフレームワーク(JSF)を無効にする必要があります。