NAT の概要

NAT ルール セット

ルール セットは、トラフィックの一致条件の一般的なセットを指定します。静的 NAT と宛先 NAT の場合、ルール セットは次のいずれかを指定します。

• 送信元インターフェイス

• 送信元ゾーン

• ソース ルーティング インスタンス

送信元 NAT ルール セットでは、送信元と宛先の両方の条件を設定します。

• 送信元インターフェイス、ゾーン、またはルーティング インスタンス

• 宛先インターフェイス、ゾーン、またはルーティング インスタンス

1 つのパケットが複数のルール セットと一致する可能性があります。この場合、より具体的な一致を持つルール・セットが使用されます。インターフェイスの一致は、ゾーンの一致よりも具体的であると見なされ、ゾーンの一致はルーティング インスタンスの一致よりも具体的です。パケットが、送信元ゾーンを指定する宛先 NAT ルール セットと、送信元インターフェイスを指定する宛先 NAT ルール セットの両方に一致する場合、送信元インターフェイスを指定するルール セットの方が一致し、より具体的な一致となります。

送信元 NAT ルール セットで送信元と宛先の両方の条件を指定するため、送信元 NAT ルール セットの照合はより複雑になります。パケットが複数の送信元 NAT ルール セットに一致する場合、選択されたルール セットは以下の送信元/宛先条件に基づきます(優先度順)。

1. 送信元インターフェイス/宛先インターフェイス

2. 送信元ゾーン/宛先インターフェイス

3. 送信元ルーティング インスタンス/宛先インターフェイス

4. 送信元インターフェイス/宛先ゾーン

5. 送信元ゾーン/宛先ゾーン

6. 送信元ルーティング インスタンス/宛先ゾーン

7. 送信元インターフェイス/宛先ルーティング インスタンス

8. 送信元ゾーン/宛先ルーティング インスタンス

9. ソース ルーティング インスタンス/宛先ルーティング ルーティング インスタンス

たとえば、送信元インターフェイスと宛先ゾーンを指定するルールセットAと、送信元ゾーンと宛先インターフェイスを指定するルールセットBを設定できます。パケットが両方のルール セットに一致する場合、ルール セット B がより具体的な一致になります。

送信元 NAT ルール セットに同じ送信元と宛先の条件を指定することはできません。

NAT ルール

トラフィックに一致するルール セットが見つかると、ルール セット内の各ルールが一致する順番に評価されます。NAT ルールは、以下のパケット情報で一致させることができます。

• 送信元アドレスと宛先アドレス

• 送信元ポート(送信元および静的 NAT のみ)

• 宛先ポート

ルールセット内でトラフィックに一致する最初のルールが使用されます。セッション確立時にパケットが設定されたルールのルールに一致すると、そのルールで指定されたアクションに従ってトラフィックが処理されます。

show security nat source ルール と show security nat destination ルール 、および コマンドを show security nat static rule 使用して、特定のルールのセッション数を表示できます。

ルール処理

NAT タイプによって、NAT ルールが処理される順序が決まります。フローの最初のパケット処理時に、NAT ルールは以下の順序で適用されます。

1. 静的 NAT ルール

2. 宛先 NAT ルール

3. ルート検索

4. セキュリティポリシーのルックアップ

5. 静的 NAT ルールのリバース マッピング

6. ソースNATルール

図 1 は、NAT ルールの処理順序を示しています。

図 1: NAT ルール処理

静的 NAT と宛先 NAT のルールは、ルートとセキュリティ ポリシーのルックアップの前に処理されます。静的 NAT ルールは、宛先 NAT ルールよりも優先されます。静的 NAT ルールのリバース マッピングは、ルートおよびセキュリティ ポリシーのルックアップ後に実行され、送信元 NAT ルールよりも優先されます。送信元 NAT ルールは、ルートおよびセキュリティ ポリシーのルックアップ後、および静的 NAT ルールのリバース マッピングの後に処理されます。

ルールとルールセットの構成は、基本的には各タイプのNATで同じです(送信元、送信先、静的)。ただし、ルート検索の前に宛先NATと静的NATの両方が処理されるため、ルールセットで宛先ゾーン、インターフェイス、またはルーティング インスタンスを指定することはできません。

NAT ルールの容量

NAT ルール容量要件は、SRXシリーズファイアウォールとJunos OSリリースによって異なります。

ルール セットあたりのルール数の制限は、デバイスがサポートできるルールの数に対するデバイス全体の制限です。この制限は、デバイスの NAT ルールをより適切に計画および設定するために提供されています。

メモリ消費量については、これらの数値(送信元ルールまたはルール セットの最大数 + 宛先ルールまたはルール セットの最大値 + 静的ルールまたはルール セットの最大数)をサポートする保証はありません。

NAT ルール容量要件は、SRXシリーズファイアウォールとJunos OSリリースによって異なります。

Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。追加のプラットフォームがサポートされる場合があります。

詳細については、「 プラットフォームに関する追加情報」 セクションを参照してください。