パフォーマンス ルーティング コンフィギュレー ション ガイド、Cisco IOS Release 15.1S

PfR および NAT

Cisco IOS PfR および NAT 機能が同じルータで設定され、PfR がスタティック ルーティングを使用してトラフィック クラスのルーティングを制御する場合、アプリケーションによっては、ドロップされるパケットにより操作が失敗することがあります。このパケット ドロップは、スタティック ルーティングが同じルータからの複数の Internet Service Provider（ISP; インターネット サービス プロバイダー）の接続に使用されている状況で、PfR がスタティック ルーティングを使用してトラフィック クラス ルーティングを制御するときに、1 つ以上の ISP がセキュリティのために Unicast Reverse Path Forwarding（Unicast RPF; ユニキャスト リバース パス転送）フィルタリングを使用する場合に発生します。プライベート IP アドレスからパブリック IP アドレスへの NAT 変換が実行された後で PfR によりトラフィック クラスの発信パケット ルートの出口インターフェイスが変更されると、ユニキャスト RPF を実行する入口ルータでパケットがドロップされます。パケットが転送されると、入口ルータ（たとえば、ISP ルータ）のユニキャスト RPF フィルタリングは、NAT により割り当てられるソース IP アドレス プールとは異なるソース IP アドレスを示し、パケットがドロップされます。たとえば、図 1 に、NAT を使用した PfR の機能を示します。

図 1 NAT を使用した PfR

NAT 変換は、内部ネットワークに接続されているルータで発生します。このルータには、ボーダー ルータまたはマスター コントローラとボーダー ルータの組み合わせを使用できます。PfR が、ルートを変更してトラフィック クラス パフォーマンスを最適化し、ロード バランシングを実行すると、インターフェイスを介して ISP1 にルーティングされた、図 1 のボーダー ルータからのトラフィックは、トラフィック パフォーマンスが測定され、ポリシーしきい値が適用された後で、インターフェイスを介して ISP2 に再ルーティングされることがあります。RPF チェックは ISP ルータで発生し、ISP2 を介してルーティングされるパケットは、ISP2 の入口ルータでの RPF チェックに失敗します。これは、送信元インターフェイスの IP アドレスが変更されたためです。

このソリューションでは、 ip nat inside source コマンドに追加された新しいキーワード pfr で設定を最小限変更します。 pfr キーワードが設定されている場合、新しい NAT 変換に、PfR がパケットに選択したインターフェイスのソース IP アドレスが提供され、PfR は、この NAT 変換が作成されたときのインターフェイスを介して、既存のフローを強制的にルーティングします。たとえば、PfR は、図 1 で ISP1 の InterfaceA と ISP2 の InterfaceB の 2 つのインターフェイスがあるボーダー ルータでトラフィックを管理するように設定されます。PfR は、最初に、Web トラフィックを表すトラフィック クラスを制御するように設定されます。このトラフィックの NAT 変換は、InterfaceA に設定されているパケットのソース IP アドレスにすでに存在します。PfR は、トラフィック パフォーマンスを測定して、InterfaceB が現在トラフィック フローに最適な出口であると判断しますが、既存のフローを変更しません。次に、PfR が E メール トラフィックを表すトラフィック クラスを学習および測定するように設定され、E メール トラフィックが開始されると、NAT 変換が InterfaceB で発生します。PfR スタティック ルーティング NAT ソリューションは、シングル ボックス ソリューションであるため、NAT を使用し PfR で管理される複数のルータでのインターフェイスの設定はサポートされていません。NAT、および Cisco IOS ソフトウェアを実行しない PIX ファイアウォールなどのデバイスを使用したネットワーク設定はサポートされていません。

PfR スタティック ルーティング NAT ソリューションの詳細については、「NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定する」を参照してください。

ネットワーク アドレス変換（NAT）

NAT では、未登録の IP アドレスを使用するプライベート IP インターネットワークがインターネットに接続できます。NAT は、ルータ（通常、2 つのネットワークを接続）で機能し、パケットが別のネットワークに転送される前に、内部ネットワークのプライベート（グローバルに一意ではない）アドレスを有効なアドレスに変換します。NAT は、ネットワーク全体の 1 つだけのアドレスを外部にアドバタイズするように設定できます。この機能により、そのアドレスの後ろに内部ネットワーク全体を効果的に隠すことで、セキュリティが強化されます。

NAT は、エンタープライズ エッジでも使用され、内部ユーザのインターネットへのアクセスを許可し、メール サーバなど内部デバイスへのインターネット アクセスを許可します。

NAT の詳細については、『 Cisco IOS IP Addressing Services Configuration Guide 』の「 Configuring NAT for IP Address Conservation 」の章を参照してください。

内部グローバル アドレスのオーバーロード

ルータで多くのローカル アドレスに 1 つのグローバル アドレスを使用できるようにすることで、内部グローバル アドレス プールのアドレスを節約できます。このオーバーロードが設定されている場合、ルータは、より高いレベルのプロトコルから十分な情報（たとえば、TCP または UDP ポート番号）を保持して、グローバル アドレスを正しいローカル アドレスに戻します。複数のローカル アドレスが 1 つのグローバル アドレスにマッピングされる場合、各内部ホストの TCP または UDP ポート番号によりローカル アドレスが区別されます。

NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定する

NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定するには、次のタスクを実行します。このタスクを行うと、内部ユーザによりインターネットへのアクセスを許可しつつ、PfR がトラフィック クラスを最適化できるようになります。

Cisco IOS PfR および NAT 機能が同じルータで設定され、PfR がスタティック ルーティングを使用してトラフィック クラスのルーティングを制御する場合、アプリケーションによっては、ドロップされるパケットにより操作が失敗することがあります。このパケット ドロップは、スタティック ルーティングが同じルータからの複数の Internet Service Provider（ISP; インターネット サービス プロバイダー）の接続に使用されている状況で、PfR がスタティック ルーティングを使用してトラフィック クラス ルーティングを制御し、1 つ以上の ISP がセキュリティのために Unicast Reverse Path Forwarding（Unicast RPF; ユニキャスト リバース パス転送）フィルタリングを使用する場合に発生します。

このタスクでは、 pfr キーワードが ip nat inside source コマンドで使用されます。 pfr キーワードが設定されている場合、新しい NAT 変換に、PfR がパケットに選択したインターフェイスのソース IP アドレスが提供され、PfR は、この NAT 変換が作成されたインターフェイスを介して、既存のフローを強制的にルーティングします。このタスクでは、1 つの IP アドレスを使用していますが、IP アドレス プールを設定することもできます。IP アドレス プールの設定例については、「NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定する」を参照してください。

（注） PfR スタティック ルーティング NAT ソリューションは、シングル ボックス ソリューションであるため、NAT を使用し PfR で管理される複数のルータでのインターフェイスの設定はサポートされていません。

NAT の設定の詳細については、『 Cisco IOS IP Addressing Services Configuration Guide 』の「 Configuring NAT for IP Address Conservation 」の章を参照してください。

手順の概要

1. enable

2. configure terminal

3. access-list access-list-number { permit | deny } ip-address mask

4. route-map map-tag [ permit | deny ] [ sequence-number ]

5. match ip address { access-list access-list-number | prefix-list prefix-list-name }

6. match interface interface-type interface-number [... interface-type interface-number ]

7. exit

8. 必要に応じて、ステップ 4 ～ステップ 7 を繰り返して、以降のルート マップ設定を行います。

9. ip nat inside source { list { access-list - number | access-list - name } | route-map map - name } { interface type number | pool name } [ mapping-id map-id | overload | reversible | vrf vrf-name ] [ pfr ]

10. interface type number

11. ip address ip-address mask

12. ip nat inside

13. exit

14. interface type number

15. ip address ip-address mask

16. ip nat outside

17. end

手順の詳細

例：NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定する

次に、NAT を使用するネットワークで PfR がスタティック ルーティングによりトラフィックを制御できるようにマスター コントローラを設定する例を示します。この例では、NAT 変換の IP アドレスのプールを使用する方法を示します。

図 2 PfR および NAT ネットワークの図

図 2 では、2 種類の ISP を介してインターネットに接続されるマスター コントローラとボーダー ルータの組み合わせが使用されています。次の設定では、PfR は、内部ユーザのインターネットへのアクセスを許可しつつ、トラフィック クラスを最適化できます。この例では、NAT を使用して変換されるトラフィック クラスは、アクセス リストおよびルート マップを使用して指定されます。次に、NAT 変換で IP アドレスのプールを使用するように設定されます。また、 pfr キーワードが ip nat inside source コマンドに追加され、既存のトラフィック クラスが NAT により変換された送信元アドレスであるインターフェイスを経由するように PfR を設定します。新しい NAT 変換には、PfR がパケットに選択したインターフェイスの IP アドレスを指定できます。

（注） PfR スタティック ルーティング NAT ソリューションは、シングル ボックス ソリューションであるため、NAT を使用し PfR で管理される複数のルータでのインターフェイスの設定はサポートされていません。

関連資料

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアル内の例、コマンド出力、ネットワーク トポロジ図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際のアドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

Copyright © 2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2010-2011, シスコシステムズ合同会社.
All rights reserved.