IP アドレッシング：NAT コンフィギュレーション ガイド、Cisco IOS XE Release 3S（ASR 1000）

IPsec は、オープン標準のフレームワークに含まれる IP プロトコル ファミリへの拡張セットで、インターネット上でプライベートな会話をセキュアに行えるようにするためにあります。 IETF により開発された標準に基づいて、IPsec はパブリック ネットワーク上でのデータ通信の機密性、整合性、および信頼性を保証し、暗号化によるセキュリティ サービスを提供します。

2 台のルータなど、2 つのピアの間にセキュリティ トンネルが提供され、どのパケットの機密性が高く、これらのセキュアなトンネル経由で送信されるべきと見なされるか、また、これらのトンネルの特徴を指定して、このような機密性の高いパケットを保護するにはどのパラメータを使用すべきかが判断されます。 IPsec ピアは機密性の高いパケットを受信すると、適切でセキュアなトンネルを設定し、このトンネルを通じてパケットをリモート ピアに送信します。

カプセル化セキュリティ ペイロード（ESP）を使用する IPsec は、Network Address Port Translation（NAPT）、またはアドレス オーバーロードが設定されていない限り、特別なサポートなしに、NAT を実行しているルータを通過することができます。

複数のプライベート内部 IP アドレスを 1 つのパブリック外部 IP アドレスとして表した NAPT デバイスを通過する IPsec VPN 接続を行うときに、考慮しなければならない要因がいくつかあります。 このような要因には、VPN サーバおよびクライアントの能力、NAPT デバイスの能力、NAPT デバイス上で同時に複数の接続が行われているかどうかが含まれます。

ルータに NAPT を使用する IPsec を設定する方法には、次の 2 通りがあります。

• TCP や UDP のようなレイヤ 4 プロトコルに IPsec をカプセル化する。 この場合、IPsec は NAT を忍び出ることができます。 NAT デバイスはカプセル化に気づきません。
• IPsec 固有のサポートを NAPT に追加します。 この場合、IPsec は、NAT を忍び出るのとは逆の働きをします。 IPSec ESP の NAT サポート：フェーズ II 機能は、インターネット キー交換（IKE）および ESP をサポートします。NAPT で設定された Cisco IOS ルータを通じたトンネル モードでカプセル化する必要はありません。

NAPT デバイスを経由する IPsec セッションを実行する場合は、TCP および UDP を使用することをお勧めします。 ただし、すべての VPN サーバまたはクライアントで TCP または UDP がサポートされるわけではありません。

SIP は、IETF Multiparty Multimedia Session Control（MMUSIC）Working Group により開発されたプロトコルです。 Cisco SIP 機能は Cisco ルータが IP ネットワーク経由した音声通話およびマルチメディア通話のセットアップを通知できるようにします。 SIP は、VoIP インターネットワーキング ソフトウェアの H.323 に代わるものです。

セッション記述プロトコル（SDP）は、マルチメディア セッションを記述するためのプロトコルです。 SDP は、SIP メッセージの本文で、複数のユーザが参加するマルチメディア セッションの作成および制御のために使用されるマルチメディア セッションを記述するために使用できます。

SIP に対する NAT サポート機能により、NAT を使って設定されたルータを通過する SIP 埋め込みメッセージは、変換後、パケットに暗号化されます。 SIP または SDP メッセージの変換には、NAT とともに ALG が使用されます。

（注）	デフォルトでは、SIP のサポートはポート 5060 でイネーブルになっています。 したがって、NAT 対応デバイスはこのポートのパケットをすべて、SIP コール メッセージと解釈します。 同じシステムにある別のアプリケーションがポート 5060 を使用してパケットを送信している場合、NAT サービスはこのパケットを SIP コール メッセージとして解釈しようとするため、このパケットが破損する可能性があります。

Cisco IOS NAT は、Registration, Admission, and Status（RAS）プロトコルで送信されたものを含め、H.225 および H.245 メッセージ タイプをすべてサポートしています。 RAS は、ソフトウェア クライアントや VoIP デバイスにより、場所の登録、通話のセットアップ サポートの要求、および帯域幅の制御に使用される多数のメッセージを提供します。 RAS メッセージは、H.323 ゲートキーパーに向けて送信されます。

一部の RAS メッセージには、ペイロードに IP アドレス情報が含まれていますが、これは通常、ゲートキーパーへのユーザの登録、または別の登録済みユーザに関する情報の取得を意図したものです。 このようなメッセージが NAT に認識されない場合、誰にでも確認できる IP アドレスには変換されません。

Cisco IOS Release 12.2(2)T 以降のリリースでは、埋め込み IP アドレスがアドレス変換される可能性があるかどうかを検査できるようになりました。 Cisco IOS Release 12.2(2)T よりも前では、NAT で H.323 v2 RAS メッセージはサポートされていませんでした。

H.323 は、パケット ネットワーク経由でのオーディオ、ビデオ、およびデータ送信に関する ITU-T 仕様です。 NAT は、バージョン 1、バージョン 2、バージョン 3、およびバージョン 4 の 4 つのバージョンの H.323 プロトコルをサポートします。 v2 互換モードでの H.323 v3 および v4 に対する NAT サポート機能を使用すると、H.323 バージョン 3 およびバージョン 4 でコード化されたメッセージに H.323 バージョン 2 と互換性を持つフィールドが含まれている場合に、NAT ルータでこれらのメッセージをサポートできるようになります。 この機能では、アドレス変換を必要とする新しいメッセージ タイプまたは新しいフィールドなどの H.323 バージョン 3 およびバージョン 4 で導入された H.323 機能はサポートされません。

NAT H.245 トンネリングのサポート機能では、H.323 ALG で H.245 トンネリングをサポートします。 H.245 トンネリングでは、メディア チャネル設定を作成するために必要な H.245 トンネル メッセージをサポートしています。

H.323 コールを行うには、TCP ポート 1720 で H.225 接続を開く必要があります。 H.225 接続が開かれると、H.245 セッションが開始され、確立されます。 H.323 接続は H.225 とは異なるチャネルで行うことができます。また、H.245 メッセージを H.225 メッセージに埋め込み、以前に確立された H.225 チャネルに送信することにより、同じ H.225 チャネル上で H.245 トンネリングを使用して行うこともできます。

H.245 トンネル型メッセージが NAT で理解されない場合、メディア アドレスおよびポート番号は NAT により変換されず、メディア トラフィックが失敗します。 H.245 トンネル型メッセージが NAT によって理解されない場合、H.245 FastConnect プロシージャは役に立ちません。これは、H.245 トンネル型メッセージが送信されるとすぐに、FastConnect が終了するためです。

Cisco IP Phone は、Cisco CallManager との接続、および登録に SCCP を使用します。

スケーラブルな環境で、IP Phone と Cisco CallManager の間に Cisco IOS NAT を設定できるようにするには、NAT は SCCP を検出し、メッセージで渡される情報を理解できなければなりません。 電話での通話が可能な他の IP Phone ユーザの識別に使用される IP アドレスやポート情報を含むメッセージは両方向に行き来します。

Cisco CallManager 通信を行う SCCP クライアントは通常、内部から外部へ向かって進みます。 Cisco CallManager が内部（NAT デバイスの背後）にある場合、Cisco CallManager IP アドレス接続を解決するには、ドメイン ネーム システム（DNS）を使用する必要があります。それ以外の場合は、内部にある Cisco CallManager にアクセスするようにスタティック NAT を設定する必要があります。

Cisco CallManager への接続を試みた IP Phone が設定済み NAT 規則と一致する場合、NAT はもともとの送信元 IP アドレスを変換して、設定済みプールにある IP アドレスで置き換えます。 この新しいアドレスは Cisco CallManager に反映され、他の IP Phone ユーザから確認できるようになります。

Skinny Client Control Protocol（SCCP）メッセージ（スキニー制御メッセージとも呼ばれます）は、TCP 経由で交換されます。 IP Phone、または Cisco Unified CallManager のいずれかの TCP 最大セグメント サイズ（MSS）がスキニー制御メッセージのペイロードを下回るように設定されている場合、スキニー制御メッセージは、複数の TCP セグメントに分割されます。 この機能が導入される前は、NAT スキニー ALG でスキニー制御メッセージを再構成できなかったため、TCP セグメンテーション中にスキニー制御メッセージの交換が失敗していました。 SCCP フラグメンテーションの NAT サポート機能は、NAT スキニー ALG の TCP セグメントに対するサポートを追加する機能です。これにより、IP 変換やポート変換を必要とする、分割されたペイロードがドロップされなくなります。

また、Virtual Fragmentation Reassembly（VFR）を使用して、スキニー制御メッセージを IP 分割することもできます。

Cisco IOS Release 15.1(3)T またはそれ以降のリリースでは、NAT はバージョン 17 以降の SCCP 電話で機能します。

レイヤ 4 フォワーディングを使った NAT セグメンテーション機能は、H.323、Skinny Client Control Protocol（SCCP）、および TCP ドメイン ネーム システム（DNS）プロトコル用に実装された機能です。 NAT は、複数のパケットに分割された H.323、SCCP、または TCP DNS メッセージの処理をサポートします。

レイヤ 4 フォワーディング、または TCP プロキシは、シーケンス番号の並べ替え、パケット内の番号の確認、最大セグメント サイズ（MSS）を超える変換後パケットの再分割、パケット損失の場合の再送信などのセッションを処理します。 また、レイヤ 4 フォワーディングは順番に並んでいないパケットの処理も行います。このようなパケットはバッファされ、ドロップされません。 レイヤ 4 フォワーディングは受信したパケットをバッファし、順番に並んだパケットが使用できるようになったときに、NAT ALG に知らせます。また、受信したパケットについてエンド ホストに確認応答を送信し、NAT ALG から受信した変換後パケットを、出力パケット パスに送信します。

1.    enable


2.    configure terminal


3.    ip nat service skinny tcp port number

Router> enable

Router# configure terminal

Router(config)# ip nat service skinny tcp port 20002