IP アドレッシング：NAT コンフィギュレーション ガイド、Cisco IOS XE Release 3S（ASR 1000）

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このマニュアルの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

ファイアウォールがピンホールを開き、NAT は、アプリケーション層データ ストリームで送信元および宛先 IP アドレスを伝送しない TCP または UDP トラフィックで変換サービスを実行します。 IP アドレス情報を埋め込む特定のプロトコルまたはアプリケーションには、ALG のサポートが必要です。

セッション開始プロトコル（SIP）トランクは、SIP を使用した IP ネットワーク経由での IP PBX からサービス プロバイダーへの直接接続です。 SIP トランクには、多数の同時発生コールが存在できます。 コール セットアップ プロセス中、すべてのコールは、コールの確立に同じ制御チャネルを使用します。 複数のコールが、コール セットアップに同じ制御チャネルを使用します。 同じ制御チャネルが複数のコールで使用される場合、制御チャネル セッションに保存されているステートフル情報の信頼性が失われます。 SIP ステートフル情報は、メディア データを送信するためにクライアントおよびサーバのエンドポイントで使用される IP アドレスやポート番号などのメディア チャネル情報で構成されます。 メディア チャネル情報は、ファイアウォールおよび NAT で、D チャネル用のファイアウォール ピンホールおよびネットワーク アドレス変換（NAT）ドアをそれぞれ作成するために使用されます。 複数のコールがコール セットアップに同じ制御チャネルを使用するため、メディア データのセットが複数存在します。

SIP トランクでは、複数のコールが同じファイアウォールおよび NAT セッションを共有します。 NAT およびファイアウォールでは、SIP パケットの 5 タプル（送信元アドレス、宛先アドレス、送信元ポート、宛先ポート、およびプロトコル）を使用して、SIP セッションを識別および管理します。 5 タプルを使用してコールを識別および照合する従来の方法では、SIP トランキングが完全にはサポートされません。そのため、多くの場合、レイヤ 7 データのメモリ リークやコールの照合の問題が発生します。

他のアプリケーション レベル ゲートウェイ（ALG）とは対照的に、SIP ALG では、通常の SIP コールおよび SIP トランクに埋め込まれている SIP コールに含まれるすべてのメディア関連情報を保存するために、ローカル データベースを使用して SIP レイヤ 7 データを管理します。 SIP ALG では、SIP メッセージに含まれる Call-ID ヘッダー フィールドを使用して、コールの照合のためにローカル データベースを検索したり、コールを管理および終了したりします。 Call-ID ヘッダー フィールドは、同じ SIP ダイアログに属するメッセージを識別するダイアログ ID です。

SIP ALG では、コール ID を使用して、ローカル データベースでの検索およびメモリ リソースの管理を行います。 SIP ALG がレイヤ 7 データ レコードをデータベースから解放できない特定のシナリオでは、データベース内にコール レコードが残っていないことを確認するために、セッション タイマーを使用してリソースが管理および解放されます。

（注）	すべてのレイヤ 7 データはローカル データベースを使用して SIP ALG により管理されるため、SIP ALG が SIP レイヤ 7 データを解放するためにファイアウォールおよび NAT で応答することはありません。SIP ALG 自身がデータを解放します。 すべての NAT 変換およびファイアウォール セッションをクリアするために clear コマンドを使用する場合、ローカル データベース内の SIP レイヤ 7 データは解放されません。

セッション開始プロトコル（SIP）INVITE 要求には、Via ヘッダー フィールドが含まれます。 Via ヘッダー フィールドは、SIP 要求が通過するトランスポート パスを示します。 Via ヘッダーには、後続の SIP 応答のリターン パスに関する情報も含まれています。これには、応答メッセージが送信される IP アドレスとポートが含まれます。

SIP ALG では、受信した各 SIP 要求の Via ヘッダー フィールドの最初の値に基づいて、ファイアウォール ピンホールまたはネットワーク アドレス変換（NAT）ドアを作成します。ただし、確認応答（ACK）メッセージは除きます。 ポート番号情報が最初の Via ヘッダーに含まれていない場合、ポート番号は 5060 と想定されます。

NAT およびファイアウォールに対する SIP ALG 強化機能では、セッション開始プロトコル（SIP）アプリケーション レベル ゲートウェイ（ALG）統計で、次の方式の詳細ロギングをサポートします。

• PUBLISH
• OPTIONS
• 1XX（100、180、183 を除く）
• 2XX（200 を除く）

SIP ALG 統計に記録される既存の SIP 方式には、ACK、BYE、CANCEL、INFO、INVITE、MESSAGE、NOTIFY、REFER、REGISTER、SUBSCRIBE、および 1XX-6XX があります。

セッション開始プロトコル（SIP）では、最終応答と暫定応答の 2 種類の応答が定義されています。 最終応答では要求の処理結果が伝達され、信頼性の高い方法で送信されます。 一方、暫定応答では要求処理の進行状況に関する情報が伝えられ、信頼性の高い方法では送信されません。

Provisional Response Acknowledgement（PRACK）は、暫定応答用の確認応答（ACK）システムを提供する SIP 方式です。 PRACK を使用すると、SIP エンドポイント間の SIP の暫定応答を確実に交換できます。 SIP の信頼性の高い暫定応答は、メディア情報が交換され、リソース予約がコールの接続前に実行できるようにします。

SIP は、接続ネゴシエーション中に、セッション記述プロトコル（SDP）の接続、メディア、および属性のフィールドを使用します。 SIP アプリケーション レベル ゲートウェイ（ALG）は、PRACK メッセージ内の SDP 情報をサポートします。 メディア情報が PRACK メッセージ内に存在する場合、SIP ALG はメディア情報を取得して処理します。 また、SIP ALG は後続のメディア ストリームでのメディア チャネルの作成を行います。 SIP ALG では、PRACK メッセージ内の SDP 情報に基づいて、ファイアウォール ピンホールおよび NAT ドアを作成します。

Record-Route ヘッダー フィールドは、セッション開始プロトコル（SIP）プロキシによって SIP 要求に追加され、SIP ダイアログにおける将来の要求がプロキシ経由でルーティングされるよう強制します。 これにより、ダイアログ内で送信されるメッセージはすべての SIP プロキシを経由し、SIP 要求に Record-Route ヘッダー フィールドが追加されます。 Record-Route ヘッダー フィールドには、プロキシを識別する、グローバルに到達可能な Uniform Resource Identifier（URI）が含まれます。

SIP アプリケーション レベル ゲートウェイ（ALG）は Contact ヘッダーを解析し、Contact ヘッダー内の IP アドレスおよびポート値を使用して、ファイアウォール ピンホールおよびネットワーク アドレス変換（NAT）ドアを作成します。 さらに、SIP ALG では、プロキシ経由でルーティングされる将来のメッセージ用にファイアウォール ピンホールおよび NAT ドアを作成するための Record-Route ヘッダーの解析をサポートします。

Record-Route ヘッダーを解析することにより、SIP ALG では次のシナリオをサポートします。

• Cisco ASR 1000 アグリゲーション サービス ルータが、2 つのプロキシ間に配置されます。
• Cisco ASR 1000 アグリゲーション サービス ルータが、ユーザ エージェント クライアント（UAC）とプロキシの間に配置されます。
• Cisco ASR 1000 アグリゲーション サービス ルータが、プロキシとユーザ エージェント サーバ（UAS）の間に配置されます。
• クライアントとサーバの間にプロキシが存在しません。 このシナリオではレコードのルーティングは行われません。

1.    enable


2.    configure terminal


3.    ip nat service sip {tcp | udp} port port-number


4.    end

Device> enable

Device# configure terminal

Device(config)# ip nat service sip tcp port 5060

Device(config)# end

1.    enable


2.    configure terminal


3.    class-map type inspect match-any class-map-name


4.    match protocol protocol-name


5.    exit


6.    policy-map type inspect policy-map-name


7.    class type inspect class-map-name


8.    inspect


9.    exit


10.    class class-default


11.    end

Device> enable

Device# configure terminal

Device(config)# class-map type inspect match-any sip-class1

Device(config-cmap)# match protocol sip

Device(config-cmap)# exit

Device(config)# policy-map type inspect sip-policy

Device(config-pmap)# class type inspect sip-class1

Device(config-pmap-c)# inspect

Device(config-pmap-c)# exit

Device(config-pmap)# class class-default

Device(config-pmap)# end

1.    enable


2.    configure terminal


3.    zone security {zone-name | default}


4.    exit


5.    zone security {zone-name | default}


6.    exit


7.    zone-pair security zone-pair-name [source {source-zone-name | self | default} destination [destination-zone-name | self | default]]


8.    service-policy type inspect policy-map-name


9.    exit


10.    interface type number


11.    zone-member security zone-name


12.    exit


13.    interface type number


14.    zone-member security zone-name


15.    end

Device> enable

Device# configure terminal

Device(config)# zone security zone1

Device(config-sec-zone)# exit 

Device(config)# zone security zone2

Device(config-sec-zone)# exit 

Device(config)# zone-pair security in-out source zone1 destination zone2

Device(config-sec-zone-pair)# service-policy type inspect sip-policy 

Device(config-sec-zone-pair)# exit 

Device(config)# interface gigabitethernet 0/0/0

Device(config-if)# zone-member security zone1

Device(config-if)# exit 

Device(config)# interface gigabitethernet 0/1/1

Device(config-if)# zone-member security zone2

Device(config-if)# end