IP アドレッシング：NAT コンフィギュレーション ガイド、Cisco IOS XE Release 3S（ASR 1000）

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

IP アドレッシング：NAT コンフィギュレーション ガイド、Cisco IOS XE Release 3S（ASR 1000）

Chapter Title

ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート

検索結果

Updated:
2017年6月22日

章のタイトル： ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート

目次

ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート機能では、パケット処理のための、スタンバイ冗長グループからアクティブ冗長グループへのパケットの転送をサポートします。 この機能がイネーブルでない場合、最初の同期（SYN）メッセージを受け取らなかったルータに転送された戻り TCP パケットはドロップされます。これらのパケットは、既知のセッションに属していないためです。

このモジュールでは、非対称ルーティングの概要と、非対称ルーティングの設定方法について説明します

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このマニュアルの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの制約事項

  • マルチプロトコル ラベル スイッチング（MPLS）および VPN 経由の非対称ルーティングはサポートされません。
  • 仮想 IP アドレスおよび仮想 MAC（VMAC）アドレスを使用する LAN では、非対称ルーティングをサポートしません。
  • VPN ルーティングおよび転送（VRF）はサポートされません。

ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートについて

非対称ルーティングの概要

非対称ルーティングは、TCP または UDP 接続の複数のパケットが、異なるルートを経由して異なる方向に送信される場合に発生します。 非対称ルーティングでは、単一の TCP または UDP 接続に属しているパケットは、冗長グループ（RG）内の 1 つのインターフェイスを経由して転送され、同じ RG 内の別のインターフェイスを経由して戻されます。 非対称ルーティングでは、パケット フローは同じ RG 内にあります。 非対称ルーティングを設定する場合、スタンバイ RG で受信したパケットは処理のためにアクティブ RG にリダイレクトされます。 非対称ルーティングが設定されていない場合、スタンバイ RG で受信されたパケットがドロップされる可能性があります。

非対称ルーティングによって、特定のトラフィック フロー用の RG が決定されます。 RG のステートはパケット処理の決定において不可欠です。 RG がアクティブの場合、通常のパケット処理が実行されます。 RG がスタンバイ ステートにあり、非対称ルーティングおよび asymmetric-routing always-divert enable コマンドが設定されている場合、パケットはアクティブ RG に転送されます。 スタンバイ RG から受信したパケットを常にアクティブ RG に転送するには、asymmetric-routing always-divert enable コマンドを使用します。

以下の図は、異なる非対称ルーティング インターリンク インターフェイスによりパケットをアクティブ RG に転送する非対称ルーティング シナリオを示しています。

図 1. 非対称ルーティング シナリオ

非対称ルーティングには、次のルールが適用されます。

  • 冗長インターフェイス ID（RII）とインターフェイスの間には 1 対 1 マッピングが存在します。
  • インターフェイスと RG の間には、1 対 n マッピングが存在します。 （インターフェイスは、複数の RG を持つことができます）
  • RG とそれを使用するアプリケーションの間には、1 対 n マッピングが存在します （複数のアプリケーションが同じ RG を使用できます）。
  • RG とトラフィック フローの間には、1 対 1 マッピングが存在します。 トラフィック フローは、単一 RG にのみマッピングする必要があります。 トラフィック フローが複数の RG にマッピングされると、エラーが発生します。
  • インターリンクに、すべての RG インターリンク トラフィックをサポートするだけの十分な帯域幅があれば、RG および非対称ルーティング インターリンク間に 1 対 1 または 1 対 n のマッピングが存在できます。

非対称ルーティングは、転送されるすべてのトラフィックを処理するインターリンク インターフェイスで構成されます。 非対称ルーティング インターリンク インターフェイスには、転送が予期されるすべてのトラフィックを処理するために十分な大きさの帯域幅が必要です。 IPv4 アドレスは非対称ルーティング インターリンク インターフェイス上で設定する必要があり、非対称ルーティング インターフェイスの IP アドレスはこのインターフェイスからアクセス可能である必要があります。


（注）  

非対称ルーティング インターリンク インターフェイスは、インターリンク トラフィックにのみ使用し、ハイ アベイラビリティ（HA）コントロールまたはデータ インターフェイスとは共有しないことをお勧めします。これは、非対称ルーティング インターリンク インターフェイス上のトラフィック量が非常に大きくなる場合があるためです。

ファイアウォールでの非対称ルーティング サポート

ボックス内非対称ルーティング サポートのために、ファイアウォールでは、インターネット制御メッセージ プロトコル（ICMP）、TCP、および UDP パケットのステートフル レイヤ 3 およびレイヤ 4 インスペクションを行います。 ファイアウォールは、パケットのウィンドウ サイズと順序を検証することにより、TCP パケットのステートフル インスペクションを実行します。 ステートフル インスペクション用に、ファイアウォールでは、トラフィックの双方向からのステート情報も必要とします。 ファイアウォールが行う ICMP 情報フローのインスペクションは限定的です。 ICMP エコー要求および応答に関連付けられているシーケンス番号が確認されます。 ファイアウォールでスタンバイ冗長グループ（RG）とパケット フローの同期が行われるのは、そのパケットに対してセッションが確立された後です。 確立されるセッションは、TCP、UDP の 2 番目のパケット、および ICMP の情報メッセージに対するスリーウェイ ハンドシェイクです。 すべての ICMP フローがアクティブ RG に送信されます。

ファイアウォールにより、ICMP、TCP、および UDP プロトコルに属さないパケットについて、ポリシーのステートレスな検証が行われます。

ファイアウォールは、いつパケット フローをエージング アウトするかの判別に双方向トラフィックを利用し、検査済みのパケット フローをすべてアクティブ RG に転送します。 パス ポリシーを持つパケット フローおよびポリシーおよびドロップ ポリシーのない同じゾーンを含むパス ポリシーは転送されません。


（注）  

ファイアウォールでは、スタンバイ RG で受信したパケットをアクティブ RG に転送する asymmetric-routing always-divert enable コマンドをサポートしていません。 デフォルトでは、ファイアウォールはすべてのパケット フローを強制的にアクティブ RG に転送します。

NAT の非対称ルーティング

非対称ルーティングが設定されている場合、ネットワーク アドレス変換（NAT）のデフォルトでは、非 ALG パケットはアクティブ RG に転送するのではなく、スタンバイ RG で処理します。 NAT のみの設定（ファイアウォールが設定されていない場合）では、パケットの処理にアクティブおよびスタンバイ両方の RG を使用できます。 NAT のみの設定があり、非対称ルーティングを設定している場合のデフォルトの非対称ルーティング ルールは、NAT ではスタンバイ RG でパケットを選択的に処理する、というものです。 スタンバイ RG で受信したパケットをアクティブ RG に転送するには、asymmetric-routing always-divert enable コマンドを設定します。 または、NAT とともにファイアウォールを設定している場合のデフォルトの非対称ルーティング ルールは、常にパケットをアクティブ RG に転送する、というものです。

NAT がスタンバイ RG でパケットを受信したときに、パケットの転送が設定されていない場合、NAT では検索を実行してそのパケットのセッションが存在するかどうかを確認します。 セッションが存在し、そのセッションに関連付けられた ALG がない場合、NAT はスタンバイ RG でパケットを処理します。 セッションが存在している場合、スタンバイ RG でのパケットの処理によって、NAT トラフィックの帯域幅が大幅に増加します。

ALG は、ペイロードを識別および変換し、子フローを作成するために、NAT により使用されます。 ALG が正しく機能するには、双方向トラフィックが必要です。 NAT では、ALG に関連付けられているすべてのパケット フローで、すべてのトラフィックをアクティブ RG に転送する必要があります。 これは、セッションに関連付けられている ALG データがスタンバイ RG で検出されるかどうかを確認することによって行われます。 ALG データが存在する場合、非対称ルーティングのためにパケットが転送されます。

WAN-LAN トポロジでの非対称ルーティング

非対称ルーティングでサポートされるのは、WAN-LAN トポロジのみです。 WAN-LAN トポロジでは、デバイスは内部では LAN インターフェイスを介して接続され、外部では WAN インターフェイスを介して接続されます。 WAN リンク経由で受信したリターン トラフィックのルーティングは制御されません。 非対称ルーティングでは、WAN-LAN トポロジ内の WAN リンク経由で受信したリターン トラフィックのルーティングを制御します。 以下の図は、WAN-LAN トポロジを示しています。
図 2. WAN-LAN トポロジでの非対称ルーティング

ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの設定方法

冗長アプリケーション グループおよび冗長グループ プロトコルの設定

冗長グループは、次の設定要素で構成されます。
  • 各オブジェクトの優先度の減少量。
  • 優先度を減少させる障害（オブジェクト）
  • フェールオーバー優先度
  • フェールオーバーしきい値
  • グループ インスタンス
  • グループ名
  • 初期化遅延タイマー
手順の概要

    1.    enable

    2.    configure terminal

    3.    redundancy

    4.    application redundancy

    5.    group id

    6.    name group-name

    7.    priority value [failover threshold value]

    8.    preempt

    9.    track object-number decrement number

    10.    exit

    11.    protocol id

    12.    timers hellotime {seconds | msec msec} holdtime {seconds | msec msec}

    13.    authentication {text string | md5 key-string [0 | 7] key [timeout seconds] | key-chain key-chain-name}

    14.    bfd

    15.    end


手順の詳細
      コマンドまたはアクション 目的
    ステップ 1 enable


    例： 
    Device> enable
     
    特権 EXEC モードをイネーブルにします。
    • プロンプトが表示されたら、パスワードを入力します。
     
    ステップ 2 configure terminal


    例： 
    Device# configure terminal
     

    グローバル コンフィギュレーション モードを開始します。

     
    ステップ 3 redundancy


    例： 
    Device(config)# redundancy
     

    冗長コンフィギュレーション モードを開始します。

     
    ステップ 4 application redundancy


    例： 
    Device(config-red)# application redundancy
     

    アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

     
    ステップ 5 group id


    例： 
    Device(config-red-app)# group 1
     

    冗長グループを設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

     
    ステップ 6 name group-name


    例： 
    Device(config-red-app-grp)# name group1
     

    プロトコル インスタンスに任意のエイリアスを指定します。

     
    ステップ 7 priority value [failover threshold value]


    例： 
    Device(config-red-app-grp)# priority 100 failover threshold 50
     

    冗長グループの初期優先度とフェールオーバーしきい値を指定します。

     
    ステップ 8 preempt


    例： 
    Device(config-red-app-grp)# preempt
     
    冗長グループに対するプリエンプションをイネーブルにし、スタンバイ デバイスがアクティブ デバイスをプリエンプション処理できるようにします。
    • スタンバイ デバイスによりプリエンプション処理が行われるのは、その優先度がアクティブ デバイスの優先度より高い場合のみです。
     
    ステップ 9 track object-number decrement number


    例： 
    Device(config-red-app-grp)# track 50 decrement 50
     

    冗長グループの優先度値を指定します。この値は、追跡対象のオブジェクトでイベントが発生した場合に減らされます。

     
    ステップ 10 exit


    例： 
    Device(config-red-app-grp)# exit
     

    冗長アプリケーション グループ コンフィギュレーション モードを終了し、冗長アプリケーション コンフィギュレーション モードを開始します。

     
    ステップ 11 protocol id


    例： 
    Device(config-red-app)# protocol 1
     

    コントロール インターフェイスに接続されるプロトコル インスタンスを指定し、冗長アプリケーション プロトコル コンフィギュレーション モードを開始します。

     
    ステップ 12 timers hellotime {seconds | msec msec} holdtime {seconds | msec msec}


    例： 
    Device(config-red-app-prtcl)# timers hellotime 3 holdtime 10
     
    hello メッセージが送信される間隔と、デバイスがダウン状態と宣言されるまでの時間を指定します。
    • holdtime は、hellotime の 3 倍以上にする必要があります。
     
    ステップ 13 authentication {text string | md5 key-string [0 | 7] key [timeout seconds] | key-chain key-chain-name}


    例： 
    Device(config-red-app-prtcl)# authentication md5 key-string 0 n1 timeout 100
     

    認証情報を指定します。

     
    ステップ 14 bfd


    例： 
    Device(config-red-app-prtcl)# bfd
     
    双方向フォワーディング検出（BFD）を使用してコントロール インターフェイスで実行されているフェールオーバー プロトコルを統合し、ミリ秒単位での障害検出を達成できるようにします。
    • BFD はデフォルトでイネーブルになっています。
     
    ステップ 15 end


    例： 
    Device(config-red-app-prtcl)# end
     

    冗長アプリケーション プロトコル コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

     

    データ、コントロール、および非対称ルーティング インターフェイスの設定

    この作業では、次の冗長グループ（RG）要素を設定します。
    • コントロール インターフェイスとして使用されるインターフェイス。
    • データ インターフェイスとして使用されるインターフェイス。
    • 非対称ルーティングに使用されるインターフェイス。 これはオプションのタスクです。 この作業は、ネットワーク アドレス変換（NAT）に非対称ルーティングを設定する場合にのみ実行します。

    （注）  

    ゾーンベースのファイアウォールについて、非対称ルーティング、データ、およびコントロールは、別個のインターフェイスに設定する必要があります。 ただし、ネットワーク アドレス変換（NAT）については、非対称ルーティング、データ、およびコントロールを同じインターフェイスに設定できます。

    手順の概要

      1.    enable

      2.    configure terminal

      3.    redundancy

      4.    application redundancy

      5.    group id

      6.    data interface-type interface-number

      7.    control interface-type interface-number protocol id

      8.    timers delay seconds [reload seconds]

      9.    asymmetric-routing interface type number

      10.    asymmetric-routing always-divert enable

      11.    end


    手順の詳細
        コマンドまたはアクション 目的
      ステップ 1 enable


      例： 
      Device> enable
       
      特権 EXEC モードをイネーブルにします。
      • パスワードを入力します（要求された場合）。
       
      ステップ 2 configure terminal


      例： 
      Device# configure terminal
       

      グローバル コンフィギュレーション モードを開始します。

       
      ステップ 3 redundancy


      例： 
      Device(config)# redundancy
       

      冗長コンフィギュレーション モードを開始します。

       
      ステップ 4 application redundancy


      例： 
      Device(config-red)# application redundancy
       

      アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

       
      ステップ 5 group id


      例： 
      Device(config-red-app)# group 1
       

      冗長グループ（RG）を設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

       
      ステップ 6 data interface-type interface-number


      例： 
      Device(config-red-app-grp)# data GigabitEthernet 0/0/1
       

      RG よりに使用されるデータ インターフェイスを指定します。

       
      ステップ 7 control interface-type interface-number protocol id


      例： 
      Device(config-red-app-grp)# control GigabitEthernet 1/0/0 protocol 1
       
      RG により使用されるコントロール インターフェイスを指定します。
      • コントロール インターフェイスは、コントロール インターフェイス プロトコルのインスタンスにも関連付けられます。
       
      ステップ 8 timers delay seconds [reload seconds]


      例： 
      Device(config-red-app-grp)# timers delay 100 reload 400
       

      障害の発生後またはシステムのリロード後に開始されるロール ネゴシエーションの、RG による遅延時間を指定します。

       
      ステップ 9 asymmetric-routing interface type number


      例： 
      Device(config-red-app-grp)# asymmetric-routing interface GigabitEthernet 0/1/1
       

      RG により使用される非対称ルーティング インターフェイスを指定します。

       
      ステップ 10 asymmetric-routing always-divert enable


      例： 
      Device(config-red-app-grp)# asymmetric-routing always-divert enable
       

      スタンバイ RG から受信したパケットを常にアクティブ RG に転送します。

       
      ステップ 11 end


      例： 
      Device(config-red-app-grp)# end
       

      冗長アプリケーション グループ コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

       

      インターフェイスでの冗長インターフェイス ID および非対称ルーティングの設定


      （注）  
      • データ インターフェイスまたはコントロール インターフェイスとして設定されているインターフェイスには、冗長インターフェイス ID（RII）は設定しないでください。
      • RII および非対称ルーティングは、アクティブおよびスタンバイ両方のデバイスに設定する必要があります。
      • 仮想 IP アドレスが設定されているインターフェイスでは、非対称ルーティングはイネーブルにできません。
      手順の概要

        1.    enable

        2.    configure terminal

        3.    interface type number

        4.    redundancy rii id

        5.    redundancy group id [decrement number]

        6.    redundancy asymmetric-routing enable

        7.    end


      手順の詳細
          コマンドまたはアクション 目的
        ステップ 1 enable


        例： 
        Device> enable
         
        特権 EXEC モードをイネーブルにします。
        • パスワードを入力します（要求された場合）。
         
        ステップ 2 configure terminal


        例： 
        Device# configure terminal
         

        グローバル コンフィギュレーション モードを開始します。

         
        ステップ 3 interface type number


        例： 
        Device(config)# interface GigabitEthernet 0/1/3
         

        冗長グループ（RG）に関連付けるインターフェイスを選択し、インターフェイス コンフィギュレーション モードを開始します。

         
        ステップ 4 redundancy rii id


        例： 
        Device(config-if)# redundancy rii 600
         

        冗長インターフェイス ID（RII）を設定します。

         
        ステップ 5 redundancy group id [decrement number]


        例： 
        Device(config-if)# redundancy group 1 decrement 20
         

        RG 冗長トラフィック インターフェイス コンフィギュレーションをイネーブルにし、インターフェイスがダウンした場合の優先度の減少量を指定します。

        （注）     

        非対称ルーティングがイネーブルになっているトラフィック インターフェイスに RG を設定する必要はありません。

         
        ステップ 6 redundancy asymmetric-routing enable


        例： 
        Device(config-if)# redundancy asymmetric-routing enable
         

        各 RG に非対称フロー転送トンネルを確立します。

         
        ステップ 7 end


        例： 
        Device(config-if)# end
         

        インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

         

        非対称ルーティングを使用したダイナミック内部送信元変換の設定

        次の設定は、非対称ルーティングを使用したダイナミック内部送信元変換の例です。 非対称ルーティングは、ダイナミック外部送信元、スタティック内部および外部送信元、およびポート アドレス変換（PAT）内部および外部送信元変換の各タイプの NAT 設定を使用して設定できます。 各タイプの NAT 設定の詳細については、「IP アドレス節約のための NAT 設定」の章を参照してください。

        手順の概要

          1.    enable

          2.    configure terminal

          3.    interface type number

          4.    ip address ip-address mask

          5.    ip nat outside

          6.    exit

          7.    redundancy

          8.    application redundancy

          9.    group id

          10.    asymmetric-routing always-divert enable

          11.    end

          12.    configure terminal

          13.    ip nat pool name start-ip end-ip {mask | prefix-length prefix-length}

          14.    exit

          15.    ip nat inside source list acl-number pool name redundancy redundancy-id mapping-id map-id

          16.    access-list standard-acl-number permit source-address wildcard-bits

          17.    end


        手順の詳細
            コマンドまたはアクション 目的
          ステップ 1 enable


          例： 
          Device> enable
           
          特権 EXEC モードをイネーブルにします。
          • パスワードを入力します（要求された場合）。
           
          ステップ 2 configure terminal


          例： 
          Device# configure terminal
           

          グローバル コンフィギュレーション モードを開始します。

           
          ステップ 3 interface type number


          例： 
          Device(config)# interface gigabitethernet 0/1/3
           

          インターフェイスを設定し、インターフェイス コンフィギュレーション モードを開始します。

           
          ステップ 4 ip address ip-address mask


          例： 
          Device(config-if)# ip address 10.1.1.1 255.255.255.0
           

          インターフェイスのプライマリ IP アドレスを設定します。

           
          ステップ 5 ip nat outside


          例： 
          Device(config-if)# ip nat outside
           

          外部と接続されることを示すマークをインターフェイスに付けます。

           
          ステップ 6 exit


          例： 
          Device(config-if)# exit
           

          インターフェイス コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに入ります。

           
          ステップ 7 redundancy


          例： 
          Device(config)# redundancy
           

          冗長性を設定し、冗長コンフィギュレーション モードを開始します。

           
          ステップ 8 application redundancy


          例： 
          Device(config-red)# application redundancy
           

          アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

           
          ステップ 9 group id


          例： 
          Device(config-red-app)# group 1
           

          冗長グループを設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

           
          ステップ 10 asymmetric-routing always-divert enable


          例： 
          Device(config-red-app-grp)# asymmetric-routing always-divert enable
           

          アクティブ デバイスにトラフィックを転送します。

           
          ステップ 11 end


          例： 
          Device(config-red-app-grp)# end
           

          冗長アプリケーション グループ コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

           
          ステップ 12 configure terminal


          例： 
          Device# configure terminal
           

          グローバル コンフィギュレーション モードを開始します。

           
          ステップ 13 ip nat pool name start-ip end-ip {mask | prefix-length prefix-length}


          例： 
          Device(config)# ip nat pool pool1 prefix-length 24
           
          グローバル アドレスのプールを定義します。
          • IP NAT プール コンフィギュレーション モードを開始します。
           
          ステップ 14 exit


          例： 
          Device(config-ipnat-pool)# exit
           

          IP NAT プール コンフィギュレーション モードを終了します。続いて、グローバル コンフィギュレーション モードを開始します。

           
          ステップ 15 ip nat inside source list acl-number pool name redundancy redundancy-id mapping-id map-id


          例： 
          Device(config)# ip nat inside source list pool pool1 redundancy 1 mapping-id 100
           

          内部送信元アドレスの NAT をイネーブルにし、マッピング ID を使用して NAT を冗長グループに関連付けます。

           
          ステップ 16 access-list standard-acl-number permit source-address wildcard-bits


          例： 
          Device(config)# access-list 10 permit 10.1.1.1 255.255.255.0
           

          変換する内部アドレスの標準のアクセス リストを定義します。

           
          ステップ 17 end


          例： 
          Device(config)# end
           

          グローバル コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

           

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの設定例

          例：冗長アプリケーション グループおよび冗長グループ プロトコルの設定

          Device# configure terminal	
Device(config)# redundancy
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# name group1
Device(config-red-app-grp)# priority 100 failover threshold 50
Device(config-red-app-grp)# preempt
Device(config-red-app-grp)# track 50 decrement 50
Device(config-red-app-grp)# exit
Device(config-red-app)# protocol 1
Device(config-red-app-prtcl)# timers hellotime 3 holdtime 10
Device(config-red-app-prtcl)# authentication md5 key-string 0 n1 timeout 100
Device(config-red-app-prtcl)# bfd
Device(config-red-app-prtcl)# end

          例：データ、コントロール、および非対称ルーティング インターフェイスの設定

          Device# configure terminal
Device(config)# redundancy 
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# data GigabitEthernet 0/0/1
Device(config-red-app-grp)# control GigabitEthernet 1/0/0 protocol 1
Device(config-red-app-grp)# timers delay 100 reload 400 
Device(config-red-app-grp)# asymmetric-routing interface GigabitEthernet 0/1/1 
Device(config-red-app-grp)# asymmetric-routing always-divert enable
Device(config-red-app-grp)# end

          例：インターフェイスでの冗長インターフェイス ID および非対称ルーティングの設定

          Device# configure terminal
Device(config)# interface GigabitEthernet 0/1/3
Device(config-if)# redundancy rii 600
Device(config-if)# redundancy group 1 decrement 20
Device(config-if)# redundancy asymmetric-routing enable 
Device(config-if)# end

          例：非対称ルーティングを使用したダイナミック内部送信元変換の設定

          Device(config)# interface gigabitethernet 0/1/3
Device(config-if)# ip address 10.1.1.1 255.255.255.0
Device(config-if)# ip nat outside
Device(config-if)# exit
Device(config)# redundancy
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# asymmetric-routing always-divert enable
Device(config-red-app-grp)# end
Device# configure terminal
Device(config)# ip nat pool pool1 prefix-length 24
Device(config-ipnat-pool)# exit
Device(config)# ip nat inside source list pool pool1 redundancy 1 mapping-id 100
Device(config)# access-list 10 permit 10.1.1.1 255.255.255.0

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートに関するその他の関連資料

          関連資料

          関連項目

          マニュアル タイトル

          Cisco IOS コマンド

          『Cisco IOS Master Command List, All Releases』

          セキュリティ コマンド

          ファイアウォール シャーシ間冗長化

          「Configuring Firewall Stateful Inter-Chassis Redundancy」モジュール

          NAT シャーシ間冗長化

          「Configuring Stateful Inter-Chassis Redundancy」モジュール

          シスコのテクニカル サポート

          説明

          リンク

          シスコのサポートおよびドキュメンテーション Web サイトでは、ダウンロード可能なマニュアル、ソフトウェア、ツールなどのオンライン リソースを提供しています。 これらのリソースは、ソフトウェアをインストールして設定したり、シスコの製品やテクノロジーに関する技術的問題を解決したりするために使用してください。 この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。

          http:/​/​www.cisco.com/​cisco/​web/​support/​index.html

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの機能情報

          次の表に、このモジュールで説明した機能に関するリリース情報を示します。 この表は、ソフトウェア リリース トレインで各機能のサポートが導入されたときのソフトウェア リリースだけを示しています。 その機能は、特に断りがない限り、それ以降の一連のソフトウェア リリースでもサポートされます。

          プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

          表 1 ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの機能情報

          機能名

          リリース

          機能情報

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート

          Cisco IOS XE Release 3.5S

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート機能では、パケット処理のための、スタンバイ冗長グループからアクティブ冗長グループへのパケットの転送をサポートします。

          コマンド asymmetric-routing、 redundancy asymmetric-routing enable が導入または変更されました。

          目次

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート機能では、パケット処理のための、スタンバイ冗長グループからアクティブ冗長グループへのパケットの転送をサポートします。 この機能がイネーブルでない場合、最初の同期（SYN）メッセージを受け取らなかったルータに転送された戻り TCP パケットはドロップされます。これらのパケットは、既知のセッションに属していないためです。

          このモジュールでは、非対称ルーティングの概要と、非対称ルーティングの設定方法について説明します

          機能情報の確認

          ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このマニュアルの最後にある機能情報の表を参照してください。

          プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの制約事項

          • マルチプロトコル ラベル スイッチング（MPLS）および VPN 経由の非対称ルーティングはサポートされません。
          • 仮想 IP アドレスおよび仮想 MAC（VMAC）アドレスを使用する LAN では、非対称ルーティングをサポートしません。
          • VPN ルーティングおよび転送（VRF）はサポートされません。

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートについて

          非対称ルーティングの概要

          非対称ルーティングは、TCP または UDP 接続の複数のパケットが、異なるルートを経由して異なる方向に送信される場合に発生します。 非対称ルーティングでは、単一の TCP または UDP 接続に属しているパケットは、冗長グループ（RG）内の 1 つのインターフェイスを経由して転送され、同じ RG 内の別のインターフェイスを経由して戻されます。 非対称ルーティングでは、パケット フローは同じ RG 内にあります。 非対称ルーティングを設定する場合、スタンバイ RG で受信したパケットは処理のためにアクティブ RG にリダイレクトされます。 非対称ルーティングが設定されていない場合、スタンバイ RG で受信されたパケットがドロップされる可能性があります。

          非対称ルーティングによって、特定のトラフィック フロー用の RG が決定されます。 RG のステートはパケット処理の決定において不可欠です。 RG がアクティブの場合、通常のパケット処理が実行されます。 RG がスタンバイ ステートにあり、非対称ルーティングおよび asymmetric-routing always-divert enable コマンドが設定されている場合、パケットはアクティブ RG に転送されます。 スタンバイ RG から受信したパケットを常にアクティブ RG に転送するには、asymmetric-routing always-divert enable コマンドを使用します。

          以下の図は、異なる非対称ルーティング インターリンク インターフェイスによりパケットをアクティブ RG に転送する非対称ルーティング シナリオを示しています。

          図 1. 非対称ルーティング シナリオ

          非対称ルーティングには、次のルールが適用されます。

          • 冗長インターフェイス ID（RII）とインターフェイスの間には 1 対 1 マッピングが存在します。
          • インターフェイスと RG の間には、1 対 n マッピングが存在します。 （インターフェイスは、複数の RG を持つことができます）
          • RG とそれを使用するアプリケーションの間には、1 対 n マッピングが存在します （複数のアプリケーションが同じ RG を使用できます）。
          • RG とトラフィック フローの間には、1 対 1 マッピングが存在します。 トラフィック フローは、単一 RG にのみマッピングする必要があります。 トラフィック フローが複数の RG にマッピングされると、エラーが発生します。
          • インターリンクに、すべての RG インターリンク トラフィックをサポートするだけの十分な帯域幅があれば、RG および非対称ルーティング インターリンク間に 1 対 1 または 1 対 n のマッピングが存在できます。

          非対称ルーティングは、転送されるすべてのトラフィックを処理するインターリンク インターフェイスで構成されます。 非対称ルーティング インターリンク インターフェイスには、転送が予期されるすべてのトラフィックを処理するために十分な大きさの帯域幅が必要です。 IPv4 アドレスは非対称ルーティング インターリンク インターフェイス上で設定する必要があり、非対称ルーティング インターフェイスの IP アドレスはこのインターフェイスからアクセス可能である必要があります。


          （注）  

          非対称ルーティング インターリンク インターフェイスは、インターリンク トラフィックにのみ使用し、ハイ アベイラビリティ（HA）コントロールまたはデータ インターフェイスとは共有しないことをお勧めします。これは、非対称ルーティング インターリンク インターフェイス上のトラフィック量が非常に大きくなる場合があるためです。

          ファイアウォールでの非対称ルーティング サポート

          ボックス内非対称ルーティング サポートのために、ファイアウォールでは、インターネット制御メッセージ プロトコル（ICMP）、TCP、および UDP パケットのステートフル レイヤ 3 およびレイヤ 4 インスペクションを行います。 ファイアウォールは、パケットのウィンドウ サイズと順序を検証することにより、TCP パケットのステートフル インスペクションを実行します。 ステートフル インスペクション用に、ファイアウォールでは、トラフィックの双方向からのステート情報も必要とします。 ファイアウォールが行う ICMP 情報フローのインスペクションは限定的です。 ICMP エコー要求および応答に関連付けられているシーケンス番号が確認されます。 ファイアウォールでスタンバイ冗長グループ（RG）とパケット フローの同期が行われるのは、そのパケットに対してセッションが確立された後です。 確立されるセッションは、TCP、UDP の 2 番目のパケット、および ICMP の情報メッセージに対するスリーウェイ ハンドシェイクです。 すべての ICMP フローがアクティブ RG に送信されます。

          ファイアウォールにより、ICMP、TCP、および UDP プロトコルに属さないパケットについて、ポリシーのステートレスな検証が行われます。

          ファイアウォールは、いつパケット フローをエージング アウトするかの判別に双方向トラフィックを利用し、検査済みのパケット フローをすべてアクティブ RG に転送します。 パス ポリシーを持つパケット フローおよびポリシーおよびドロップ ポリシーのない同じゾーンを含むパス ポリシーは転送されません。


          （注）  

          ファイアウォールでは、スタンバイ RG で受信したパケットをアクティブ RG に転送する asymmetric-routing always-divert enable コマンドをサポートしていません。 デフォルトでは、ファイアウォールはすべてのパケット フローを強制的にアクティブ RG に転送します。

          NAT の非対称ルーティング

          非対称ルーティングが設定されている場合、ネットワーク アドレス変換（NAT）のデフォルトでは、非 ALG パケットはアクティブ RG に転送するのではなく、スタンバイ RG で処理します。 NAT のみの設定（ファイアウォールが設定されていない場合）では、パケットの処理にアクティブおよびスタンバイ両方の RG を使用できます。 NAT のみの設定があり、非対称ルーティングを設定している場合のデフォルトの非対称ルーティング ルールは、NAT ではスタンバイ RG でパケットを選択的に処理する、というものです。 スタンバイ RG で受信したパケットをアクティブ RG に転送するには、asymmetric-routing always-divert enable コマンドを設定します。 または、NAT とともにファイアウォールを設定している場合のデフォルトの非対称ルーティング ルールは、常にパケットをアクティブ RG に転送する、というものです。

          NAT がスタンバイ RG でパケットを受信したときに、パケットの転送が設定されていない場合、NAT では検索を実行してそのパケットのセッションが存在するかどうかを確認します。 セッションが存在し、そのセッションに関連付けられた ALG がない場合、NAT はスタンバイ RG でパケットを処理します。 セッションが存在している場合、スタンバイ RG でのパケットの処理によって、NAT トラフィックの帯域幅が大幅に増加します。

          ALG は、ペイロードを識別および変換し、子フローを作成するために、NAT により使用されます。 ALG が正しく機能するには、双方向トラフィックが必要です。 NAT では、ALG に関連付けられているすべてのパケット フローで、すべてのトラフィックをアクティブ RG に転送する必要があります。 これは、セッションに関連付けられている ALG データがスタンバイ RG で検出されるかどうかを確認することによって行われます。 ALG データが存在する場合、非対称ルーティングのためにパケットが転送されます。

          WAN-LAN トポロジでの非対称ルーティング

          非対称ルーティングでサポートされるのは、WAN-LAN トポロジのみです。 WAN-LAN トポロジでは、デバイスは内部では LAN インターフェイスを介して接続され、外部では WAN インターフェイスを介して接続されます。 WAN リンク経由で受信したリターン トラフィックのルーティングは制御されません。 非対称ルーティングでは、WAN-LAN トポロジ内の WAN リンク経由で受信したリターン トラフィックのルーティングを制御します。 以下の図は、WAN-LAN トポロジを示しています。
          図 2. WAN-LAN トポロジでの非対称ルーティング

          ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの設定方法

          冗長アプリケーション グループおよび冗長グループ プロトコルの設定

          冗長グループは、次の設定要素で構成されます。
          • 各オブジェクトの優先度の減少量。
          • 優先度を減少させる障害（オブジェクト）
          • フェールオーバー優先度
          • フェールオーバーしきい値
          • グループ インスタンス
          • グループ名
          • 初期化遅延タイマー
          手順の概要

            1.    enable

            2.    configure terminal

            3.    redundancy

            4.    application redundancy

            5.    group id

            6.    name group-name

            7.    priority value [failover threshold value]

            8.    preempt

            9.    track object-number decrement number

            10.    exit

            11.    protocol id

            12.    timers hellotime {seconds | msec msec} holdtime {seconds | msec msec}

            13.    authentication {text string | md5 key-string [0 | 7] key [timeout seconds] | key-chain key-chain-name}

            14.    bfd

            15.    end


          手順の詳細
              コマンドまたはアクション 目的
            ステップ 1 enable


            例： 
            Device> enable
             
            特権 EXEC モードをイネーブルにします。
            • プロンプトが表示されたら、パスワードを入力します。
             
            ステップ 2 configure terminal


            例： 
            Device# configure terminal
             

            グローバル コンフィギュレーション モードを開始します。

             
            ステップ 3 redundancy


            例： 
            Device(config)# redundancy
             

            冗長コンフィギュレーション モードを開始します。

             
            ステップ 4 application redundancy


            例： 
            Device(config-red)# application redundancy
             

            アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

             
            ステップ 5 group id


            例： 
            Device(config-red-app)# group 1
             

            冗長グループを設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

             
            ステップ 6 name group-name


            例： 
            Device(config-red-app-grp)# name group1
             

            プロトコル インスタンスに任意のエイリアスを指定します。

             
            ステップ 7 priority value [failover threshold value]


            例： 
            Device(config-red-app-grp)# priority 100 failover threshold 50
             

            冗長グループの初期優先度とフェールオーバーしきい値を指定します。

             
            ステップ 8 preempt


            例： 
            Device(config-red-app-grp)# preempt
             
            冗長グループに対するプリエンプションをイネーブルにし、スタンバイ デバイスがアクティブ デバイスをプリエンプション処理できるようにします。
            • スタンバイ デバイスによりプリエンプション処理が行われるのは、その優先度がアクティブ デバイスの優先度より高い場合のみです。
             
            ステップ 9 track object-number decrement number


            例： 
            Device(config-red-app-grp)# track 50 decrement 50
             

            冗長グループの優先度値を指定します。この値は、追跡対象のオブジェクトでイベントが発生した場合に減らされます。

             
            ステップ 10 exit


            例： 
            Device(config-red-app-grp)# exit
             

            冗長アプリケーション グループ コンフィギュレーション モードを終了し、冗長アプリケーション コンフィギュレーション モードを開始します。

             
            ステップ 11 protocol id


            例： 
            Device(config-red-app)# protocol 1
             

            コントロール インターフェイスに接続されるプロトコル インスタンスを指定し、冗長アプリケーション プロトコル コンフィギュレーション モードを開始します。

             
            ステップ 12 timers hellotime {seconds | msec msec} holdtime {seconds | msec msec}


            例： 
            Device(config-red-app-prtcl)# timers hellotime 3 holdtime 10
             
            hello メッセージが送信される間隔と、デバイスがダウン状態と宣言されるまでの時間を指定します。
            • holdtime は、hellotime の 3 倍以上にする必要があります。
             
            ステップ 13 authentication {text string | md5 key-string [0 | 7] key [timeout seconds] | key-chain key-chain-name}


            例： 
            Device(config-red-app-prtcl)# authentication md5 key-string 0 n1 timeout 100
             

            認証情報を指定します。

             
            ステップ 14 bfd


            例： 
            Device(config-red-app-prtcl)# bfd
             
            双方向フォワーディング検出（BFD）を使用してコントロール インターフェイスで実行されているフェールオーバー プロトコルを統合し、ミリ秒単位での障害検出を達成できるようにします。
            • BFD はデフォルトでイネーブルになっています。
             
            ステップ 15 end


            例： 
            Device(config-red-app-prtcl)# end
             

            冗長アプリケーション プロトコル コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

             

            データ、コントロール、および非対称ルーティング インターフェイスの設定

            この作業では、次の冗長グループ（RG）要素を設定します。
            • コントロール インターフェイスとして使用されるインターフェイス。
            • データ インターフェイスとして使用されるインターフェイス。
            • 非対称ルーティングに使用されるインターフェイス。 これはオプションのタスクです。 この作業は、ネットワーク アドレス変換（NAT）に非対称ルーティングを設定する場合にのみ実行します。

            （注）  

            ゾーンベースのファイアウォールについて、非対称ルーティング、データ、およびコントロールは、別個のインターフェイスに設定する必要があります。 ただし、ネットワーク アドレス変換（NAT）については、非対称ルーティング、データ、およびコントロールを同じインターフェイスに設定できます。

            手順の概要

              1.    enable

              2.    configure terminal

              3.    redundancy

              4.    application redundancy

              5.    group id

              6.    data interface-type interface-number

              7.    control interface-type interface-number protocol id

              8.    timers delay seconds [reload seconds]

              9.    asymmetric-routing interface type number

              10.    asymmetric-routing always-divert enable

              11.    end


            手順の詳細
                コマンドまたはアクション 目的
              ステップ 1 enable


              例： 
              Device> enable
               
              特権 EXEC モードをイネーブルにします。
              • パスワードを入力します（要求された場合）。
               
              ステップ 2 configure terminal


              例： 
              Device# configure terminal
               

              グローバル コンフィギュレーション モードを開始します。

               
              ステップ 3 redundancy


              例： 
              Device(config)# redundancy
               

              冗長コンフィギュレーション モードを開始します。

               
              ステップ 4 application redundancy


              例： 
              Device(config-red)# application redundancy
               

              アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

               
              ステップ 5 group id


              例： 
              Device(config-red-app)# group 1
               

              冗長グループ（RG）を設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

               
              ステップ 6 data interface-type interface-number


              例： 
              Device(config-red-app-grp)# data GigabitEthernet 0/0/1
               

              RG よりに使用されるデータ インターフェイスを指定します。

               
              ステップ 7 control interface-type interface-number protocol id


              例： 
              Device(config-red-app-grp)# control GigabitEthernet 1/0/0 protocol 1
               
              RG により使用されるコントロール インターフェイスを指定します。
              • コントロール インターフェイスは、コントロール インターフェイス プロトコルのインスタンスにも関連付けられます。
               
              ステップ 8 timers delay seconds [reload seconds]


              例： 
              Device(config-red-app-grp)# timers delay 100 reload 400
               

              障害の発生後またはシステムのリロード後に開始されるロール ネゴシエーションの、RG による遅延時間を指定します。

               
              ステップ 9 asymmetric-routing interface type number


              例： 
              Device(config-red-app-grp)# asymmetric-routing interface GigabitEthernet 0/1/1
               

              RG により使用される非対称ルーティング インターフェイスを指定します。

               
              ステップ 10 asymmetric-routing always-divert enable


              例： 
              Device(config-red-app-grp)# asymmetric-routing always-divert enable
               

              スタンバイ RG から受信したパケットを常にアクティブ RG に転送します。

               
              ステップ 11 end


              例： 
              Device(config-red-app-grp)# end
               

              冗長アプリケーション グループ コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

               

              インターフェイスでの冗長インターフェイス ID および非対称ルーティングの設定


              （注）  
              • データ インターフェイスまたはコントロール インターフェイスとして設定されているインターフェイスには、冗長インターフェイス ID（RII）は設定しないでください。
              • RII および非対称ルーティングは、アクティブおよびスタンバイ両方のデバイスに設定する必要があります。
              • 仮想 IP アドレスが設定されているインターフェイスでは、非対称ルーティングはイネーブルにできません。
              手順の概要

                1.    enable

                2.    configure terminal

                3.    interface type number

                4.    redundancy rii id

                5.    redundancy group id [decrement number]

                6.    redundancy asymmetric-routing enable

                7.    end


              手順の詳細
                  コマンドまたはアクション 目的
                ステップ 1 enable


                例： 
                Device> enable
                 
                特権 EXEC モードをイネーブルにします。
                • パスワードを入力します（要求された場合）。
                 
                ステップ 2 configure terminal


                例： 
                Device# configure terminal
                 

                グローバル コンフィギュレーション モードを開始します。

                 
                ステップ 3 interface type number


                例： 
                Device(config)# interface GigabitEthernet 0/1/3
                 

                冗長グループ（RG）に関連付けるインターフェイスを選択し、インターフェイス コンフィギュレーション モードを開始します。

                 
                ステップ 4 redundancy rii id


                例： 
                Device(config-if)# redundancy rii 600
                 

                冗長インターフェイス ID（RII）を設定します。

                 
                ステップ 5 redundancy group id [decrement number]


                例： 
                Device(config-if)# redundancy group 1 decrement 20
                 

                RG 冗長トラフィック インターフェイス コンフィギュレーションをイネーブルにし、インターフェイスがダウンした場合の優先度の減少量を指定します。

                （注）     

                非対称ルーティングがイネーブルになっているトラフィック インターフェイスに RG を設定する必要はありません。

                 
                ステップ 6 redundancy asymmetric-routing enable


                例： 
                Device(config-if)# redundancy asymmetric-routing enable
                 

                各 RG に非対称フロー転送トンネルを確立します。

                 
                ステップ 7 end


                例： 
                Device(config-if)# end
                 

                インターフェイス コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

                 

                非対称ルーティングを使用したダイナミック内部送信元変換の設定

                次の設定は、非対称ルーティングを使用したダイナミック内部送信元変換の例です。 非対称ルーティングは、ダイナミック外部送信元、スタティック内部および外部送信元、およびポート アドレス変換（PAT）内部および外部送信元変換の各タイプの NAT 設定を使用して設定できます。 各タイプの NAT 設定の詳細については、「IP アドレス節約のための NAT 設定」の章を参照してください。

                手順の概要

                  1.    enable

                  2.    configure terminal

                  3.    interface type number

                  4.    ip address ip-address mask

                  5.    ip nat outside

                  6.    exit

                  7.    redundancy

                  8.    application redundancy

                  9.    group id

                  10.    asymmetric-routing always-divert enable

                  11.    end

                  12.    configure terminal

                  13.    ip nat pool name start-ip end-ip {mask | prefix-length prefix-length}

                  14.    exit

                  15.    ip nat inside source list acl-number pool name redundancy redundancy-id mapping-id map-id

                  16.    access-list standard-acl-number permit source-address wildcard-bits

                  17.    end


                手順の詳細
                    コマンドまたはアクション 目的
                  ステップ 1 enable


                  例： 
                  Device> enable
                   
                  特権 EXEC モードをイネーブルにします。
                  • パスワードを入力します（要求された場合）。
                   
                  ステップ 2 configure terminal


                  例： 
                  Device# configure terminal
                   

                  グローバル コンフィギュレーション モードを開始します。

                   
                  ステップ 3 interface type number


                  例： 
                  Device(config)# interface gigabitethernet 0/1/3
                   

                  インターフェイスを設定し、インターフェイス コンフィギュレーション モードを開始します。

                   
                  ステップ 4 ip address ip-address mask


                  例： 
                  Device(config-if)# ip address 10.1.1.1 255.255.255.0
                   

                  インターフェイスのプライマリ IP アドレスを設定します。

                   
                  ステップ 5 ip nat outside


                  例： 
                  Device(config-if)# ip nat outside
                   

                  外部と接続されることを示すマークをインターフェイスに付けます。

                   
                  ステップ 6 exit


                  例： 
                  Device(config-if)# exit
                   

                  インターフェイス コンフィギュレーション モードを終了し、グローバル コンフィギュレーション モードに入ります。

                   
                  ステップ 7 redundancy


                  例： 
                  Device(config)# redundancy
                   

                  冗長性を設定し、冗長コンフィギュレーション モードを開始します。

                   
                  ステップ 8 application redundancy


                  例： 
                  Device(config-red)# application redundancy
                   

                  アプリケーションの冗長性を設定し、冗長アプリケーション コンフィギュレーション モードを開始します。

                   
                  ステップ 9 group id


                  例： 
                  Device(config-red-app)# group 1
                   

                  冗長グループを設定し、冗長アプリケーション グループ コンフィギュレーション モードを開始します。

                   
                  ステップ 10 asymmetric-routing always-divert enable


                  例： 
                  Device(config-red-app-grp)# asymmetric-routing always-divert enable
                   

                  アクティブ デバイスにトラフィックを転送します。

                   
                  ステップ 11 end


                  例： 
                  Device(config-red-app-grp)# end
                   

                  冗長アプリケーション グループ コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

                   
                  ステップ 12 configure terminal


                  例： 
                  Device# configure terminal
                   

                  グローバル コンフィギュレーション モードを開始します。

                   
                  ステップ 13 ip nat pool name start-ip end-ip {mask | prefix-length prefix-length}


                  例： 
                  Device(config)# ip nat pool pool1 prefix-length 24
                   
                  グローバル アドレスのプールを定義します。
                  • IP NAT プール コンフィギュレーション モードを開始します。
                   
                  ステップ 14 exit


                  例： 
                  Device(config-ipnat-pool)# exit
                   

                  IP NAT プール コンフィギュレーション モードを終了します。続いて、グローバル コンフィギュレーション モードを開始します。

                   
                  ステップ 15 ip nat inside source list acl-number pool name redundancy redundancy-id mapping-id map-id


                  例： 
                  Device(config)# ip nat inside source list pool pool1 redundancy 1 mapping-id 100
                   

                  内部送信元アドレスの NAT をイネーブルにし、マッピング ID を使用して NAT を冗長グループに関連付けます。

                   
                  ステップ 16 access-list standard-acl-number permit source-address wildcard-bits


                  例： 
                  Device(config)# access-list 10 permit 10.1.1.1 255.255.255.0
                   

                  変換する内部アドレスの標準のアクセス リストを定義します。

                   
                  ステップ 17 end


                  例： 
                  Device(config)# end
                   

                  グローバル コンフィギュレーション モードを終了し、特権 EXEC モードを開始します。

                   

                  ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの設定例

                  例：冗長アプリケーション グループおよび冗長グループ プロトコルの設定

                  Device# configure terminal	
Device(config)# redundancy
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# name group1
Device(config-red-app-grp)# priority 100 failover threshold 50
Device(config-red-app-grp)# preempt
Device(config-red-app-grp)# track 50 decrement 50
Device(config-red-app-grp)# exit
Device(config-red-app)# protocol 1
Device(config-red-app-prtcl)# timers hellotime 3 holdtime 10
Device(config-red-app-prtcl)# authentication md5 key-string 0 n1 timeout 100
Device(config-red-app-prtcl)# bfd
Device(config-red-app-prtcl)# end

                  例：データ、コントロール、および非対称ルーティング インターフェイスの設定

                  Device# configure terminal
Device(config)# redundancy 
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# data GigabitEthernet 0/0/1
Device(config-red-app-grp)# control GigabitEthernet 1/0/0 protocol 1
Device(config-red-app-grp)# timers delay 100 reload 400 
Device(config-red-app-grp)# asymmetric-routing interface GigabitEthernet 0/1/1 
Device(config-red-app-grp)# asymmetric-routing always-divert enable
Device(config-red-app-grp)# end

                  例：インターフェイスでの冗長インターフェイス ID および非対称ルーティングの設定

                  Device# configure terminal
Device(config)# interface GigabitEthernet 0/1/3
Device(config-if)# redundancy rii 600
Device(config-if)# redundancy group 1 decrement 20
Device(config-if)# redundancy asymmetric-routing enable 
Device(config-if)# end

                  例：非対称ルーティングを使用したダイナミック内部送信元変換の設定

                  Device(config)# interface gigabitethernet 0/1/3
Device(config-if)# ip address 10.1.1.1 255.255.255.0
Device(config-if)# ip nat outside
Device(config-if)# exit
Device(config)# redundancy
Device(config-red)# application redundancy
Device(config-red-app)# group 1
Device(config-red-app-grp)# asymmetric-routing always-divert enable
Device(config-red-app-grp)# end
Device# configure terminal
Device(config)# ip nat pool pool1 prefix-length 24
Device(config-ipnat-pool)# exit
Device(config)# ip nat inside source list pool pool1 redundancy 1 mapping-id 100
Device(config)# access-list 10 permit 10.1.1.1 255.255.255.0

                  ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートに関するその他の関連資料

                  関連資料

                  関連項目

                  マニュアル タイトル

                  Cisco IOS コマンド

                  『Cisco IOS Master Command List, All Releases』

                  セキュリティ コマンド

                  ファイアウォール シャーシ間冗長化

                  「Configuring Firewall Stateful Inter-Chassis Redundancy」モジュール

                  NAT シャーシ間冗長化

                  「Configuring Stateful Inter-Chassis Redundancy」モジュール

                  シスコのテクニカル サポート

                  説明

                  リンク

                  シスコのサポートおよびドキュメンテーション Web サイトでは、ダウンロード可能なマニュアル、ソフトウェア、ツールなどのオンライン リソースを提供しています。 これらのリソースは、ソフトウェアをインストールして設定したり、シスコの製品やテクノロジーに関する技術的問題を解決したりするために使用してください。 この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。

                  http:/​/​www.cisco.com/​cisco/​web/​support/​index.html

                  ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの機能情報

                  次の表に、このモジュールで説明した機能に関するリリース情報を示します。 この表は、ソフトウェア リリース トレインで各機能のサポートが導入されたときのソフトウェア リリースだけを示しています。 その機能は、特に断りがない限り、それ以降の一連のソフトウェア リリースでもサポートされます。

                  プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

                  表 1 ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポートの機能情報

                  機能名

                  リリース

                  機能情報

                  ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート

                  Cisco IOS XE Release 3.5S

                  ゾーンベースのファイアウォールおよび NAT に対するシャーシ間非対称ルーティング サポート機能では、パケット処理のための、スタンバイ冗長グループからアクティブ冗長グループへのパケットの転送をサポートします。

                  コマンド asymmetric-routing、 redundancy asymmetric-routing enable が導入または変更されました。

                  このドキュメントは役に立ちましたか?

                  Feedbackフィードバック

                  シスコに問い合わせ