ASDM ユーザ ガイド Version 5.2(2)

Add/Edit Static NAT Rule

Configuration > Security Policy > NAT > Add/Edit Static NAT Rule

Add/Edit Static NAT Rule ダイアログボックスでは、使用するセキュリティ アプライアンスの変換ルールを追加、編集、および貼り付けできます。変換ルールは、NAT Rules テーブルに表示されます。 スタティック NAT ルールにより、そのアドレス変換が、プライベート（無効）IP アドレスからグローバル（有効）IP アドレスに対して行われる、1 対 1 の IP アドレス スタティック変換であることを指定します。 Static または Dynamic を選択できますが、両方は選択できません。

（注） ネットワーク グループとサービス グループの命名に関するオブジェクト グループについては、特記事項を確認してください。

フィールド

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Static Translation：スタティック インターフェイスと IP アドレスを指定できます。

–Interface：スタティック変換用のセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP address：スタティック変換用の IP アドレスを選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Enable Port Address Translation (PAT)：このオプションを選択して、PAT 用のプロトコル、元のポート、および変換後のポートを指定します。

–Protocol：TCP または UDP。

–Original Port：ポートのリストから選択します。

–Translated Port：ポートのリストから選択します。

• NAT Options：DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Dynamic NAT Rule

Configuration > Security Policy > NAT > Add/Edit Dynamic NAT Rule

Add/Edit Dynamic NAT Rule ダイアログボックスでは、使用するセキュリティ アプライアンスの変換ルールを追加、編集、および貼り付けできます。変換ルールは、NAT Rules テーブルに表示されます。 ダイナミック NAT ルールでは、IP アドレスの事前定義済みプールを指定するか、あるいは、PAT をグローバル IP アドレスで、またはよりセキュアなインターフェイス上にある複数のホストの安全性の低いインターフェイスで実行するかを指定します。 たとえば、内部ネットワークに複数のホストが存在する場合は、ダイナミック NAT を使用することによってプールまたは PAT アドレスを介した発信アクセスを許可し、発信接続を要求しているホストごとにグローバル IP アドレスをダイナミックに割り当てることができます。 Static または Dynamic を選択できますが、両方は選択できません。

（注） ネットワーク グループとサービス グループの命名に関係するオブジェクト グループについては、特記事項を確認してください。

フィールド

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP Address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Dynamic Translation：ダイナミック インターフェイスとグローバル アドレス プールを指定できます。

–Interface：ダイナミック変換用のセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–Add：グローバル プールを追加します。

–Edit：グローバル プールを編集します。

–Delete：グローバル プールを削除します。

• NAT Options：DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

モード

次の表に、この機能を使用できるモードを示します。

NAT Options

Configuration > Security Policy > NAT > Add/Edit NAT Rule> NAT Options

NAT Options ダイアログボックスでは、NAT およびポリシー NAT の DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

フィールド

• DNS Rewrite：外部クライアントが内部 DNS サーバを使用して内部ホストの名前を解決したり、またはその逆を行ったりすることができるように、セキュリティ アプライアンスで DNS レコードをリライトできます。 たとえば、内部 Web サーバ www.example.com の IP アドレスが 192.168.1.1 のときに、外部インターフェイスの 10.1.1.1 に変換されるとします。 この場合、外部クライアントは DNS 要求を内部 DNS サーバに送り、内部 DNS サーバは www.example.com を 192.168.1.1 に名前解決します。 DNS Rewrite がイネーブルになっているセキュリティ アプライアンスに応答が返されると、セキュリティ アプライアンスはペイロードの IP アドレスを 10.1.1.1 に変換するため、外部クライアントは正しい IP アドレスを取得することになります。

• Maximum TCP Connections：スタティックに変換された IP アドレスへの接続を許可される TCP 接続の最大数。 有効な値は 0 ～ 65,535 です。この値を 0 に設定すると、接続数は無制限になります。

• Maximum UDP Connections：スタティックに変換された IP アドレスへの接続を許可される UDP 接続の最大数。 有効な値は 0 ～ 65,535 です。この値を 0 に設定すると、接続数は無制限になります。

• Embryonic Limit：セキュリティ アプライアンスが接続の拒否を開始するまでの初期接続の許容数。 この制限を設定して、初期接続のフラッディングによる攻撃を防止します。 初期接続は、3 ウェイ TCP ハンドシェイク状態などのように、開始されてはいても確立されていない接続です。 有効な値は 0 ～ 65,535 です。この値を 0 に設定すると、接続数は無制限になります。 正の数を設定すると、TCP 代行受信機能がイネーブルになります。

• Randomize Sequence Number：このチェックボックスをオンにすると、セキュリティ アプライアンスは TCP パケットのシーケンス番号をランダム化します。 この機能は、別のインライン セキュリティ アプライアンスもシーケンス番号をランダム化していて、結果としてデータ順序が変わる場合にのみディセーブルにしてください。 このオプションを使用すると、セキュリティ アプライアンスのセキュリティ ホールが開いた状態になります。 デフォルトで選択されています。

モード

次の表に、この機能を使用できるモードを示します。

Global Pools

Configuration > Security Policy > NAT > Add/Edit Address Translation Rule > Global Pools

Global Pools ダイアログボックスでは、ダイナミック NAT ルールで使用されるグローバル アドレス プールを表示、新規プールを定義、または既存プールを削除できます。 ダイナミック NAT ルールとその使用の詳細については、ダイナミック NAT の説明を参照してください。

フィールド

• Interface：ダイナミック アドレス変換で使用するアドレス プールに関連付けられたインターフェイス名を特定します。

• Pool ID：アドレス プールの ID 番号を特定します。

• IP Address(es)：プールに含めるアドレスのタイプと値を特定します。 次のタイプのいずれか 1 つを指定できます。

–アドレス範囲

–PAT アドレス

–インターフェイスに関連付けられた PAT アドレス

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Global Address Pool

Configuration > Security Policy > NAT > Add/Edit Address Translation Rule > Global Pools > Add/Edit Global Address Pool

Add/Edit Global Address Pool ダイアログボックスでは、新しいグローバル アドレス プールの設定を定義したり、既存プールの設定を編集したりできます。

フィールド

• Interface：インターフェイス名を指定して新しいアドレス プールに関連付けます。 Interface ドロップダウン リストで名前を選択します。

• Pool ID：このアドレス プールを参照するためにダイナミック NAT ルールが使用する ID 番号を指定します。 Pool ID フィールドに番号を入力します。

• Range：このオプションを選択して、IP アドレスの範囲を新しいアドレス プールで使用することを指定します。 このオプションを選択する場合は、次の値を指定します。

–範囲として使用する開始アドレスと終了アドレスを IP Address フィールドに入力します。 これらのアドレスは、元のアドレスの変換後のアドレスです。 セキュリティ アプライアンスがホストまたはネットワークをインターネットのユーザに公開している場合、これらの IP アドレスは American Registry for Internet Numbers に登録された有効な IP アドレスである必要があります。

– Network Mask (optional) フィールドにマスクを入力します。 この値により、変換後の IP アドレスがメンバーになっているネットワークのマスクを特定します。

• Port Address Translation (PAT)：このオプションを選択して、IP アドレスを PAT で使用することを指定します。 このオプションを選択する場合は、次の値を指定します。

–PAT で使用される IP アドレスを IP Address フィールドに入力します。
この値は、変換済みホストまたはネットワークの元のアドレスの変換先となる、固有の変換済み IP アドレスです。 セキュリティ アプライアンスがホストまたはネットワークをインターネットのユーザに公開している場合、この IP アドレスは ARIN に登録された有効な IP アドレスである必要があります。

• Port Address Translation (PAT) using the IP address of the interface：このオプションを選択して、 Interface ドロップダウン リストで選択したインターフェイスに割り当てられている IP アドレスを、PAT の変換後アドレスとして使用することを指定します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Static Policy NAT Rule

Configuration > Security Policy > NAT > Add/Edit Static Policy NAT Rule

Add/Edit Static Policy NAT Rule ダイアログボックスでは、トラフィックの変換でポリシー NAT が使用するプロトコルとサービスを設定できます。

フィールド

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–Source：タイプ、IP アドレス、およびネットマスクを選択します。

–Destination：タイプ、IP アドレス、およびネットマスクを選択します。

• Protocol and Service：ポリシー NAT で使用するプロトコルとサービスを定義できます。

–TCP：ポリシー NAT による変換で使用する TCP プロトコル タイプを定義する場合に選択します。

–UDP：ポリシー NAT による変換で使用する UDP プロトコル タイプを定義する場合に選択します。

–ICMP：ポリシー NAT による変換で使用する ICMP プロトコル タイプを定義する場合に選択します。

–IP：ポリシー NAT による変換で使用する IP プロトコル タイプを定義する場合に選択します。

–IP Protocol：選択するプロトコルに応じて、TCP、UDP、ICMP、または IP プロトコル タイプを表示します。 ポートまたはプロトコル番号を入力するか、参照（...）ボタンを使用してドロップダウン リストからプロトコルを選択できます。

• Static Translation：スタティック インターフェイスと IP アドレスを指定できます。

–Interface：スタティック変換用のセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP address：スタティック変換用の IP アドレスを選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Enable Port Address Translation (PAT)：このオプションを選択して、PAT 用のプロトコル、元のポート、および変換後のポートを指定します。

–Protocol：TCP または UDP。

–Original Port：ポートのリストから選択します。

–Translated Port：ポートのリストから選択します。

• NAT Options：DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Dynamic Policy NAT Rule

Configuration > Security Policy > NAT > Add/Edit Dynamic Policy NAT Rule

Add/Edit Dynamic Policy NAT Rule ダイアログボックスでは、トラフィックの変換でポリシー NAT が使用するプロトコルとサービスを設定できます。

フィールド

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–Source：タイプ、IP アドレス、およびネットマスクを選択します。

–Destination：タイプ、IP アドレス、およびネットマスクを選択します。

• Protocol and Service：ポリシー NAT で使用するプロトコルとサービスを定義できます。

–TCP：ポリシー NAT による変換で使用する TCP プロトコル タイプを定義する場合に選択します。

–UDP：ポリシー NAT による変換で使用する UDP プロトコル タイプを定義する場合に選択します。

–ICMP：ポリシー NAT による変換で使用する ICMP プロトコル タイプを定義する場合に選択します。

–IP：ポリシー NAT による変換で使用する IP プロトコル タイプを定義する場合に選択します。

–IP Protocol：選択するプロトコルに応じて、TCP、UDP、ICMP、または IP プロトコル タイプを表示します。 ポートまたはプロトコル番号を入力するか、参照（...）ボタンを使用してドロップダウン リストからプロトコルを選択できます。

• Dynamic Translation：ダイナミック インターフェイスとグローバル アドレス プールを指定できます。

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP Address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Dynamic Translation：ダイナミック インターフェイスとグローバル アドレス プールを指定できます。

–Interface：ダイナミック変換用のセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–Add：グローバル プールを追加します。

–Edit：グローバル プールを編集します。

–Delete：グローバル プールを削除します。

• NAT Options：DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit NAT Exempt Rule

Configuration > Security Policy > NAT > Add/Edit NAT Exempt Rule

Add/Edit NAT Exempt Rule ダイアログボックスでは、セキュリティ アプライアンスでの NAT 免除ルールを追加および編集できます。 Translation Rules メニューで選択したコマンドに応じて、このダイアログボックスのタイトルには、Add Address Exemption Rule または Edit Address Exemption Rule と表示されます。

フィールド

• Action：アクションのドロップダウン リストでは、定義された基準にホスト/ネットワークが一致する場合に免除ルールが実行するアクション（免除する、免除しない）を選択できます。 Select an action リストには、次のオプションが表示されます。

–Exempt：定義されたトラフィックが NAT から免除されることを指定します。

–Do Not Exempt：定義されたトラフィックが NAT から免除されないことを指定します。

• IP Address：免除ルールのアクションが適用されるかどうかを決定する、送信元ホストまたはネットワークの IP アドレスのテスト基準を選択します。 このオプションを選択すると、次のフィールドが表示されます。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイス名を選択します。

–IP address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

• Name：免除ルールのアクションが適用されるかどうかを決定する、送信元ホストまたはネットワークの名前のテスト基準を選択します。 このオプションを選択すると、次のフィールドが表示されます。

–Name：ルールを適用するホストまたはネットワークについて、事前に定義された名前を選択できます。 また、セキュリティ アプライアンスは、内部または外部などのインターフェイス名を使用することにより、インターフェイスごとのホスト名を自動的に生成します。

• Group：免除ルールのアクションが適用されるかどうかを決定する、送信元ホストまたはネットワークのグループのテスト基準を選択します。 このオプションを選択すると、次のフィールドが表示されます。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイス名を選択します。

–Group：ルールを適用するホストまたはネットワークのグループを選択します。

• When Connecting To：When Connecting To 領域では、アクションを実行するために満たす必要のある基準を定義できます。 基準は、IP アドレス、名前、グループを選択することによって、または事前に定義されたホスト/ネットワークのドロップダウン リストを参照することによって定義できます。

• IP address：免除ルールを適用する宛先ホストまたはネットワークの IP アドレスを指定します。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイス名を選択します。

–IP address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

• Name：免除ルールのアクションが適用されるかどうかを決定する、送信元ホストまたはネットワークの名前のテスト基準を選択します。 このオプションを選択すると、次のフィールドが表示されます。

–Name：ルールを適用するホストまたはネットワークについて、事前に定義された名前を選択できます。 また、セキュリティ アプライアンスは、内部または外部などのインターフェイス名を使用することにより、インターフェイスごとのホスト名を自動的に生成します。

• Group：免除ルールのアクションが適用されるかどうかを決定する、送信元ホストまたはネットワークのグループのテスト基準を選択します。 このオプションを選択すると、次のフィールドが表示されます。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイス名を選択します。

–Group：ルールを適用するホストまたはネットワークのグループを選択します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Identity NAT Rule

Configuration > Security Policy > NAT > Add/Edit Identity NAT Rule

Add/Edit Identity NAT Rule ダイアログボックスでは、アイデンティティ NAT の設定値を設定できます。

フィールド

• Real Address：ネットワーク変換が適用される前の元のアドレスと、それに関連付けられていたインターフェイス。

–Interface：元のホストまたはネットワークが常駐するセキュリティ アプライアンスのネットワーク インターフェイスを選択します。

–IP address：ルールを適用するホストまたはネットワークの IP アドレスを指定します。

–Mask：アドレスのネットワーク マスク（ネットマスク）を選択します。

–Browse：事前定義済みホストまたはネットワークの Hosts/Networks ツリーから、正しい IP アドレスとマスクを選択できます。

• Enable outside NAT：外部 NAT をイネーブルにするにはこのオプションを選択します。

• NAT Options：DNS Rewrite、Maximum Connections、Embryonic Limit、および Randomize Sequence Number を設定できます。

モード

次の表に、この機能を使用できるモードを示します。