パフォーマンス ルーティング コンフィギュレーション ガイド、Cisco IOS XE Release 3S（Cisco ASR 1000）

Cisco IOS PfR および NAT 機能が同じルータで設定され、PfR がスタティック ルーティングを使用してトラフィック クラスのルーティングを制御する場合、アプリケーションによっては、ドロップされるパケットにより操作が失敗することがあります。 このパケット ドロップは、スタティック ルーティングが同じルータからの複数のインターネット サービス プロバイダー（ISP）の接続に使用されている状況で、PfR がスタティック ルーティングを使用してトラフィック クラス ルーティングを制御し、1 つ以上の ISP がセキュリティのためにユニキャスト リバース パス転送（Unicast RPF）フィルタリングを使用する場合に発生します。 プライベート IP アドレスからパブリック IP アドレスへの NAT 変換が実行された後で PfR によりトラフィック クラスの発信パケット ルートの出口インターフェイスが変更されると、ユニキャスト RPF を実行する入口ルータでパケットがドロップされます。 パケットが転送されると、入口ルータ（たとえば、ISP ルータ）のユニキャスト RPF フィルタリングは、NAT により割り当てられるソース IP アドレス プールとは異なるソース IP アドレスを示し、パケットがドロップされます。 たとえば、次の図は、NAT を使用した場合の PfR の動作を示しています。

図 1. NAT を使用した PfR

NAT 変換は、内部ネットワークに接続されているルータで発生します。このルータには、境界ルータまたはマスター コントローラと境界ルータの組み合わせを使用できます。 PfR が、ルートを変更してトラフィック クラス パフォーマンスを最適化し、ロード バランシングを実行すると、インターフェイスを介して ISP1 にルーティングされた、上の図の境界ルータからのトラフィックは、トラフィック パフォーマンスが測定され、ポリシーしきい値が適用された後で、インターフェイスを介して ISP2 に再ルーティングされることがあります。 RPF チェックは ISP ルータで発生し、ISP2 を介してルーティングされるパケットは、ISP2 の入口ルータでの RPF チェックに失敗します。これは、送信元インターフェイスの IP アドレスが変更されたためです。

（注）	境界ルータ専用機能は Cisco IOS XE Release 2.6、3.1S および 3.2S イメージに含まれます。マスター コントローラ設定は使用できません。 境界ルータとして使用する Cisco ASR 1000 シリーズ ルータと通信するマスター コントローラは、Cisco IOS Release 15.0(1)M またはそれ以降の 15.0M リリースを実行するルータでなければなりません。 上の図では、ルータは境界ルータです。マスター コントローラと境界ルータの組み合わせではありません。

このソリューションには、ip nat inside source コマンドに対して追加された新しい oer キーワードを使用した最小限の設定の変更が含まれています。 oer キーワードを設定すると、新しい NAT 変換では、パケットに対して PfR が選択したインターフェイスの発信元 IP アドレスが指定され、PfR は NAT 変換が作成されたインターフェイスを介して既存のフローがルーティングされるように強制します。 たとえば、PfR は、上の図で ISP1 の InterfaceA と ISP2 の InterfaceB の 2 つのインターフェイスがある境界ルータでトラフィックを管理するように設定されます。 PfR は、最初に、Web トラフィックを表すトラフィック クラスを制御するように設定されます。このトラフィックの NAT 変換は、InterfaceA に設定されているパケットのソース IP アドレスにすでに存在します。 PfR は、トラフィック パフォーマンスを測定して、InterfaceB が現在トラフィック フローに最適な出口であると判断しますが、既存のフローを変更しません。 次に、PfR が E メール トラフィックを表すトラフィック クラスを学習および測定するように設定され、E メール トラフィックが開始されると、NAT 変換が InterfaceB で発生します。 PfR スタティック ルーティング NAT ソリューションは、シングル ボックス ソリューションであるため、NAT を使用し PfR で管理される複数のルータでのインターフェイスの設定はサポートされていません。 NAT、および Cisco IOS ソフトウェアを実行しない PIX ファイアウォールなどのデバイスを使用したネットワーク設定はサポートされていません。

NAT では、未登録の IP アドレスを使用するプライベート IP インターネットワークがインターネットに接続できます。 NAT は、ルータ（通常、2 つのネットワークを接続）で機能し、パケットが別のネットワークに転送される前に、内部ネットワークのプライベート（グローバルに一意ではない）アドレスを有効なアドレスに変換します。 NAT は、ネットワーク全体の 1 つだけのアドレスを外部にアドバタイズするように設定できます。 この機能により、そのアドレスの後ろに内部ネットワーク全体を効果的に隠すことで、セキュリティが強化されます。

NAT は、エンタープライズ エッジでも使用され、内部ユーザのインターネットへのアクセスを許可し、メール サーバなど内部デバイスへのインターネット アクセスを許可します。

NAT の詳細については、『Cisco IOS IP Addressing Services Configuration Guide』の「Configuring NAT for IP Address Conservation」の章を参照してください。

ルータで多くのローカル アドレスに 1 つのグローバル アドレスを使用できるようにすることで、内部グローバル アドレス プールのアドレスを節約できます。 このオーバーロードが設定されている場合、ルータは、より高いレベルのプロトコルから十分な情報（たとえば、TCP または UDP ポート番号）を保持して、グローバル アドレスを正しいローカル アドレスに戻します。 複数のローカル アドレスが 1 つのグローバル アドレスにマッピングされる場合、各内部ホストの TCP または UDP ポート番号によりローカル アドレスが区別されます。

NAT を使用するネットワークでスタティック ルーティングによりトラフィックを制御するように PfR を設定するには、次のタスクを実行します。 このタスクを行うと、内部ユーザによりインターネットへのアクセスを許可しつつ、PfR がトラフィック クラスを最適化できるようになります。

Cisco IOS PfR および NAT 機能が同じルータで設定され、PfR がスタティック ルーティングを使用してトラフィック クラスのルーティングを制御する場合、アプリケーションによっては、ドロップされるパケットにより操作が失敗することがあります。 このパケット ドロップは、スタティック ルーティングが同じルータからの複数のインターネット サービス プロバイダー（ISP）の接続に使用されている状況で、PfR がスタティック ルーティングを使用してトラフィック クラス ルーティングを制御し、1 つ以上の ISP がセキュリティのためにユニキャスト リバース パス転送（Unicast RPF）フィルタリングを使用する場合に発生します。

この作業では、oer キーワードを ip nat inside source コマンドに使用します。 oer キーワードを設定すると、新しい NAT 変換では、パケットに対して PfR が選択したインターフェイスの発信元 IP アドレスが指定され、PfR は NAT 変換が作成されたインターフェイスを介して既存のフローがルーティングされるように強制します。 このタスクでは、1 つの IP アドレスを使用していますが、IP アドレス プールを設定することもできます。 IP アドレス プールの設定例については、設定例に関する項を参照してください。

（注）	この設定は、マスター コントローラ上で実施します。 境界ルータ専用機能は Cisco IOS XE Release 3.1S 以降のリリースに含まれます。マスター コントローラ設定は使用できません。 境界ルータとして使用する Cisco ASR 1000 シリーズ ルータと通信するマスター コントローラは、Cisco IOS Release 15.0(1)M またはそれ以降の 15.0M リリースを実行するルータでなければなりません。

（注）	PfR スタティック ルーティング NAT ソリューションは、シングル ボックス ソリューションであるため、NAT を使用し PfR で管理される複数のルータでのインターフェイスの設定はサポートされていません。

NAT の詳細については、『 CiscoIOS IP Addressing Services Configuration Guide』の「Configuring NAT for IP Address Conservation」の章を参照してください。

1.    enable


2.    configure terminal


3.    access-list access-list-number {permit | deny} ip-addressmask


4.    route-map map-tag [permit | deny] [sequence-number]


5.    match ip address {access-list access-list-name| prefix-list prefix-list-name}


6.    match interface interface-type interface-number [...interface-type interface-number]


7.    exit


8.    必要に応じて、ステップ 4 ～ 7 を繰り返し、その他のルート マップを設定します。

9.    ip nat inside source {list {access-list-number| access-list-name} | route-map map-name} {interface type number| pool name} [mapping-id map-id | overload| reversible| vrf vrf-name][oer]


10.    interface type number


11.    ip address ip-address mask


12.    ip nat inside


13.    exit


14.    interface type number


15.    ip address ip-address mask


16.    ip nat outside


17.    end

Router> enable

Router# configure terminal

Router(config)# access-list 1 permit 10.1.0.0 0.0.255.255

Router(config)# route-map isp-1 permit 10

Router(config-route-map)# match ip address access-list 1

Router(config-route-map)# match interface GigabitEthernet 0/0/2

Router(config-route-map)# exit 

Router(config)# ip nat inside source interface GigabitEthernet 1/0/0 overload oer

Router(config)# interface GigabitEthernet 1/0/0

Router(config-if)# ip address 10.114.11.8 255.255.255.0

Router(config-if)# ip nat inside

Router(config-if)# exit

Router(config)# interface GigabitEthernet 1/1/0

Router(config-if)# ip address 172.17.233.208 255.255.255.0

Router(config-if)# ip nat outside

Router(config-if)# end