ネットワーク オブジェクトのパラメータとして設定されているすべての NAT ルールは、自動 NAT ルールと見なされます。これは、ネットワーク オブジェクトに NAT を設定するための迅速かつ簡単な方法です。しかし、グループ オブジェクトに対してこれらのルールを作成することはできません。

これらのルールはオブジェクト自体の一部として設定されますが、オブジェクト マネージャを通してオブジェクト定義内の NAT 設定を確認することはできません。

パケットがインターフェイスに入ると、送信元 IP アドレスと宛先 IP アドレスの両方が自動 NATルールと照合されます。個別の照合が行われる場合、パケット内の送信元 IP アドレスと宛先 IP アドレスは、個別のルールによって変換できます。これらのルールは、相互に結び付けられていません。トラフィックに応じて、異なる組み合わせのルールを使用できます。

ルールがペアになることはないため、sourceA/destinationA で sourceA/destinationB とは別の変換が行われるように指定することはできません。この種の機能には、手動 NAT を使用することで、1 つのルールで送信元アドレスおよび宛先アドレスを識別できます。

手動 NAT では、1 つのルールで送信元アドレスおよび宛先アドレスの両方を識別できます。送信元アドレスと宛先アドレスの両方を指定すると、sourceA/destinationA で sourceA/destinationB とは別の変換が行われるように指定できます。

（注）

スタティック NAT の場合、ルールは双方向であるため、たとえば、特定の接続が「宛先」アドレスから発生する場合でも、このガイドを通じてのコマンドおよび説明では「送信元」および「宛先」が使用されていることに注意してください。たとえば、ポート アドレス変換を使用するスタティック NAT を設定し、送信元アドレスを Telnet サーバとして指定する場合に、Telnet サーバに向かうすべてのトラフィックのポートを 2323 から 23 に変換するには、変換する送信元ポート（実際：23、マッピング：2323）を指定する必要があります。Telnet サーバ アドレスを送信元アドレスとして指定しているため、その送信元ポートを指定します。

宛先アドレスはオプションです。宛先アドレスを指定する場合、宛先アドレスを自身にマッピングするか（アイデンティティ NAT）、別のアドレスにマッピングできます。宛先マッピングは、常にスタティック マッピングです。

自動 NAT と手動 NAT の主な違いは、次のとおりです。

• 実アドレスの定義方法。

  • 自動　NAT：NAT ルールがネットワーク オブジェクトのパラメータとなります。ネットワーク オブジェクトの IP アドレスは、元の（実）アドレスとして機能します。

  • 手動 NAT：実アドレスおよびマッピング アドレスの両方に対し、ネットワーク オブジェクトまたはネットワーク オブジェクト グループを特定します。この場合、NAT はネットワーク オブジェクトのパラメータではありません。ネットワーク オブジェクトまたはグループが、NAT 設定のパラメータとなります。実アドレスに対してネットワーク オブジェクト グループを使用できるため、手動 NAT はより高い拡張性を提供します。

• 送信元および宛先 NAT の実装方法。

  • 自動 NAT：個々のルールは、パケットの送信元または宛先のどちらかに適用されます。このため、送信元 IP アドレス、宛先 IP アドレスにそれぞれ 1 つずつ、計 2 つのルールが使用される場合もあります。このような 2 つのルールを 1 つに結合し、送信元/宛先ペアに対して特定の変換を強制することはできません。

  • 手動 NAT：単一のルールが送信元と宛先の両方を変換します。1 つのパケットは 1 つのルールにしか一致せず、以降のルールはチェックされません。オプションの宛先アドレスを設定していない場合でも、パケットは 1 つの 手動 NAT ルールのみに一致します。送信元と宛先は 1 つに結合されるため、送信元/宛先ペアに応じて、異なる変換を適用できます。たとえば、送信元 A/宛先 A のペアには、送信元 A/宛先 B のペアとは異なる変換を適用できます。

• NAT ルールの順序。

  • 自動 NAT：NAT テーブル内で自動的に順序が決まります。

  • 手動 NAT：NAT テーブル内で手動で順序を決定します（自動 NAT ルールの前または後）。

宛先（マッピング）インターフェイスと同じネットワーク上のアドレスを使用する場合、Firepower Threat Defense デバイスはプロキシ ARP を使用してマッピング アドレスの ARP 要求に応答し、マッピング アドレス宛てのトラフィックを代行受信します。この方法では、Firepower Threat Defense デバイスがその他のネットワークのゲートウェイである必要がないため、ルーティングが簡略化されます。外部ネットワークに十分な数の空きアドレスがあれば、このソリューションは最適です。ダイナミック NAT またはスタティック NAT など、1 対 1 の変換を使用する場合には使用を検討します。ダイナミック PAT を使用すると、少ない数のアドレスに対し、使用可能な変換アドレス数を大幅に増加できます。したがって、外部ネットワーク上で使用可能なアドレスが少ない場合でも、この方法を使用できます。PAT では、マッピング インターフェイスの IP アドレスも使用できます。

宛先（マッピング）インターフェイスのネットワーク上で使用可能な数より多くのアドレスが必要な場合は、別のサブネット上でアドレスを指定できます。上流に位置するルータには、Firepower Threat Defense デバイスを指しているマッピング アドレスのスタティック ルートが必要です。

アイデンティティ NAT のデフォルト動作で、プロキシ ARP はイネーブルにされ、他のスタティック NAT ルールと一致します。必要に応じてプロキシ ARP をディセーブルにできます。必要に応じて標準スタティック NAT のプロキシ ARP をディセーブルにできます。その場合は、アップストリーム ルータの適切なルートがあることを確認する必要があります。

アイデンティティ NAT の場合、通常はプロキシ ARP が不要で、場合によっては接続性に関する問題を引き起こす可能性があります。たとえば、任意の IP アドレスの広範なアイデンティティ NAT ルールを設定した場合、プロキシ ARP をイネーブルのままにしておくと、マッピング インターフェイスに直接接続されたネットワーク上のホストの問題を引き起こすことがあります。この場合、マッピング ネットワークのホストが同じネットワークの他のホストと通信すると、ARP 要求内のアドレスは（任意のアドレスと一致する）NAT ルールと一致します。次に、実際には Firepower Threat Defense デバイス向けのパケットでない場合でも、Firepower Threat Defense デバイスはこのアドレスの ARP をプロキシします。（この問題は、手動 NATルールが設定されている場合にも発生します。NAT ルールは送信元と宛先のアドレス両方に一致する必要がありますが、プロキシ ARP 判定は「送信元」アドレスに対してのみ行われます）。実際のホストの ARP 応答の前に Firepower Threat Defense デバイスの ARP 応答を受信した場合、トラフィックは誤って Firepower Threat Defense デバイスに送信されます。

ダイナミック NAT は、宛先ネットワーク上でルーティング可能なマッピング アドレスのプールに、実アドレスのグループを変換する機能です。マッピング プールには通常、実際のグループより少ない数のアドレスが含められます。変換しようとするホストが宛先ネットワークにアクセスすると、NAT はマッピング プール内の IP アドレスをこのホストに割り当てます。この変換は、実際のホストが接続を開始する時点のみに行われます。この接続が終了するまでの時間に限り、変換アドレスは有効であり、変換アドレスの有効時間が経過した後は、ユーザは同一の IP アドレスを維持することはありません。したがって、宛先ネットワーク上のユーザは、ダイナミック NAT を使用するホストへの安定した接続を開始することができません。これは、接続がアクセス ルールによって許可されている場合でも同様です。

（注）	変換の有効時間内であれば、アクセス ルールによって許可されている場合、リモート ホストは変換されたホストへの接続を開始できます。アドレスが予測できないため、ホストへの接続は成功しにくくなります。しかし、この場合でも、アクセス ルールのセキュリティは信頼できます。

次の図は、ダイナミック NAT の一般的なシナリオを示します。実際のホストのみが NAT セッションを作成でき、応答トラフィックは送信元に戻ることを許可されます。

図 3. ダイナミック NAT

次の図は、マッピング アドレスに対して接続を開始しようとするリモート ホストを示します。このアドレスは現時点で変換テーブルに存在しないため、パケットは破棄されます。

図 4. マッピング アドレスへの接続開始を試みるリモート ホスト

ダイナミック NAT には、以下の欠点があります。

• マッピング プール内のアドレスの数が実際のグループより少ない場合は、トラフィック量が予想を上回るとアドレスが不足する可能性があります。

  この現象が頻繁に発生する場合は、PAT または PAT フォールバック方式を使用します。PAT を使用すると、単一アドレスのポートを使用して 64,000 以上の変換を実行できます。

• ルーティング可能なアドレスをマッピング プールで大量に使用する必要がありますが、大量のルーティング可能アドレスを使用できない場合があります。

ダイナミック NAT の利点は、PAT を使用できない一部のプロトコルにも対応可能であることです。PAT は、以下の状況では動作しません。

• オーバーロード ポートを持たない IP プロトコル（GRE バージョン 0 など）での使用

• データ ストリームと制御パスを異なるポートで送受信する、非オープン スタンダードの一部のマルチメディア アプリケーションでの使用

ダイナミック PAT は、実アドレスと送信元ポートとを、マッピング アドレスおよび一意のポートに変換することで、複数の実アドレスを 1 つのマッピング IP アドレスに変換する機能です。使用可能である場合は、実際の送信元ポートの番号がマッピング ポートにも使用されます。ただし、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（0 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。したがって、1024 以下のポートは、使用可能な PAT プールがごく小さくなります。

送信元ポートは接続ごとに異なるため、個々の接続に個別の変換セッションが必要となります。たとえば、10.1.1.1:1025 には 10.1.1.1:1026 とは異なる変換が必要です。

次の図は、ダイナミック PAT の一般的なシナリオを示します。実際のホストのみが NAT セッションを作成でき、応答トラフィックは送信元に戻ることを許可されます。変換の都度、同じマッピング アドレスが使用されますが、ポートは動的に割り当てられます。

図 5. ダイナミック PAT

変換の有効時間内であれば、アクセス ルールによって許可されている場合、宛先ネットワーク上のリモート ホストは変換されたホストへの接続を開始できます。ポート アドレス（実際のアドレスおよびマッピング アドレス）が予測できないため、ホストへの接続は成功しにくくなります。しかし、この場合でも、アクセス ルールのセキュリティは信頼できます。

接続が有効期限切れになると、ポート変換も期限切れとなります。

ダイナミック PAT を使用すると、単一のマッピング アドレスを使用できるため、ルーティング可能なアドレスを節約できます。Firepower Threat Defense デバイスのインターフェイス IP アドレスを PAT アドレスとして使用することもできます。ただし、インターフェイス上で、IPv6 アドレスに対するインターフェイス PAT を使用することはできません。

同じブリッジ グループに含まれるインターフェイス間で変換する場合、IPv6 のダイナミック PAT（NAT66）は使用できません。この制約は、ブリッジ グループ メンバーと標準のルーティング インターフェイスの間には適用されません。

ダイナミック PAT は、制御パスとは異なるデータ ストリームを持つ一部のマルチメディア アプリケーションでは無効になります。詳細については、インスペクション対象プロトコルに対する NAT サポート を参照してください。

ダイナミック PAT により、大量の接続が単一の IP アドレスから送信されているように見えることがあり、サーバがこのトラフィックを DoS 攻撃と解釈してしまう場合があります。

スタティック NAT は、実際のアドレスをマッピング アドレスに固定的に変換します。スタティック NAT を使用する場合、以降のどの接続でもマッピング アドレスが同じであるため、ホスト宛て、またはホストからの双方向接続を開始できます（これを許可するアクセス ルールが存在する場合）。一方、ダイナミック NAT および PAT の場合は、変換の都度、ホストは異なるアドレスまたはポートを使用するため、双方向接続の開始はサポートされません。

次の図は、スタティック NAT の一般的なシナリオを示します。変換は常にアクティブなため、実際のホスト、リモート ホストのいずれも接続を開始できます。

図 6. スタティック NAT

送信元アドレスと変換されたマッピング アドレスを定義するには、[パケット変換（Packet Translation）]オプションを使用します。次のプロパティは、自動 NAT にのみ適用されます。

[送信元インターフェイス（Source Interface）]、[宛先インターフェイス（Destination Interface）]

（ブリッジ グループのメンバー インターフェイスに必要）この NAT ルールを適用するインターフェイス。送信元は、トラフィックがデバイスに通過する入口となる、実際のインターフェイスです。宛先は、デバイスを通過したトラフィックの出口となる、マッピング インターフェイスです。デフォルトでは、ルールはすべてのインターフェイスに適用されますが（[すべて（Any）]）、ブリッジ グループのメンバー インターフェイスは例外です。

[元のアドレス（Original Address）]（常に必須）

変換している送信元アドレスを含むネットワーク オブジェクト。これは（グループではなく）ネットワーク オブジェクトである必要があり、ホストまたはサブネットを指定できます。

[変換済みアドレス（Translated Address）]（通常は必須）

変換先のマッピング アドレス。ここで選択する内容は、定義している変換ルールのタイプによって異なります。

• [ダイナミック NAT（Dynamic NAT）]：マッピング アドレスを含むネットワーク オブジェクトまたはグループ。ネットワーク オブジェクトまたはグループを指定できますが、サブネットを含めることはできません。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

• [ダイナミック PAT（Dynamic PAT）]：次のいずれかを実行します。

  • （インターフェイス PAT）。宛先インターフェイスの IPv4 アドレスを使用するには、[インターフェイス（Interface）]を選択します。特定の宛先インターフェイスも選択する必要があります。ブリッジ グループ メンバー インターフェイスは選択できません。インターフェイス PAT は IPv6 には使用できません。

  • 宛先インターフェイス以外の単一アドレスを使用するには、この用途で作成したホスト ネットワーク オブジェクトを選択します。

• [スタティック NAT（Static NAT）]：次のいずれかを実行します。

  • 一連のアドレスのグループを使用するには、マッピング アドレスを含むネットワーク オブジェクトまたはグループを選択します。オブジェクトまたはグループには、ホストやサブネットを含めることができます。通常、1 対 1 のマッピングでは、実際のアドレスと同じ数のマッピング アドレスを設定します。しかし、アドレスの数が一致しない場合もあります。

  • （ポート変換を設定したスタティック インターフェイス NAT）。宛先インターフェイスのアドレスを使用するには、[インターフェイス（Interface）]を選択します。特定の宛先インターフェイスも選択する必要があります。ブリッジ グループ メンバー インターフェイスは選択できません。これで、ポート変換を設定したスタティック インターフェイス NAT が設定されます。送信元アドレスとポートは、インターフェイスのアドレスおよび同じポート番号に変換されます。インターフェイス PAT は IPv6 には使用できません。

• [アイデンティティ NAT（Identity NAT）]：元の送信元と同じオブジェクト。オプションとして、まったく同じ内容を持つ、別のオブジェクトを選択できます。

[元のポート（Original Port）]、[変換済みポート（Translated Port）]（スタティック NAT のみ）

TCP または UDP ポートを変換する必要がある場合は、元のポートと変換済みポートを定義するポート オブジェクトを選択します。オブジェクトは同じプロトコルのものである必要があります。たとえば、必要に応じて、TCP/80 を TCP/8080 に変換できます。

送信元アドレスと変換されたマッピング アドレスを定義するには、[パケット変換（Packet Translation）]オプションを使用します。次のプロパティは、手動 NAT にのみ適用されます。指定されている場合を除き、すべて任意選択です。

[送信元インターフェイス（Source Interface）]、[宛先インターフェイス（Destination Interface）]

（ブリッジ グループのメンバー インターフェイスに必要）この NAT ルールを適用するインターフェイス。送信元は、トラフィックがデバイスに通過する入口となる、実際のインターフェイスです。宛先は、デバイスを通過したトラフィックの出口となる、マッピング インターフェイスです。デフォルトでは、ルールはすべてのインターフェイスに適用されますが（[すべて（Any）]）、ブリッジ グループのメンバー インターフェイスは例外です。

[元の送信元アドレス（Original Source Address）]（常に必須）

変換しているアドレスを含むネットワーク オブジェクトまたはグループ。これは、ネットワーク オブジェクトまたはグループを指定でき、ホストまたはサブネットを含めることができます。元の送信元トラフィックをすべて変換する場合は、ルールで [すべて（Any）]を指定できます。

[変換済み送信元アドレス（Translated Source Address）]（通常は必須）

変換先のマッピング アドレス。ここで選択する内容は、定義している変換ルールのタイプによって異なります。

• [ダイナミック NAT（Dynamic NAT）]：マッピング アドレスを含むネットワーク オブジェクトまたはグループ。ネットワーク オブジェクトまたはグループを指定できますが、サブネットを含めることはできません。IPv4 アドレスと IPv6 アドレスの両方をグループに入れることはできません。1 つのタイプだけが含まれている必要があります。

• [ダイナミック PAT（Dynamic PAT）]：次のいずれかを実行します。

  • （インターフェイス PAT）。宛先インターフェイスのアドレスを使用するには、[インターフェイス（Interface）]を選択します。特定の宛先インターフェイスも選択する必要があります。ブリッジ グループ メンバー インターフェイスは選択できません。インターフェイス PAT は IPv6 には使用できません。

  • 宛先インターフェイス以外の単一アドレスを使用するには、この用途で作成したホスト ネットワーク オブジェクトを選択します。

• [スタティック NAT（Static NAT）]：次のいずれかを実行します。

  • 一連のアドレスのグループを使用するには、マッピング アドレスを含むネットワーク オブジェクトまたはグループを選択します。通常、1 対 1 のマッピングでは、実際のアドレスと同じ数のマッピング アドレスを設定します。しかし、アドレスの数が一致しない場合もあります。

  • （ポート変換を設定したスタティック インターフェイス NAT）。宛先インターフェイスのアドレスを使用するには、[インターフェイス（Interface）]を選択します。特定の宛先インターフェイスも選択する必要があります。ブリッジ グループ メンバー インターフェイスは選択できません。これで、ポート変換を設定したスタティック インターフェイス NAT が設定されます。送信元アドレスとポートは、インターフェイスのアドレスおよび同じポート番号に変換されます。インターフェイス PAT は IPv6 には使用できません。

• [アイデンティティ NAT（Identity NAT）]：元の送信元と同じオブジェクト。オプションとして、まったく同じ内容を持つ、別のオブジェクトを選択できます。

[元の宛先アドレス（Original Destination Address）]

宛先のアドレスを含むネットワーク オブジェクト。空白のままにすると、宛先にかかわらず、送信元アドレスの変換が適用されます。宛先アドレスを指定する場合は、このアドレスにスタティック変換を設定するか、単にアイデンティティ NAT を使用します。

[インターフェイス（Interface）]を選択すると、元の接続先を送信元インターフェイス（[すべて（Any）] 以外）に基づいて決定できます。このオプションを選択した場合は、変換済み接続先オブジェクトも選択する必要があります。スタティック インターフェイス NAT、および宛先アドレスへのポート変換を実装するには、このオプションを選択し、宛先ポートの適切なポート オブジェクトを選択します。

[変換済み宛先アドレス（Translated Destination Address）]

変換済みパケットで使用される宛先アドレスを含むネットワーク オブジェクトまたはグループ。[元の宛先（Original Destination）]のオブジェクトを選択した場合、同じオブジェクトを選択してアイデンティティ NAT を設定できます（つまり、変換は不要です）。

[元の送信元ポート（Original Source Port）]、[変換済み送信元ポート（Translated Source Port）]、[元の宛先ポート（Original Destination Port）]、[変換済み宛先ポート（Translated Destination Port）]

元のパケットと変換済みパケットの送信元と宛先のサービスを定義するポート オブジェクト。ポートを変換するか、または同じオブジェクトを選択して、ポートを変換せずにルールをサービスに依存させることができます。サービスを設定するときは、次の点に注意してください。

• （ダイナミック NAT または PAT）。[元の送信元ポート（Original Source Port）]と [変換済み送信元ポート（Translated Source Port）]で変換を実行することはできません。宛先ポートでのみ変換を実行できます。

• NAT では、TCP または UDP のみがサポートされますポートを変換する場合、実際のサービス オブジェクトのプロトコルとマッピング サービス オブジェクトのプロトコルの両方を同じにします（両方とも TCP または両方とも UDP）。アイデンティティ NAT では、実際のポートとマッピング ポートの両方に同じオブジェクトを使用できます。

NAT を設定する際、[詳細（Advanced）] オプションを使用すると、特殊なサービスを実現する各種プロパティを設定できます。これらのプロパティはすべてオプションであり、該当サービスが必要な場合だけに設定します。

[このルールに一致する DNS 応答を変換（Translate DNS replies that match this rule）]

DNS 応答内の IP アドレスを変換するかどうか。マッピングされたインターフェイスから実際のインターフェイスへの DNS 応答の場合、Address レコード（IPv4 では A レコード、IPv6 では AAAA レコード）は、マッピングされた値から実際の値に書き換えられます。反対に、実際のインターフェイスからマッピングされたインターフェイスへの DNS 応答の場合、このレコードは実際の値からマッピングされた値に書き換えられます。このオプションは特定の状況で使用します。また、NAT64/46 変換により、書き換えによって A レコードと AAAA レコードとが交換される場合にも必要となることがあります。詳細については、NAT による DNS クエリおよび応答のリライトを参照してください。スタティック NAT ルールでポート変換を行っている場合には、このオプションは使用できません。

[インターフェイス PAT へのフォールスルー（宛先インターフェイス）（Fallthrough to Interface PAT (Destination Interface)）]（ダイナミック NAT のみ）

相手のマッピング アドレスがすでに割り当て済みの場合、バックアップとして、宛先インターフェイスの IP アドレスを使用するかどうか（インターフェイス PAT フォールバック）。このオプションは、ブリッジ グループのメンバーではない宛先インターフェイスを選択する場合のみに使用できます。すでにインターフェイス PAT を変換済みアドレスとして設定している場合には、このオプションは使用できません。このオプションは、IPv6 ネットワークでは使用できません。

[宛先インターフェイスで ARP をプロキシしない（Do not proxy ARP on Destination Interface）]（スタティック NAT のみ）

マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。マッピング インターフェイスと同じネットワーク上のアドレスを使用した場合、システムはプロキシ ARP を使用してマッピング アドレスのすべての ARP 要求に応答することによって、マッピング アドレスを宛先とするトラフィックを代行受信します。この方法では、デバイスがその他のネットワークのゲートウェイである必要がないため、ルーティングが簡略化されます。必要に応じて、プロキシ ARP をディセーブルにできます。その場合は、アップストリーム ルータの適切なルートがあることを確認する必要があります。アイデンティティ NAT の場合、通常はプロキシ ARP が不要で、場合によっては接続性に関する問題を引き起こす可能性があります。

宛先インターフェイスに対し、ルート ルックアップを実行します（スタティックなアイデンティティ NAT のみ、ルーテッド モードのみ）。

元の送信元アドレス、変換後の送信元アドレスとに同じオブジェクトを選択する場合に、送信元インターフェイスおよび宛先インターフェイスを選択するとき、このオプションを選択すると、NAT ルールに設定された宛先インターフェイスを使用するのではなく、ルーティング テーブルに基づく宛先インターフェイスがシステムによって決定されます。