[index] CentreCOM ARX640S コマンドリファレンス 5.1.5

ip napt forward

モード: インターフェースモード
カテゴリー: ファイアウォール / IP NAT

(config-if)# [no] ip napt forward OUTSPEC INADDR [INPORT]

対象インターフェースにスタティックENAT（スタティックNAPT、ポートフォワーディングとも。IPアドレス/ポートを1対1で静的に変換）の変換ルールを設定する。
no形式で実行した場合は変換ルールを削除する。


パラメーター

OUTSPEC 変換対象を規定するプロトコルと終点ポート番号（TCP/UDPのみ）。次のいずれかの形式で指定する
tcp <1-65535> 変換前のTCPポート番号
udp <1-65535> 変換前のUDPポート番号
icmp ICMP
<0-255> 任意のIPプロトコル番号
SERVICENAME 定義済みのサービス名キーワード（access-list ip standard(rule entry)コマンドの表を参照）
INADDR := A.B.C.D
プライベート側（変換後の）IPアドレス
INPORT := <1-65535>
プライベート側（変換後の）ポート番号（OUTSPECでtcp、udpを指定したときだけ有効）。変換前と異なるポートに転送するときだけ指定する（指定しなければ変換前と同じポートに転送される）


使用例

■ グローバル側インターフェースgigabitEthernet 0のTCPポート80番宛てのパケットを、プライベート側ネットワークにあるサーバー192.168.10.5のTCPポート80番に転送するスタティックENATルールを設定する。

*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# ip napt forward tcp 80 192.168.10.5 ↓


■ グローバル側インターフェースgigabitEthernet 0のTCPポート8080番宛てのパケットを、プライベート側ネットワークにあるサーバー192.168.10.15のTCPポート80番に転送するスタティックENATルールを設定する。

*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# ip napt forward tcp 8080 192.168.10.15 80 ↓


注意・補足事項

■ スタティックENATの設定はグローバル側インターフェースに対して行う。

■ IPフィルターを用いて、グローバル側からプライベート側へのトラフィックを遮断している場合は、スタティックENATの対象パケットを許可する設定をトラフィックフィルターに追加する必要がある。このとき、許可するパケットの終点アドレス・ポートには、変換後のアドレス・ポート（本コマンドのINADDR、INPORTで指定するもの）を指定すること。次に例を示す。

*Router(config)# access-list ip extended ge0_in ↓
*Router(config-acl-ip-ext)# permit tcp any host 192.168.10.5 eq 80 ↓
*Router(config-acl-ip-ext)# exit ↓
*Router(config)# access-list ip extended ge0_out ↓
*Router(config-acl-ip-ext)# dynamic permit ip any any ↓
*Router(config-acl-ip-ext)# exit ↓
*Router(config)# interface gigabitEthernet 0 ↓
*Router(config-if)# ip napt forward tcp 80 192.168.10.5 ↓
*Router(config-if)# ip traffic-filter ge0_in in ↓
*Router(config-if)# ip traffic-filter ge0_out out ↓


■ 通常インターフェースにおけるIPフィルターとIP NAT機能の適用順序は次のとおり。
■ IPsecトンネルインターフェースにおけるIPフィルターとIP NAT機能の適用順序は次のとおり。
IPsecトンネルインターフェースにIPフィルターやIP NATを設定した場合、送信時・受信時とも、トンネリングされるパケット（内側パケット）に対してIPフィルターやIP NATが適用される。すなわち、送信時はトンネリング処理前のパケット、受信時はトンネリング解除後のパケットに対して適用される。なお、IPsecトンネルインターフェースでNAT（内部NAT）を行うには、IPsecポリシーモードのnatコマンドで内部NAT有効の指定をする必要がある。

■ IPsecトンネルインターフェースにNATルールを設定し、IPsec処理前のパケット（内側パケット）をNATしたい場合は、該当トンネルインターフェースに関連付けるIPsecポリシーで内部NATを有効にすること（natコマンドを実行する）。IPsecポリシーの初期設定では内部NATが無効であるため、トンネルインターフェースにNATルールを設定してもNATルールは動作せず、IPsec処理だけが行われる。

■ 各種機能によるパケット処理順序の詳細については、「付録」の「パケット処理フロー」を参照。


コマンドツリー

interface (グローバルコンフィグモード)
    |
    +- ip napt forward（インターフェースモード）


関連コマンド

nat（IPsecポリシーモード）
show ip napt statistics（非特権EXECモード）
show ip napt translations（非特権EXECモード）


(C) 2011 - 2014 アライドテレシスホールディングス株式会社

PN: 613-001491 Rev.E