ネットワークオブジェクト用の NAT を設定するには、ネットワーク オブジェクト コンフィギュレーション モードで nat コマンドを使用します。NAT 構成を削除するには、このコマンドの no 形式を使用します。
ダイナミック NAT およびダイナミック PAT の場合：
nat [( real_ifc , mapped_ifc )] dynamic { mapped_inline_host_ip [ interface [ ipv6 ]]| [ mapped_obj ] [ pat-pool mapped_obj [ round-robin ] [ extended ] [ flat [ include-reserve ]] [ block-allocation ]] [ interface [ ipv6 ]]} [ dns ]
no nat [( real_ifc , mapped_ifc )] dynamic { mapped_inline_host_ip [ interface [ ipv6 ]]| [ mapped_obj ] [ pat-pool mapped_obj [ round-robin ] [ extended ] [ flat [ include-reserve ]] [ block-allocation ]] [ interface [ ipv6 ]]} [ dns ]
スタティック NAT およびポート変換を使用するスタティック NAT の場合：
nat [( real_ifc , mapped_ifc )] static { mapped_inline_host_ip | mapped_obj | interface [ ipv6 ]}[ net-to-net ] [ dns | service { tcp | udp | sctp } real_port mapped_port ] [ no-proxy-arp ] [ route-lookup ]
no nat [( real_ifc , mapped_ifc )] static { mapped_inline_host_ip | mapped_obj | interface [ ipv6 ]}[ net-to-net ] [ dns | service { tcp | udp | sctp } real_port mapped_port ] [ no-proxy-arp ] [ route-lookup ]
構文の説明
|
( real_ifc , mapped_ifc )
|
（任意）スタティック NAT の場合は、実際のインターフェイスおよびマッピング インターフェイスを指定します。実際のインターフェイスおよびマッピング インターフェイスを指定しない場合は、すべてのインターフェイスが使用されます。また、インターフェイスのいずれかまたは両方に
any キーワードを指定できます。コマンドには、丸カッコを含める必要があります。ブリッジグループのメンバーインターフェイス（トランスペアレントモードまたはルーテッドモード）の場合、実際のインターフェイスおよびマッピングインターフェイスを指定する必要があります。any は使用できません。
|
|
block-allocation
|
ポート ブロック割り当てをイネーブルにします。キャリアグレードまたは大規模 PAT の場合は、NAT に一度に 1 つずつポート変換を割り当てさせる代わりに、各ホストのポートのブロックを割り当てることができます。ポートのブロックを割り当てると、ホストからのその後の接続では、ブロック内のランダムに選択される新しいポートが使用されます。必要に応じて、ホストが元のブロック内のすべてのポートに関してアクティブな接続を持つ場合は追加のブロックが割り当てられます。ポートブロックは、1024
～ 65535 の範囲でのみ割り当てられます。ポートのブロック割り当ては round-robin と互換性がありますが、extended または flat [include-reserve ] オプションは使用できません。また、インターフェイス PAT のフォールバックを使用することもできません。
|
|
dns
|
（任意）DNS 応答を変換します。DNS インスペクションが有効になっていることを確認してください（inspect dns ）（デフォルトでは有効）。（スタティック NAT の場合）service キーワードを指定する場合、このオプションは使用できません。このオプションを PAT ルールとともに使用することはできません。詳細については、CLI 設定ガイドを参照してください。
|
|
dynamic
|
ダイナミック NAT またはダイナミック PAT を設定します。
|
|
extended
|
（オプション）PAT プールの拡張 PAT をイネーブルにします。拡張 PAT では、変換情報に宛先アドレスとポートを含めることで、IP アドレスごとではなく、service ごとに 65535 個のポートが使用されます。通常、PAT 変換の作成時に宛先ポートとアドレスは考慮されないため、PAT アドレスあたり 65535 個のポートに制限されます。たとえば、拡張 PAT を使用して、192.168.1.7:23
に向かう場合の 10.1.1.1:1027 の変換、および 192.168.1.7:80 に向かう場合の 10.1.1.1:1027 の変換を作成できます。
|
|
flat [include-reserve ]
include-reserve
|
（任意、9.15 より前）ポートを割り当てるときに 1024 ～ 65535 のポート範囲全体を使用できるようにします。変換のマッピング ポート番号を選択するときに、ASA によって、使用可能な場合は実際の送信元ポート番号が使用されます。ただし、このオプションを設定しないと、実際のポートが使用できない場合、デフォルトでは、実際のポート番号と同じポート範囲（1 ～ 511、512 ～ 1023、および 1024 ～ 65535）からマッピング ポートが選択されます。下位の範囲でポートが不足するのを回避するには、この設定を行います。1 ～ 65535
の範囲全体を使用するには、include-reserve キーワードも指定します。
(9.15 以降) 9.15 以降、falt は PAT プールのデフォルト設定不可能な動作です。include-reserve キーワードは flat キーワードから独立しているため、予約済みポートの 1 ～ 1023 を PAT プールに含めることを引き続き選択できます。
|
|
interface [ipv6 ]
|
（任意）ダイナミック NAT では、マッピング IP アドレス、オブジェクト、またはグループの後に続けて interface キーワードを指定した場合、マッピングインターフェイスの IP アドレスは、他のすべてのマッピングアドレスがすでに割り当てられている場合にのみ使用されます。
ダイナミック PAT では、マッピング IP アドレス、オブジェクト、またはグループの代わりに interface キーワードを指定した場合、マッピング IP アドレスのインターフェイス IP アドレスを使用します。このキーワードは、インターフェイスの IP アドレスを使用するときに使用する必要があります。インラインで、またはオブジェクトとして入力することはできません。
ipv6 を指定した場合、インターフェイスの IPv6 アドレスが使用されます。
ポート変換を使用するスタティック NAT では、service キーワードを設定する場合にも interface キーワードを指定できます。
このオプションでは、mapped_ifc に特定のインターフェイスを設定する必要があります。
透過モードでは interface を指定できません。ルーテッド モードでは、宛先インターフェイスがブリッジ グループのメンバーの場合、このオプションを使用することはできません。
|
|
mapped_inline_host_ip
|
dynamic を指定する場合は、ホスト IP アドレスを使用してダイナミック PAT を設定します。static を指定する場合、マッピングネットワークのネットマスクや範囲は実際のネットワークと同じです。たとえば、実際のネットワークがホストの場合、このアドレスは、ホスト アドレスとして処理されます。範囲またはサブネットの場合、マッピング アドレスには、実際の範囲またはサブネットと同じ数のアドレスが含まれます。たとえば、実際のアドレスが
10.1.1.1 ～ 10.1.1.6 の範囲として定義され、172.20.1.1 をマッピング アドレスとして指定する場合、マッピング範囲には、172.20.1.1 ～ 172.20.1.6 が含まれます。推奨されない多対 1 のマッピングが必要な場合は、インライン
アドレスの代わりにホスト ネットワーク オブジェクトを使用します。
|
|
mapped_obj
|
1 つ以上のマッピング IP アドレスをネットワークオブジェクト（object network ）またはオブジェクトグループ（object-group network ）として指定します。1 つのオブジェクト グループに IPv4 と IPv6 の両方のアドレスを入れることはできません。オブジェクト グループには、1 つのタイプのアドレスだけが含まれている必要があります。
ダイナミック NAT の場合は、オブジェクトまたはグループにサブネットを含めることはできません。必要に応じて、このマッピングされたオブジェクトを異なるダイナミック NAT ルール間で共有できます。拒否されるマッピング IP アドレスについては、「マッピングアドレスのガイドライン」を参照してください。
スタティック NAT の場合、通常は、1 対 1 のマッピングに対応するように、実際のアドレスと同じ数のマッピング アドレスを設定します。しかし、アドレスの数が一致しない場合もあります。詳細については、CLI 設定ガイドを参照してください。
|
|
mapped_port
|
（オプション）マッピング TCP/UDP/SCTP ポートを指定します。リテラル名または 0 ～ 65535 の範囲の数字でポートを指定できます。
|
|
net-to-net
|
（任意）NAT 46 の場合は、net-to-net を指定すると、最初の IPv4 アドレスが最初の IPv6 アドレスに、2 番目が 2 番目に変換されます（以降も同様）。このオプションを指定しない場合は、IPv4 埋め込み方式が使用されます。1 対 1 変換の場合は、このキーワードを使用する必要があります。
|
|
no-proxy-arp
|
（オプション）スタティック NAT の場合に、マッピング IP アドレスへの着信パケットのプロキシ ARP をディセーブルにします。
|
|
pat-pool mapped_obj
|
（オプション）アドレスの PAT プールをイネーブルにします。オブジェクトのすべてのアドレスが PAT アドレスとして使用されるようになります。ダイナミック NAT の場合、PAT プールをフォールバック方式として設定できます。1 つのオブジェクト
グループに IPv4 と IPv6 の両方のアドレスを入れることはできません。オブジェクト グループには、1 つのタイプのアドレスだけが含まれている必要があります。
|
|
real_port
|
（オプション）スタティック NAT の場合は、実際の TCP/UDP/SCTP ポートを指定します。リテラル名または 0 ～ 65535 の範囲の数字でポートを指定できます。
|
|
round-robin
|
（オプション）PAT プールのラウンドロビン アドレス割り当てをイネーブルにします。デフォルトでは、次の PAT アドレスが使用される前に PAT アドレスのすべてのポートが割り当てられます。ラウンドロビン方式では、最初のアドレスに戻って再び使用される前に、2
番目のアドレス、またその次と、プール内の各 PAT アドレスからアドレス/ポートが割り当てられます。
|
|
route-lookup
|
（オプション）ルーテッド モードのアイデンティティ NAT で、NAT コマンドで指定したインターフェイスを使用する代わりに、ルート ルックアップを使用して出力インターフェイスを決定します。NAT コマンドでインターフェイスを指定しない場合、デフォルトでルート
ルックアップが使用されます。
|
|
service {tcp | udp | sctp }
|
（オプション）ポート変換を使用するスタティック NAT の場合は、ポート変換用のプロトコル（TCP、UDP、SCTP）を指定します。
|
|
static
|
スタティック NAT またはポート変換を使用するスタティック NAT を設定します。
|
コマンド デフォルト
-
real_ifc および mapped_ifc のデフォルト値は any で、すべてのインターフェイスにルールが適用されます。
-
（8.3(1)、8.3(2)、8.4(1)）アイデンティティ NAT のデフォルト動作で、プロキシ ARP はディセーブルにされます。これは設定できません。（8.4(2) 以降）アイデンティティ NAT のデフォルト動作で、プロキシ ARP
はイネーブルにされ、他のスタティック NAT ルールと一致します。必要に応じてプロキシ ARP を無効にできます。
-
オプションのインターフェイスを指定する場合、ASA によって NAT 構成が使用されて、出力インターフェイスが決定されます。（8.3(1) ～ 8.4(1)）唯一の例外はアイデンティティ NAT です。アイデンティティ NAT では、NAT
コンフィギュレーションに関係なく、常にルート ルックアップが使用されます。（8.4(2) 以降）アイデンティティ NAT の場合、デフォルト動作は NAT コンフィギュレーションの使用ですが、代わりにルート ルックアップを常に使用するオプションがあります。
コマンド モード
次の表に、コマンドを入力できるモードを示します。
|
コマンドモード
|
ファイアウォールモード
|
セキュリティコンテキスト
|
|
ルーテッド
|
トランスペアレント
|
シングル
|
マルチ
|
|
コンテキスト
|
システム
|
|
オブジェクト ネットワーク コンフィギュレーション
|
|
|
|
|
—
|
コマンド履歴
|
リリース
|
変更内容
|
|
8.3(1)
|
このコマンドが追加されました。
|
|
8.4(2)/8.5(1)
|
no-proxy-arp 、route-lookup 、 pat-pool 、および round-robin キーワードが追加されました。
アイデンティティ NAT のデフォルトの動作が、プロキシ ARP をイネーブルにし、他のスタティック NAT ルールと照合するように変更されました。
8.3(1)、8.3(2)、8.4(1) から 8.4(2) にアップグレードする場合、既存の機能を保持するため、すべてのアイデンティティ NAT コンフィギュレーションに no-proxy-arp キーワードと route-lookup キーワードが含まれるようになりました。
|
|
8.4(3)
|
extended 、flat 、および include-reserve キーワードが追加されました。
ラウンドロビン割り当てで PAT プールを使用するときに、ホストに既存の接続がある場合、そのホストからの後続の接続では、ポートが使用可能であれば同じ PAT IP アドレスが使用されます。
この機能は、8.5(1) では使用できません。
|
|
9.0(1)
|
NAT が IPv6 トラフィックをサポートするようになり、IPv4 と IPv6 の間の変換もサポートされます。IPv4 と IPv6 の間の変換は、トランスペアレント モードではサポートされません。interface ipv6 オプションと net-to-net オプションが追加されました。
|
|
9.5(1)
|
block-allocation キーワードが追加されました。
|
|
9.5(2)
|
service sctp キーワードが追加されました。
|
|
9.15(1)
|
flat キーワードが削除され、include-reserve キーワードは flat のサブパラメータではなくなりました。すべての PAT プールで 1024 〜 65535 のフラットなポート範囲が使用されるようになり、オプションで予約済みポート（1 〜 1023）を含めることができるようになりました。
|
使用上のガイドライン
パケットが ASA に入ると、送信元 IP アドレスと宛先 IP アドレスの両方がネットワークオブジェクト NAT ルールと照合されます。個別の照合が行われる場合、パケット内の送信元アドレスと宛先アドレスは、個別のルールによって変換できます。これらのルールは、相互に結び付けられていません。トラフィックに応じて、異なる組み合わせのルールを使用できます。
ルールがペアになることはありません。したがって、宛先 X に向かう場合は送信元アドレスが A と変換され、宛先 Y に向かう場合は B と変換されるように指定することはできません。この種の機能には、Twice NAT を使用します（Twice
NAT を使用すると、1 つのルールで送信元アドレスおよび宛先アドレスを識別できます）。
Twice NAT とネットワーク オブジェクト NAT の違いの詳細については、CLI 設定ガイドを参照してください。
ネットワーク オブジェクト NAT ルールは、NAT ルール テーブルのセクション 2 に追加されます。NAT 順序の詳細については、CLI 設定ガイドを参照してください。
構成に応じて、マッピングアドレスをインラインで設定したり、マッピングアドレスに対応する別のネットワークオブジェクトやネットワーク オブジェクト グループを作成したりできます（object network または object-group network コマンドを使用）。ネットワーク オブジェクト グループは、非連続的な IP アドレスの範囲または複数のホストやサブネットで構成されるマッピング アドレスを作成する場合に特に便利です。1 つのオブジェクト グループに IPv4 と IPv6 の両方のアドレスを入れることはできません。オブジェクト
グループには、1 つのタイプのアドレスだけが含まれている必要があります。
NAT で使用されるオブジェクトおよびオブジェクト グループを未定義にすることはできません。IP アドレスを含める必要があります。
特定のオブジェクトに対して 1 つの NAT ルールだけを定義できます。複数の NAT ルールを設定する場合は、object network obj-10.10.10.1-01 、object network obj-10.10.10.1-02 などのように、同じ IP アドレスを指定する複数のオブジェクトを作成する必要があります。
マッピングアドレスのガイドライン
マッピング IP アドレス プールに、次のアドレスを含めることはできません。
-
マッピング インターフェイスの IP アドレス。ルールに any インターフェイスを指定した場合は、すべてのインターフェイス IP アドレスが無効になります。インターフェイス PAT（ルーテッドモードのみ）の場合は、IP アドレスの代わりに interface キーワードを使用します。
-
（トランスペアレント モード）管理 IP アドレス。
-
（ダイナミック NAT）VPN がイネーブルの場合は、スタンバイ インターフェイスの IP アドレス。
-
既存の VPN プールのアドレス。
変換セッションのクリア
NAT コンフィギュレーションを変更する場合、既存の変換がタイムアウトするまで待たずに新しい NAT 情報を使用するために、clear xlate コマンドを使用して変換テーブルをクリアできます。ただし、変換テーブルをクリアすると、現在の接続がすべて切断されます。
PAT プールのガイドライン
-
個々の A レコードに複数の PAT ルールを適用できることで、使用する PAT ルールが不明確になるため、DNS リライトは PAT には適用されません。
-
（9.15 より前）使用可能な場合、実際の送信元ポート番号がマッピングポートに対して使用されます。ただし、実際のポートが使用できない場合は、デフォルトで、マッピング ポートは実際のポート番号と同じポート範囲（0 ～ 511、512 ～ 1023、および 1024 ～ 65535）から選択されます。そのため、1024 よりも下のポートでは、小さい PAT プールのみを使用できます。（8.4(3)
以降、ただし 8.5(1) と 8.6(1) を除く）下位ポート範囲を使用するトラフィックが多数ある場合は、サイズが異なる 3 つの層の代わりにフラットなポート範囲を使用するように指定できます（1024 ～ 65535、または 1 ～ 65535）。
-
（9.15 以降）ポートは、1024 〜 65535 の範囲の使用可能なポートにマッピングされます。必要に応じ、1024 番未満の予約ポートを含めて、ポート範囲全体を変換に使用することもできます。
クラスタで動作する場合、アドレスごとに 512 個のポートのブロックがクラスタのメンバーに割り当てられ、これらのポートブロック内でマッピングが行われます。ブロック割り当ても有効にした場合は、ブロック割り当てサイズに従ってポートが分配されます。このデフォルトも
512 です。
ダイナミック NAT によってマッピングされた IP アドレスにオブジェクト グループを使用し、そのグループにホスト アドレスを含める場合、PAT プールをイネーブルにすると、ホスト アドレスの使用が PAT フォールバックからダイナミック
NAT へと変更されます。
PAT プールの拡張 PAT のガイドライン
-
多くのアプリケーション インスペクションでは、拡張 PAT はサポートされていません。サポート対象外のインスペクションのリストについては、設定ガイドを参照してください。
-
ダイナミック PAT ルールに対して拡張 PAT をイネーブルにする場合は、PAT プール内のアドレスを、ポート変換ルールを設定した別のスタティック NAT の PAT アドレスとしても使用することはできません。たとえば、PAT プールに 10.1.1.1
が含まれている場合、PAT アドレスとして 10.1.1.1 を使用する、ポート トランスレーション ルールを持つスタティック NAT は作成できません。
-
PAT プールを使用し、フォールバックのインターフェイスを指定する場合、拡張 PAT を使用できません。
-
ICE または TURN を使用する VoIP 配置では、拡張 PAT を使用しないでください。ICE および TURN は、すべての宛先に対して同じであるために PAT バインディングに依存しています。
PAT プールのラウンドロビンのガイドライン
-
（8.4(3) 以降、8.5(1) または 8.6(1) を除く）ホストに既存の接続がある場合、そのホストからの後続の接続では、ポートが使用可能であれば同じ PAT IP アドレスが使用されます。Note ：この「粘着性」は、フェールオーバーが発生すると失われます。ASA がフェールオーバーすると、ホストからの後続の接続で最初の IP アドレスが使用されない場合があります。
-
（8.4(2)、8.5(1)、および 8.6(1)）ホストに既存の接続がある場合、そのホストからの後続の接続では、ラウンドロビン割り当てのため、接続ごとに別の PAT アドレスが使用される可能性があります。この場合、ホストについて情報を交換する 2 つの Web サイト（e- コマース サイトと支払サイトなど）にアクセスするときに問題が発生する可能性があります。これらのサイトが、1 つのホストとして扱うべきものを
2 つの異なる IP アドレスと見なした場合、トランザクションは失敗することがあります。
-
ラウンドロビンでは、特に拡張 PAT と組み合わせた場合に、大量のメモリが消費されます。
NAT と IPv6
NAT を使用すると、IPv6 ネットワーク間、さらに IPv4 および IPv6 ネットワークの間で変換できます（ルーテッド モードのみ）。次のベスト プラクティスを推奨します。インターフェイスが同じブリッジ グループのメンバーの場合は NAT64/46
を実行できないことに注意してください。
-
NAT66（IPv6-to-IPv6）：スタティック NAT を使用することを推奨します。ダイナミック NAT または PAT を使用できますが、IPv6 アドレスは大量にあるため、ダイナミック NAT を使用する必要がありません。リターン
トラフィックを許可しない場合は、スタティック NAT ルールを単一方向にできます（Twice NAT のみ）。
-
NAT46（IPv4-to-IPv6）：スタティック NAT を使用することを推奨します。IPv6 アドレス空間は IPv4 アドレス空間よりもかなり大きいので、容易にスタティック変換に対応できます。リターン トラフィックを許可しない場合は、スタティック
NAT ルールを単一方向にできます（Twice NAT のみ）。IPv6 サブネットに変換する場合（/96 以下）、結果のマッピング アドレスは IPv4 埋め込み IPv6 アドレスとなります。このアドレスでは、IPv4 アドレスの 32 ビットが
IPv6 プレフィックスの後に埋め込まれています。たとえば、IPv6 プレフィックスが /96 プレフィックスの場合、IPv4 アドレスは、アドレスの最後の 32 ビットに追加されます。たとえば、201b::0/96 に 192.168.1.0/24
をマッピングする場合、192.168.1.4 は 201b::0.192.168.1.4 にマッピングされます（混合表記で表示）。/64 など、より小さいプレフィックスの場合、IPv4 アドレスがプレフィックスの後に追加され、サフィックスの 0s
が IPv4 アドレスの後に追加されます。
-
NAT64（IPv6-to-IPv4）：IPv6 アドレスの数に対応できる十分な数の IPv4 アドレスがない場合があります。大量の IPv4 変換を提供するためにダイナミック PAT プールを使用することを推奨します。
例
次の例では、外部アドレス 2.2.2.1 ～ 2.2.2.10 の範囲の背後に 192.168.2.0 ネットワークを隠すダイナミック NAT を設定します。
ciscoasa(config)# object network my-range-obj
ciscoasa(config-network-object)# range 2.2.2.1 2.2.2.10
ciscoasa(config)# object network my-inside-net
ciscoasa(config-network-object)# subnet 192.168.2.0 255.255.255.0
ciscoasa(config-network-object)# nat (inside,outside) dynamic my-range-obj
次の例では、ダイナミック PAT バックアップを設定したダイナミック NAT を設定します。ネットワーク 10.76.11.0 内のホストは、まず nat-range1 プール（10.10.10.10 ～ 10.10.10.20）にマッピングされます。nat-range1
プール内のすべてのアドレスが割り当てられたら、pat-ip1 アドレス（10.10.10.21）を使用してダイナミック PAT が実行されます。PAT 変換もすべて使用されることはほとんどありませんが、このような場合には、外部インターフェイス
アドレスを使用してダイナミック PAT が実行されます。
ciscoasa(config)# object network nat-range1
ciscoasa(config-network-object)# range 10.10.10.10 10.10.10.20
ciscoasa(config-network-object)# object network pat-ip1
ciscoasa(config-network-object)# host 10.10.10.21
ciscoasa(config-network-object)# object-group network nat-pat-grp
ciscoasa(config-network-object)# network-object object nat-range1
ciscoasa(config-network-object)# network-object object pat-ip1
ciscoasa(config-network-object)# object network my_net_obj5
ciscoasa(config-network-object)# subnet 10.76.11.0 255.255.255.0
ciscoasa(config-network-object)# nat (inside,outside) dynamic nat-pat-grp interface
次の例では、ダイナミック NAT とダイナミック PAT バックアップを使用して IPv6 ホストを IPv4 に変換するように設定します。内部ネットワーク 2001:DB8::/96 上のホストは最初に、IPv4_NAT_RANGE プール（209.165.201.30
～ 209.165.201.1）にマッピングされます。IPv4_NAT_RANGE プール内のすべてのアドレスが割り当てられた後は、IPv4_PAT アドレス（209.165.201.31）を使用してダイナミック PAT が実行されます。PAT
変換もすべて使用されてしまった場合は、外部インターフェイス アドレスを使用してダイナミック PAT が実行されます。
ciscoasa(config)# object network IPv4_NAT_RANGE
ciscoasa(config-network-object)# range 209.165.201.1 209.165.201.30
ciscoasa(config-network-object)# object network IPv4_PAT
ciscoasa(config-network-object)# host 209.165.201.31
ciscoasa(config-network-object)# object-group network IPv4_GROUP
ciscoasa(config-network-object)# network-object object IPv4_NAT_RANGE
ciscoasa(config-network-object)# network-object object IPv4_PAT
ciscoasa(config-network-object)# object network my_net_obj5
ciscoasa(config-network-object)# subnet 2001:DB8::/96
ciscoasa(config-network-object)# nat (inside,outside) dynamic IPv4_GROUP interface
例
次の例では、アドレス 2.2.2.2 の背後に 192.168.2.0 ネットワークを隠すダイナミック PAT を設定します。
ciscoasa(config)# object network my-inside-net
ciscoasa(config-network-object)# subnet 192.168.2.0 255.255.255.0
ciscoasa(config-network-object)# nat (inside,outside) dynamic 2.2.2.2
次の例では、外部インターフェイス アドレスの背後に 192.168.2.0 ネットワークを隠蔽するダイナミック PAT を設定します。
ciscoasa(config)# object network my-inside-net
ciscoasa(config-network-object)# subnet 192.168.2.0 255.255.255.0
ciscoasa(config-network-object)# nat (inside,outside) dynamic interface
次の例では、ダイナミック PAT と PAT プールを使用して内部 IPv6 ネットワークを外部 IPv4 ネットワークに変換するように設定します。
ciscoasa(config)# object network IPv4_POOL
ciscoasa(config-network-object)# range 203.0.113.1 203.0.113.254
ciscoasa(config)# object network IPv6_INSIDE
ciscoasa(config-network-object)# subnet 2001:DB8::/96
ciscoasa(config-network-object)# nat (inside,outside) dynamic pat-pool IPv4_POOL
例
次の例では、内部にある実際のホスト 1.1.1.1 の、DNS リライトがイネーブルに設定された外部にある 2.2.2.2 へのスタティック NAT を設定します。
ciscoasa(config)# object network my-host-obj1
ciscoasa(config-network-object)# host 1.1.1.1
ciscoasa(config-network-object)# nat (inside,outside) static 2.2.2.2 dns
次の例では、内部にある実際のホスト 1.1.1.1 の、マッピングされたオブジェクトを使用する外部にある 2.2.2.2 へのスタティック NAT を設定します。
ciscoasa(config)# object network my-mapped-obj
ciscoasa(config-network-object)# host 2.2.2.2
ciscoasa(config-network-object)# object network my-host-obj1
ciscoasa(config-network-object)# host 1.1.1.1
ciscoasa(config-network-object)# nat (inside,outside) static my-mapped-obj
次の例では、1.1.1.1 の TCP ポート 21 の、外部インターフェイスのポート 2121 への、ポート変換を使用するスタティック NAT を設定します。
ciscoasa(config)# object network my-ftp-server
ciscoasa(config-network-object)# host 1.1.1.1
ciscoasa(config-network-object)# nat (inside,outside) static interface service tcp 21 2121
次の例では、内部 IPv4 ネットワークを外部 IPv6 ネットワークにマッピングします。
ciscoasa(config)# object network inside_v4_v6
ciscoasa(config-network-object)# subnet 10.1.1.0 255.255.255.0
ciscoasa(config-network-object)# nat (inside,outside) static 2001:DB8::/96
次の例では、内部 IPv6 ネットワークを外部 IPv6 ネットワークにマッピングします。
ciscoasa(config)# object network inside_v6
ciscoasa(config-network-object)# subnet 2001:DB8:AAAA::/96
ciscoasa(config-network-object)# nat (inside,outside) static 2001:DB8:BBBB::/96
例
次の例では、インラインのマッピング アドレスを使用して、ホスト アドレスを自身にマッピングします。
ciscoasa(config)# object network my-host-obj1
ciscoasa(config-network-object)# host 10.1.1.1
ciscoasa(config-network-object)# nat (inside,outside) static 10.1.1.1
次の例では、ネットワーク オブジェクトを使用して、ホスト アドレスを自身にマッピングします。
ciscoasa(config)# object network my-host-obj1-identity
ciscoasa(config-network-object)# host 10.1.1.1
ciscoasa(config-network-object)# object network my-host-obj1
ciscoasa(config-network-object)# host 10.1.1.1
ciscoasa(config-network-object)# nat (inside,outside) static my-host-obj1-identity
フィードバック