Citrix SD-WAN

静的NAT

スタティック NAT は、SD-WAN ネットワーク内のプライベート IP アドレスまたはサブネットを、SD-WAN ネットワーク外のパブリック IP アドレスまたはサブネットに 1 対 1 のマッピングです。スタティック NAT を設定するには、内部 IP アドレスと変換先の外部 IP アドレスを手動で入力します。スタティック NAT は、ローカル、仮想パス、インターネット、イントラネット、およびルーティング間ドメインサービスに対して構成できます。

インバウンドおよびアウトバウンド NAT

接続の方向は、内側から外側、または外側から内側にできます。NAT ルールが作成されると、方向一致タイプに応じて両方の方向に適用されます。

  • Inbound: 送信元アドレスは、サービスで受信したパケットに対して変換されます。宛先アドレスは、サービス上で送信されるパケットに対して変換されます。たとえば、インターネットサービスから LAN サービスへ — 受信したパケット(インターネットから LAN へ)の場合、送信元 IP アドレスが変換されます。送信されたパケット(LANからインターネットへ)では、宛先 IP アドレスが変換されます。
  • Outbound: 宛先アドレスは、サービスで受信したパケットに対して変換されます。送信元アドレスは、サービス上で送信されるパケットに対して変換されます。たとえば、LAN サービスからインターネットサービスへ — 送信されたパケット(LAN からインターネット)の場合、送信元 IP アドレスが変換されます。受信パケット(インターネットから LAN へ)の場合、宛先 IP アドレスが変換されます。

ゾーン派生

インバウンドまたはアウトバウンドトラフィックの送信元および宛先ファイアウォールゾーンは、同じであってはなりません。送信元と宛先の両方のファイアウォールゾーンが同じ場合、トラフィックに対して NAT は実行されません。

発信 NAT の場合、外部ゾーンはサービスから自動的に派生します。デフォルトでは、SD-WAN 上のすべてのサービスがゾーンに関連付けられます。たとえば、信頼できるインターネットリンク上のインターネットサービスは、信頼できるインターネットゾーンに関連付けられています。同様に、着信 NAT の場合、内部ゾーンはサービスから取得されます。

仮想パスサービスの場合、NAT ゾーンの導出が自動的に行われないため、内部ゾーンと外部ゾーンを手動で入力する必要があります。NAT は、これらのゾーンに属するトラフィックに対してのみ実行されます。仮想パスのサブネット内に複数のゾーンが存在する可能性があるため、仮想パスのゾーンは派生できません。

スタティック NAT ポリシーの設定

スタティック NAT ポリシーを設定するには、構成エディタで、[ 接続] > [ **ファイアウォール ] > [ スタティック NAT ポリシー ] に移動します**。

スタティック NAT の設定

  • Priority: 定義されているすべてのポリシー内でポリシーが適用される順序。優先順位の低いポリシーは、優先順位の高いポリシーの前に適用されます。
  • 方向:仮想インターフェイスまたはサービスの観点から、トラフィックが流れている方向。インバウンドトラフィックまたはアウトバウンドトラフィックのいずれかになります。
  • サービスタイプ:NAT ポリシーが適用される SD-WAN サービスタイプ。スタティック NAT の場合、サポートされるサービスの種類は、ローカル、仮想パス、インターネット、イントラネット、およびインタールーティングドメインサービスです。
  • 「サービス名」:「サービスタイプ」に対応する構成済サービス名を選択します。
  • Inside Zone:変換を許可するためにパケットが送信元である必要のある内部ファイアウォールゾーンの一致タイプ。
  • [ Outside Zone]:変換を許可するためにパケットが送信元である必要のある外部ファイアウォールゾーンの一致タイプ。
  • 内部 IP アドレス:一致基準が満たされた場合に変換する必要がある内部 IP アドレスおよびプレフィクス。
  • 外部 IP アドレス:一致基準が満たされた場合に内部 IP アドレスが変換される外部 IP アドレスおよびプレフィクス。
  • [ レスポンダールートのバインド]: 非対称ルーティングを回避するために、レスポンストラフィックが受信したのと同じサービスで送信されるようにします。
  • プロキシ ARP:アプライアンスが外部 IP アドレスに対するローカル ARP 要求に応答することを確認します。

監視

NAT を監視するには、[ 監視 ] > [ ファイアウォール統計] >[ 接続] に移動します。接続では、NAT が完了しているかどうかを確認できます。

接続

内部 IP アドレスと外部 IP アドレスのマッピングをさらに表示するには、[ 関連オブジェクト ]の下にある [ **ポストルート NAT] をクリックするか、[ **モニタリング] > [ **ファイアウォール統計] > [ NAT ポリシー ] に移動します。**。

NAT ポリシー

ログ

NAT に関連するログは、ファイアウォールログで表示できます。NAT のログを表示するには、NAT ポリシーに一致するファイアウォールポリシーを作成し、ファイアウォールフィルタでロギングが有効になっていることを確認します。

ロギング・オプション

[ ログ/監視]> [ ログオプション] に移動し、[ SDWAN_firewal.log] を選択して [ログの 表示] をクリックします

ログの表示

NAT 接続の詳細がログファイルに表示されます。

NAT ログの詳細

静的NAT