2.1.31.6. NAPT(HA構成)

2.1.31.6.1. ユースケース

以下のユースケースについてご説明いたします。
<例>SDPF上のホストがインターネット上のWebサイトへアクセス
• インターネット上のWebサイトに対して、ロジカルネットワーク(サーバーセグメント)に配置されているHost01からアクセス
• Host01アドレスからの通信の送信元をグローバルアドレスに変換してアクセス(NAPT)、TCP 80番の通信を許可する(ポート変換はしない)
napt-structure-ha

2.1.31.6.2. 変換イメージ

napt-traffic

2.1.31.6.3. 前提

ユースケースに応じた以下の作業が、完了していることを前提とします。
Managed Firewallの作成
Managed Firewallのインターフェース設定/ロジカルネットワークへの接続
Managed Firewallのルーティング設定(デフォルトゲートウェイの設定)
• Destination IP :0.0.0.0
• Subnet Mask :0.0.0.0
• Gatewayアドレス:Internet-GWのゲートウェイIPv4アドレス(例:192.168.1.251)
• Interface:デフォルトゲートウェイを設定するポート(例:Port 4)
 ※その他必要に応じて、ルーティング設定を追加してください。
Internet-GWのルーティング設定
• 宛先:NAPTで使用するグローバルIPアドレス(例:153.x.x.20/32)
• ネクストホップ
   Managed Firewallの当該インターフェースのVRRP IPアドレス(例:192.168.1.254)
     ※その他必要に応じて、ルーティング設定を追加してください。
Host01にて必要に応じた設定
 • ルーティング設定、iptables/Windowsファイアウォールなどの設定、名前解決設定など

2.1.31.6.4. 手順①-1 アドレスオブジェクト作成

Host01のアドレスオブジェクトを作成ください。
設定値を投入後、[保存]ボタンをクリックしてください。

napt-create-address-object
項目 設定値
Address Name Host_10.1.1.20
Type Subnet Mask
IP Address 10.1.1.20
Subnet Mask 255.255.255.255
Interface Port5

2.1.31.6.5. 手順①-2 NATオブジェクト作成

NAPT用のSource NATオブジェクトを作成ください。
設定値を投入後、[保存]ボタンをクリックしてください。

napt-create-nat-object
項目 設定値
NAT Name SNAT_153.x.x.20
Start IP Address 153.x.x.20
End IP Address 153.x.x.20

注釈

  • 1つのグローバルIPアドレスを割り当てる場合は、Start IP Addressと End IP Addressに同じ設定値(IPアドレス)を入力してください。
  • Source NATオブジェクトは、送信元IPアドレスの変更後 のIPアドレスを定義してください。
  • Source NATオブジェクトのIPアドレスは、 他の機器に実際に設定されている(割り当てられている) IPアドレスは使用しないでください。

2.1.31.6.6. 手順①-3 オブジェクトの保存

ファイアウォールポリシーを作成する前にデバイス管理画面の[変更を保存]をして、オブジェクトを反映ください。

save

保存が完了すると、[設定を同期]ボタンのみ表示されます。
synchronize-device

2.1.31.6.7. 手順②-1 ファイアウォールポリシー作成

ECL上のHost01がインターネット上のWebサイトに対して、NAPTを利用してアクセスするファイアウォールポリシーの作成を作成ください。
設定値を投入後、[保存]ボタンをクリックしてください。
napt-create-policy-ha
項目 設定値
Enable チェック有
Incoming Interface Port5
Source Address Host_10.1.1.20
Outgoing Interface Port4
Destination Address Type Address Object
Destination Address all
Service HTTP
Action ACCEPT
NAT チェック有
NAPT Object SNAT_153.x.x.20
Log 任意

注釈

  • DNSサーバーなどで名前解決している場合は、必要な通信を許可してください。

2.1.31.6.8. 手順②-2 ポリシーの保存

デバイス管理の[変更を保存]をして、ファイアウォールポリシーを反映ください。

save

保存が完了すると、[設定を同期]ボタンのみ表示されます。
synchronize-device
設定は以上です。