静的 NAT (SNAT) を構成する

静的 NAT (SNAT) はポート ツー ホストの NAT であり、ポート フォワーディングとも呼ばれています。静的 NAT では、ホストがネットワークから外部インターフェイスまたはオプショナル インターフェイスのポートにパケットを送信すると、静的 NAT により、宛先 IP アドレスがファイアウォールの背後の IP アドレスとポートに変更されます。ソフトウェア アプリケーションで複数のポートを使用していて、そのポートが動的に選択されている場合は、1-to-1 NAT を使用する必要があります。または、Firebox のプロキシによってこの種類のトラフィックが管理されているかどうかを確認してください。静的 NAT は、Firebox により保護されているネットワークからの接続でも動作します。

特にパブリック IP アドレスが少数しかない場合は、1-to-1 NAT の代わりに静的 NAT を構成することをお勧めします。

Firebox の外部インターフェイスまたはオプショナル インターフェイスへの接続の静的 NAT を構成することができます。信頼済みインターフェイスまたはカスタム インターフェイスへの接続の静的 NAT を構成することができます。BOVPN または Mobile VPN 接続の静的 NAT は構成することができません。

デバイス構成テンプレートのオプショナル インターフェイスの静的 NAT を構成することができます。デバイス構成テンプレートで SNAT アクションを構成する方法の詳細については、次を参照してください: SNAT アクションを構成する

静的 NAT を使用すると、内部サーバーへの接続を、サーバーの実際の IP アドレスではなく、Firebox インターフェイスの IP アドレス宛てにすることができます。たとえば、プライベート IP アドレスを持つ SMTP 電子メール サーバーを Firebox の背後に配置し、SMTP ポリシーで静的 NAT を構成します。そうすると、Firebox はポート 25 で接続を受信して、すべての SMTP 接続を Firebox の背後の SMTP サーバーの実アドレスに送信します。

  • Fireware v12.2 以降では、IP アドレスに加えて SNAT アクションで FQDN を指定できます。
  • Fireware v12.2.1 以降では、静的 NAT アクションでループバックインターフェイスのプライマリまたはセカンダリ IP アドレスを指定できます。これは、プロバイダーに依存しない IP アドレスがある場合、または内部 IP アドレスが特定のインターフェイスに関連付けられていない場合、これらの IP アドレスを引き続き NAT で使用できるよう行えます。

既定では、静的 NAT ルールによってインバウンド トラフィックの発信元 IP アドレスは変更されません。静的 NAT アクションを追加する際に、必要に応じて、アクションの発信元 IP アドレスを指定することができます。また、Firebox が静的 NAT アクションのパラメータと一致する接続を受信すると、発信元 IP アドレスが、指定されている IP アドレスに変更されます。各 SNAT メンバーに対して異なる発信元 IP アドレスを指定することができます。

また、静的 NAT アクションでポート アドレス変換 (PAT) を有効化することができます。PAT を有効にすると、パケットの宛先を変更して、別の内部ホストと別のポートを指定することができます。

静的 NAT の構成方法のデモについては、ビデオ チュートリアル NAT を使用し始める を参照してください。

静的 NAT アクションを追加する

Fireware Web UI で、1 つまたは複数のポリシーに静的 NAT アクションを定義する必要があります。そうすれば、それを使用できるようになります。

Policy Manager で静的 NAT アクションを作成してポリシーに追加する、またはポリシーの構成内から静的 NAT アクションを作成することができます。

静的 NAT アクションをポリシーに追加します。

SNAT アクションを追加した後に、1 つまたは複数のポリシーでアクションを使用することができます。

静的 NAT アクションを編集または削除します。

SNAT アクション リストで SNAT アクションを編集することができます。

また、ポリシーを編集する際に、Policy Manager で SNAT アクションを編集することができます。

ポリシーで使用されていない SNAT アクションは削除することができます。

静的 NAT のグローバル設定を変更する

既定では、静的 NAT アクションが変更されても、Firebox ではアクティブ接続がクリアされません。変更された SNAT アクションを使用するアクティブ接続が Firebox でクリアされるように、グローバル SNAT 設定を変更することができます。

グローバル SNAT 設定を変更するには、Fireware Web UI または Policy Manager で以下の手順を実行します。

  1. 設定 > グローバル設定 の順に選択します。
  2. システム > グローバル設定 の順に選択します。
  3. ネットワーク タブを選択します。
  4. トラフィック フロー セクションで、SNAT アクションが変更された際に、SNAT アクションを使用するアクティブ接続をクリアする チェックボックスを選択します。

関連情報:

ポリシー ベースの動的 NAT を構成する

構成例 - Firebox の配下にパブリック Web サーバーを設定する

構成ファイル例 - Firebox の配下にパブリック Web サーバーを設定する