(10) NATディスクリプタの設定例

[ 環境 ]

項目	内容
接続形態	隔離された２つのネットワークの機器間で通信
ルータ	ローカルルータ(RT140e)を1台
ルーティング情報	基本的にルーティングしない
NAT変換タイプ	NAT
外側アドレス	各ネットワークに1個づつ
内側アドレス	各ネットワークに1個づつ

[ ネットワーク構成のポイント ]

• 機器A(133.176.200.68)と機器B(192.168.0.101)間のTCP/IP通信を 中継するためにNATディスクリプタ機能(RT140eのLAN間NAT)を使いたい。

  133.176.200.68     133.176.200.46     192.168.0.254      192.168.0.101
  ┏━━━━━┓    ┏━━━━━━━━━━━━━━━┓    ┏━━━━━┓
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┃     [IP] ┠←←┨ [NAT]                        ┠←←┨ [IP]     ┃
  ┃          ┃    ┃133.176.200.46←192.168.0.101 ┃    ┃          ┃
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┃     [IP] ┠→→┨                         [NAT]┠→→┨ [IP]     ┃
  ┃          ┃    ┃133.176.200.68→192.168.0.254 ┃    ┃          ┃
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┗━━━━━┛    ┗━━━━━━━━━━━━━━━┛    ┗━━━━━┛
      機器A                       RT140e                      機器B
  

• 機器A(133.176.200.68)には、機器B(192.168.0.101)と通信するとき、 RT140eのLAN2(133.176.200.46)と通信しているように見せたい。

  133.176.200.68     133.176.200.46     192.168.0.254      192.168.0.101
  ┏━━━━━┓    ┏━━━━━━━━━━━━━━━┓    ┏━━━━━┓
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┃     [IP] ┠←←┨ [NAT]                        ┠←←┨ [IP]     ┃
  ┃          ┃    ┃133.176.200.46←192.168.0.101 ┃    ┃          ┃
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┗━━━━━┛    ┗━━━━━━━━━━━━━━━┛    ┗━━━━━┛
      機器A                       RT140e                      機器B
  

• 機器B(192.168.0.101)には、機器A(133.176.200.68)と通信するとき、 RT140eのLAN1(192.168.0.254)と通信しているように見せたい。

  133.176.200.68     133.176.200.46     192.168.0.254      192.168.0.101
  ┏━━━━━┓    ┏━━━━━━━━━━━━━━━┓    ┏━━━━━┓
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┃     [IP] ┠→→┨                         [NAT]┠→→┨ [IP]     ┃
  ┃          ┃    ┃133.176.200.68→192.168.0.254 ┃    ┃          ┃
  ┃          ┃    ┃                              ┃    ┃          ┃
  ┗━━━━━┛    ┗━━━━━━━━━━━━━━━┛    ┗━━━━━┛
      機器A                       RT140e                      機器B
  

• 双方のネットワークは、相手側のネットワーク情報について限りなく 教えたくない。(隔離しておきたい)

[ ネットワーク図 ]

     +--------------+     +----------------+  
     |    機器A     |     |     ルータ     |
     |              |     |    (default)   |
     +--------------+     +----------------+ 
             | 133.176.200.68      | 133.176.200.1
             |                     |                 133.176.200.0/24
 -------------------------------------------------------------- 
             |
     +----------------------------+ 
     |       :                    |    133.176.200.46
     |     (NAT)                  | …  ↑ (静的)NAT
     |       :                    |    192.168.0.101
     |   [LAN2] 133.176.200.46/24 |
     |       :                    |
     |   IP-Routing               | RT140e
     |       :                    |
     |   [LAN1] 192.168.0.254/24  |
     |       :                    |    133.176.200.68
     |     (NAT)                  | …  ↓ (静的)NAT
     |       :                    |    192.168.0.254
     +----------------------------+ 
             |                                     192.168.0.0/24
 -------------------------------------------------------------- 
             |                   |
             | 192.168.0.101     | 192.168.0.251
     +--------------+     +----------------+  
     |    機器B     |     |     ルータ     |
     |              |     |    (default)   |
     +--------------+     +----------------+ 

[ 設定例 ]

• (準備) ２つのネットワークのルーティング
• (準備) ２つのネットワークを隔離する
• NATの導入
• ２つのネットワークを隔離するIPフィルタの設定

[ (準備) ２つのネットワークのルーティング ]

• RT140eのstaticルーティング設計

  宛先/ネットマスク	次のホップ	生成コマンド
  192.168.0.0/24	LAN1(192.168.0.254)	ip lan1 address
  133.176.200.0/24	LAN2(133.176.200.46)	ip lan2 address

• RT140eのconfig例

  ip lan1 address 192.168.0.254/24
  ip lan2 address 133.176.200.46/24
  

[ (準備) ２つのネットワークを隔離する ]

• 隔離するためのあれこれ。
  • ルーティング情報(RIP)を出さない。

    ip lan1 routing protocol none
    ip lan2 routing protocol none
    

  • ルーティング情報(RIP)を聞かない。

    ip lan1 rip listen none
    ip lan2 rip listen none
    

  • 必要なルーティング情報は、静的に設定する。(本設定例では使わない)

    ip lan1 route add net / host ...
    ip lan2 route add net / host ...
    

• RT140eのconfig例

  ip lan1 address 192.168.0.254/24
  ip lan1 routing protocol none
  ip lan1 rip listen none
  ip lan2 address 133.176.200.46/24
  ip lan2 routing protocol none
  ip lan2 rip listen none
  

[ NATの導入 ]

• NATディスクリプタ設計上の注意事項
  • 双方向でNATするのでIPアドレスの変換関係が複雑になるので、 事前に良く整理しておくこと。

• RT140eのNATディスクリプタ設計(1): LAN1に適用分

  機器B(192.168.0.101)には、機器A(133.176.200.68)と通信するとき、 RT140eのLAN1(192.168.0.254)と通信しているように見せたい。

  NATディスクリプタ番号	1
  タイプ	nat
  外側アドレス	192.168.0.254
  内側アドレス	133.176.200.68
  静的なNAT設定	192.168.0.254=133.176.200.68
  適用インタフェース	LAN1

• RT140eのconfig例 (NATディスクリプタを1個設定して動作確認する)

  ip lan1 address 192.168.0.254/24
  ip lan1 routing protocol none
  ip lan1 rip listen none
  ip lan1 nat descriptor 1
  ip lan2 address 133.176.200.46/24
  ip lan2 routing protocol none
  ip lan2 rip listen none
  nat descriptor type 1 nat
  nat descriptor address outer 1 192.168.0.254
  nat descriptor address inner 1 133.176.200.68
  nat descriptor static 1 1 192.168.0.254=133.176.200.68
  

• RT140eのNATディスクリプタ設計(2): LAN2に適用分

  機器A(133.176.200.68)には、機器B(192.168.0.101)と通信するとき、 RT140eのLAN2(133.176.200.46)と通信しているように見せたい。

  NATディスクリプタ番号	2
  タイプ	nat
  外側アドレス	133.176.200.46
  内側アドレス	192.168.0.101
  静的なNAT設定	133.176.200.46=192.168.0.101
  適用インタフェース	LAN2

• RT140eのconfig例 (NATディスクリプタを両方で設定して動作確認する)

  ip lan1 address 192.168.0.254/24
  ip lan1 routing protocol none
  ip lan1 rip listen none
  ip lan1 nat descriptor 1
  ip lan2 address 133.176.200.46/24
  ip lan2 routing protocol none
  ip lan2 rip listen none
  ip lan2 nat descriptor 2
  nat descriptor type 1 nat
  nat descriptor address outer 1 192.168.0.254
  nat descriptor address inner 1 133.176.200.68
  nat descriptor static 1 1 192.168.0.254=133.176.200.68
  nat descriptor type 2 nat
  nat descriptor address outer 2 133.176.200.46
  nat descriptor address inner 2 192.168.0.101
  nat descriptor static 2 1 133.176.200.46=192.168.0.101
  

[ ２つのネットワークを隔離するIPフィルタの設定 ]

• IPフィルタ設計上の注意事項
  • 双方向でNATするのでIPアドレスの変換関係が複雑になるので、 事前に良く整理しておくこと。

• RT140eのIPパケットフィルタ設計(1): LAN1に適用分

  機器B(192.168.0.101)には、機器A(133.176.200.68)と通信するとき、 RT140eのLAN1(192.168.0.254)と通信しているように見せたい。

  つまり、機器B(192.168.0.101)からのパケットだけ通す。 IN方向のものは、始点IPアドレスとして192.168.0.101のものを通す。 OUT方向のものは、終点IPアドレスとして192.168.0.101のものを通す。

  ip filter 10 pass-nolog * 192.168.0.101
  ip filter 11 pass-nolog 192.168.0.101 *
  ip lan1 secure filter out 10
  ip lan1 secure filter in 11
  

• RT140eのIPパケットフィルタ設計(2): LAN2に適用分

  機器A(133.176.200.68)には、機器B(192.168.0.101)と通信するとき、 RT140eのLAN2(133.176.200.46)と通信しているように見せたい。

  つまり、機器A(133.176.200.68)からのパケットだけ通す。 IN方向のものは、始点IPアドレスとして133.176.200.68のものを通す。 OUT方向のものは、終点IPアドレスとして133.176.200.68のものを通す。

  ip filter 20 pass-nolog * 133.176.200.68
  ip filter 21 pass-nolog 133.176.200.68 *
  ip lan2 secure filter out 20
  ip lan2 secure filter in 21
  

• RT140eのconfig例

  ip lan1 address 192.168.0.254/24
  ip lan1 routing protocol none
  ip lan1 rip listen none
  ip lan1 nat descriptor 1
  ip lan1 secure filter out 10
  ip lan1 secure filter in 11
  ip lan2 address 133.176.200.46/24
  ip lan2 routing protocol none
  ip lan2 rip listen none
  ip lan2 nat descriptor 2
  ip lan2 secure filter out 20
  ip lan2 secure filter in 21
  nat descriptor type 1 nat
  nat descriptor address outer 1 192.168.0.254
  nat descriptor address inner 1 133.176.200.68
  nat descriptor static 1 1 192.168.0.254=133.176.200.68
  nat descriptor type 2 nat
  nat descriptor address outer 2 133.176.200.46
  nat descriptor address inner 2 192.168.0.101
  nat descriptor static 2 1 133.176.200.46=192.168.0.101
  ip filter 10 pass-nolog * 192.168.0.101
  ip filter 11 pass-nolog 192.168.0.101 *
  ip filter 20 pass-nolog * 133.176.200.68
  ip filter 21 pass-nolog 133.176.200.68 *
  

[ Q and A ]

• メンテナンスはどうしたらいいでしょうか？

  telnetによる管理はどこからもできません。

  設定用シリアルインタフェースからコンソールにログインするようにしてくだ さい。

• リビジョンアップはどうしたらいいでしょうか？

  このままでは、リビジョンアップできません。

  シリアルのコンソールでログインして、リビジョンアップのために一時的に NATディスクリプタの適用とIPパケットフィルタの適用を止めてから、 リビジョンアップしてください。

• 管理を楽にするアイディアはありますか？

  管理する側のネットワークのIPアドレスを2つ(NAT用とRT140e用)利用すれば、 管理が楽になるでしょう。

※「戻る/進む」はブラウザの履歴が使用されます [ RTpro / ヤマハ / 技術資料 / 設定例集 / RT's FAQ / マニュアル ]