RTシリーズのNATとIPマスカレードに関するFAQ
FTPに関する静的IPマスカレードの設定
| 作成日 | 2000/Jul/07 |
| 最終変更日 | 2018/Nov/06 |
| 文書サイズ | 16KB |
FTPではどんなとき静的IPマスカレードを設定すべきですか？
[ FTPの通信 ]
FTPの通信には、いくつかの種類があります。 フィルタ設定を行なうには、これらを理解していないと ある程度のセキュリティを保ちながらサービス提供をする フィルタを実施することはできません。
また、ネットワーク環境およびセキュリティポリシーによっては、 FTPのサービスを制限するという方針もあるでしょう。
FTPには、コマンドの送信と応答を行なう制御のための接続(制御コネクション)
と、データの送受信を行なうための接続(データコネクション)の２つが
同時にの接続されます。
実際は、制御コネクションを張ったまま、
データコネクションを張ったり切ったりしています。
(TCP/IPネットワークまたはインターネット)
======================================================================
| |
+---------+---------+ +---------+---------+
| FTPサーバ | | FTPクライアント |
| | | (WWWブラウザ) |
| | ＜制御コネクション:TCP＞ | |
| | ───────────── | |
| | | |
| | ＜データコネクション:TCP＞ | |
| | ───────────── | |
| | | |
+-------------------+ +-------------------+
制御コネクションは、FTPクライアントからFTPサーバに張られますが、 データコネクションの張り方には、２つの張り方があります。
データコネクションの接続手順
(TCP/IPネットワークまたはインターネット)
======================================================================
| |
+---------+---------+ +---------+---------+
| FTPサーバ | | FTPクライアント |
| | | (WWWブラウザ) |
| | ＜制御コネクション:TCP＞ | |
| [21]| ←──────────── |[*](1024〜65535) |
| | | |
| | ＜データコネクション:TCP＞ | |
| [20]| ────────────→ |[*](1024〜65535) |
| | | |
+-------------------+ +-------------------+
[ IPマスカレード/静的IPマスカレードのPORT対応 ]
データコネクションの接続手順
(TCP/IPネットワークまたはインターネット)
======================================================================
| |
+---------+---------+ +---------+---------+
| FTPサーバ | | FTPクライアント |
| | | (WWWブラウザ) |
| | ＜制御コネクション:TCP＞ | |
| [21]| ←──────────── |[*](1024〜65535) |
| | | |
| | ＜データコネクション:TCP＞ | |
| (1024〜65535)[*]| ←──────────── |[*](1024〜65535) |
| | | |
+-------------------+ +-------------------+
[ IPマスカレード/静的IPマスカレードのPASV対応 ]
[ 静的IPマスカレードの追加設定の必要な通信 ]
インターネットを介して基本となるネットワーク構成の 適用されたRT(A)とRT(B)があるネットワーク環境で、FTPサーバと FTPクライアントが通信するとき必要となる静的IPマスカレードの追加設定 の必要な状況を紹介する。
(TCP/IPネットワークまたはインターネット)
======================================================================
| |
+----[WAN]----+RT(A) RT(B)+----[WAN]----+
| +--+--+ | | +--+--+ |
| | △ | |IPマスカレード IPマスカレード| | △ | |
| +--+--+ | | +--+--+ |
| | | | | |
| (R) | | (R) |
| | | | | |
+----[LAN]----+ 172.16.184.33 192.168.0.1 +----[LAN]----+
| |
=======+======= 172.16.184.32/28 192.168.0.0/24 =======+=======
| |
+---------+---------+ 172.16.184.34 192.168.0.2 +---------+---------+
| FTPサーバ | | FTPクライアント |
| | | |
| | ＜制御コネクション:TCP＞ | |
| [21/ftp]| ←──────────── |[*](1024〜65535) |
| | | |
| | ＜データコネクション:TCP＞ | |
| | ───────────── | |
+-------------------+ +-------------------+
IPマスカレードを利用している時には、 外側からの接続要求は、拒否されます(パケットが破棄されます)ので、 172.16.184.34のサーバ機能を公開するために 静的IPマスカレードの設定を追加する必要があります。
# Rev.3系以前のIPマスカレード設定例 (接続先のPP番号が1の場合)
pp select 1 nat use on nat masquerade on nat masquerade static 1 172.16.184.34 tcp ftp |
# Rev.4系以降のIPマスカレード設定例 (接続先のPP番号が1の場合)
nat descritptor type 1 masquerade nat descritptor masquerade static 1 1 172.16.184.34 tcp ftp pp select 1 ip pp nat descirptor 1 |
IPマスカレードを利用している時には、 内側からの接続要求は、自動的に変換されて送信されますので、 192.168.0.2などのクライアント機能を利用するために 静的IPマスカレードの設定を追加する必要はありません。
[ 設定の注意事項 ]
説明のためにIPアドレス(TCP/IPネットワーク)として、 192.168.0.0/24を用いております。 内側のネットワークがグローバルアドレスでも、プライベートアドレスでも、 アドレスを調整するだけで、ほぼ同等の設定となります。
実際に適用する場合には、実際のネットワーク状況に合せて調整してください。
ポート番号は、一般的な利用環境で利用されているものを
御紹介しております。
サーバやクライアントで変更可能であったり、
動的にポート番号が変更されることもあります。
ご利用環境を十分調査してから最終的な静的IPマスカレード設定を行なってください。
RTシリーズのIPパケットフィルタは、NATの内側で適用されている為、 NAT変換の有無をほとんど気にすることなく、設定(適用)することができます。
しかし、実際の通信では、NATやIPマスカレードのアドレス変換機能を
通ったあと、フィルタでパケットが破棄される場合があります。
この場合は、必要に応じて、フィルタで該当する通信のパケットを
通すように追加設定する必要があります。
[ 基本となるネットワーク構成 ]
インターネット DNSサーバ メールサーバ ↑ │ │ │ ＜プロバイダ＞ ━━━━┯━┷━━━━━━━┷━━━━━━━┷━━━━━━━━━ │ ┌───┴───┐ │ ルータ │ └───┬───┘ ： ：ISDN回線や専用線 ： ┌───┴───┐ │ ルータ │ (NATおよびIPマスカレード) └───┬───┘ │ 192.168.0.1 192.168.0.0/24 ━━━━┷━━━━┯━━━━━━━━━━━━━━━━━━━━━━ │ 192.168.0.2〜192.168.0.254 ＜端末アドレス＞ ┌───┴───┐ │ コンピュータ │ └───────┘
| 内容 | 説明 |
| 接続形式 | 端末型 |
| 付与されるIPアドレス | 接続中のみ有効な1個 |
| アドレス変換機能 | IPマスカレード 1個のグローバルアドレスを複数の機器で共有する |
# Rev.3系以前のIPマスカレード設定例 (接続先のPP番号が1の場合)
pp select 1 nat use on nat masquerade on |
# Rev.4系以降のIPマスカレード設定例 (接続先のPP番号が1の場合)
nat descritptor type 1 masquerade pp select 1 ip pp nat descirptor 1 |
[ 関連FAQ ]
[ FAQ for RT-Series ]
[ FAQ for NAT / files / TCP/IP / IPsec ]