第22章 ＮＡＴポリシーの設定
ネットワーク ＞ ＮＡＴポリシー
この章は、次のセクションで構成されています。
ＳｏｎｉｃＯＳ のネットワーク アドレス変換 （ＮＡＴ） エンジンでは、送受信トラフィックに関して、きめ細かなＮＡＴポリシーを定義できます。ＳｏｎｉｃＷＡＬＬセキュリティ装置の既定の設定では、Ｘ０インターフェースに接続されたすべてのシステムに対してＸ１インターフェースのＩＰアドレスを使用する多対１のＮＡＴの実行を許可するＮＡＴポリシーが事前設定されており、また、トラフィックがその他のインターフェース間を転送される場合にはＮＡＴを行わないポリシーが設定されています。この章では、最も一般的なＮＡＴポリシーの設定方法について説明します。
ＮＡＴポリシーの使い方については、ＩＰパケットの構築から説明します。各パケットにはアドレッシング情報が含まれており、それによって、パケットが送信先に到達することと、送信先が要求元に対して応答を返すことが可能になっています。パケットには （その他の情報とともに）、要求元のＩＰアドレス、要求元のプロトコル情報、および送信先のＩＰアドレスが格納されています。ＳｏｎｉｃＯＳ のＮＡＴポリシー エンジンは、パケット内のＮＡＴに関連する部分を検査したり、送信トラフィックだけでなく受信トラフィックの指定されたフィールドの情報を動的に書き換えたりすることができます。
ＳｏｎｉｃＯＳ が動作しているＳｏｎｉｃＷＡＬＬセキュリティ装置には最大５１２個のＮＡＴポリシーを追加できるので、必要に応じて粒度の細かなポリシーを設定することができます。また、同じオブジェクトを対象とする複数のＮＡＴポリシーを作成することも可能です。これにより、例えば、内部サーバがＴｅｌｎｅｔサーバにアクセスする際には特定の１つのＩＰアドレスを使用して、その他のすべてのプロトコルの通信にはまったく別のＩＰアドレスを使用するように指定することもできます。ＳｏｎｉｃＯＳ のＮＡＴエンジンは受信ポート転送をサポートしているため、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮ ＩＰアドレスから複数の内部サーバを隠蔽することができます。ＮＡＴポリシーは粒度が細かくなればなるほど優先順位が高くなります。
ＮＡＴポリシー テーブル
「ＮＡＴポリシー」テーブルでは、「ユーザ定義ポリシー」、「既定のポリシー」、「すべてのポリシー」の３種類の表示方法で定義済みのＮＡＴポリシーを表示できます。
ヒント ＮＡＴポリシーを設定する前に、そのポリシーに関連付けるすべてのアドレス オブジェクトを作成してください。例えば、１対１のＮＡＴポリシーを作成する場合は、パブリックおよびプライベートのＩＰアドレスを表すアドレス オブジェクトが必要です。
ヒント 既定では、ＬＡＮからＷＡＮへのトラフィックにはＳｏｎｉｃＷＡＬＬで事前に定義されたＮＡＴポリシーが適用されます。
ＮＡＴポリシーのエントリのナビゲートと並べ替え
「ＮＡＴポリシー」テーブルに表示されるルート ポリシーの種類は、「表示するポリシー」メニューのいずれかの表示設定を選択することによって変更できます。「すべてのポリシー」を選択すると、ユーザー定義ポリシーおよび既定のポリシーを含むすべてのルーティング ポリシーが表示されます。初期状態で、「表示するポリシー」メニューの「すべてのポリシー」を選択すると、「ルート ポリシー」テーブルには既定のポリシーのみが表示されます。
「ＮＡＴポリシー」テーブルでは、多数のＶＰＮポリシーを簡単に閲覧できるようにページ付けがされています。「ルート ポリシー」テーブルの右上にあるナビゲーション コントロール バーを使用して、「ルート ポリシー」テーブルにリストされた多数のＶＰＮポリシーを参照できます。ナビゲーション コントロール バーには４つのボタンがあります。左端のボタンは、テーブルの最初のページを表示します。右端のボタンは、最後のページを表示します。内側の左矢印ボタンと右矢印で、それぞれ前または次のページに移動します。
「表示範囲」フィールドにポリシー番号 （「＃」列に記載されている番号） を入力することにより、特定のＶＰＮポリシーに移動できます。既定のテーブル設定では、ページあたり５０個のエントリが表示されます。この既定のテーブル エントリ数は、「システム ＞ 管理」ページで変更できます。
テーブルのエントリを並べ替えるには、列見出しを選択します。エントリは昇順または降順で並べ替えられます。列エントリの右側にある矢印が、並べ替え状況を示します。下向きの矢印は昇順を意味します。上向きの矢印は降順を示します。
「ＮＡＴポリシー」テーブルの「設定」列にあるコメント アイコンの上にポインタを移動すると、「ＮＡＴポリシーの追加」ウィンドウの「コメント」フィールドに入力したコメントが表示されます。
「ＮＡＴポリシー」テーブルの「設定」列にある統計アイコンの上にポインタを移動すると、ＮＡＴポリシーのトラフィック統計情報が表示されます。
削除アイコン 
を選択すると、ＮＡＴポリシー エントリが削除されます。このアイコンが淡色表示である場合、そのＮＡＴポリシーは既定のエントリなので削除できません。
ＮＡＴポリシーの設定
以下では、ＮＡＴポリシー エントリの作成に使用される「ＮＡＴポリシーの追加」または「ＮＡＴポリシーの編集」ウィンドウの設定項目について説明します。
新しいＮＡＴポリシーを作成する場合は、「ネットワーク ＞ ＮＡＴポリシー」ページの「追加」ボタンを選択して、「ＮＡＴポリシーの追加」ウィンドウを表示します。ＮＡＴポリシーを編集する場合は、編集するＮＡＴポリシーの「設定」列にある編集アイコンを選択して、「ＮＡＴポリシーの編集」ウィンドウを表示します。
･ 変換前の送信元： このドロップダウン メニューの設定は、ＳｏｎｉｃＷＡＬＬセキュリティ装置を通過するパケット （インターフェース間を転送されるパケットや、ＶＰＮトンネルに入る／から出るパケット） の送信元のＩＰアドレスを識別するために使用されます。ユーザはＳｏｎｉｃＯＳ の既定のアドレス オブジェクトを使用するか、または独自のアドレス オブジェクトを作成することができます。エントリとして指定できるのは、単一のホストのエントリ、アドレス範囲、またはＩＰサブネットです。
･ 変換後の送信元： このドロップダウン メニューでは、「変換前の送信元」で指定した送信元からのパケットがＳｏｎｉｃＷＡＬＬセキュリティ装置から送出される際に （別のインターフェースに転送されるときや、ＶＰＮトンネルに入る／から出るときに）、その送信元をどのアドレスに変換するかを設定します。ユーザはＳｏｎｉｃＯＳ の既定のアドレス オブジェクトを使用するか、または独自のアドレス オブジェクト エントリを作成することができます。エントリとして指定できるのは、単一のホストのエントリ、アドレス範囲、またはＩＰサブネットです。
･ 変換前の送信先： このドロップダウン メニューの設定は、ＳｏｎｉｃＷＡＬＬセキュリティ装置を通過するパケット （インターフェース間を転送されるパケットや、ＶＰＮトンネルに入る／から出るパケット） の送信先のＩＰアドレスを識別するために使用されます。発信ＮＡＴではパケットの送信先は変更されず、送信元のみが変更されるので、発信ＮＡＴポリシーの作成時には、通常、このエントリは「すべて」に設定します。ただし、これらのアドレス オブジェクトのエントリとして、単一のホストのエントリ、アドレス範囲、またはＩＰサブネットを指定することもできます。
･ 変換後の送信先： このドロップダウン メニューでは、「変換前の送信先」で指定した送信先へのパケットがＳｏｎｉｃＷＡＬＬセキュリティ装置から送出される際に （別のインターフェースに転送されるときや、ＶＰＮトンネルに入る／から出るときに）、その送信先をどのアドレスに変換するかを設定します。発信ＮＡＴではパケットの送信先は変更されず、送信元のみが変更されるので、発信ＮＡＴポリシーの作成時には、通常、このエントリは「オリジナル」に設定します。ただし、これらのアドレス オブジェクトのエントリとして、単一のホストのエントリ、アドレス範囲、またはＩＰサブネットを指定することもできます。
･ 変換前サービス： このドロップダウン メニューの設定は、ＳｏｎｉｃＷＡＬＬセキュリティ装置を通過するパケット （インターフェース間を転送されるパケットや、ＶＰＮトンネルに入る／から出るパケット） のＩＰサービスを識別するために使用されます。ユーザはＳｏｎｉｃＷＡＬＬの既定のサービスを使用するか、または独自のエントリを作成することができます。多くの場合、ＮＡＴポリシーでは送信元または送信先のＩＰアドレスのみを変更するので、このフィールドは「すべて」に設定します。
･ 変換後サービス： このドロップダウン メニューでは、「変換前サービス」で指定したサービスのパケットがＳｏｎｉｃＷＡＬＬセキュリティ装置から送出される際に （別のインターフェースに転送されるときや、ＶＰＮトンネルに入る／から出るときに）、そのサービスをどのサービスに変換するかを設定します。ユーザはＳｏｎｉｃＷＡＬＬセキュリティ装置の既定のサービスを使用するか、または独自のエントリを作成することができます。多くの場合、ＮＡＴポリシーでは送信元または送信先のＩＰアドレスのみを変更するので、このフィールドは「オリジナル」に設定します。
･ 受信インターフェース： このドロップダウン メニューの設定は、パケットのエントリ インターフェースを指定するために使用されます。ＶＰＮトンネルは実際のインターフェースではないので、ＶＰＮを扱う場合は、通常、「すべて」に設定します。
･ 発信インターフェース： このドロップダウン メニューは、ＮＡＴポリシーを適用したパケットを送出するインターフェースを指定するために使用されます。このフィールドは主に、どのＷＡＮインターフェースに変換を適用するかを指定するために使用されます。このフィールドの設定は、ＮＡＴポリシーのさまざまなフィールドの中でも特に混乱しやすいので注意してください。ＶＰＮトンネルは実際のインターフェースではないので、ＶＰＮを扱う場合は、通常、「すべて」に設定します。また、この章のＮＡＴポリシーに関する質問のセクションに記載されているように、送信先をパブリックＩＰアドレスからプライベートＩＰアドレスに再割付する受信１-２-１ ＮＡＴポリシーの作成時には、このフィールドを「すべて」に設定する必要があります。
･ コメント： このフィールドはＮＡＴポリシー エントリの説明を記述するために使用できます。フィールドに入力できるのは３２文字までです。保存後に、「ネットワーク ＞ ＮＡＴポリシー」メイン ページでＮＡＴポリシー エントリの隣の吹き出し上にマウスを移動すると、ここで指定したコメントが表示されます。マウスが吹き出し上にある間は、ユーザーのコメントがポップアップ ウィンドウに表示されます。
･ ＮＡＴポリシーを有効にする： 既定では、このボックスがオンになっています。これは、新しいＮＡＴポリシーが保存された瞬間に有効になることを意味しています。ＮＡＴポリシー エントリを作成しても、すぐに有効にしないようにするには、このボックスをオフにします。
･ 再帰ポリシーを作成する： このチェックボックスをオンにすると、「ＮＡＴポリシーの追加」ウィンドウで定義したＮＡＴポリシーに対応するミラーの発信または受信ＮＡＴポリシーが自動的に作成されます。
ＮＡＴポリシーに関する質問
なぜ受信１-２-１ ＮＡＴポリシーの送信先インターフェースとして「すべて」を指定する必要があるのでしょうか。
他の種類のＮＡＴポリシーが送信先インターフェースを指定するように要求していることを考えると、直観に反するように思われますが、これは必要なことです。ＳｏｎｉｃＷＡＬＬセキュリティ装置では、ＮＡＴポリシーの調査中にこのフィールドを使用し、受信するパケットについて検証しますが、送信先インターフェースとしてＬＡＮなどの内部インターフェースが設定されていると、ＳｏｎｉｃＷＡＬＬセキュリティ装置はその時点ではパケットがＬＡＮに対して送信されていることを認識していないため、調査は失敗します。ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＮＡＴポリシーの調査を実行して初めて、パケットがＬＡＮに対して送信されていることを認識します。ＳｏｎｉｃＷＡＬＬセキュリティ装置がＮＡＴポリシーの調査を実行する瞬間には、ＮＡＴパブリック アドレスのルート調査が行われることによりパブリック インターフェースが返されるので、パケットはＷＡＮからＷＡＮに向かって （送信先のパブリック インターフェースに向かって） 進んでいるように見えます。
手動でＮＡＴポリシーの順序を決めることはできますか。
いいえ、ＳｏｎｉｃＷＡＬＬセキュリティ装置では、ルールの粒度に応じて自動的に順序が決まります。これは、ポリシーが既存のポリシーよりも高い粒度を持っている場合、同じオブジェクトについてＮＡＴポリシー エントリを作成できることを意味しています。例えば、すべてのＬＡＮシステムをＷＡＮ ＩＰアドレスに変換するＮＡＴポリシーを最初に作成した場合は、その後で、そのＬＡＮ上の特定のシステムで異なるＩＰアドレスを使用するように指定するポリシーを作成したり、ＨＴＴＰの使用時に特定のシステムで別のＩＰアドレスを使用することを指定するポリシーを作成したりすることが可能です。
同じオブジェクトに複数のＮＡＴポリシーを設定することは可能ですか。
可能です － 上記のセクションをご覧ください。
ＮＡＴの“システム ポリシー”とは何ですか。
「ネットワーク ＞ ＮＡＴポリシー」ページにある「システム ポリシー」のラベルの付いたラジオ ボタンに注目してください。このラジオ ボタンを選択すると、「ＮＡＴポリシー」ページにはＳｏｎｉｃＷＡＬＬセキュリティ装置で自動的に作成された既定のＮＡＴポリシーがすべて表示されます。これらのポリシーはＳｏｎｉｃＷＡＬＬセキュリティ装置が正常に動作するために必要な既定の設定であり、削除できません。このため、ユーザ作成のＮＡＴポリシーを容易に閲覧できるように、既定のポリシーは独自のセクションに一覧表示されます。ユーザ作成のＮＡＴポリシーを既定のＮＡＴポリシーとともに表示したい場合は、「すべてのポリシー」ラジオ ボタンを選択してください。
ＶＰＮトラフィックを対象とするＮＡＴポリシーを作成できますか。
はい、ＳｏｎｉｃＯＳ ファームウェアで実行されるＳｏｎｉｃＷＡＬＬセキュリティ ポリシーをＶＰＮトンネルの両側に設定できる場合には可能です。ＶＰＮトンネルに入るトラフィックとトンネルから出るトラフィックに対してＮＡＴを実行する方法については、ＴｅｃｈＮｏｔｅ「ＳｏｎｉｃＯＳ ＮＡＴ ＶＰＮ Ｏｖｅｒｌａｐ」を参照してください。このＴｅｃｈＮｏｔｅは、〈http://www.sonicwall.com/us/Support.html〉 で入手できます。.
なぜ１-２-１トラフィックには２つのポリシーを作成する必要があるのですか。
新しいＮＡＴエンジンでは、２つのポリシーを作成する必要があります。パブリックＩＰアドレスを送信先とする着信要求 （こちらから開始したのではない着信） を送信先のプライベートＩＰアドレスに到達させるための１つのポリシーと、（こちらから開始した発信の） 送信元プライベートＩＰアドレスを送信元パブリックＩＰアドレスに再割付するためのもう１つのポリシーを作成してください。少し手間がかかりますが、これにより高い柔軟性を実現できます。
ＮＡＴ負荷分散の概要
このセクションでは、ＮＡＴ負荷分散機能について概説します。このセクションは、次のサブセクションから構成されています。
･ 「注意」
ネットワーク アドレス変換 （ＮＡＴ） と負荷分散 （ＬＢ） の機能を組み合わせると、受信トラフィックの負荷を複数の類似したネットワーク リソースに分散することができます。ＳｏｎｉｃＷＡＬＬセキュリティ装置はＷＡＮ ＩＳＰ間で負荷分散を図る機能 （ＷＡＮ ＩＳＰ＆ＬＢ） も備えていますが、ＮＡＴによる負荷分散 （ＮＡＴ ＬＢ） をそれと混同しないでください。これらの機能は両方を組み合わせて使用することも可能ですが、ＷＡＮ ＩＳＰ＆ＬＢは送信トラフィックを２つのＩＳＰ接続に分散するために使用され、ＮＡＴ ＬＢは主として受信トラフィックを分散するために使用されます。
負荷分散は、トラフィックを複数の類似したネットワーク リソースに振り分けることによって、単一のサーバに過大な負荷がかかることを防ぎ、信頼性と冗長性の向上に貢献します。また、１つのサーバが使用できない状態になった場合でも、トラフィックは使用可能なリソースに転送されるため、システム稼働時間の最大化が実現されます。
ここでは、パブリック インターネットのシステムから、１つまたは複数の内部システム （ウェブ サーバ、ＦＴＰサーバ、ＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ装置など） に割り当てられた仮想ＩＰ （ＶＩＰ） へのアクセスを可能にするために必要なＮＡＴ、負荷分散、健全性チェック、ログ記録、およびファイアウォール ルールの設定方法について詳しく説明します。対象のポートがＳｏｎｉｃＷＡＬＬ自体では使用されていない場合、この仮想ＩＰは、ＳｏｎｉｃＷＡＬＬとは無関係に設定されているものや、共有で使用されているものでも問題ありません。
ＳｏｎｉｃＯＳ ファームウェア バージョン４.０以降に搭載されている負荷分散機能は、それほど高度なものではありませんが、多くのユーザのネットワーク配備の要件を十分に満たす能力を備えています。ただし、さらに粒度の細かい負荷分散や恒久性、および健全性チェックのメカニズムが必要な場合は、サードパーティ製の専用の負荷分散装置を使用することをお勧めします （価格は機器１台あたりＵＳ＄４,０００～２５,０００程度です）。
ＮＡＴ負荷分散のメカニズム
ＮＡＴ負荷分散の設定は、ＮＡＴポリシーの「詳細」タブで行います。
補足 このタブが有効になるのは、ＮＡＴポリシーの「一般」タブのいずれかのドロップダウン フィールドでグループが選択されている場合だけです。このタブが無効の場合、ＮＡＴポリシーではＮＡＴ方式として既定の「スティッキーＩＰ」が使用されます。
ＳｏｎｉｃＯＳでは、以下のＮＡＴ方式を使用できます。
･ スティッキーＩＰ － 送信元ＩＰは、（その接続先が接続可能な状態であるならば） 常に同じ送信先ＩＰに接続されます。この方式は、ウェブ アプリケーション、ウェブ フォーム、ショッピング カート アプリケーションなど、接続の恒久性が要求される公開ホストのサイトに最適です。これは既定のメカニズムであり、ほとんどの配備環境では、この方式を使用することをお勧めします。
･ ラウンド ロビン － 送信元ＩＰは、循環的な順序で、動作中の負荷分散対象の各リソースに順に振り分けられます。この方式は、恒久性が要求されない状況で負荷を均等に分散したい場合に最適です。
･ ブロック再割付／対称再割付 － この２つの方式は、送信元ＩＰ／ネットワークが既知のとき （特定のサブネットからのトラフィックの変換方法を精密に制御したい場合など） に有用です。
･ ランダム分散 － 送信元ＩＰは、各送信先ＩＰにランダムに接続されます。この方式は、トラフィックを対象の内部リソース全体に無作為に分散させたい場合に有用です。
･ ＮＡＴ方式 － このドロップダウン メニューでは、スティッキーＩＰ、ラウンド ロビン、ブロック再割付、対称再割付、ランダム分散の５つの負荷分散方式のいずれかを指定できます。通常は、スティッキーＩＰを選択することをお勧めします。
･ 監視を有効にする － このチェックボックスがオンの場合、ＳｏｎｉｃＷＡＬＬは、２つの方法 （ＩＣＭＰ Ｐｉｎｇによる単純な問い合わせによってリソースが動作中であるかを判断する方法と、ＴＣＰソケットが開いているかを問い合わせて、リソースが動作中であるかを判断する方法） のどちらかを使用して、負荷分散グループ内のアドレスの動作状態を監視します。この問い合わせは設定可能な一定の間隔で行われ、これにより、応答のないリソースへのトラフィックの振り分けの中止と、応答が復活した時点でのそのリソースの使用再開が可能になります。
どの方式のＮＡＴ負荷分散を使用すべきか
注意
･ ＮＡＴ負荷分散機能を使用できるのは、ＳｏｎｉｃＯＳ ４.０以降のみです。
･ 現時点で利用可能な健全性チェック メカニズムは２種類 （ＩＣＭＰ ＰｉｎｇとＴＣＰソケット オープン） のみです。
･ 現時点では、上位層の恒久性メカニズムは利用できません （スティッキーＩＰのみ使用可能）。
･ 現時点では、グループ内のすべてのサーバが応答しない場合に備えるための“Ｓｏｒｒｙ-Ｓｅｒｖｅｒ”メカニズムは利用できません。
･ 現時点では、“恒久性を備えたラウンド ロビン”メカニズムは利用できません。
･ 現時点では、“重み付きラウンド ロビン”メカニズムは利用できません。
･ 現時点では、リソースが過負荷になっていることを検出する手段は用意されていません。
･ ＳｏｎｉｃＷＡＬＬセキュリティ装置では、負荷分散の対象として設定可能な内部リソースの数に制限はなく、監視可能なホストの数にも制限はありませんが、（リソースの数が２５を超えるような） 非常に大規模な負荷分散グループを作成すると、パフォーマンスに影響が及ぶおそれがあります。
負荷分散アルゴリズムの詳細
このセクションでは、ＳｏｎｉｃＷＡＬＬセキュリティ装置において、負荷分散アルゴリズムがどのように適用されるかを説明します。
･ ラウンド ロビン － 送信元ＩＰを各送信先ＩＰに交互に接続します。
･ ランダム分散 － 送信元ＩＰを各送信先ＩＰにランダムに接続します。
･ スティッキーＩＰ － 送信元ＩＰを常に同じ送信先ＩＰに接続します。
･ ブロック再割付 － 送信元ネットワークを送信先プールのメンバー数に分割することによって、論理セグメントを作成します。
･ 対称再割付 － 送信元ＩＰを送信先ＩＰに割り付けます （例えば、１０.１.１.１０－＞１９２.１６８.６０.１０）。
スティッキーＩＰアルゴリズム
送信元ＩＰをサーバ クラスタの台数で除算し、その剰余に応じて割付先のサーバを決定します。以下に、スティッキーＩＰアルゴリズムによる割付先決定処理の例を２つ示します。
１９２.１６８.０.２～１９２.１６８.０.４
変換後の送信先 ＝ １０.５０.１６５.０／３０ （ネットワーク）
パケットの送信元ＩＰ ＝ １９２.１６８.０.２
１９２.１６８.０.２ ＝ Ｃ０Ａ８０００２ ＝ ３２３２２３５５２２ ＝ １１００００００１０１０１０００００００００００００００００１０
（ＩＰ－＞１６進－＞１０進－＞２進）
スティッキーＩＰ計算式 ＝ パケットの送信元ＩＰ ＝ ３２３２２３５５２２［剰余算］変換先サイズ ＝ ２
＝ ３２３２２３５５２２［剰余算］２
＝ ０
（被乗数は２で割り切れる。剰余はなく、結果は０）
スティッキーＩＰ計算式によって算出されたオフセットは０
送信先を１０.５０.１６５.１に再割付
１９２.１６８.０.２～１９２.１６８.０.４
変換後の送信先 ＝ １０.５０.１６５.１～１０.５０.１６５.３ （範囲）
パケットの送信元ＩＰ ＝ １９２.１６８.０.２
１９２.１６８.０.２ ＝ Ｃ０Ａ８０００２ ＝ ３２３２２３５５２２ ＝ １１００００００１０１０１０００００００００００００００００１０
（ＩＰ－＞１６進－＞１０進－＞２進）
スティッキーＩＰ計算式 ＝ パケットの送信元ＩＰ ＝ ３２３２２３５５２２［剰余算］変換先サイズ ＝ 3
＝ ３２３２２３５５２２［剰余算］4
＝ １０７７４１１８４０.６６６６６６７ － １０７７４１１８４０
＝ ０.６６６６６６７ ＊ ３
＝ ２
スティッキーＩＰ計算式によって算出されたオフセットは２
送信先を１０.５０.１６５.３に再割付
ＮＡＴポリシーの作成
ＮＡＴポリシーを使用すると、送信元のＩＰアドレス、送信先のＩＰアドレス、および送信先サービスの一致する組み合わせに基づいてＮＡＴ （ネットワーク アドレス変換） を柔軟に制御できます。ＮＡＴはポリシーに基づいて適用されるため、異なる種類のＮＡＴを同時に配備することができます。このセクションは、次のサブセクションから構成されています。
この章の説明では、ＮＡＴポリシーの作成と有効化を示す例で以下のＩＰアドレスが使用されています。ここで示す例をお使いのＩＰアドレスと置き換えることにより、これらの例を使用して、ネットワークのＮＡＴポリシーを作成することができます。
･ １９２.１６８.１０.０／２４ （インターフェースＸ０上のＩＰサブネット）
･ ６７.１１５.１１８.６４／２７ （インターフェースＸ１上のＩＰサブネット）
･ １９２.１６８.３０.０／２４ （インターフェースＸ２上のＩＰサブネット）
･ Ｘ０のＩＰアドレスは１９２.１６８.１０.１
･ Ｘ１のＩＰアドレスは６７.１１５.１１８.６８
･ Ｘ２ “Ｓａｌｅｓ”のＩＰアドレスは１９２.１６８.３０.１
･ ウェブ サーバの“プライベート”アドレスは１９２.１６８.３０.２００
･ ウェブ サーバの“パブリック”アドレスは６７.１１５.１１８.７０
･ パブリックＩＰ範囲のアドレスは６７.１１５.１１８.７１から６７.１１５.１１８.７４
多対１のＮＡＴポリシーの作成
多対１はＳｏｎｉｃＷＡＬＬセキュリティ装置で最も一般的なＮＡＴポリシーであり、アドレスのグループを単一のアドレスに変換することができます。ほとんどの場合、これは、内部“プライベート”ＩＰサブネットを対象として、そこから送信されるすべての要求をＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮインターフェース （既定ではＸ１インターフェース） のＩＰアドレスからの要求に変換することを意味します。この変換を行うと、送信先からは、その要求の送信元が内部プライベートＩＰアドレスではなく、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮインターフェースのＩＰアドレスであるかのように見えます。
このポリシーは容易にセットアップし有効にできます。管理インターフェースから「ネットワーク ＞ ＮＡＴポリシー」ページに進み、「追加」ボタンを選択します。ポリシーを追加するための「ＮＡＴポリシーの追加」ウィンドウが表示されます。ＮＡＴポリシーを作成してＸ２インターフェース上のすべてのシステムがＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮポートのＩＰアドレスを使用してトラフィックを開始できるようにするには、各ドロップダウン ボックスで以下の設定を選択します。
･ 変換前の送信元： Ｘ２サブネット
･ 変換後の送信元： ＷＡＮプライマリＩＰ
･ 変換前の送信先： すべて
･ 変換後の送信先： オリジナル
･ 変換前サービス： すべて
･ 変換後サービス： オリジナル
･ 受信インターフェース： Ｘ２
･ 発信インターフェース： Ｘ１
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
設定が完了したら、「ＯＫ」ボタンを選択して、ＮＡＴポリシーを有効な状態で追加します。このポリシーはＳｏｎｉｃＷＡＬＬセキュリティ装置の他のインターフェースの背後にあるサブネットで複製できます。それに必要な作業は、「変換前の送信元」をそのインターフェースの背後にあるサブネットに変更して、送信元のインターフェースを調整し、別のＮＡＴポリシーとして追加することだけです。
多対多のＮＡＴポリシーの作成
多対多のＮＡＴポリシーを使用すると、特定のアドレス グループを別のアドレス グループに変換できます。このポリシーによって、ＳｏｎｉｃＷＡＬＬセキュリティ装置では、複数のアドレスを利用した動的変換を実行できます。このため、ＳｏｎｉｃＷＡＬＬセキュリティ装置でインターフェースを通じて実行できる同時接続数が格段に増え、最大５０万といった非常に多数の同時接続も可能になります。
このポリシーは容易にセットアップし有効にできます。最初に「ネットワーク ＞ アドレス オブジェクト」を選択して、画面の下部にある「追加」ボタンを選択する必要があります。「アドレス オブジェクトの追加」ウィンドウが表示されたら、「名前」フィールドに範囲の説明を入力して、ドロップダウン メニューから「範囲」を選択します。「開始アドレス」フィールドと「終了アドレス」フィールドに、アドレス （通常、ＩＳＰから提供されるパブリックＩＰアドレス） の範囲を入力し、「ゾーンの割り当て」メニューでゾーンとして「ＷＡＮ」を選択します。設定が完了したら、「ＯＫ」ボタンを選択して範囲オブジェクトを作成します。
「ネットワーク ＞ ＮＡＴポリシー」を選択し、「追加」ボタンを選択します。「ＮＡＴポリシーの追加」ウィンドウが表示されます。ＮＡＴポリシーを作成して、ＬＡＮインターフェース （既定ではＸ０インターフェース） 上のシステムによるパブリック範囲アドレスを使用したトラフィックの開始を許可するには、各ドロップダウン メニューで以下の設定を選択します。
･ 変換前の送信元： ＬＡＮプライマリ サブネット
･ 変換後の送信元： ｐｕｂｌｉｃ_ｒａｎｇｅ
･ 変換前の送信先： すべて
･ 変換後の送信先： オリジナル
･ 変換前サービス： すべて
･ 変換後サービス： オリジナル
･ 受信インターフェース： Ｘ０
･ 発信インターフェース： Ｘ１
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
設定が完了したら、「ＯＫ」ボタンを選択して、ＮＡＴポリシーを有効な状態で追加します。このポリシーを適用すると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、作成した範囲内で使用可能な４つのＩＰアドレスを使用して、送信トラフィックを動的に割り付けます。
動的な割付をテストするには、ＬＡＮインターフェース （既定ではＸ０インターフェース） 上の拡散したアドレス範囲 （１９２.１６８.１０.１０、１９２.１６８.１０.１００、１９２.１６８.１０.２００など） に複数のシステムをインストールして、各システムからパブリック ウェブ サイト 〈http://www.whatismyip.com〉 にアクセスします。各システムには、作成してＮＡＴポリシーに連結した範囲の中から別々のＩＰアドレスが表示されるはずです。
着信トラフィック用の１対１のＮＡＴポリシーの作成
着信トラフィック用の１対１のＮＡＴは、外部のパブリックＩＰアドレスを内部のプライベートＩＰアドレスに変換できます。このＮＡＴポリシーを“許可”アクセス ポリシーと組み合わせると、任意の送信元がパブリックＩＰアドレスを使用して内部サーバに接続できるようになります。プライベート アドレスとパブリック アドレス間の変換はＳｏｎｉｃＷＡＬＬセキュリティ装置によって処理されます。このポリシーを適用すると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＷＡＮインターフェース （既定ではＸ１インターフェース） 経由での接続要求の到着時に、サーバのパブリックＩＰアドレスをプライベートＩＰアドレスに変換します。
以下では、必要なアドレス オブジェクトとともにＮＡＴポリシーを作成し、同時に発信トラフィック用の再帰ＮＡＴポリシーも作成します。 再帰ＮＡＴ ポリシーについては、次のセクションで説明します。
ＮＡＴポリシーは容易にセットアップし有効にできます。「ネットワーク ＞ アドレス オブジェクト」を選択して、画面の下部にある「追加」ボタンを選択します。「アドレス オブジェクトの追加」ウィンドウの「名前」フィールドに、サーバのプライベートＩＰアドレスの説明を入力します。「タイプ」メニューで「ホスト」を選択して、「ＩＰアドレス」フィールドにサーバのプライベートＩＰアドレスを入力し、「ゾーンの割り当て」メニューでサーバを割り当てたゾーンを選択します。「ＯＫ」を選択します。次に、「アドレス オブジェクトの追加」ウィンドウで、サーバのパブリックＩＰアドレス用の正しい値を持つ別のオブジェクトを作成し、「ゾーンの割り当て」メニューで「ＷＡＮ」を選択します。設定が完了したら、「ＯＫ」ボタンを選択して範囲オブジェクトを作成します。
次に、「ネットワーク ＞ ＮＡＴポリシー」を選択し、「追加」ボタンを選択して、「ＮＡＴポリシーの追加」ウィンドウを表示します。ＮＡＴポリシーを作成して、割付済みパブリックＩＰアドレス経由でのウェブ サーバからパブリック インターネットへのトラフィックの開始を許可するには、各ドロップダウン ボックスで以下の設定を選択します。
･ 変換前の送信元： すべて
･ 変換後の送信元： オリジナル
･ 変換前の送信先： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｉｐ
･ 変換後の送信先： ｗｅｂｓｅｒｖｅｒ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換前サービス： すべて
･ 変換後サービス： オリジナル
･ 受信インターフェース： Ｘ１
･ 発信インターフェース： すべて
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 有効 （"変換後の送信先:オリジナル"場合は利用できません）
設定が完了したら、「ＯＫ」ボタンを選択して、ＮＡＴポリシーを有効な状態で追加します。このポリシーを適用すると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｉｐへ着信したトラフィックを、ｗｅｂｓｅｒｖｅｒ_ｐｒｉｖａｔｅ_ｉｐに送信します。
以下では、サーバへのＨＴＴＰアクセスを許可するルールを作成します。すべてのユーザがウェブ サーバのパブリックＩＰアドレス経由でウェブ サーバへのＨＴＴＰ接続を確立できるようにアクセス ポリシーを作成する必要があります。
補足 以前のバージョンのファームウェアでは、プライベートＩＰアドレスに対するルールを作成する必要がありました。この点は、ＳｏｎｉｃＯＳ で変更されました。このため、プライベートＩＰアドレスに対するルールを作成しても、そのルールは機能しません。
「ファイアウォール ＞ アクセス ルール」ページを選択し、「ＷＡＮ」と「Ｓａｌｅｓ」ゾーン （またはサーバを配置した任意のゾーン） 間に適用するポリシーを選択します。「追加...」ボタンを選択すると、ポップアップ アクセス ポリシー画面が表示されます。ポップアップが表示されたら、次の値を入力します。
･ 動作： 許可
･ サービス： ＨＴＴＰ
･ 送信元： すべて
･ 送信先： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｉｐ
･ 許可するユーザ： すべて
･ スケジュール： 常に有効
･ ログを有効にする： 有効
･ コメント： （簡単な説明を入力）
設定が完了したら、パブリック インターネット上に配置されているシステムを使用して、ウェブ サーバのパブリックＩＰアドレスへのアクセスを試行します。正常に接続できるはずです。接続できない場合は、必要なすべての項目を正しく設定したことを確認します。
発信トラフィック用の１対１のＮＡＴポリシーの作成（再帰）
補足 NAT ポリシー設定内で"変換後の送信先:オリジナル"にした場合は、「再帰ポリシーを作成する」チェックボックスがグレーアウトされるために、このセクションは適用されません。
これは、前のセクションで作成したポリシーに対応するミラーのポリシーです。ミラー ポリシーは、ポリシーの作成時に「再帰ポリシーを作成する」を有効にした場合に作成されます。発信トラフィック用の１対１のＮＡＴは、ＳｏｎｉｃＷＡＬＬセキュリティ装置で内部ＩＰアドレスを一意なＩＰアドレスに変換するための、もう１つの共通のＮＡＴポリシーです。これは、サーバなどの特定のシステムから他の送信先へのトラフィックを開始する際に、特定のＩＰアドレスを使用することが必要な場合に便利です。この発信トラフィック用の１対１のＮＡＴポリシーなどのＮＡＴポリシーは、ほとんどの場合、サーバのプライベートＩＰアドレスをパブリックＩＰアドレスに割り付けるために使用され、着信トラフィック用のＮＡＴポリシーの再帰 （ミラー） ポリシーとして使用されます。
このポリシーが適用されると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＷＡＮインターフェース（既定ではＸ１インターフェース）からのトラフィック開始時に、サーバのプライベートＩＰアドレスをパブリックＩＰアドレスに変換します。
１対１の割付をテストするには、サーバ上でウェブ ブラウザを開き、パブリック ウェブ サイト 〈http://www.whatismyip.com〉 にアクセスします。このウェブ サイトには、作成したばかりのＮＡＴポリシーでプライベートＩＰアドレスに連結されたパブリックＩＰアドレスが表示されるはずです。
１対多のＮＡＴ負荷分散の設定
１対多のネットワーク アドレス変換 （ＮＡＴ） ポリシーを使用することにより、変換前の送信元ＩＰアドレスを恒久性への鍵として使用して、恒久性を維持しながら、変換後の送信先の負荷を均衡化できます。例えば、ＳｏｎｉｃＷＡＬＬセキュリティ装置では、適切な宛先のＳＳＬ-ＶＰＮに対して常にクライアント間の均衡を取ることによって、セッションの恒久性を維持しながら複数のＳｏｎｉｃＷＡＬＬ ＳＳＬ-ＶＰＮ装置の負荷分散を可能にしています。トポロジおよび構成の例を次の図に示します。
１対多のＮＡＴ負荷分散の設定を行うには、最初に「ファイアウォール ＞ アクセス ルール」ページを選択し、「ＷＡＮ」と「ＬＡＮ」間のポリシーを選択します。「追加...」ボタンを選択すると、ポップアップ アクセス ポリシー画面が表示されます。ポップアップが表示されたら、次の値を入力します。
･ 動作： 許可
･ サービス： ＨＴＴＰＳ
･ 送信元： すべて
･ 送信先： ＷＡＮプライマリＩＰ
･ 許可するユーザ： すべて
･ スケジュール： 常に有効
･ コメント： 説明テキスト （例えば“ＳＳＬＶＰＮ ＬＢ”）
･ ログを有効にする： 有効
･ 断片化パケットを許可する： 無効
「ネットワーク ＞ ＮＡＴポリシー」を選択し、「追加...」ボタンを選択して、次のＮＡＴポリシーを作成します。
･ 変換前の送信元： すべて
･ 変換後の送信元： オリジナル
･ 変換前の送信先： ＷＡＮプライマリＩＰ
･ 変換後の送信先： 「アドレス オブジェクトの作成...」を選択します。すると、「アドレス オブジェクトの追加」画面が表示されます。
･ 名前： 説明的な名前 （例えば“ｍｙＳＳＬＶＰＮ”）
･ ゾーンの割り当て： ＬＡＮ
･ タイプ： ホスト
･ ＩＰアドレス： 負荷分散する機器のＩＰアドレス （上記の図に示したトポロジの場合は、１９２.１６８.２００.１０、１９２.１６８.２００.２０、１９２.１６８.２００.３０）
･ 変換前サービス： ＨＴＴＰＳ
･ 変換後サービス： ＨＴＴＰＳ
･ 受信インターフェース： すべて
･ 発信インターフェース： すべて
･ コメント： 説明テキスト （例えば“ＳＳＬＶＰＮ ＬＢ”）
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
１対１のＮＡＴポリシーによる着信ポート アドレス変換
このタイプのＮＡＴポリシーは、内部サーバの実際のリスニング ポートを隠して、別のポートでのサーバへのパブリック アクセスを可能にしたい場合に便利です。以下の例では、前のセクションで作成したＮＡＴポリシーとルールを変更して、パブリック ユーザがパブリックＩＰアドレスを通じてプライベート ウェブ サーバに接続できるようにしますが、その接続には、標準のＨＴＴＰポート （ＴＣＰ ８０） の代わりに、別のポート （ＴＣＰ ９０００） を使用するように設定します。
･ 変換前の送信元： すべて
･ 変換後の送信元： オリジナル
･ 変換前の送信先： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｉｐ
･ 変換後の送信先： ｗｅｂｓｅｒｖｅｒ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換前サービス： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｐｏｒｔ （または上記で付けた任意の名前）
･ 変換後サービス： ＨＴＴＰ
･ 受信インターフェース： Ｘ１
･ 発信インターフェース： すべて
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
補足 送信先インターフェースの設定では、サーバが接続されているインターフェースを指定するのではなく、必ず「すべて」を選択してください。これは直観に反しているように思われるかもしれませんが、正しい設定です （インターフェースを指定しようとすると、エラーが発生します）。
最後に、前のセクションで作成したファイアウォール アクセス ルールを変更して、すべてのパブリック ユーザがサーバの実際のリスニング ポート （ＴＣＰ ８０） の代わりに新しいポート （ＴＣＰ ９０００） を使用ウェブ サーバに接続できるようにします。
補足 以前のバージョンのＳｏｎｉｃＯＳファームウェアでは、プライベートＩＰアドレスに対するルールを作成する必要がありました。この点は、ＳｏｎｉｃＯＳ で変更されました。このため、プライベートＩＰアドレスに対するルールを作成しても、そのルールは機能しません。
「ファイアウォール ＞ アクセス ルール」セクションを選択し、「ＷＡＮ」と「Ｓａｌｅｓ」ゾーン （またはサーバに配置した任意のゾーン） 間に適用するポリシーを選択します。「設定」ボタンを選択すると、前に作成したポリシーが表示されます。ポップアップが表示されたら、次の値を編集します。
･ 動作： 許可
･ サービス： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｐｏｒｔ （または上記で付けた任意の名前）
･ 送信元： すべて
･ 送信先： ｗｅｂｓｅｒｖｅｒ_ｐｕｂｌｉｃ_ｉｐ
･ 許可するユーザ： すべて
･ スケジュール： 常に有効
･ ログを有効にする： 有効
･ コメント： （簡単な説明を入力）
設定が完了したら、パブリック インターネット上に配置されているシステムを使用して、ウェブ サーバのパブリックＩＰアドレスの新しい個別ポート （〈http://67.115.118.70:9000〉 など） に対するアクセスを試行します。正常に接続できるはずです。接続不可の場合は、このセクションと前のセクションを調べて、必要なすべての項目を正しく設定したことを確認します。
ＷＡＮ ＩＰアドレス経由の着信ポート アドレス変換
これは、ＳｏｎｉｃＯＳ が動作しているＳｏｎｉｃＷＡＬＬセキュリティ装置上に作成できる、より複雑なＮＡＴポリシーの１つで、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮ ＩＰアドレスを使用して、複数の内部サーバにアクセスできるようになります。このポリシーが特に有効なのは、ＩＳＰから１つのパブリックＩＰアドレスしか提供されず、そのＩＰアドレスをＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮインターフェース （既定ではＸ１インターフェース） で使用する必要がある場合などです。
以下では、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮ ＩＰアドレス経由で２台の内部ウェブ サーバへのパブリック アクセスを提供する設定を行います。各サーバは固有の個別ポートに接続されます。次の例では、２台のサーバ用のセットアップを行いますが、ポートがすべて固有である限り、３台以上の場合のポリシーも作成可能です。
このセクションでは、次の５つのタスクを実行します。
1. サーバが応答する固有のパブリック ポートに対応する２つのユーザ定義サービス オブジェクトを作成します。･ 変換前の送信元： ｓｅｒｖｏｎｅ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換後の送信元： ＷＡＮプライマリＩＰ
･ 変換前の送信先： すべて
･ 変換後の送信先： オリジナル
･ 変換前サービス： すべて
･ 変換後サービス： オリジナル
･ 受信インターフェース： Ｘ２
･ 発信インターフェース： Ｘ１
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
および：
･ 変換前の送信元： ｓｅｒｖｔｗｏ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換後の送信元： ＷＡＮプライマリＩＰ
･ 変換前の送信先： すべて
･ 変換後の送信先： オリジナル
･ 変換前サービス： すべて
･ 変換後サービス： オリジナル
･ 受信インターフェース： Ｘ２
･ 発信インターフェース： Ｘ１
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
設定が完了したら、「ＯＫ」ボタンを選択して、ＮＡＴポリシーを有効な状態で追加します。これらのポリシーを適用すると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＷＡＮインターフェース （既定ではＸ１インターフェース） からのトラフィック開始時に、サーバのプライベートＩＰアドレスをパブリックＩＰアドレスに変換します。
･ 変換前の送信元： すべて
･ 変換後の送信元： オリジナル
･ 変換前の送信先： ＷＡＮプライマリＩＰ
･ 変換後の送信先： ｓｅｒｖｏｎｅ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換前サービス： ｓｅｒｖｏｎｅ_ｐｕｂｌｉｃ_ｐｏｒｔ
･ 変換後サービス： ＨＴＴＰ
･ 受信インターフェース： Ｘ１
･ 発信インターフェース： すべて
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
および：
･ 変換前の送信元： すべて
･ 変換後の送信元： オリジナル
･ 変換前の送信先： ＷＡＮプライマリＩＰ
･ 変換後の送信先： ｓｅｒｖｔｗｏ_ｐｒｉｖａｔｅ_ｉｐ
･ 変換前サービス： ｓｅｒｖｔｗｏ_ｐｕｂｌｉｃ_ｐｏｒｔ
･ 変換後サービス： ＨＴＴＰ
･ 送信元インターフェース： Ｘ１
･ 送信先インターフェース： すべて
･ コメント： 簡単な説明を入力
･ ＮＡＴポリシーを有効にする： 有効
･ 再帰ポリシーを作成する： 無効
補足 送信先インターフェースの設定では、サーバが接続されているインターフェースを指定するのではなく、必ず「すべて」を選択してください。これは直観に反しているように思われるかもしれませんが、正しい設定です （インターフェースを指定しようとすると、エラーが発生します）。
設定が完了したら、「ＯＫ」ボタンを選択して、ＮＡＴポリシーを有効な状態で追加します。これらのポリシーを適用すると、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＷＡＮインターフェース （既定ではＸ１インターフェース） 経由での接続要求の到着時に、サーバのパブリックＩＰアドレスをプライベートＩＰアドレスに変換します。
補足 以前のバージョンのファームウェアでは、プライベートＩＰアドレスに対するルールを作成する必要がありました。この点は、ＳｏｎｉｃＯＳ ２.０ で変更されました。このため、プライベートＩＰアドレスに対するルールを作成しても、そのルールは機能しません。
「ファイアウォール ＞ アクセス ルール」ページを選択し、「ＷＡＮ」と「Ｓａｌｅｓ」ゾーン （またはサーバを配置した任意のゾーン） 間に適用するポリシーを選択します。「追加...」ボタンを選択すると、ポリシーを作成するポップアップ ウィンドウが表示されます。ポップアップが表示されたら、次の値を入力します。
･ 動作： 許可
･ サービス： ｓｅｒｖｏｎｅ_ｐｕｂｌｉｃ_ｐｏｒｔ （または上記で付けた任意の名前）
･ 送信元： すべて
･ 送信先： ＷＡＮ ＩＰアドレス
･ 許可するユーザ： すべて
･ スケジュール： 常に有効
･ ログを有効にする： 有効
･ コメント： （簡単な説明を入力）
および：
･ 動作： 許可
･ サービス： ｓｅｒｖｔｗｏ_ｐｕｂｌｉｃ_ｐｏｒｔ （または上記で付けた任意の名前）
･ 送信元： すべて
･ 送信先： ＷＡＮ ＩＰアドレス
･ 許可するユーザ： すべて
･ スケジュール： 常に有効
･ ログを有効にする： 有効
･ コメント： （簡単な説明を入力）
設定が完了したら、パブリック インターネット上に配置されているシステムを使用して、ＳｏｎｉｃＷＡＬＬセキュリティ装置のＷＡＮ ＩＰアドレス経由で、ウェブ サーバの新しい個別ポート （〈http://67.115.118.70:9100〉 と 〈http://67.115.118.70:9200〉 など） に対するアクセスを試行します。正常に接続できるはずです。接続不可の場合は、このセクションと前のセクションを調べて、必要なすべての項目を正しく設定したことを確認します。
ＮＡＴ負荷分散の使用
このセクションは、次のサブセクションから構成されています。
･ 「前提条件」
ＮＡＴ負荷分散トポロジ
次の図は、ＮＡＴ負荷分散が適用されているネットワークのトポロジを示したものです。
前提条件
次ページからのタスクリストの説明の中で示している例では、サンプル設定のＩＰアドレス情報を使用しています。作業を行う際は、必ず、これらのＩＰアドレス情報を実際の設定で使用されている正しいアドレス情報に置き換えてください。また、インターフェース名も実際とは異なる可能性があることに注意してください。
補足 すべての種別のログの記録、およびログの名前解決を有効にすることを強くお勧めします。
ログの記録と警告の通知を有効にするには、ＳｏｎｉｃＷＡＬＬの管理ＧＵＩにログインして「ログ ＞ 種別」ページを開き、すべての種別のログを取得するために、「ログ レベル」ドロップダウン メニューの「デバッグ」、および「表示形式」ドロップダウン メニューの「すべての種別」を選択して、タイトル バーの「ログ」と「警告」の２つのチェックボックスをオンにしてから、右上隅の「適用」ボタンを選択します。これにより、変更が保存されて適用されます。例については、下のスクリーンショットを参照してください。デバッグ レベルのログは初期の設定およびトラブルシューティングの目的に限って使用し、設定が完了した時点で、実際のネットワーク環境に合った適切なログ レベルを設定することをお勧めします。
ログの名前解決を有効にするには、「ログ ＞ 名前解決」ページを開き、「名前解決方法」ドロップダウン リストから「ＤＮＳの後にＮｅｔＢＩＯＳ」を選択して、右上隅の「適用」ボタンを選択します。これにより、変更が保存されて適用されます。
ＮＡＴ負荷分散の設定
ＮＡＴ負荷分散を設定するには、以下の作業をすべて行う必要があります。
1. アドレス オブジェクトの作成この設定を完了するには、次の手順を実行します。
補足 この段階では、まだＮＡＴルールの保存は行わないでください。
補足 次の作業に進む前に、ログと状況のページをチェックして、リソースが検出済みであること、およびリソースがオンライン状態であることを示すログが記録されていることを確認してください。正常ならば、「ネットワーク監視：ホスト１９２.１６０.２００.２２０はオンラインです」 （ＩＰアドレスは実際に使用されている値になります） というメッセージを持つ２件の警告が「ファイアウォール イベント」として表示されるはずです。この２つのメッセージが表示されていない場合は、これまでの手順が適切に実行されているか確認してください。
補足 １台以上のＳＳＬ-ＶＰＮ装置を対象として負荷分散を行う場合は、許可するサービスとしてＨＴＴＰＳを使用して手順１～７を繰り返してください。
ＮＡＴ負荷分散のトラブルシューティング
ウェブ サーバに対するアクセスが正常に行われていないと思われる場合は、「ファイアウォール ＞ アクセス ルール」ページを表示して、マウス ポインタを統計アイコンの上に移動してください。
ルールが正しく設定されていない場合には、受信バイトと送信バイトの統計情報はまったく表示されませんが、正常に機能している場合は、負荷分散対象リソースに対する外部からのアクセスが成功するたびに、これらのバイト数が増加するのを確認できます。
ポリシーに関しても、同様に「ファイアウォール ＞ ＮＡＴポリシー」ページで統計アイコンにマウス ポインタを合わせることによってチェックを行えます。ポリシーが正しく設定されていない場合には、受信バイトと送信バイトの統計情報はまったく表示されませんが、正常に機能している場合は、負荷分散対象リソースに対する外部からのアクセスが成功するたびに、これらのバイト数が増加するのを確認できます。
最後に、ログと状況のページをチェックして、オフラインのホストがあることを示すネットワーク監視からの （黄色の） 警告が表示されていないか確認する必要があります。正常にアクセスできない場合は、負荷分散用に設定されているすべてのリソースがＳｏｎｉｃＷＡＬＬセキュリティ装置から到達不能になっているおそれがあり、その場合には、それらのリソースがオフラインでサービス停止の状態にあることが監視メカニズムによって検出されている可能性があります。負荷分散用のリソース、およびそれらとＳｏｎｉｃＷＡＬＬセキュリティ装置の間のネットワーク接続の状態をチェックして、それらが正常に機能していることを確認してください。