NAT ルールの種類

ポート転送ルールを含む送信元 NAT (SNAT) ルールと宛先 NAT (DNAT) ルールを作成できます。

ファイアウォールルール構成を使用してリンク NAT ルールを作成し、DNAT ルール設定を使用してループバックルールと再帰ルールを作成できます。

送信元 NAT

Sophos Firewall にはデフォルトの送信元 NAT (SNAT) ルールがあり、変換後の宛先が「MASQ」に設定されています。

送信トラフィック用の SNAT ルールによって、内部のクライアントやサーバーが外部ホストにアクセスすることができます。内部のクライアントやサーバーが複数ある場合は、それらの送信元 IP アドレスを、ポート番号が異なる 1つのパブリック IP アドレスに変換できます。変換後の送信元には、IP アドレスまたは IP 範囲を設定できます。

また、インターフェース固有の NAT を定義して、1つまたは複数の内部ホストの IP アドレスを送信インターフェースに指定した IP アドレスに変換することもできます。

ブリッジメンバーはゾーンに属さないため、ブリッジメンバーであるパブリックインターフェースを使用して SNAT ルールを作成することはできません。パブリックインターフェースをブリッジメンバーとして設定すると、そのインターフェースを使用する送信元 NAT ルールが削除されます。

再帰ルール

宛先 NAT ルール用にミラー NAT ルールを作成できます。ミラー NAT ルールは、宛先ルールの一致条件を逆にする SNAT ルールです。たとえば、受信トラフィックを内部サーバーに変換する宛先 NAT ルールを作成します。対応する再帰ルールは、サーバーから宛先 NAT ルールで指定された送信元へのトラフィックを許可します。

元の宛先が IP アドレスでない場合、または変換された場合、変換された送信元はマスカレードされます。

リンク NAT ルール

ファイアウォールルールを作成するときに、リンク NAT ルールを作成できます。これは SNAT ルールであり、NAT ルールテーブルに表示されます。

ファイアウォールルールのすべての条件 (ユーザーとスケジュールを含む) が、リンク NAT ルールに適用されます。NAT ルールでこれらの設定を編集することはできません。リンク NAT ルールでは、変換後の送信元 (インターフェース固有の変換後の送信元を含む) だけを指定できます。

リンク NAT ルールは、リンク先のファイアウォールルールに一致するトラフィックのみに適用されます。ただし、リンク NAT ルールの上にあるルールに一致した場合は、その最初のルールの設定が適用されます。

ルールテーブル内のリンクされた NAT ルールのクリーンアップ

送信元 NAT の設定は、リンク NAT ルールとして移行されます。このルールは、元のファイアウォールルールに関連付けられています。

SFOS 18.0 以降に移行すると、NAT ルールテーブルに多数のリンク NAT (送信元 NAT) ルールが作成される場合があります。これらは、NAT 設定が設定されていないファイアウォールルールにリンクされているか、ユーザーおよび移行前のスケジュールに基づいて NAT が実装されています。

移行後の動作の変更を防ぐため、これらのルールは自動的に消去されません。ただし、削除することはできます。これらは、次の基準でリンクされた NAT ルールです。

• 変換後の送信元は、「MASQ」に設定されました。
• 宛先ゾーンが「WAN」のみに設定されているファイアウォールルールにリンクされています。

ルールテーブルの下部に、変換後の送信元が「MASQ」に設定された、デフォルトの送信元 NAT ルール (「デフォルトの SNAT IPv4」または「デフォルトの SNAT IPv6」) が追加されました。このルールはデフォルトでオフになっています。このルールを再配置して、削除されたルールを置き換えてオンにすることができます。

NAT ルールテーブルでは、ルールフィルタリングメニューの下のボックスに、これらのリンクされた NAT ルールの次のオプションが表示されます。

• 了解しました。ルールを削除しない: ルールを削除しません。ボックスを再度表示しません。
• リンク NAT ルールを削除する (MASQ のみ、宛先: WAN): 変換された送信元が「MASQ」に設定され、宛先ゾーンが「WAN」のみに設定されているファイアウォールルールにリンクされている、リンク NAT ルールを削除します。
• 右上の [X] ボタンを選択して、ボックスを一時的に非表示にします。後でページを開くと、ボックスが再表示されます。

宛先 NAT

受信トラフィック用の宛先 NAT (DNAT) ルールを作成し、外部のホストが内部のクライアントやサーバーにアクセスできるようにできます。パブリック IP アドレスからプライベート IP アドレスへの 1 対 1、多対 1、多対多、および 1 対多変換を指定できます。

負荷分散とフェールオーバー

変換後の宛先ホスト (Web サーバーやメールサーバーなど) の負荷分散の方法を指定できます。負荷分散の方法としては、ラウンドロビン、ファーストアライブ、ランダム、スティッキー IP、1 対 1 を選択できます。

ラウンドロビン

各サーバーに順番にリクエストを送信します。まず、リストに含まれる最初の使用可能なサーバーにリクエストを送信し、次のリクエストを、リスト内の次のサーバーに送信するといった具合です。

セッションを持続する必要がない場合は、この方法によって、接続数を均等に分散できます。

ファーストアライブ

リスト内の最初の使用可能なサーバーにリクエストを送信します。このサーバーが使用不可能な状態になった場合のみに、次のサーバーにリクエストを送信します (セキュリティ状態のチェックを有効にしていることが前提となります)。

帯域幅の大きいサーバーにすべてのリクエストを送信し、他のサーバーをバックアップとして使用したい場合は、この方法を使用します。

ランダム

サーバーをランダムに選択して、リクエストを送信します。

IP の維持

送信元 IP アドレスと、変換前の宛先 IP アドレスからハッシュを生成します。次に、サーバー数に基づくモジュロ演算をハッシュに対して実行し、変換後の宛先 IP アドレスを決定します。したがって、送信元と宛先のペアに対して、サーバーは常に同じになります。

割り当てられたサーバーが使用できなくなった場合は、そのサーバーが再び使用可能になるまでの間、次に使用可能なサーバーにトラフィックを送信します (セキュリティ状態のチェックを設定していることが前提となります)。ただし、ファイアウォールはステートフル接続を維持し、新しい接続のみを、復旧したサーバーとの間に確立します。

この方法は、ショッピングカートや銀行取引など、セッションを持続したいアプリケーションに使用します。

1 対 1

変換前と変換後の宛先 IP アドレスをリスト順に 1 対 1 でマッピングし、このマッピングに従ってサーバーにリクエストを送信します。

たとえば、リスト内で最初の変換前の宛先に到達したリクエストは、常に、リスト内で最初の変換後の宛先に送信されます。

このルールを保存するには、変換前と変換後の宛先 IP アドレスの数を同じにしてください。

ループバックルール

宛先 NAT ルールからループバックルールを作成して、内部ホストが外部 IP アドレスまたはドメイン名を介して他の内部ホストと通信できるようにすることができます。たとえば、受信トラフィックをサーバーに変換する宛先 NAT ルールを作成し、ループバックルールを作成します。

ループバックルールを作成するには、次の宛先 NAT ルール条件を指定します。

• 変換前の送信元: 任意
• 変換後の送信元: MASQ
• 変換後の宛先: 「変換前」には指定しないでください。

ポート転送

Sophos Firewall は、サービス変換を使用してポート転送を実装します。サービスは、プロトコルとポートの組み合わせです。変換されたプロトコルは、変換前のプロトコルと一致する必要があります。

Sophos Firewall は、1 対 1、多対 1、多対多の変換を実装します。多対多変換の場合、元のサービスおよび変換されたサービスのポート番号は同じでなければなりません。