SNATとは何ですか？

ソースNAT（SNAT）は、発信セッションの送信元IPアドレスを、設定済みのプールまたはインターフェースから取得したアドレスに書き換えます。Versa オペレーティングシステム（VOS）搭載デバイスでは、SNATはDNSプロキシ、HTTP/HTTPSプロキシ、URLフィルタリング、およびクラウドURL検索をバックエンドとして機能させ、返信トラフィックを同じデバイス経由でルーティングし続けます。

主なポイント

• SNATは、セッションの送信元IPアドレスを、設定されたプール内のアドレスに書き換えます。
• VOS SNAT プールでは、静的な IPv4 アドレス、アドレス範囲、または出力ネットワークが使用されます。
• クラウドURL検索、DNSプロキシ、およびURLフィルタリングは、いずれもSNATプールに依存しています。
• NAPT-44は、共有プールアドレスを通じて多数のセッションを動的にマッピングします。
• SNATは、HAおよびクラウドゲートウェイの展開において、返信トラフィックを対称的に保ちます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SNAT およびVersa · よくある質問

SNATはなぜ重要なのでしょうか？

NATの境界の向こう側にあるデバイスについては、外部からその実アドレスにアクセスできることはめったになく、管理者も通常、外部からのアクセスを許可したくないものです。SNATは、外部への通信時に送信元アドレスを書き換えることでこの問題を解決するため、多くの内部ホストが、インターネットやクラウドサービスにアクセスする際に、ルーティング可能でポリシーによって制御された少数のアドレスを共有できるようになります。

SNATは、ルーティングの対称性においても重要です。デバイスが外部へのリクエスト（DNSルックアップ、プロキシ経由のWebリクエスト、クラウドレピュテーションチェックなど）を送信する場合、応答は同じ経路とデバイスを経由して戻ってくる必要があります。送信元アドレスをそのデバイスが所有するアドレスに書き換えることで、返信トラフィックが正しくルーティングされ、ドロップされるのを防ぐことができます。これは、冗長化されたWANや高可用性設計において極めて重要です。

SNATとは何ですか？

SNATは、パケットがデバイスから送信される前に、パケットヘッダーの送信元IPアドレスフィールドを別のアドレスに置き換え、一致する返信トラフィックに対しては、その置き換えを元に戻すことで機能します。VOSデバイスでは、置き換え用のアドレスはSNATプールから取得されます。SNATプールとは、ルーティングインスタンスに関連付けられた名前付きオブジェクトであり、静的なIPv4アドレス、IPv4アドレスの範囲、または出力ネットワークのいずれかを提供しますが、これらを混在させることは決してありません。

独自のトラフィックを送信する必要があるサービスは、アドレスを独自に選択するのではなく、SNATプールを参照します。たとえば、クラウドURLルックアップでは、クラウドプロファイルをSNATプールに指定することで、ルックアップリクエストに内部アドレスではなく、既知でルーティング可能かつポリシーに準拠した送信元アドレスが設定されるようになります。

SNATの種類

VOSは、いくつかの異なるSNAT動作をサポートしています。静的な1対1のSNATは、1つの内部アドレスを1つの外部アドレスにマッピングし、ホストの識別子を固定のまま維持します。動的なプールベースのSNAT（CGNATルールではNAPT-44として設定されます）は、送信元ポートも書き換えることで、共有プールアドレスを介して多数の同時セッションを変換するため、小さなプールでも多数の内部ホストに対応することができます。

3つ目のケースである「Twice NAT」は、送信元NATと宛先NATを1つのルールに統合したものです。パブリックホスト上のアプリケーションへの着信トラフィックについては、宛先が実際のアプリケーションアドレスに書き換えられ、同時に送信元もデバイス自身のインターフェースアドレスに書き換えられるため、返信トラフィックは依然として発信元デバイスを経由して戻ってきます。VOSでは、これを「Twice-Dynamic-NAT-44」として設定します。

SNAT およびVersa

VOSデバイスでは、SNATプールはDirectorの「オブジェクトとコネクタ」で設定され、DNSプロキシ、HTTP/HTTPSプロキシ、URLフィルタリング、ファイルフィルタリング、クラウドURLルックアップなど、送信トラフィックで送信元アドレスの制御が必要なあらゆる場所で参照されます。 クラウドプロファイルの「Source NAT Pool」フィールドは、Versa URMへのルックアップにアドレスを供給するSNATプールを指定します。また、冗長WAN環境では、CGNATやDNSフォワーダーの設定と併せてSNATプールを設定することで、どのリンクがアクティブであってもリクエストが正しくルーティングされるようになります。

SNATは、クラウドの高可用性設計におけるトラフィックの対称性においても重要な役割を果たします。AWS Gateway Load Balancerの背後に配置されたVOS環境では、CGNATポリシーによってトラフィックがVOSのLANインターフェースアドレスへソースNATされ、これにより、返信トラフィックは常に送信フローを処理したVOSインスタンスを経由して戻ってくるようになります。そうしなければ、ロードバランサーは非対称なフローを処理することができません。

よくある質問

SNATとDNATの違いは何ですか？

SNATは、パケットの送信元アドレスを書き換えます。これは通常、送信トラフィックに対して行われ、返信が正しく戻ってくるようにするためです。DNATは、宛先アドレスを書き換えます。これは通常、受信トラフィックを内部サーバーにリダイレクトするために行われます。Twice NATは、1つのルール内で両方の処理を適用するもので、主にパブリックでホストされているアプリケーションで使用されます。

SNATプールとは何ですか？

SNATプールとは、ルーティングインスタンスに関連付けられたVOS設定オブジェクトであり、SNATが送信元IPアドレスの書き換えを行う際に使用するアドレスを提供します。SNATプールには、静的なIPv4アドレス、IPv4アドレスの範囲、または出力ネットワークのいずれかが格納されますが、アドレスと出力ネットワークが混在することは決してありません。

クラウドURL検索にSNATが必要な理由は何ですか？

クラウドURL検索では、VOSデバイスからクラウドサーバーへレピュテーションリクエストが送信されます。SNATプールが設定されていない場合、デバイスにはこれらのリクエストに使用する制御されたルーティング可能な送信元アドレスが存在せず、sslcld-snat-resolved-cntのようなトラブルシューティング用カウンタは、SNATプールの設定ミスを検出するために特に用意されています。

NAPT-44とは何ですか？

NAPT-44は、IPv4の送信元アドレスとポート番号をまとめて変換する動的NATモードであり、これにより多数の内部セッションが少数の外部アドレスプールを共有できるようになります。これは、CGNATルールがプールベースの多対一送信元NATに使用するNATモードであり、クラウドラックアップや直接インターネットアクセストラフィックを処理するSNATプールにおいて、一般的に採用される方式です。

SNATプールでは、静的アドレスと出力ネットワークの両方を使用することは可能ですか？

いいえ。VOS SNAT プールでは、個別の IPv4 アドレス（静的アドレスまたはアドレス範囲）か、出力ネットワークのいずれかを設定しますが、同じプールで両方を設定することはできません。Director の「SNAT プールの追加」ウィンドウではこれら 2 つの設定を混在させることはできないため、管理者は導入環境に応じて、プールごとにいずれかのアドレス指定方法を選択する必要があります。

SNATに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SNATについてお読みになっているなら、次はこれらもぜひチェックしてみてください。