NAT障害とは何か

NATは、プライベートIPアドレスをグローバルIPアドレスへ変換するためによく使われます。 ただし、NAT機器が行うのはアドレスやポートの書き換えです。通信を成立させるには、次の条件も必要です。

• 端末からNAT機器までパケットが届く
• NAT機器に宛先への経路がある
• パケットがNATの変換条件に一致する
• 変換後のパケットが外部へ送信される
• 外部からの応答が変換後アドレスへ戻る
• NAT機器が戻り通信を元の端末へ逆変換する
• ACLやファイアウォールで通信が拒否されない

正常時のNAT通信を理解する

まず、社内PCから外部WebサーバーへHTTPS通信する例を確認します。 ここでは、複数端末が1つのグローバルIPアドレスを共有するNAPT、Cisco IOSの表現ではPATやoverloadと呼ばれる構成を想定します。

NAT通信の往復

1. PC-Aが外部Webサーバーへパケットを送る 送信元は 192.168.10.50:51514、宛先は 198.51.100.20:443 です。
2. NATルーターが変換対象か判定する 送信元アドレス、受信インターフェース、NATルールなどを確認し、対象通信であれば変換エントリーを作成します。
3. 送信元アドレスとポートを書き換える 送信元を 203.0.113.10:49152 へ変換し、外部へ転送します。
4. Webサーバーが変換後アドレスへ応答する 宛先は 203.0.113.10:49152 です。外部サーバーは社内PCのプライベートIPアドレスを知りません。
5. NATルーターが戻り通信を逆変換する 変換テーブルを参照し、宛先を 192.168.10.50:51514 へ戻してPC-Aへ転送します。

NAT用語の整理

症状から確認箇所を絞る

NAT障害では、影響範囲を確認すると原因候補を早く減らせます。 「通信できない」という一言だけで調査を始めず、誰が、どこへ、どの通信を行えないのかを整理します。

調査前に整理する情報

コマンドを実行する前に、期待する通信を1本に絞ります。調査対象が曖昧なままでは、変換テーブルに多数のエントリーが表示されても、どれを確認すべきか判断できません。

NAT障害の確認順序

次の順序で確認すると、NATより前の問題、NAT変換の問題、NATより後の問題を分けられます。

1. 端末からNAT機器まで到達できるか 端末のIPアドレス、サブネットマスク、デフォルトゲートウェイを確認し、ゲートウェイへpingします。ここで失敗する場合は、NATより手前の問題です。
2. NAT機器のインターフェースが正常か 内側・外側インターフェースがup/upか、想定したIPアドレスか、受信カウンターが増えるかを確認します。
3. 宛先へのルートがあるか デフォルトルートまたは個別経路を確認します。NATで送信元を書き換えても、宛先へ転送する経路がなければ通信できません。
4. inside・outsideの指定が正しいか 社内側に ip nat inside、外部側に ip nat outside が設定されているか確認します。
5. 通信がNATルールへ一致するか NAT用ACLやアドレスオブジェクトに、実際の送信元アドレスが含まれているか、ルール順序や除外条件に問題がないか確認します。
6. 新しい通信を発生させ、変換エントリーを確認する 動的NATやPATは通信開始時にエントリーを作ります。対象端末から通信させながら変換テーブルと統計を確認します。
7. 変換後のパケットが外部へ出ているか 外側インターフェースのパケットキャプチャーやカウンターで、送信元が変換後アドレスになっているか確認します。
8. 戻り通信がNAT機器へ届いているか 応答がない場合は、上位回線、外部ACL、宛先サーバー、変換後アドレスへの経路を確認します。
9. 戻り通信が逆変換され、端末へ届くか 外側で応答を確認できるのに内側へ出てこない場合は、NATセッション、ファイアウォール状態、ポリシー、非対称経路を確認します。
10. 資源不足と古いエントリーを確認する 新規通信だけ失敗する場合は、NATプール枯渇、PATポート枯渇、セッション上限、古い変換エントリーを確認します。

確認結果から判断する

Cisco IOS形式の確認コマンド

正常構成の例

interface GigabitEthernet0/0
 description INSIDE_LAN
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
!
interface GigabitEthernet0/1
 description OUTSIDE_WAN
 ip address 203.0.113.10 255.255.255.252
 ip nat outside
!
ip access-list standard NAT_INSIDE
 permit 192.168.10.0 0.0.0.255
!
ip nat inside source list NAT_INSIDE interface GigabitEthernet0/1 overload
!
ip route 0.0.0.0 0.0.0.0 203.0.113.9

1．インターフェースを確認する

R1# show ip interface brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0     192.168.10.1    YES manual up                    up
GigabitEthernet0/1     203.0.113.10    YES manual up                    up

2．宛先経路を確認する

R1# show ip route 198.51.100.20
Routing entry for 0.0.0.0/0
  Known via "static", distance 1, metric 0
  Routing Descriptor Blocks:
  * 203.0.113.9
      Route metric is 0, traffic share count is 1

3．inside・outsideを確認する

R1# show running-config interface GigabitEthernet0/0
interface GigabitEthernet0/0
 ip address 192.168.10.1 255.255.255.0
 ip nat inside

R1# show running-config interface GigabitEthernet0/1
interface GigabitEthernet0/1
 ip address 203.0.113.10 255.255.255.252
 ip nat outside

4．変換対象ACLを確認する

R1# show access-lists NAT_INSIDE
Standard IP access list NAT_INSIDE
    10 permit 192.168.10.0, wildcard bits 0.0.0.255 (24 matches)

5．変換テーブルを確認する

R1# show ip nat translations
Pro  Inside global         Inside local          Outside local         Outside global
tcp  203.0.113.10:49152    192.168.10.50:51514   198.51.100.20:443    198.51.100.20:443

6．NAT統計を確認する

R1# show ip nat statistics
Total active translations: 1 (0 static, 1 dynamic; 1 extended)
Outside interfaces:
  GigabitEthernet0/1
Inside interfaces:
  GigabitEthernet0/0
Hits: 18  Misses: 2
Expired translations: 4
Dynamic mappings:
-- Inside Source
[Id: 1] access-list NAT_INSIDE interface GigabitEthernet0/1 refcount 1

デバッグとエントリー削除の注意点

R1# debug ip nat
R1# undebug all

R1# clear ip nat translation *

変換テーブルの読み方

変換テーブルが表示されたからといって、通信が成功しているとは限りません。 変換エントリーは「NAT条件へ一致し、変換情報が作られた」ことを示します。外部へ到達したことや応答が戻ったことは、別途確認が必要です。

パケットキャプチャーで確認する

変換テーブルだけで判断できない場合は、NAT機器の内側と外側で同じ通信を観測します。 送信元アドレスとポートがどこで変わるかを比較すると、NATの前後を明確に分けられます。

観測結果ごとの判断

NAT障害でよくある原因

NAT障害でよくある勘違いと注意点

障害報告のまとめ方

調査結果は、「NATが悪かった」だけではなく、確認した事実と判断根拠を分けて報告します。 次の例では、新しく追加したサブネットがNAT用ACLへ含まれていなかったケースをまとめています。

英語ログ・検索キーワード

海外ベンダーのドキュメントやログを調べるときは、次の表現を使うと関連情報を見つけやすくなります。

自分の言葉で説明する課題