サイトレベルNATポリシーの設定

組織がネットワークトラフィックを変換しつつ、関連するすべてのリソースへのアクセスを維持したい場合、多くの課題に直面しています。 特に同じプライベートIP範囲を使用する可能性のあるプライベートネットワーク間で通信する必要がある場合に重要です。 さらに、構造またはトポロジーを公開したくないリソースがある場合は、NATを使用してトラフィックが特定のIPアドレスから来るように見せることができます。

あるいは、Webやファイルサーバーなどの内部サービスへのリモートアクセスを提供する必要がある場合もあります。 パブリックIPアドレスを1つ提供し、それを異なる内部IPアドレスに変換することができます。

Catoでは、特定の送信元および宛先IPに一致させるサイト固有のNATポリシーを作成し、送信トラフィック（Catoクラウドからサイトへの）に対して送信元NAT（SNAT）および宛先NAT（DNAT）を適用できます。

NATポリシーは、ポリシーが設定されたサイトへの（PoPからの）着信トラフィックに適用されます。

• インターネットからのトラフィック（例：RPF）
• 異なるCatoサイトからのトラフィック（例：WANトラフィック）

ポートアドレス変換（PAT）による拡張NAT

CatoのNAT実装は、デフォルトでポートアドレス変換（PAT）を組み込むことで、基本的なIPアドレス変換を超え、多対1のNAT機能を実現します。 これにより、各セッションに一意の送信元ポート番号を割り当てることで、変換されたIPアドレスごとに最大65,536の同時セッションが可能になります。 その結果、複数のオリジナルIPホストは適切セッションの一意性を保持しつつ、単一の変換されたIPを介して同時に接続を開始できます。

この詳細な制御は、以下のようなシナリオを効率的に処理するために不可欠です。

• 単一IPを通じて公開される複数の内部サービスへのアクセス
• IPアドレスリソースを枯渇させることなく、数千のセッションをマッピングしなければならない高密度のユーザー環境

PATを活用することにより、Catoはスケーラブルで衝突のない接続性と、大量のトラフィック負荷の下でもシームレスなアプリケーションパフォーマンスを確保します。

以下のセクションでは、SNATとDNATの2つの使用例を示します。 以下の例はこれらの使用例におけるルールベースを示しています。

NATポリシーは順序付けられたルールを使用します。 パケットが到着し、ルールに照らしてチェックされます。 ルールが一致すると、アクションが適用され、他のルールは処理されません。

例えば、接続がルール#3に一致する場合、アクションは接続に適用され、すべての後続のルールは無視されます。 接続がルールに一致しない場合、元のデータで処理されます。

このセクションでは、NATのルールや設定可能なオブジェクト、ポート、サービスの定義方法を説明します。