NATポリシーの設定
この章では、Check Point Security GatewayでNAT64（IPv6 から IPv4 へのネットワークアドレス変換）を構成する手順について説明します。
NAT64は、IPv6のみのクライアントとIPv4のみのサーバとの通信を可能にする技術です。この構成では、IPv4/IPv6 Translation Algorithm（RFC 6145）を使用してパケットヘッダを変換するルールをCheck Pointのセキュリティゲートウェイに定義します。セキュリティGartner Magic QuadrantはN:M変換を実行し、単一のIPv4アドレスまたはアドレス範囲の背後にあるHide NATのようなシナリオをサポートします。
NATの使用
-
NATルールの種類とNATメソッドの種類については、このトピックの後述を参照してください。
-
該当する手順に従います。
-
自動NATルールの操作(IPv4またはIPv6変換用)
-
Manual NATルールの操作(IPv4またはIPv6変換用)
-
NAT46ルールの操作(IPv4からIPv6への変換用)
-
NAT64ルールの操作(IPv6からIPv4への変換用)
-
-
該当するNATの詳細設定を行います。高度なNAT設定)。
-
アクセスコントロールポリシーをインストールします。
はじめに
NAT（Network Address Translation）は、Firewall Software Bladeの機能で、IPv4アドレスとIPv6アドレスを置き換えてセキュリティを強化するものです。NATは、ネットワークのアイデンティティを保護し、内部のIPアドレスをインターネットに表示しません。
セキュリティゲートウェイは変更可能です：
-
パケットの送信元IPアドレス。
-
パケットの宛先IPアドレス。
-
パケット内のTCP/UDPポート。
フロー例
-
内部コンピュータが外部コンピュータにパケットを送信する。
-
セキュリティゲートウェイはソースIPアドレスを新しいものに変換する。
-
外部コンピューターからパケットが戻ってくる
-
セキュリティゲートウェイは新しいIPアドレスを元のIPアドレスに変換する。
-
外部コンピュータからのパケットは、正しい内部コンピュータに送られます。
NATルールの種類
SmartConsoleでは、これらのタイプのNATルールを作成できます：
|
|
重要- Security Management Server/ドメイン管理サーバは、1つのポリシーで最大16384のNATルールをサポートします。See sk82220. |
NAT方式の種類
自動NATルールおよびManual NATルールでは、これらのNAT方法のいずれかを設定できます：
非表示
セキュリティゲートウェイは、送信元からのすべての接続の送信元IPアドレスを、セキュリティゲートウェイの送信インタフェースのIPアドレス、または設定したIPアドレスと同じIPアドレスに変更します。
隠す > ゲートウェイの後ろに隠す
セキュリティゲートウェイは、送信元からのすべての接続の送信元IPアドレスを、セキュリティゲートウェイの送信インタフェースの同じIPアドレスに変更します。
隠す > IPアドレスで隠す
セキュリティゲートウェイは、送信元からのすべての接続の送信元IPアドレスを、設定したのと同じIPアドレスに変更します。
|
|
注：
|
ダイアグラムの例
|
項目 |
説明 |
|---|---|
|
1 |
社内コンピュータ |
|
2 |
Hide NATで構成されたセキュリティゲートウェイ |
|
3 |
インターネット上の外部のコンピュータやサーバ |
Hide NATワークフローの例
-
内部コンピュータA（10.10.0.26）から外部コンピュータにパケットが送信されます。
-
セキュリティゲートウェイはパケットをインターセプトし、ソースIPアドレスを(10.10.0.26)から192.0.2.1に、ポートを11000に変換する。
-
外部コンピュータは192.0.2.1へ、ポート11000にパケットを送り返す。
-
セキュリティゲートウェイはパケットのIPアドレスを192.0.2.1から10.10.0.26に変換し、内部コンピュータAに送信する。
|
社内コンピュータA(10.10.0.26)から インターネットにパケットを送信 |
|
セキュリティゲートウェイで このアドレスは10.10.0.26から192.0.2.1、ポートは11000です。 |
|
インターネットで 192.0.2.1、ポート11000からのパケット |
|
|
|
|
|
|
|
インターネットから パケットを192.0.2.1へ、ポート11000へ送る。 |
|
セキュリティゲートウェイで このアドレスは192.0.2.1から10.10.0.26へ |
|
社内コンピュータAで パケットを受信 |
静的
セキュリティゲートウェイは、ソースからのすべての接続のソースIPアドレスを設定したIPアドレスに変更します。
|
|
注：
|
ダイアグラムの例
|
項目 |
説明 |
|---|---|
|
1 |
社内コンピュータ |
|
2 |
静的NATで構成されたセキュリティゲートウェイ |
|
3 |
インターネット上の外部のコンピュータやサーバ |
スタティックNATによるトラフィックフローの例
-
インターネット上の外部コンピュータが192.0.2.5にパケットを送信する。
-
セキュリティゲートウェイはIPアドレスを192.0.2.5から10.10.0.26に変換し、パケットを内部コンピュータAに送信する。
-
内部コンピュータA（10.10.0.26）は外部コンピュータにパケットを送り返す。
-
セキュリティゲートウェイはパケットをインターセプトし、ソースIPアドレスを10.10.0.26から192.0.2.5に変換する。
-
内部コンピュータB（10.10.0.37）から外部コンピュータにパケットが送信されます。
-
セキュリティゲートウェイはパケットを傍受し、ソースIPアドレスを10.10.0.37から192.0.2.16に変換する。
|
インターネットから パケットを 192.0.2.5 に送信 |
|
セキュリティゲートウェイで このアドレスは192.0.2.5から10.10.0.26へ |
|
社内コンピュータA(10.10.0.26)から パケットを受信 |
|
|
|
|
|
|
|
社内コンピュータA(10.10.0.26)から インターネットにパケットを送信 |
|
セキュリティゲートウェイで このアドレスは10.10.0.26から192.0.2.5へ |
|
インターネットで 192.0.2.5からパケットを受信 |
|
|
|
|
|
|
|
社内コンピュータB (10.10.0.37)から インターネットにパケットを送信 |
|
セキュリティゲートウェイで このアドレスは10.10.0.37から192.0.2.16へ |
|
インターネットで 192.0.2.16からパケットを受信 |
SmartConsoleのNATルール
NATルールベースには2つのセクションがあり、IPアドレスとポートの変換方法を指定する：
-
Original- で、カラムはSource 、Destination 、およびServices
-
Translated- で、カラムはSource 、Destination 、およびServices
NATルール実施の順番
セキュリティゲートウェイは、NATポリシーでルールを配置した順番に、NATルールベースを実施します（No. カラムを参照）。
セキュリティゲートウェイは、自動NATルールとManual NATルールを異なる方法で実施する。
説明
-
Manual NAT rules- セキュリティゲートウェイは、接続にマッチした最初のManual NATルールを実施する。セキュリティゲートウェイは他のManual NATルールを検査しない。
-
Automatic NAT rules- セキュリティゲートウェイは、接続にマッチする2つの自動NATルール（1つはSource 、もう1つはDestination ）を強制することができる。接続が2つの自動NATルールに一致すると、セキュリティゲートウェイはそれらのルールを実施する。
注- SmartConsoleは、自動NATルールをこの順序で整理します：
-
セキュリティゲートウェイ、またはホスト（コンピュータまたはサーバ）オブジェクトの静的NATルール
-
セキュリティゲートウェイ、またはホストオブジェクトのHide NATルールを隠す
-
ネットワークまたはアドレスレンジオブジェクトの静的NATルール
-
ネットワークまたはアドレスレンジオブジェクトのHide NATルールを隠す
-