Cisco / CCNA 200-301 v2.0
試験項目 4.3 · CCNA-114
Dynamic NAT
ドメイン 4 · Network Services and Security · IOS XE NAT / PAT
このページのゴール
ACLで変換対象Sourceを選び、Global Address PoolからInside Globalを動的割当する設定とPool Exhaustionを判断できるようにする。
このページで学ぶこと
- Dynamic NAT Pool Definition
- Dynamic NAT ACL 選択
- Dynamic NAT Mapping Command
- NAT ACL Permit Meaning
- NAT ACL Deny Meaning
- Dynamic NAT Translation Creation
- Dynamic NAT Pool Allocation
- Dynamic NAT Pool Exhaustion
- Dynamic NAT Versus PAT
- Dynamic NAT Verification
Dynamic NAT構成
ip nat pool PUBLIC 203.0.113.10 203.0.113.14 prefix-length 29
access-list 1 permit 10.10.10.0 0.0.0.255
ip nat inside source list 1 pool PUBLICPool、変換対象Sourceを選ぶACL、両者を結び付けるNAT Ruleの3点を確認します。
NAT参照ACL
ACL permit
→ このNAT Ruleの変換候補
ACL deny / no match
→ このNAT Ruleでは非変換NATから参照されたACLのdenyは、その文脈ではNAT対象外を意味します。Interfaceへip access-groupとして適用したPacket Filteringのdenyとは役割を分けます。
Dynamic Entry
設定済み
↓
対象Traffic発生
↓
ACL Match
↓
Poolから空きAddressを割当
↓
Dynamic Translation生成Pool Exhaustion
overloadなしのDynamic NATでは、利用可能なGlobal Addressを使い切ると新しいTranslationを作れません。これをPATのPort共有と混同しません。
重要な注意点
- Dynamic NAT ≠ PAT
- NAT参照ACLのdeny ≠ そのACL単体でPacket Drop
- Dynamic EntryはTrafficに応じて生成
- Pool Exhaustion時は新規Translationを作れない
理解確認
このページの内容を20問で確認します。
理解確認20問へ →