ACL・FWポリシーはNAT前とNAT後どちらのIPを見る？

ACL・FWポリシーがNAT前とNAT後のどちらのIPを見るかは、製品・OS・ポリシー種類・方向で変わります。一般化して断定せず、パケットフロー図、ベンダー資料、セッション/ログに表示されるoriginal/translated アドレスを照合してルールを作ります。

この記事はネットワークエンジニアの仕事内容の各論です。工程の全体像から確認したい場合はそちらへ。

けんと＠設計構築チャンネル

NATを追うときは、変換前後の送信元・宛先・ポートを通信方向ごとに表へ分けます。パケットキャプチャとログがどちらの値を記録するかも併記すると迷いません。

ACL・FWポリシーはNAT前とNAT後どちらを見る？

先に答えると、ACL・FWポリシーがNAT前とNAT後のどちらのIPを見るかは、製品・OS・ポリシー種類・方向で変わります。一般化して断定せず、パケットフロー図、ベンダー資料、セッション/ログに表示されるoriginal/translated アドレスを照合してルールを作ります。

製品差をどう確認する？

それぞれの役割と、実務で見るところを次の表に整理します。

Client 192.0.2.10 → VIP 203.0.113.10:443
  [FW ingress policy?] → DNAT → Server 10.0.0.10:443
Server reply → session lookup → reverse NAT → Client
※ policy評価点は製品・設定で確認

DNAT・SNATのパケットフローをどう描く？

実施順は「original/translated 5-タプルを表にする」から「セッション/ログ/キャプチャを同一時刻で取得」です。

# Cisco IOS例: 実装・方向を対象機器で確認
show ip nat translations verbose
show ip nat statistics
show ip access-lists
show ip route 10.0.0.10

# 変換表で確認する項目
Inside local / Inside global / Outside local / Outside global

Protocol  Inside global       Inside local       Outside local      Outside global
tcp       203.0.113.20:51500  10.0.0.20:51500   198.51.100.10:443 198.51.100.10:443

ログ・セッションでどのIPを照合する？

症状ごとの原因候補と、次に確認することを次の表にまとめます。正常時の出力と並べて差を見ます。

本番変更をどう試験する？

設計書では『NAT前IP』『NAT後IP』だけでなく、どのインターフェース/zoneでどのポリシーが何を参照するかを書きます。software upgradeで挙動やログ表示が変わる可能性もあるため、検証結果にバージョンを残します。

• 対象機器・インターフェース・VRF/VLAN
• 取得日時・タイムゾーン・ソフトウェアバージョン
• 変更前後の同一コマンド出力
• 期待値・実測値・判定者
• 異常時の停止条件と切り戻し結果

関連する記事

• IPプロトコル番号とは？ポート番号との違いとACLでの使い方
• ACLの暗黙のdenyとは？必要な通信を止めない設計と確認方法

まとめ：製品・バージョン・方向ごとの評価点を実セッションで確認する

要点は、製品・バージョン・方向ごとの評価点を実セッションで確認することです。どちらのアドレスで書いたポリシーかを、通信要件表の一行に明記しておきます。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳・IT未経験からSIerへ転職。ネットワークエンジニアとして、金融系・オフィス系ネットワークの設計・構築に携わり、PL・PMも経験。自身の未経験転職と現場経験をもとに、仕事内容・技術・キャリア・求人選びをわかりやすく解説しています。

YouTube登録者5,000人 Xフォロワー5,000人

執筆者プロフィール・編集方針