ACL・FWポリシーはNAT前とNAT後どちらのIPを見る？

ACL・FW policyがNAT前とNAT後のどちらのIPを見るかは、製品・OS・policy種類・方向で変わります。一般化して断定せず、packet flow図、vendor資料、session/logに表示されるoriginal/translated addressを照合してruleを作ります。

けんと＠設計構築チャンネル

NATを追うときは、変換前後の送信元・宛先・ポートを通信方向ごとに表へ分けます。packet captureとログがどちらの値を記録するかも併記すると迷いません。

ACL・FWポリシーはNAT前とNAT後どちらを見る？

先に答えると、ACL・FW policyがNAT前とNAT後のどちらのIPを見るかは、製品・OS・policy種類・方向で変わります。一般化して断定せず、packet flow図、vendor資料、session/logに表示されるoriginal/translated addressを照合してruleを作ります。

製品差をどう確認する？

仕組みを構成上の位置と観測点に分けると、用語だけでなく実際のpacket・stateを説明できます。

Client 192.0.2.10 → VIP 203.0.113.10:443
  [FW ingress policy?] → DNAT → Server 10.0.0.10:443
Server reply → session lookup → reverse NAT → Client
※ policy評価点は製品・設定で確認

DNAT・SNATのpacket flowをどう描く？

DNAT・SNATのpacket flowをどう描く？では、対象と期待値を固定し、状態取得、実通信、変更後確認の順に進めます。commandは例であり、本番投入前に対象OSの公式資料と現行設定を確認してください。

# Cisco IOS例: 実装・方向を対象機器で確認
show ip nat translations verbose
show ip nat statistics
show ip access-lists
show ip route 10.0.0.10

# 変換表で確認する項目
Inside local / Inside global / Outside local / Outside global

Protocol  Inside global       Inside local       Outside local      Outside global
tcp       203.0.113.20:51500  10.0.0.20:51500   198.51.100.10:443 198.51.100.10:443

log・sessionでどのIPを照合する？

一つの表示だけで原因を決めず、症状ごとに次の観測点を選びます。正常時の同条件出力が比較基準です。

本番変更をどう試験する？

設計書では『NAT前IP』『NAT後IP』だけでなく、どのinterface/zoneでどのpolicyが何を参照するかを書きます。software upgradeで挙動やlog表示が変わる可能性もあるため、検証結果にversionを残します。

• 対象機器・interface・VRF/VLAN
• 取得日時・timezone・software version
• 変更前後の同一command出力
• 期待値・実測値・判定者
• 異常時の停止条件とrollback結果

関連する仕組みを次に確認する

定義だけで終わらせず、隣接する仕組みと障害切り分けへ進みます。

• IPプロトコル番号とは？ポート番号との違いとACLでの使い方
• ACLの暗黙のdenyとは？必要な通信を止めない設計と確認方法

まとめ：製品・version・方向ごとの評価点を実sessionで確認する

製品・version・方向ごとの評価点を実sessionで確認することが結論です。構成図、設定・command、正常時と異常時の結果を同じ条件で保存し、第三者が判断を再現できる状態にしてください。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳未経験からネットワークエンジニアへ。金融系・オフィス系ネットワークの設計構築経験をもとに、工程・技術・求人選びを具体的に解説しています。

YouTube 設計構築チャンネル Xで現場発信を見る