Cisco NAT 設定の手順｜静的 NAT と PAT（overload）の使い分け

はじめに

Cisco ルーターの NAT 設定は、ip nat inside source を中心とした少数のコマンドで完結します。しかし実際の設計・トラブル対応では、コマンドそのものよりも inside local / inside global / outside local / outside global という 4 つのアドレス用語の理解と、NAT 対象を定義する ACL のスコープ設計 でつまずくケースが多く見られます。変換テーブル（show ip nat translations）の出力もこの 4 用語で表示されるため、用語の整理を後回しにすると切り分けの精度が上がりません。

本記事では、Cisco IOS/IOS XE（IOS XE 17.x 系のドキュメントを基準） を前提に、NAT の用語整理から静的 NAT・動的 NAT・PAT（overload）の設定手順、変換テーブルの読み方までを解説します。

なお、NAT・NAPT そのものの動作原理（変換テーブルの仕組みや方式の分類）については、関連記事『NAT とは｜変換テーブルの仕組みと NAPT・IP マスカレードの違い』を参照してください。

先に結論を示すと、実務で構成する Cisco NAT の大半は、公開サーバー向けの「静的 NAT」と、インターネットアクセス向けの「PAT（インターフェイス overload）」の 2 つの組み合わせ で成立します。動的 NAT（プールからの 1 対 1 動的割り当て）を使う場面は限定的です。設計の要点は、各インターフェイスへの ip nat inside / ip nat outside の役割宣言と、変換対象を過不足なく絞った ACL の定義にあります。

Cisco NAT の全体像と用語整理

設定コマンドに入る前に、Cisco NAT の土台となる用語と方式を整理します。このセクションの内容が、後半の変換テーブルの読み方に直結します。

inside/outside と local/global の 4 つのアドレス

Cisco の NAT では、アドレスを「どちら側のネットワークに属するか（inside / outside）」と「どちら側から見たアドレスか（local / global）」の 2 軸で表現します。

参考: Cisco IOS XE 17.x – Configuring NAT for IP Address Conservation
“refers to networks owned by an organization that must be translated”
（inside とは、変換の対象となる、組織が所有するネットワークを指します）
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/ip-addressing/b-ip-addressing/m_iadnat-addr-consv-xe.html

4 つの組み合わせの意味は以下の通りです。

覚え方としては、「inside / outside はホストの所属、local / global は視点」 と整理するのが確実です。inside local と inside global の対応が SNAT（送信元変換）の中心であり、outside local が outside global と異なる値になるのは、宛先側も変換する構成（重複アドレス対応など）に限られます。

この 4 用語は show ip nat translations の出力カラム名そのものです。ここを押さえておくと、変換テーブルを見た瞬間に「どのホストが、どのアドレスに変換されて、どこと通信しているか」を読み取れるようになります。

静的 NAT・動的 NAT・PAT の 3 方式と選び方

Cisco IOS/IOS XE の NAT には、変換の割り当て方が異なる 3 つの方式があります。

静的 NAT（Static NAT） は、inside local と inside global を 1 対 1 で恒久的に対応付ける方式です。マッピングが常に存在するため、外部から内部サーバーへの着信（外部起点の通信）にも対応できる のが最大の特徴です。公開サーバーの構成で使用します。

動的 NAT（Dynamic NAT） は、アドレスプールから空いているグローバルアドレスを 1 対 1 で動的に貸し出す方式です。通信が終わりタイムアウトするとアドレスはプールへ返却されます。プールのアドレス数を超える同時通信はできないため、利用場面は限定的です。

PAT（Port Address Translation、overload） は、複数の内部ホストが 1 つのグローバルアドレスを共有し、ポート番号でセッションを識別する方式です。

参考: Cisco – NAT Configuration Guide（Catalyst 9000）
“enables multiple inside hosts to share a single inside global IP address”
（複数の内部ホストが、1 つの inside global IP アドレスを共有できるようにします）
https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/lyr3-fwd/nat/nat-configuration-guide/nat.html

3 方式の比較と選定基準は以下の通りです。

なお、FortiGate では「ポリシー NAT かセントラル NAT か」という定義場所の選択が設計の分岐点でしたが、Cisco IOS/IOS XE では 「どの方式（静的 / 動的 / PAT）で、どの範囲（ACL）を、どこへ（プールまたはインターフェイス）変換するか」を 1 行の ip nat inside source コマンドで宣言する 体系です。機器をまたいで NAT を設計する場合の考え方の違いは、関連記事『FortiGate NAT 設定の手順｜VIP と IP Pool の使い分けと確認コマンド』とあわせて比較してください。

静的 NAT の設定手順

静的 NAT は、inside local と inside global を 1 対 1 で恒久的に対応付ける方式です。マッピングが常に存在するため外部起点の通信に対応でき、公開サーバーの構成で使用します。ここでは前提となるインターフェイスの役割宣言から、1 対 1 変換と静的 PAT（ポート単位の公開）までを解説します。

1 対 1 変換の基本設定

Cisco NAT のすべての構成に共通する前提として、まず各インターフェイスに ip nat inside / ip nat outside で役割を宣言します。この宣言がないインターフェイスを通るパケットは、NAT ルールを定義しても変換されません。設定漏れによる「NAT が効かない」事象の最も基本的な原因です。

interface GigabitEthernet0/0/0
 description WAN
 ip address 203.0.113.1 255.255.255.0
 ip nat outside
!
interface GigabitEthernet0/0/1
 description LAN
 ip address 192.168.1.1 255.255.255.0
 ip nat inside

役割宣言ができたら、静的 NAT のマッピングをグローバルコンフィグレーションモードで定義します。

! inside local 192.168.1.80 を inside global 203.0.113.80 に 1 対 1 で対応付け
ip nat inside source static 192.168.1.80 203.0.113.80

参考: Cisco IOS XE 17.x – Information About Stateless Static NAT
“allows the user to configure one-to-one translations of the inside local addresses”
（静的 NAT では、inside local アドレスの 1 対 1 変換を設定できます）
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/ip-addressing/b-ip-addressing/m_stateless_static_nat.html

設定直後から、変換テーブルに恒久的なエントリが登録されます。

Router# show ip nat translations
Pro Inside global      Inside local       Outside local      Outside global
--- 203.0.113.80       192.168.1.80       ---                ---

このエントリは通信の有無にかかわらず存在し続けるため、外部ホストから 203.0.113.80 宛に接続を開始すると、そのまま 192.168.1.80 へ届きます。この双方向性が、動的 NAT・PAT にはない静的 NAT の本質的な特徴です。

サブネット単位でまとめて 1 対 1 変換したい場合は、static network オプションでネットワーク単位のマッピングも定義できます。

! 192.168.10.0/24 を 203.0.113.0/24 に対応付け（第 4 オクテットが対応）
ip nat inside source static network 192.168.10.0 203.0.113.0 /24

なお、動的 NAT・PAT がすでに稼働している環境に静的エントリを追加する場合は、静的マッピングに使うアドレスが動的変換の範囲と重複しないことを事前に確認 します。公式ドキュメントでは、重複がある場合は NAT 用 ACL で該当アドレスを deny した上で、競合する動的エントリを変換テーブルからクリアしてから静的設定を追加する手順が案内されています（ACL とクリアコマンドの詳細は後のセクションで扱います）。

参考: Cisco IOS XE 17.x – Configuring NAT for IP Address Conservation
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/ip-addressing/b-ip-addressing/m_iadnat-addr-consv-xe.html

また、静的 NAT で公開したサーバーに対して、内部 LAN から inside global アドレス（203.0.113.80）宛にアクセスできないという事象は、Cisco に限らず NAT 構成で頻出のトラブルです。この解決に必要なヘアピン NAT の考え方は、関連記事『ヘアピン NAT とは｜内部からグローバル IP でアクセスできない原因と対処』で解説予定です。

静的 PAT（ポート単位の公開）

グローバル IP アドレスが 1 つしかない環境や、複数のサーバーを 1 つのグローバル IP アドレスで公開したい場合は、ポート単位の静的マッピング（静的 PAT）を使用します。引数は 「local-ip → local-port → global-ip → global-port」の順 で指定します。変換前後で順序を混同しやすいため注意が必要です。

! 203.0.113.10:443 宛の通信を 192.168.1.80:443 へ転送
ip nat inside source static tcp 192.168.1.80 443 203.0.113.10 443 extendable

! 同じグローバル IP のポート 8443 宛を、別サーバーの 443 へ転送
ip nat inside source static tcp 192.168.1.81 443 203.0.113.10 8443 extendable

この例では、外部から 203.0.113.10:443 への接続は 192.168.1.80:443 へ、203.0.113.10:8443 への接続は 192.168.1.81:443 へ届きます。1 つのグローバル IP アドレスを、ポート番号の使い分けで複数サーバーが共有する 構成です。

末尾の extendable キーワードは、同一の local アドレスまたは global アドレスを複数の静的マッピングで共有する（曖昧なマッピングを許容する）ための指定です。

参考: Cisco Community – What does using ‘extendable’ do to an ‘ip nat inside source’ command?
“allows the user to configure several ambiguous static translations”
（extendable キーワードは、同一アドレスを共有する複数の静的変換の設定を可能にします）
https://community.cisco.com/t5/switching/what-does-using-extendable-do-to-an-ip-nat-inside-source-command/td-p/661950

上の例のように 1 つのグローバル IP アドレスを複数のマッピングで使い回す場合に必要となります。IOS のバージョンによっては静的 PAT の設定時に自動付与されるため、show running-config 上に意図せず現れることもありますが、動作上の問題はありません。

静的 PAT の運用上の注意点は以下の 2 点です。

マッピングしたプロトコル・ポート以外は一切通らない

上の例では TCP 443（および 8443）のみが転送対象です。同じサーバーで別ポートのサービスを公開する場合は、ポートごとにマッピング行を追加します。

変換テーブルには通信中のセッションが子エントリとして積まれる

show ip nat translations では、恒久的な静的エントリ 1 行に加えて、実際の通信ごとに outside 側のアドレス・ポートが埋まった詳細エントリが表示されます。切り分け時はこの子エントリの有無で「外部からパケットが届いているか」を判断できます（読み方の詳細は後のセクションで解説します）。

動的 NAT と PAT（overload）の設定手順

動的 NAT と PAT は、いずれも「変換対象を定義する ACL」と「変換先を定義するプール（またはインターフェイス）」を部品として組み合わせ、ip nat inside source list コマンドで紐付ける構成です。両者の違いは overload キーワードの有無だけ であり、この 1 語で変換の挙動（1 対 1 か、多対 1 か）が切り替わります。まず共通部品の定義から解説します。

NAT 用 ACL とアドレスプールの定義

NAT 用 ACL の定義

変換対象のアドレス範囲は ACL で定義します。ここでの ACL は「どの送信元を変換するか」のマッチ条件であり、通信を遮断するセキュリティフィルタではない点に注意が必要です。

! 標準名前付き ACL で変換対象のサブネットを定義
ip access-list standard NAT-INSIDE
 permit 192.168.1.0 0.0.0.255
 permit 192.168.2.0 0.0.0.255

ACL のスコープは、変換が本当に必要なサブネットだけに絞って定義する ことが重要です。permit any のように広く許可すると、ルーター自身を経由する管理系通信やネットワーク機器間の通信まで変換対象となり、「応答が想定外のアドレスから返ってきてセッションが切れる」という原因特定の難しい事象につながります。また、複数の NAT ルールを構成する場合、公式ドキュメントでは ACL やルートマップのマッチ範囲を重複させないこと が要件として明記されています。重複があると意図したルールへのマッピングが保証されません。

参考: Cisco IOS XE 17.x – Configuring NAT for IP Address Conservation
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/ip-addressing/b-ip-addressing/m_iadnat-addr-consv-xe.html

アドレスプールの定義

変換後の inside global アドレスの範囲は、ip nat pool で定義します。

! 203.0.113.16〜203.0.113.30 の範囲をプールとして定義
ip nat pool NAT-POOL 203.0.113.16 203.0.113.30 netmask 255.255.255.240

netmask の代わりに prefix-length でも指定できます。プールのアドレス範囲がそのマスク内に収まっている必要があります。なお、PAT でインターフェイスのアドレスをそのまま使う場合（後述のインターフェイス方式）は、プールの定義自体が不要です。

プール方式とインターフェイス方式（overload）の設定

部品が揃ったら、ip nat inside source list で紐付けます。ここで構成が 3 パターンに分岐します。

パターン 1: 動的 NAT（overload なし・1 対 1 の動的割り当て）

ip nat inside source list NAT-INSIDE pool NAT-POOL

ACL にマッチした通信に対して、プールから空いているアドレスが 1 対 1 で貸し出されます。

参考: Cisco IOS XE – Network Address Translation Bindings
“Dynamic binding guarantees a one-to-one mapping between the local address and the global address”
（動的バインディングは、ローカルアドレスとグローバルアドレスの 1 対 1 対応を保証します）
https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ipaddr_nat/configuration/xe-3s/nat-xe-3s-book/nat-xe-3s-book_chapter_011011.html

1 対 1 対応が保証される反面、プールのアドレス数を超えた同時通信は、既存エントリがタイムアウトで解放されるまで変換できません。この特性から、動的 NAT を採用するのは「相手システムの要件で送信元が 1 対 1 変換である必要がある」といった限定的な場面にとどまります。

パターン 2: PAT・プール方式（overload あり）

ip nat inside source list NAT-INSIDE pool NAT-POOL overload

末尾に overload を付けると、プール内のアドレスを複数ホストがポート番号で共有する PAT になります。1 つのグローバル IP アドレスで多数のセッションを収容できるため、プールのアドレス数は少なくて済みます。複数のグローバル IP アドレスに変換負荷を分散したい中規模以上の環境で使用します。

パターン 3: PAT・インターフェイス方式（実務の最頻出構成）

ip nat inside source list NAT-INSIDE interface GigabitEthernet0/0/0 overload

プールを定義せず、outside インターフェイスに設定されたアドレスをそのまま変換先に使う構成です。グローバル IP アドレスが 1 つの環境（PPPoE・DHCP 払い出しを含む）ではこの方式が標準 であり、インターフェイスのアドレスが変わっても NAT 設定の修正が不要という運用上の利点があります。

3 パターンの選定基準は以下の通りです。

なお、動的に作成された変換エントリは、無通信状態が続くとタイムアウトで解放されます。タイムアウト値はプロトコル別に ip nat translation timeout などのコマンドで調整できます。既定値のまま問題になることは多くありませんが、大量の短命セッションを扱う環境でプール枯渇・ポート枯渇が疑われる場合の調整ポイント として把握しておくと切り分けに役立ちます（枯渇時の具体的な確認手順は次のセクションで解説します）。

変換テーブルの確認とトラブルシューティング

NAT の切り分けは、変換テーブル（show ip nat translations）と統計情報（show ip nat statistics）の読み方がすべての起点になります。第 1 回で整理した 4 つのアドレス用語が、ここでそのまま出力カラムとして登場します。

show ip nat translations の読み方

Router# show ip nat translations
Pro Inside global      Inside local       Outside local      Outside global
--- 203.0.113.80       192.168.1.80       ---                ---
tcp 203.0.113.1:50001  192.168.1.10:50001 198.51.100.20:443  198.51.100.20:443
icmp 203.0.113.1:1024  192.168.1.11:1     198.51.100.20:1    198.51.100.20:1024

読み方のポイントは以下の通りです。

• outside 側が --- の行: 通信を伴わない恒久エントリ（静的 NAT のマッピング定義そのもの）です。
• Pro（プロトコル）とポートが埋まった行: 実際の通信で生成されたセッション単位のエントリです。PAT 環境では、inside local のポートと inside global のポートの対応から「どのホストのどのセッションか」を逆引きできます。
• outside local と outside global: 宛先側も変換する構成（重複アドレス対応など）でなければ、通常は同じ値が入ります。

エントリの生成時刻・タイムアウト残り時間・フラグまで確認したい場合は verbose を付けます。

Router# show ip nat translations verbose

全体の統計は show ip nat statistics で確認します。アクティブな変換数、inside/outside を宣言したインターフェイスの一覧、ヒット数・ミス数、動的マッピングの定義（ACL とプールの紐付け）が一覧できるため、設定の全体像と稼働状況を 1 コマンドで俯瞰でき、切り分けの最初に実行する価値があります。

Router# show ip nat statistics

clear・debug コマンドの使い方

変換エントリの手動クリアと、変換処理のリアルタイム確認には以下を使用します。

! 動的エントリをすべてクリア（静的マッピングは削除されない）
Router# clear ip nat translation *

! 変換処理をリアルタイム表示（負荷に注意）
Router# debug ip nat
Router# debug ip nat detailed

! デバッグの停止
Router# undebug all

clear ip nat translation * は、ACL やプールの設定を変更した際に 既存の変換エントリへ新設定を反映させる目的でも使用 します。変更前に生成されたエントリはタイムアウトまで旧設定のまま残るため、「設定を直したのに挙動が変わらない」と感じたら、まずエントリのクリアを検討します。ただし、クリアした瞬間に既存の通信セッションは変換情報を失うため、本番環境では影響範囲を確認した上で実行することが推奨されます。

debug ip nat は変換のたびに出力が発生するため、トラフィックの多い本番機では負荷に注意が必要です。可能であれば ACL でデバッグ対象を絞る、メンテナンス時間帯に実行するなどの配慮をします。

よくあるトラブルと切り分け（ACL 範囲・非 PAT 変換・プール枯渇）

トラブル 1: NAT がまったく効かない

変換テーブルにエントリが生成されない場合、確認の順序は以下が定石です。

1. show ip nat statistics で inside/outside インターフェイスの宣言を確認する（宣言漏れ・逆転が最頻出の原因）
2. show access-lists で NAT 用 ACL のヒットカウントを確認する（カウントが増えなければ ACL のマッチ条件が誤り）
3. ルーティングを確認する（NAT は経路があって初めて動作し、inside から outside への通信では経路検索が変換より先に行われます）

トラブル 2: 非 PAT 変換（Non-PATable）によるプールアドレスの占有

PAT 構成の環境で、ポート番号を持たないプロトコル（TCP・UDP・ICMP 以外）のトラフィックが NAT ルールにマッチすると、そのトラフィックのために プールのアドレスが 1 つ丸ごと 1 対 1 バインドとして占有 されます。変換テーブルには以下のような、ポート番号のないバインドエントリが現れます。

--- 203.0.113.17        192.168.1.50       ---                ---

このバインドが存在する間、当該グローバルアドレスは他のホストの PAT に使用できません。公式ドキュメントでは、この事象を避ける手段として ip nat settings nonpatdrop コマンドが案内されており、有効化するとポート番号を持たないトラフィックは変換を試みずに破棄されます。PAT プールの枯渇が「セッション数の割に早すぎる」と感じたら、ポートなしのバインドエントリの有無を確認する ことが切り分けの近道です。

参考: Cisco IOS XE 17.x – Configuring NAT for IP Address Conservation
https://www.cisco.com/c/en/us/td/docs/routers/ios/config/17-x/ip-addressing/b-ip-addressing/m_iadnat-addr-consv-xe.html

第 3 回で触れた「NAT 用 ACL で変換対象プロトコルを絞る」設計は、この事象の予防策としても機能します。

トラブル 3: 動的 NAT のプール枯渇・タイムアウト設計

overload なしの動的 NAT では、プールのアドレス数が同時通信数の上限です。枯渇すると新規の変換は失敗し、show ip nat statistics のミスカウントが増加します。対処は「PAT（overload）への変更」「プールの拡張」「タイムアウトの短縮」の 3 択です。

! プロトコル別のタイムアウト調整例（値は要件にあわせて設計）
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat translation udp-timeout 300

タイムアウトを短くしすぎると、正常な長時間セッション（SSH のアイドルなど）が変換テーブルから消えて切断される副作用があるため、短縮は枯渇対策の最後の手段と位置付け、まず PAT 化とプール設計の見直しを優先する ことが推奨されます。

制約事項・設計上の注意

最後に、Cisco NAT を設計に組み込む際に把握しておきたい制約と注意点を整理します。

ペイロードに IP アドレスを含むプロトコルは ALG に依存する

FTP や RTSP のように、アプリケーションデータの中にアドレス情報を埋め込むプロトコルは、ALG（Application-Level Gateway）がペイロード内の変換を補助します。公式ドキュメントでは、NAT が NBAR のアーキテクチャを利用して RTSP ペイロード内の埋め込みアドレスを変換することが説明されています。ALG が対応しないプロトコルや暗号化されたペイロードは補正できない ため、NAT 越しに特定アプリケーションだけが失敗する場合は ALG の対応状況を確認します。

Catalyst スイッチのハードウェア NAT には固有の制約がある

同じ IOS XE でも、Catalyst 9000 シリーズのハードウェア NAT にはルーターと異なる制約があります。

参考: Cisco – NAT Configuration Guide（Catalyst 9600）
“NAT configuration must be done without using route-maps, as route-mapped NAT is not supported”
（NAT はルートマップを使わずに設定する必要があります。ルートマップ NAT はサポートされません）
https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9600/software/release/17-6/configuration_guide/ip/b_176_ip_9600_cg/configuring_network_address_translation.html

このほか、NAT 用 ACL での明示的な deny エントリ非対応、ECMP との併用非対応などが明記されています。ルーターで動いていた NAT 設定を Catalyst にそのまま移植できるとは限らない ため、機種変更時は対象機種のコンフィグレーションガイドで制約を確認することが推奨されます。

冗長構成では NAT の引き継ぎ方式を確認する

HSRP と組み合わせた動的 NAT・PAT の冗長構成はサポートされていますが、ステートレス（変換テーブルは同期されない）での冗長化が基本です。フェイルオーバー時には既存の変換エントリが失われ、セッションの再確立が必要となる点を設計段階で織り込みます。

ルートマップによる NAT の使い分けは要件がある場合のみ

複数 ISP への接続で出口インターフェイスごとに変換先を変えたい場合などは、ACL の代わりにルートマップで NAT ルールを条件分岐できます。ただし前述の通り Catalyst のハードウェア NAT では使用できないため、採用時はプラットフォームの対応状況を確認します。

まとめ

本記事では、Cisco IOS/IOS XE の NAT 設定を、用語整理・静的 NAT・動的 NAT と PAT・確認コマンドの流れで解説しました。inside/outside と local/global の 4 用語を押さえ、ACL のスコープを適切に絞ることが、構築と切り分けの両方を支える土台になります。

• inside/outside はホストの所属、local/global は視点で整理する
• 実務の大半は静的 NAT と PAT（インターフェイス overload）の組み合わせで成立
• NAT 用 ACL は変換が必要なサブネット・プロトコルだけに絞って定義する
• 動的 NAT と PAT の違いは overload キーワードの有無のみ
• 切り分けは show ip nat statistics と変換テーブルの読み方が起点
• ポートを持たないトラフィックは PAT プールのアドレスを 1 つ占有する
• Catalyst のハードウェア NAT はルーターと制約が異なるため移植時に要確認

以上、最後までお読みいただきありがとうございました。