• No : 27
  • 公開日時 : 2024/06/06 22:33
  • 更新日時 : 2024/06/19 20:06
  • 印刷

Network RulesによるNAT設定について

環境で使用しているSaaS側等において送信元IP制限を行っている場合、
Catoを経由した通信を出力先のPoP側でNATする必要がある場合があります。
本稿はNetwork Rulesにおいて特定の通信をIP Allocationで取得したグローバルIPへ
NATする手順について記載した記事となります。
カテゴリー : 

Cato管理画面 > Network > IP Allocationより任意の国のグローバルIPアドレスを取得します。

Cato管理画面 > Network > Network Rulesの画面に遷移します。
画面右上のNewより新たなルールを作成します。
Rule TypeにInternetを選択、SourceとApp/Categoryを設定します。
ConfigurationのRouting MethodよりNATを選択します。
IP Allocationで取得したIPアドレスを選択し、Applyを押下します。
Saveで設定を保存し設定は完了となります。
→該当のルールにマッチした通信は設定したIPアドレスにNATされた状態で
 インターネットへのアクセスを行います。

以下の設定例ではSite(Test_Socket1)を送信元として行われたBox/Dropbox宛の通信は
Tokyo PoPまたはOsaka PoPのグローバルIPアドレスへNATされ通信が行われます。

複数のIPアドレスでNATする設定としている場合の動作に関しましては
NAT設定で複数のIPアドレスを設定した場合の仕様について」を参照してください。

 

※こちらでNAT設定を行う際、SourceやApp/CategoryをAnyで登録することは非推奨となっています。
 非推奨となる理由としてはすべての通信(Any)を特定のPoPにNATする設定としている場合、
 PoP障害発生時に環境のすべての通信が影響を受けてしまう可能性があります。
 そのため、SaaS側等で送信元IP制限を行っている最低限の通信のみを指定してNAT設定を行うこと、
 それに加えて上記の設定例のように複数のグローバルIPアドレスをルールに含めることで、
 NATの出力先IPを冗長できるように設定することが現時点でのベストプラクティスとなります。

 

補足


本稿は以下のメーカーKBを参考に作成されています。
How to Configure an Egress Rule