名称

natd — ネットワークアドレス変換デーモン

書式

natd

[ -unregistered_only | -u][ -log | -l][ -proxy_only][ -reverse][ -deny_incoming | -d][ -use_sockets | -s][ -same_ports | -m][ -verbose | -v][ -dynamic][ -in_port | -i port][ -out_port | -o port][ -port | -p port][ -alias_address | -a address][ -target_address | -t address][ -interface | -n interface][ -proxy_rule proxyspec][ -redirect_port linkspec][ -redirect_proto linkspec][ -redirect_address linkspec][ -config | -f configfile][ -instance instancename][ -globalport port][ -log_denied][ -log_facility facility_name][ -punch_fw firewall_range][ -skinny_port port][ -log_ipfw_denied][ -pid_file | -P pidfile][ -exit_delay | -P ms]

解説

natd ユーティリティは、 FreeBSD における divert(4) ソケットと共に用いることによって、ネットワークアドレスの変換を行います。

(PPP リンク上で NAT が必要な場合、ほとんどの natd 機能を提供し、同じ libalias(3) ライブラリを使用する、 ppp(8) の -nat オプションが提供されています)。

natd ユーティリティは、通常、デーモンとしてバックグラウンドで実行します。 natd は、マシンに入ってくるパケット、またはマシンから出て行くパケットを生 (raw) のまま扱い、場合により IP パケットストリームに再び送り出す前に手を加えます。

natd は、他のホストへ向かうすべてのパケットについて、発信元 IP アドレスを現在のマシンのものにする、という変換を行います。このように変換された各パケットについて、変換内容を記録するために内部テーブルエントリが作成されます。発信元ポート番号も、パケットに適用したテーブルエントリを示すように変更されます。現在のホストの、対象となる IP アドレスを使ったパケットが受信されると、この内部テーブルがチェックされます。エントリが見つかると、パケットに正しい対象 IP アドレスとポート番号を入れるのに利用されます。

次のコマンドラインオプションが利用可能です:

NATD の実行

natd を走らせようとする前には、以下の手順が必要となります:

自分のカーネルを以下のオプションを付けて構築します:
```
options IPFIREWALL 
options IPDIVERT
```
自分のカーネルを構築する方法については、ハンドブックに詳しい説明があるのでそちらを参照してください。
あなたのマシンがゲートウェイとして働くようにします。これは、 /etc/rc.conf に

gateway_enable=YES

と指定するか、

sysctl net.inet.ip.forwarding=1

というコマンドを用いることで機能するようになります。
-interface オプションを使いたい場合は、そのインタフェースがすでに設定済みとなるようにします。例えば、 interface として‘ tun0’を指定しようとし、そのインタフェースで ppp(8) を使っている場合には、 natd を起動する前に ppp を起動するようにしなければなりません。

natd の実行は至って簡単です。

natd -interface ed0

という行でほとんどの場合充分です (正しいインタフェース名に置き換えてください)。ブート時に自動的に開始するように設定する方法については、 rc.conf(5) を参照してください。 natd が起動されたら、パケットの流れの方向が natd の方に変わる (divert される) ようにしなければなりません:

/etc/rc.firewall スクリプトをうまく調整する必要があります。ファイアウォールに興味が無ければ、以下のようにすれば良いでしょう:
```
/sbin/ipfw -f flush 
/sbin/ipfw add divert natd all from any to any via ed0 
/sbin/ipfw add pass all from any to any
```
2 番目の行は、あなたのインタフェースに依ります (‘ ed0’を適切に変更してください)。
このファイアウォールの設定では、ローカルネットワーク上の誰もがソースアドレスをあなたのホストに偽装可能であることを認識してください。ローカルネットワーク上に他にホストがある場合、信頼するホストへ/からのトラフィックのみを許可するファイアウォールルールを作成することを強く勧めます。
本物のファイアウォールルールを指定する場合、スクリプトの先頭で上記の 2 行目を指定すると良いでしょう。そうすることによって、ファイアウォールにより排除されてしまう前に、 natd がすべてのパケットを見ることができるようになります。
natd の変換後、転換を生じさせたルール番号の次のルール番号から、パケットは、ファイアウォールに再入します (同じ番号に複数のルールがある場合には、次のルールからにはなりません)。
/etc/rc.conf で

firewall_enable=YES

と設定し、ファイアウォールを作動させます。これは、システムの起動時のスクリプトに /etc/rc.firewall スクリプトを実行するように伝えます。今すぐ再起動したくない場合には、コンソールから手で実行してください。バックグラウンドで実行させるのでない限り、これは、決して仮想セッションから行ってはいけません。もし実行させてしまうと、flush が行われた後にあなたは締め出されてしまい、すべてのアクセスを永久に遮断するためにこの地点で /etc/rc.firewall の実行は、止まってしまいます。スクリプトをバックグラウンドで実行すれば、この災害を避けることができます。

複数のインスタンス

いくつかの外部の IP アドレスにエイリアシングを必要とすることは、それほど珍しくはありません。伝統的に、これが独立した設定でいくつかの natd プロセスを実行することによって達成されていた間、 natd は、単一のプロセスでの複数のエイリアシングのインスタンスを持つことができ、また、それらが互いにそれほど独立していないことを許可します。例えば、2 つの外部インタフェース (IP 1.2.3.4 がある) ‘ sis0’と (IP 2.3.4.5 がある) ‘ sis2’があるマシンで、異なったプロバイダへの 2 つのチャネルのロードバランシングの共通タスクを見ましょう:

          net 1.2.3.0/24 
1.2.3.1 ------------------ sis0 
(router)                (1.2.3.4) 
                                         net 10.0.0.0/24 
                                  sis1 ------------------- 10.0.0.2 
                               (10.0.0.1) 
          net 2.3.4.0/24 
2.3.4.1 ------------------ sis2 
(router)                (2.3.4.5)

デフォルトルートは、‘ sis0’を通して out です。

内側のマシン (10.0.0.2) は、両方の外側の IP を通して TCP ポート 122 でアクセス可能です、発信接続は、‘ sis0’と‘ sis2’の間でランダムにパスを選択します。

これが動作する方法は、 natd.conf がエイリアシングエンジンの 2 つのインスタンスを構築するということです。

これらのインスタンスのプライベート divert(4) ソケットに加えて、“globalport”と呼ばれる 3 番目のソケットが、作成されます。これを通して natd に送信されたパケットは、すべてのインスタンスに対してマッチされ、既存のエントリが見つかるなら、変換され、エントリが見つけられないなら、変更されません。次の行は、 /etc/natd.conf に置かれます:

log 
deny_incoming 
verbose 
 
instance default 
interface sis0 
port 1000 
redirect_port tcp 10.0.0.2:122 122 
 
instance sis2 
interface sis2 
port 2000 
redirect_port tcp 10.0.0.2:122 122 
 
globalport 3000

そして、次の ipfw(8) 規則が使用されます:

ipfw -f flush 
 
ipfw add      allow ip from any to any via sis1 
 
ipfw add      skipto 1000 ip from any to any in via sis0 
ipfw add      skipto 2000 ip from any to any out via sis0 
ipfw add      skipto 3000 ip from any to any in via sis2 
ipfw add      skipto 4000 ip from any to any out via sis2 
 
ipfw add 1000 count ip from any to any 
 
ipfw add      divert 1000 ip from any to any 
ipfw add      allow ip from any to any 
 
ipfw add 2000 count ip from any to any 
 
ipfw add      divert 3000 ip from any to any 
 
ipfw add      allow ip from 1.2.3.4 to any 
ipfw add      skipto 5000 ip from 2.3.4.5 to any 
 
ipfw add      prob .5 skipto 4000 ip from any to any 
 
ipfw add      divert 1000 ip from any to any 
ipfw add      allow ip from any to any 
 
ipfw add 3000 count ip from any to any 
 
ipfw add      divert 2000 ip from any to any 
ipfw add      allow ip from any to any 
 
ipfw add 4000 count ip from any to any 
 
ipfw add      divert 2000 ip from any to any 
 
ipfw add 5000 fwd 2.3.4.1 ip from 2.3.4.5 to not 2.3.4.0/24 
ipfw add      allow ip from any to any

ここで、内部のネットワークからインターネットまでのパケットは、‘ sis0’ (規則番号 2000) を通って外に向けられ、 globalport ソケット (3000) によって捕まえられます。その後、2 つのインスタンスの 1 つの変換テーブルで一致したものが見つかるか、またはパケットが、等しい確立で、2 つの他の divert(4) ポート (1000 または 2000) の 1 つに渡されます。これは、ロードバランシングが、 1 つのフローベース毎に行われることを確実にします (すなわち、単一の TCP からのパケットは、同じインタフェースを通したフローに常に接続します)。デフォルトでないインタフェース (‘ sis2’) の発信元 IP で変換されたパケットは、そのインタフェースの適切なルータに転送されます。

作者

このプログラムは、多くの人々の細切れの努力の結果です:

Archie Cobbs <archie@FreeBSD.org> (divert ソケット) Charles Mott <cm@linktel.net> (パケットエイリアス) Eivind Eklund <perhaps@yes.no> (IRC サポートとその他の追加) Ari Suutari <suutari@iki.fi> (natd) Dru Nelson <dnelson@redwoodsoft.com> (初期の PPTP サポート) Brian Somers <brian@awfulhak.org> (まとめ役) Ruslan Ermilov <ru@FreeBSD.org> (natd とパケットエイリアシングと糊) Poul-Henning Kamp <phk@FreeBSD.org> (複数のインスタンス)

June 23, 2008

FreeBSD

YOS OPENSONAR

名称

書式

解説

NATD の実行

複数のインスタンス

関連項目

作者