Docker の iptables 設定
Docker のネットワークまわりの理解を深める一環として iptables について整理します。 全体として Iptables Tutorial がとても参考になりました。 iptables とは iptables の構成要素 Docker デーモン起動時の iptables Docker コンテナ起動時の iptables 環境: # OS $ cat /proc/version Linux version 4.14.13-1-ARCH (builduser@heftig-32336) (gcc version 7.2.1 20171224 (GCC)) #1 SMP PREEMPT Wed Jan 10 11:14:50 UTC 2018 # iptables $ iptables --version iptables v1.6.1 # Docker $ docker version
IOS-XE: NAT FTP 通信時に ip nat service list にて設定された ACL の注意事項について
はじめに IOS-XE のルータでは NAT FTP 利用時に以下のように FTP Passive モードで通信する場合、 "ip nat service list <ACL> ftp tcp port <port number>" の設定にある ACL 制御の設定では FTP Client を Permit しないと、 FTP 通信失敗の事象が報告されています。 事象解説 "ip nat service list <ACL> ftp tcp port <port number>" は NAT FTP の ALG 対象となるポート番号を指定するコマンドです。合わせて設定された ACL の Permit にマッチするトラフィックが着信した場合 NAT エントリ生成とともに FTP の ALG が有効化されます。 FTP Passive モードの場合、データコネクションを確立する際に、まず F
route-map を使用した Static NAT の設定例
概要 NAT は、組織の IP ネットワークを外部から見たときに、実際に使用されているものとは異なる IP アドレス空間が使用されているように見せる機能です。 このドキュメントでは route-map を使用した Static NAT の設定例を示します。route-map を使用することで宛先ごとに異なる送信元アドレスに変換することが可能になります。 NAT の詳しい概要についてはこのドキュメントの最後にある「関連情報」の Link を参照してください。 なお、このドキュメントの内容は 15.6(3)M1 を使用して動作確認を行っています。 ネットワーク構成 Router の IOS version : 15.6(3)M1 設定例 Router ! interface Ethernet0/0 ip address 192.168.1.1 255.255.255.0 ip nat insi
route-map を使用した Dynamic NAT の設定例
概要ネットワーク構成設定例設定の説明動作確認トラブルシューティング関連情報 概要 NAT は、組織の IP ネットワークを外部から見たときに、実際に使用されているものとは異なる IP アドレス空間が使用されているように見せる機能です。 このドキュメントでは route-map を使用した Dynamic NAT の設定例を示します。Dynamic NAT では N 対 N の Translation を定義します。 NAT の詳しい概要についてはこのドキュメントの最後にある「関連情報」の Link を参照してください。 なお、このドキュメントの内容は 15.6(3)M1 を使用して動作確認を行っています。 ネットワーク構成 Router の IOS version : 15.6(3)M1 設定例 Router ! interface Ethernet0/0 ip address 192.1
IOSXE : NAT 変換にて断続的にパケットがドロップする事象について (NAT Gatekeeper)
[toc:faq] 背景 ASR1000シリーズ、ISR4000シリーズなどのIOS-XE ルータにて、NAT 変換にて断続的にパケットがドロップする事象が報告されています。 この事象は、NAT Gatekeeper キャッシュの影響で発生していて、IOS-XE NATの実装動作となっています。 NAT Gatekeeperについて NAT Gatekeeper は、IOS XE RL4 / 12.(33)XND以降のバージョンで、デフォルトでenable となっています。 Ciscoルータでは、内部から外部(IN to OUT)へのNATは、ルーティング後に NATが実行されますが、 外部から内部(OUT to IN)へのNATは、ルーティングの前にNATが実行されます。 このため、OUT to INへのNAT処理は、すべてのパケットに対し、NAT宛(NATed)、非NAT宛(non-N
Static NAT の設定例
概要ネットワーク構成設定例設定の説明動作確認トラブルシューティング関連情報 概要 NAT は、組織の IP ネットワークを外部から見たときに、実際に使用されているものとは異なる IP アドレス空間が使用されているように見せる機能です。 このドキュメントでは Static NAT の設定例を示します。Static NAT では 1 対 1 の Translation を定義します。 NAT の詳しい概要についてはこのドキュメントの最後にある「関連情報」の Link を参照してください。 なお、このドキュメントの内容は 15.6(3)M1 を使用して動作確認を行っています。 ネットワーク構成 Router の IOS version : 15.6(3)M1 設定例 Router ! interface Ethernet0/0 ip address 192.168.1.1 255.255.255
コピペから脱出！iptablesの仕組みを理解して環境に合わせた設定をしよう
Linuxのファイアウォール「iptables」について入門から実践まで解説 数回に分けてLinuxのファイアウォール「iptables（アイピーテーブルズ）」について解説します。 ネット上に有益な設定が溢れているので、あまり理解しないままコピーペーストで運用している方も多いはず。 しかしそれでは実際に攻撃された際に対処できません。 そこでこのページでは、初めてファイアーウォールについて学ぶ方でも理解できるように、全体像と細かな設定の意味について解説します。 目次 ファイアーウォールの種類 NATについて パケットフィルタリングの概要と書式 テーブルについて チェインについて オプションについて パラメータについて 拡張パラメータについて iptablesの記述順序とルールの適用順について ポリシーについて ファイアーウォールの種類 ファイアウォールと聞いて、まず何を思い浮かべるでしょうか
NAT 設定時 ALG機能により通信に失敗する場合のトラブルシューティング
2. 解説と回避策 解説 通常NATはLayer3で動作し、送信元および宛先IPアドレスを変換します。IPペイロード内のLayer4～7のIPアドレスは変換しません。ただし、Application Layer Gateway(ALG)を有効にすることで、IPペイロード内のIPアドレスを変換することができるようになります。ただし、上記 プロトコルに対応したPortに対して、それ以外のプロトコルを使用して通信を行おうとすると、NAT変換が行われない問題が顕著に発生します。 回避策 IANAでPort番号ごとに使用するプロトコルを割り当てております。 Service Name and Transport Protocol Port Number Registry アプリケーションで使用する送信元/宛先Portはプライベートポート番号(49152 - 65535)にすることをお勧めします。
IOS-XE: SNMP にて NAT エントリ数を取得する方法について
IOS-XE Router では SNMP にて以下の OID を使用することで NAT エントリ数を取得することが可能です。 算出方法は (natAddrBindNumberOfEntries + natAddrPortBindNumberOfEntries) となります。 ※1 該当 MIB は IOS-XE 3.15 を含む、それ以降の version でサポートされています。 ※2 CSCvh57657 の影響により CGN (Carrier Grade Network Address Translation) ではなく Traditional NAT を利用する場合は、CSCvh57657 の修正バージョン(IOS-XE の 16.3.7, 16.6.6, 16.8.2, 16.10.1 を含む、それ以降のバージョン)を利用する必要がございます。 ----------------
ASA 8.3+ パケット処理順序と 処理負荷概要と、パケットトレーサ
2016-01-10 12:47 PM - 最終編集日: 2023-12-20 03:08 PM 、編集者: JapanTAC_CSC はじめにASAソフトウェア パケット処理順序処理負荷の目安パケットトレーサ<CLIから実行時><ASDMから実行時>参考情報 はじめに 本ドキュメントでは、ASAソフトウェアバージョン 8.3以降の、パケット処理順序（パケット処理フロー）と 各機能の処理負荷の目安について紹介します。 処理順序を知ることで、問題箇所の切り分けに役立ちます 処理負荷の目安を知ることは、パフォーマンス影響の予測に役立ちます パケットトレーサで、処理順序と マッチした設定を確認できます 本ドキュメントは、ASA バージョン 9.3(3)2を用いて確認、作成をしております。 ASAソフトウェア パケット処理順序 ASAはデフォルトでTCPとUDPのステートフルインスぺクションに
ASA: NATルールタイプ別の処理の違いと 設定例
2015-04-19 02:33 AM - 最終編集日: 2023-12-20 04:28 PM 、編集者: JapanTAC_CSC 1. サポートするNATルールタイプと処理順序2. NAT構成例と、NATルールタイプ別の設定例2.1. NAT構成例2.2. Twice NATのみ利用時2.3. Network Object NATのみ利用時2.4. Twice NATと Network Object NATを利用時2.5. 全セクションを利用時3. Network Object NAT(Auto NAT)の自動整列ルール4. Twice NAT(Manual NAT)の設定例4.1. Twice NAT(Manual NAT)の柔軟なNATルールの定義4.2. Twice NAT(Manual NAT)の宛先別のアドレス変換4.3. Twice NAT(Manual NAT)の
IOS-XE ではルータ上の IP アドレス を NAT アドレスプールの一部、または NAT 変換アドレスとして使用することはサポートされていない
IOS-XE ではルータ上の Interface の IP アドレス (Static アドレスと Dynamic アドレスを含む) は NAT アドレスプールの一部、または Static NAT の変換アドレスとして使用することはサポートされておりません。他の IP アドレスまたは、PAT の Interface Overload を利用していただきますようお願いいたします。 <IP アドレス設定例> ip address 192.168.1.1 XXX.XXX.XXX.XXX あるいは ip address negotiated ip address dhcp など、動的に 192.168.1.1 をアサインする場合 上記の前提がある場合、以下の NAT の設定はサポートされていません。 <NAT 設定例 1: NAT pool overload> ip nat POOL1 192.16
IOS/IOS-XE: NAT 経由の DNS ゾーン転送に失敗する
2019年4月23日 (初版) TAC SR Collection 主な問題 DNS ゾーン転送において、Master サーバと Slave サーバ間で NAT が実行される場合、ゾーン転送に失敗することがあります。 原因 この問題は NAT ALG が DNS ゾーン転送のパケットにおけるペイロード内のアドレスを処理できないために発生します。 解決策 NAT 設定に no-payload オプションを追加することで、NAT ALG が ペイロードを変換しないため、 DNS ゾーン転送が実行可能です。 ip nat inside source x.x.x.x y.y.y.y no-payload no-payload オプションを追加してもゾーン転送に失敗する場合は、TCP を使用する DNS パケットに対する ALG を実行しないように、下記のコンフィグを追加で設定して下さい。 no i
IOS-XE: "clear ip nat translation" の実行直後に "show ip nat translations" を実行すると再起動が発生する
2019年4月26日 (初版) TAC SR Collection 主な問題 IOS-XE ルータにて "clear ip nat translation" の実行直後に "show ip nat translations" を実行すると再起動が発生する事象が報告されています。 原因 この問題は CSCvm42441 として報告されています。 CSCvm42441: Router crash when clearing ip nat translations 解決策 暫定回避策: "clear ip nat translation" の実行後、"show ip nat translations" の実行までに20秒以上間隔を空けてください。 恒久対策: CSCvm42441 の問題が改修されたソフトウェアを使用してください。 備考 本不具合は、Bug Search Tool でも確認できま
IOS/IOS-XE では Static NAT と Dynamic NAT の両方の変換用アドレスに同一 IP アドレスを設定することはサポートされていない
IOS/IOS-XE では以下設定例のように同一 IP アドレス (192.168.1.1) に対して Static NAT (TCP/UDP ポートの変換設定も含む) と Dynamic NAT の両方の NAT 変換用アドレスを設定することはサポートされておりません。 <設定例> ip nat pool PAT 192.168.1.1 192.168.1.1 netmask 255.255.255.0 ip nat inside source list 1 pool PAT overload ip nat inside source static 10.0.0.1 192.168.1.1 この内容は以下のドキュメントにも記載されております。 Network Address Translation (NAT) FAQ https://www.cisco.com/c/en/us/suppo
ASA: Per-session PATの設定例と動作確認
2019-04-10 05:37 PM - 最終編集日: 2023-12-20 04:30 PM 、編集者: JapanTAC_CSC はじめに構成例設定例Per-session PAT機能と 以前の機能の違いについて動作確認例参考情報 はじめに 本ドキュメントでは、ASA 9.0.1 以降に新しく追加されている Per-session PAT 機能の設定例と動作確認例を紹介します。 本ドキュメントは ASAバージョン 9.4(4)29 を用いて確認、作成しております。 構成例 本ドキュメントでは、以下の構成で、動作確認例を紹介します。 設定例 ASA 9.0.1 以降では、Per-session PAT 機能がデフォルトで有効になりますので、手動での設定は不要です。 しかし、ASA 9.0.1 より前のバージョンから ASA 9.0.1 以降のバージョンにアップグレードした場合、アッ
ASA: Static NATでサービス指定時、指定ポート以外の通信がnat-no-xlate-to-pat-poolでドロップする問題
サービス指定のStatic NATは、その宛先IPアドレスに紐づいたポート番号のみの通過を許可し、その宛先IPアドレス宛のそれ以外のポート利用時はnat-no-xlate-to-pat-poolの理由でドロップされます。 これはASAバージョン 9.0(1)からの実装です。 例えば以下の、サービス指定を含むStatic NATを設定した場合・・ [NAT設定] nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 [show nat detailの出力] ASA5555# show nat detail --- snip --- 3 (inside) to (outside) source static any
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
myF5
kubernetes/pkg/proxy/ipvs at master · kubernetes/kubernetes · GitHub
Routetocloud.com