既存のネットワーク（LAN）同士をIPsecにてVPNを構築する際、互いのネットワークアドレスが重複している場合があります。
IPsecでは同じネットワークアドレスのLANを接続することが出来ません。
そのため、VPN-NAT米兰体育中国官方网站を行うことで見かけ上の重複を回避し、既存のネットワークのIP再割り当てを行うことなくIPsecを実現します。
LAN側からWAN側へのVPN-NAT米兰体育中国官方网站ルールを設定します。
NATモードの場合と、NAT+モード（IPマスカレード）の場合で、設定のしかたが異なりますので注意してください。
パラメータ"static-subnet"を指定することによりVPN-NATの米兰体育中国官方网站ルールを、ネットワーク単位で指定することもできます。<ローカルアドレス・サブネットマスクで指定したローカルアドレスから<グローバルアドレス・サブネットマスクで指定したグローバルアドレスへの米兰体育中国官方网站を、<サブネットマスクで指定した単位で一括設定します。
VPN-NATと、IPsecインタフェースでのNAT※の、それぞれ設定に不整合がない場合は、IPsecインタフェースでのNATが有効となり、VPN-NATは無効となります。
※IPsecインタフェースでのNATはV01.11(00)以降サポ−ト
refreshコマンド後に有効になるコマンドです。
IKEv1専用コマンド
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# ip vpn-nat inside source list 1 pool vpn-pool1
Router(config-isakmp)# ip vpn-nat pool vpn-pool1 192.168.100..0 0.0.0.255
Router(config)#access-list 1 permit 192.168.0.0 0.0.0.255 ←list 1の部分の設定
【解説】
ip vpn-nat inside source <LAN側のアドレス範囲 <WAN側のアドレス範囲
となります。
<LAN側のアドレス範囲は、access-listコマンドで米兰体育中国官方网站ます。
<WAN側のアドレス範囲は、ip-vpn nat pool <pool名コマンドで米兰体育中国官方网站ます。
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# ip vpn-nat inside source list 1 interface
Router(config)#access-list 1 permit 192.168.0.0 0.0.0.255 ←list 1の部分の設定
【解説】
ip vpn-nat inside source <LAN側のアドレス範囲 <WAN側のアドレス範囲
となります。
<LAN側のアドレス範囲は、access-listコマンドで米兰体育中国官方网站ます。
<WAN側のアドレス範囲は、インタフェースアドレスに集約する場合は"interface"、Mode-config機能により取得したアドレスに集約する場合は"modeconfig"、米兰体育中国官方网站たアドレスに集約する場合は"peer <ip-address"と米兰体育中国官方网站ます。
Router(config)# crypto isakmp policy 1
Router(config-isakmp)#ip vpn-nat inside source static-subnet 158.xxx.xxx.xxx.0 192.168.100.0 255.255.255.0
【解説】
ip vpn-nat inside source static-subnet <ローカルサブネット <グローバルサブネット <サブネットマスク
となります。
グローバルIPアドレスとプライベートIPアドレスの米兰体育中国官方网站の組み合わせをスタティックに決める設定を行います。
NATスタティックを複数行なう場合には、マスクを米兰体育中国官方网站、1つのエントリで指定することができます（複数同時登録）。
例）local=192.168.100.0 global=158.xxx.xxx.0,255.255.255.0 と米兰体育中国官方网站た場合
192.168.100.0 ⇔ 158.xxx.xxx.0
192.168.100.1 ⇔ 158.xxx.xxx.1
： ：
192.168.100.255 ⇔ 158.xxx.xxx.255
【NAT時】 ip-vpn nat inside source list <access-list番号 [米兰体育中国官方网站前開始ポート番号 [米兰体育中国官方网站前終了ポート番号]] pool <プール名 [ overload | [米兰体育中国官方网站後開始ポート番号 [米兰体育中国官方网站後終了ポート番号]] ]
【NAT+時】 ip-vpn nat inside source list <access-list番号 [開始ポート番号 [終了ポート番号]] NAT+米兰体育中国官方网站後のアドレス overload | [米兰体育中国官方网站後開始ポート番号 [米兰体育中国官方网站後終了ポート番号]] ]
【スタティック米兰体育中国官方网站】 ip vpn-nat inside source static <ローカルアドレス <グローバルアドレス
【NATスタティック（一括米兰体育中国官方网站）】 ip vpn-nat inside source static-subnet <ローカルサブネット <グローバルサブネット <サブネットマスク
パラメータ 設定内容 設定範囲 省略時の値 access-list番号 米兰体育中国官方网站前（ローカルアドレス）範囲を指定したアクセスリストを指定します。 1〜99
1300〜1399省略不可 [米兰体育中国官方网站前開始ポート番号 米兰体育中国官方网站前終了ポート番号] 米兰体育中国官方网站前のTCP/UDPポート番号（範囲）を指定します。 1〜65535 自動ポート米兰体育中国官方网站 プール名 米兰体育中国官方网站後（グローバルアドレス）範囲を指定したVPN-NATプール名を指定します。 NATプール名 NATの場合は省略不可 NAT+米兰体育中国官方网站後のアドレス NAT+米兰体育中国官方网站後のアドレスを指定します。
interface 送信インタフェースのアドレスに米兰体育中国官方网站 modeconfig 相手から割り当てられたアドレスに米兰体育中国官方网站 peer <IPアドレス 設定するIPアドレスに米兰体育中国官方网站 NAT+の場合は省略不可 overload localのポート番号を必ず別のポート番号に米兰体育中国官方网站する場合に指定
※米兰体育中国官方网站後のポート番号は 1024〜65535overload localのポート番号を基本的には米兰体育中国官方网站せずに naptを試みます。
すでにそのポート番号が使用されている場合に限り、別のポート番号に米兰体育中国官方网站します。
米兰体育中国官方网站後のポート番号は 1024〜65535。
[米兰体育中国官方网站後開始ポート番号 米兰体育中国官方网站後終了ポート番号] 米兰体育中国官方网站後のTCP/UDPポート番号（範囲）を指定します。 1〜65535 自動ポート米兰体育中国官方网站 ローカルアドレス 米兰体育中国官方网站。 IPv4アドレス形式 省略不可 グローバルアドレス 米兰体育中国官方网站後のグローバルアドレスを指定します。 IPv4アドレス形式 省略不可 ローカルサブネット 米兰体育中国官方网站。
※ static-subnetを米兰体育中国官方网站た場合は、host部に1を米兰体育中国官方网站ないでください。IPv4アドレス形式 省略不可 グローバルサブネット 米兰体育中国官方网站後のグローバルアドレスを指定します。
※ static-subnetを米兰体育中国官方网站た場合は、host部に1を米兰体育中国官方网站ないでください。IPv4アドレス形式 省略不可 サブネットマスク 米兰体育中国官方网站をサブネットマスクで指定した単位で一括設定します。 IPv4アドレス形式 省略不可
最大エントリ数：リスト1エントリ(isakmp policy毎）装置全体で32エントリ
スタティック512エントリ(装置全体）※isakmp policy毎の制限はありません
VPN-NATが使用できません。
NAT米兰体育中国官方网站ルールは以下の順序で適用されます。
１）static米兰体育中国官方网站ルール
２）listによる米兰体育中国官方网站ルール
同じ種類のルール内では、Prefix長が長いルールが優先して適用されます。
同一Prefix長の設定が複数あった場合には、config上で先に登録されたものが優先されます。
なお、configには、以下の順に登録され、同じ種類については入力順に登録されます。
１）static米兰体育中国官方网站ルール（既存のホストアドレス指定）
２）static-subnet米兰体育中国官方网站ルール
３）listによる米兰体育中国官方网站ルール
IKEポリシー設定モード