マスカレードとNATの設定

インターネットに接続するためには、インターネットに接続するすべての端末機にＩＰアドレスを割り振る必要があります。しかし、ここで１つ大問題が起こりました。それが、ＩＰアドレスの枯渇です。

インターネットは、もともと軍事用に開発されたプロトコル（TCP/IP）を元に作られました。このプロトコルの考えられた当時は、今のような世界中の一般家庭からアクセスされる事は想定されてませんでした。ＩＰアドレスは３２ビットの空間で割り当てられ、その数は４０億以上あります。しかし、アドレス帯を分割するためにネットワークアドレス・ブロードキャストアドレスが必要であったり、ローカルアドレスとして割り当てられている範囲もあり、実際にはもう少し少なくなります。

また、たとえ４０億フルに使えたとしても、世界中のコンピューターを接続するのであれば、４０億でも足りません。今現在、日本やアメリカでは猫も杓子もパソコンを持っているようになりましたが、世界ではまだまだコンピューターを使っていない地域が多くあります。これらの国々にインフラが整備され、インターネットが普及する事になれば、ＩＰアドレスはあっという間に尽きてしまうでしょう。

そのために、今ではIPV6という新しいＩＰアドレスが考案され、これが普及すればＩＰアドレスはほぼ無尽蔵に使えることになります。しかしながら、IPV6の普及はまだまだ５～６年先になるとのことです。（注：この原文を書いてから既に５年経ちましたが、まだ普及してないようです）それでは、それまでの間、ＩＰアドレスが尽きるのを指をくわえて待つだけなのでしょうか？

そこで、現状のIPV4を使い、なるべくＩＰアドレスを節約する方法が考えられました。

１）インターネットにつなぐ時だけグローバルアドレスを割り振る

アナログ回線を使う場合にしても、光やADSLを使いPPPoE接続する場合にしても、固定ＩＰ契約でなければプロバイダから接続毎にＩＰアドレスをもらう事になります。なので、インターネットに接続していない間は、ＩＰは割り当てられない事になります。

といっても、現在は定額料金制で契約しているため、ルーターで常時接続したままにしておく人がほとんどでしょうから、あまり節約になっているとは言えません。

２）マスカレードを使う

マスカレードとは「～のふりをする」という意味です。


たとえば、このような場合に、端末機Ａ～Ｄにそれぞれグローバルアドレスを割り振ると、ＩＰアドレスが５個必要になってしまいます。５個ぐらいならまだいいのですが、もし端末が２００台あると、ＩＰアドレスが２０１個必要になってしまいます。

そこで考えられたのがマスカレードです。

例えば、ある課の課長が、Ａというソフト買ってユーザー登録をします。しかし、部下達がそのソフトを使いたいと言い出したので、（ライセンス違反になりますが）皆に使わせる事にしました。

ある日部下の１人が、課長の普段使わない機能に不具合がある事を発見しました。それはあきらかにバグのようです。しかし、部下はユーザー登録をしてないので、ソフトメーカーに問い合わせる事ができません。なので、課長が自分のユーザー登録番号を使ってソフトメーカーに問い合わせ、対処法を教わって、部下に伝達しました。

この例では１つのユーザー登録番号を使って実際には部下達から出てくる質問に対して課長が代表して問い合わせたわけですが、マスカレードは、この話での課長の役割をルーターにさせる事です。ここでユーザー登録番号が、グローバルＩＰに当たります。

ルーター機の１つのNICにグローバルＩＰが、また、もう１つのＮＩＣに192.168.0.1というローカルＩＰが与えられています。

端末機Ａ～Ｄには、ローカルＩＰのみが与えられています。この時に、端末機Ａがインターネット上にあるサイト（例えばGoogle）が見たい、と言った場合、ルーター機はアクセス元アドレスを192.168.0.xxというローカルアドレスから、自分のグローバルＩＰに変換してGoogleにGETやPOST要求パケットを送ります。Googleのサーバーはルーター宛にページの情報を返すので、送信先ＩＰを192.168.0.xxに変換して端末機Ａに返します。

というように、ルーター機がローカル側からのアドレスを自分のＩＰアドレスに変換したり、グローバル側からの返答をローカル側のアドレスに変換したりするのがマスカレードです。

マスカレードを使うために、ルーター機にIPTABLESという機能を導入します。では、ここでソースを入手してコンパイルして……から説明すると大変なので、ここではIPTABLESが標準で入っているディストリビューションを使うことにします。インストール時にファイアウォールを有効にしておいてください。

RedHatLinux7.xxの頃はiptables -Lとすると何やらエラーが出てしまいます。それは、IPCHAINSという別のファイアウォールソフトが起動しているためです。しかし、IPCHAINSは設定が難しく、今後サポートされないようですので、IPCHAINSはまず停止させます。
/etc/rc.d/init.d/ipchains stop
サーバー起動時に自動起動しないようにします。
chkconfig ipchains off

続いてIPTABLESを起動させます。
/etc/rc.d/init.d/iptables start
サーバー起動時に自動起動させます。
chkconfig iptables on

iptablesにマスカレードを設定します。

この他に、先述の通り「フォワーディングの設定」が必要です。これによって、ＬＡＮ内からのパケットは、送信元をルーターの持つグローバルＩＰに変換してインターネットに送信します。

ＬＡＮ内に接続されたコンピューターが、すべて「端末」ならこれで良いのでしょう。しかし、サーバー機があった場合どうでしょう。とくに、apacheが導入され、その会社のホームページをそこに置く場合、LANの内部からしか見られないのでは意味がありません。

そこで、ＬＡＮ内のコンピューターのうちのいくつかに、グローバルアドレスを与える事ができます。これがＮＡＴです。


この場合、「サーバーＡ」のＬＡＮ内のアドレスは、192.168.0.2です。しかし、このままではＬＡＮの外側からアクセスする事ができません。なぜなら、192.168.xxx.xxxというアドレスはローカルアドレスであり、世界中にあるサーバー機のうちの１台を特定できるアドレスではないからです。

そのため、LAN内の192.168.0.2というアドレスを、グローバルアドレスに相互変換する必要があります。

という意味です。

※（グローバルアドレス）には、プロバイダから割り当てられたアドレスを入れます。
※ここでは、-p all ですべてのプロトコルを変換していますが、実際には必要なプロトコルだけを変換するように設定しましょう。

これによって、外部からグローバルアドレスでアクセスがあった場合、ローカルアドレスに相互変換され、サーバーＡにアクセスする事ができます。

ところで、随所に出てくる「ppp+」って何でしょう？？

本当は出力先ポートは、eth0やeth1のようなネットワークカードを指定します。しかしながら、インターネットに直接ＬＡＮで接続するようなプランを契約しているならともかく、一般のＡＤＳＬやＩＳＤＮで接続をしている人は、PPP接続していることでしょう。

その場合、出力先はppp0とかppp1になります。大抵はppp0です。ただし、ppp+と書くと、ppp0またはppp1またはppp2……のうち、番号の一番若くて現在有効な接続が自動的に使われます。マルチセッションを使わない限りppp+で良いでしょう。

このままルーター機として使うと、ＦＴＰだけがどうしてもうまくいきません。

具体的には、
・接続はするが、LISＴコマンドを発行すると固まってしまう。
・SENDはするがRECIEVEできない。
・パッシブモードにするとローカルＩＰが出てしまう。

という状態になります。これは、IPTABLESが、デフォルトのままではＦＴＰモジュールを組み込まないためです。

FTPのパッシブモードでは、まずいったん21番ポートでデータ－をやりとりした後に、サーバーが任意のポート（1024番以降）を空けて、そこでデータ－をやりとりします。そのため、最初の２１番ポートでのやりとりを監視して、そこで空けられたポートに対してもNATが有効になるようなモジュールを組み込む必要があります。

これによって、ＮＡＴで公開されたサーバーにFTPで正常に送受信ができるようになります。