概要

NAT（Network Address Translation）は、プライベートIPアドレスとグローバルIPアドレスを相互に変換する技術です。IPv4アドレス枯渇対策として普及した結果、「社内ネットワークが外部から直接見えない」という副次的効果から、しばしばセキュリティ機能であるかのように誤解されます。SC試験ではこの誤解を突く形で、NATの本来の目的と限界、NAPT（IPマスカレード）の仕組み、ポートフォワーディングが生むリスクが問われます。

仕組みと動作原理

NATの種類

種類変換方式用途
スタティックNATプライベートIP1個とグローバルIP1個を固定的に1対1変換外部公開サーバなど常時同一アドレスが必要な場合
ダイナミックNATプライベートIP群とグローバルIP群をプールから動的に1対1割当グローバルIPを複数保有するが台数分は無い場合
NAPT（PAT／IPマスカレード）複数のプライベートIPを1個のグローバルIPに、ポート番号で多重化して変換一般的な家庭・企業ルータでのインターネット接続
スタティックNAT と NAPT（PAT） の比較
スタティックNAT NAPT（PAT）
変換の対応関係
プライベートIP 1個 ↔ グローバルIP 1個
複数のプライベートIP ↔ グローバルIP 1個（ポートで多重化）
識別方法
IPアドレスのみで一意に対応
IPアドレス＋ポート番号の組で識別
必要なグローバルIP数
端末台数分必要
1個で多数の端末を収容可能
主な用途
外部公開サーバの固定アドレス割当
一般家庭・企業のインターネット接続共有
外部からの到達性
常に到達可能（公開前提）
内部から通信を開始しない限り到達不可

NAPTの変換テーブルの動作

NAPTルータは、内部端末が外部へ通信を開始するたびに「変換テーブル」にエントリを作成し、送信元ポート番号を書き換えます。戻りパケットはこのテーブルを参照して元の内部端末に届けられます。

NAPTによる通信の変換フロー
1
内部端末（192.168.1.10:50001）
外部サーバへ通信を開始
 2
NAPTルータ
送信元を グローバルIP:一時ポート に書き換え
変換テーブルに対応関係を記録
 3
外部サーバ
グローバルIP:一時ポート 宛に応答を返送
 4
NAPTルータ
変換テーブルを参照し宛先を内部端末に戻す
テーブルに無い通信は破棄される

この「内部から開始した通信の戻りしか通さない」という性質が、結果として外部からの直接アクセスを遮断する副次効果を生みます。しかしこれはステートフルインスペンションに近い挙動であって、NAT自体がアクセス制御ポリシーを持つファイアウォールというわけではありません。

NATがもたらす効果と限界

  • 効果：外部から内部端末への意図しない直接到達を防ぐ（内部から通信を開始しない限り変換テーブルにエントリが無いため）
  • 限界①：ポートフォワーディング（静的ポートマッピング）を設定すると、その穴は誰でも通過できる
  • 限界②：内部端末同士の通信やマルウェアのC2通信のような「内部発の外部への通信」は素通りする
  • 限界③：パケットのペイロード内容（攻撃コードの有無など）は検査しない

NATトラバーサル

VoIPやP2P、IPsec VPNなどNAT配下から特定の通信を成立させるための技術です。

技術概要
STUN自分のグローバルIP・ポートを外部サーバに問い合わせて把握する
TURNSTUNで直接接続できない場合に中継サーバ経由で通信を成立させる
NAT-T（IPsecのNATトラバーサル）IPsecパケットをUDPでカプセル化し、NAPT環境でもIKE/ESP通信を通過させる

ポートフォワーディング（静的ポートマッピング）のリスク

外部からNAT配下のサーバへアクセスさせるため、特定のグローバルポートを内部端末の特定ポートへ固定的に転送する設定です。設定した瞬間、そのポートに関してはNATの「外部から到達不可」という副次的な保護効果が失われ、内部端末が直接インターネットに露出した状態と同等になります。ルータの初期設定や意図しないUPnP（Universal Plug and Play）による自動ポート開放が、内部の脆弱なIoT機器を外部に晒す原因になることがあります。

SC試験での頻出ポイント

  • 「NATはファイアウォールの代替になるか」：ならない。アクセス制御ポリシーやペイロード検査機能を持たないため、必ずFWと併用する
  • NAPT（PAT）と1対1NATの違い：グローバルIPアドレスの必要数と、ポート番号による多重化の有無
  • NATの副次的なセキュリティ効果の限界：内部発の通信（マルウェアのC2通信等）は素通りする
  • ポートフォワーディング設定によるリスク：外部到達不可という前提が崩れ、内部機器が直接露出する
  • NAT-TとIPsecの関係：ESPはそのままではNAPT環境を通過できないためUDPカプセル化が必要

よくある誤問・ひっかけパターン

誤り① 「NATを使っていれば社内ネットワークは外部から守られている」→ 誤。NATは通信の翻訳・多重化を行う技術であり、アクセス制御を目的としたセキュリティ機能ではありません。ポートフォワーディングやUPnPの設定次第で容易に外部露出します。

誤り② 「NAPTはIPアドレスだけで通信を識別している」→ 誤。NAPTはIPアドレスとポート番号の組み合わせで通信を識別・多重化します。IPアドレスのみで1対1対応するのはスタティックNAT／ダイナミックNATです。

誤り③ 「NAT配下ならマルウェアの外部通信（C2通信）も防げる」→ 誤。NATは内部から外部への通信開始を妨げません。マルウェアが内部端末から外部のC2サーバへ通信を開始すれば、NATはその戻り通信を素通りさせます。防ぐにはFWのアウトバウンド制御やプロキシ経由の通信監視が必要です。

関連用語

重要キーワード

用語説明
NATプライベートIPとグローバルIPを相互変換する技術
NAPT（PAT）ポート番号を用いて複数端末を1個のグローバルIPに多重化する変換方式
変換テーブルNAPTルータが通信ごとのアドレス・ポート対応を保持する管理テーブル
ポートフォワーディング特定の外部ポートを内部端末のポートへ固定的に転送する設定
NATトラバーサルNAT配下から特定通信（VoIP・IPsec等）を成立させる技術群
STUN/TURNNATトラバーサルで用いられるアドレス把握・中継のためのプロトコル