なぜNATやNAPTが必要なのか

IPv4アドレスは約43億通りしかありません。 世界中のパソコン、スマートフォン、サーバー、ネットワーク機器へ、 それぞれ専用のグローバルIPアドレスを割り当てるには足りません。

そこで家庭や会社の中では、インターネット上で直接使わない プライベートIPアドレスを利用します。 インターネットへ出るときだけ、ルーターがグローバルIPアドレスへ変換します。

プライベートIPアドレスとグローバルIPアドレス

NATとNAPTを理解するには、まず2種類のIPv4アドレスを区別する必要があります。

プライベートIPアドレスの範囲

自宅のWi-Fiへ接続した端末で、192.168.x.x のようなアドレスが表示されるのは、 ルーターからプライベートIPアドレスを割り当てられているためです。

NATの仕組み

NATは Network Address Translation の略です。 日本語では「ネットワークアドレス変換」と呼ばれます。

NATという言葉は本来、IPアドレス変換全体を表す広い名称です。 初心者向けの比較では、1つのプライベートIPアドレスと1つのグローバルIPアドレスを対応させる 1対1のNATを指して説明されることがよくあります。

1対1のNATでは、端末ごとに対応するグローバルIPアドレスが必要です。 そのため、グローバルIPアドレスを大きく節約する用途には向きません。

NAPTの仕組み

NAPTは Network Address Port Translation の略です。 製品や資料によっては、PATやIPマスカレードと呼ばれることもあります。

NAPTでは、同じグローバルIPアドレスを使いながら、変換後のポート番号を通信ごとに変えます。 ルーターはポート番号を手掛かりに、戻ってきた通信をどの端末へ渡すか判断します。

2台とも同じWebサーバーへアクセスし、偶然同じ送信元ポート番号を使っていたとしても、 ルーターが外側のポート番号を 40001 と 40002 に分ければ識別できます。

NATとNAPTの違い

インターネットへ送信するときの流れ

PCがHTTPSを使ってWebサーバーへアクセスする例で、NAPTの処理を追ってみましょう。

1. PCがWebサーバー宛てのパケットを作る 送信元は 192.168.1.10:51500、宛先は 203.0.113.10:443 です。
2. PCがデフォルトゲートウェイへパケットを渡す 宛先は自分と異なるネットワークにあるため、PCはルーターへ送ります。
3. ルーターが送信元情報を変換する 送信元を 198.51.100.20:40001 へ書き換えます。
4. ルーターが変換内容をテーブルへ記録する 40001 宛ての戻り通信は 192.168.1.10:51500 へ戻す、と記録します。
5. 変換後のパケットをインターネットへ送る Webサーバーから見ると、通信相手はルーターのグローバルIPアドレスです。

戻り通信が端末へ届く流れ

Webサーバーは、受信したパケットの送信元である 198.51.100.20:40001 へ応答を返します。 Webサーバーは、内部のPCが 192.168.1.10 であることを知りません。

1. WebサーバーがルーターのグローバルIPへ応答する 送信元は 203.0.113.10:443、宛先は 198.51.100.20:40001 です。
2. ルーターがNAPT変換テーブルを確認する 外側ポート 40001 に対応する内部通信を探します。
3. 宛先を内部PCの情報へ戻す 宛先を 192.168.1.10:51500 へ書き換えます。
4. ルーターがPCへパケットを転送する PCは自分が開始したHTTPS通信の応答として受け取ります。

NAPT変換テーブルの見方

ルーターは通信ごとの対応関係を、NAPT変換テーブルやセッションテーブルへ記録します。 製品によって表示名や項目は異なりますが、考え方は共通です。

ルーターはIPアドレスだけでなく、プロトコル、ポート番号、通信状態、一定時間通信がない場合の期限なども管理します。

なぜ変換情報に有効期限があるのか

使い終わった通信の情報を永久に残すと、テーブルが増え続けてしまいます。 そこで通信が終了した場合や、一定時間パケットがない場合に、古い変換情報を削除します。

静的NAT・動的NAT・NAPT

アドレス変換には複数の方式があります。初級では、次の3つを区別できれば十分です。

外部から内部へ通信する場合

内部端末が先に通信を開始した場合、ルーターは変換テーブルを作成できるため、戻り通信を正しく届けられます。

一方、インターネット側の端末が、変換テーブルに存在しない通信を突然送ってきた場合、 ルーターは内部のどの端末へ転送すればよいか判断できません。

ポートフォワーディング

外部から内部のサーバーへ通信させたい場合は、 「外側の特定ポートへ届いた通信を、内部の特定IPアドレスとポートへ転送する」設定を行います。 これをポートフォワーディングやポート転送と呼びます。

NATとセキュリティの関係

NAPTを使うと、内部端末のプライベートIPアドレスはインターネット側から直接見えません。 また、対応する変換情報がなければ、外部から突然届いた通信を内部端末へ転送できないことがあります。

この動作は結果として外部からの通信を受けにくくしますが、 NATそのものをファイアウォールや暗号化機能と同じものだと考えてはいけません。

現場でNAT・NAPTを確認する場面

NATとNAPTに関するよくある勘違い

自分の言葉で説明する課題

最後に、ITを知らない人へ説明するつもりで答えてみましょう。