NATとは何ですか？

ネットワークアドレス変換（NAT）とは、トラフィックがデバイスを通過する際に、パケットヘッダー内のIPアドレスを書き換え、あるアドレス空間のアドレスを別のアドレス空間のアドレスにマッピングする処理のことです。これにより、未登録のプライベートIPアドレスで構成されたネットワークが、少数の共有パブリックアドレスを通じてパブリックインターネットに接続できるようになります。

主なポイント

• NATは、パケットがデバイスを経由する際に、送信元または宛先のIPアドレスを書き換えます。
• 静的NATでは、1つのプライベートアドレスを1つのパブリックアドレスに恒久的に割り当てます。
• ダイナミックNATとNAPTは、多数のホスト間でパブリックIPアドレスのプールを共有します。
• NATは、希少なパブリックIPv4アドレスを節約し、内部のトポロジーを隠蔽します。
• Versa VOS上のCGNATプールおよびルールを通じて、すべてのNATモードを設定します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ NAT およびVersa · よくある質問

NATはなぜ重要なのでしょうか？

NATは、業界がIPv6への移行を完了するはるか以前にIPv4アドレスの枯渇問題を解決しましたが、その移行が依然として完了していない主な理由の一つもNATにあります。組織は、すべてのデバイスに希少なパブリックIPv4アドレスを割り当てる代わりに、内部ホストにはプライベートアドレス範囲を割り当て、ネットワークエッジでのみ変換を行うことで、オフィスや加入者ベース全体で少数のパブリックアドレスを共有しています。

セキュリティ上の利点は、アドレス指定上の利点と切り離して考えることはできません。内部アドレスはパブリックインターネット上に決して現れないため、NATは外部の観察者からネットワークのトポロジーを隠蔽します。また、要求されていない着信接続には利用可能なマッピングが存在しないため、NATは基本的なフィルタとしての役割も果たします。そのため、今日では家庭用ルーターから通信事業者のコアネットワークに至るまで、ほぼすべてのネットワークエッジにNATが導入されています。

NATとは何ですか？

NAT対応デバイス（ルーター、ファイアウォール、SD-WANアプライアンスなど）は、パケットが通過する際に、パケットヘッダー内の送信元または宛先のIPアドレス（多くの場合、ポート番号も）を上書きし、そのマッピング情報を追跡することで、返信トラフィックが正しく戻ってくるようにします。このデバイスは、どのトラフィックを変換するか、および変換先のアドレスプールを定義するルールを参照します。

ほとんどの実装には、2つの特性があります。それは、どのアドレスが書き換えられるか（送信元、宛先、あるいはその両方）と、1つのパブリックアドレスに対していくつのプライベートアドレスが共有されるか（1対1の静的マッピングか、多対少の動的共有か）です。 多数のアドレスが少数のパブリックアドレスを共有する場合、デバイスは送信元ポートも書き換えます（ネットワークアドレスおよびポート変換：NAPT）。これにより、1つのアドレス上で数千もの同時セッションを区別します。セッションがアイドル状態になると、タイムアウトによってマッピングが解放されます。

NATの種類

4つの主要なモードが、ほとんどの導入環境をカバーしています。静的（基本）NATは、1つのプライベートアドレスを1つのパブリックアドレスに恒久的にマッピングします。これは、サーバーなどのホストが、一貫した外部アドレスで常に到達可能でなければならない場合に使用されます。動的NATは、必要に応じてプールからパブリックアドレスを割り当て、セッション終了時にそれを解放しますが、いかなる時点でも1対1の対応関係を維持します。NAPT（ポートアドレス変換とも呼ばれる）は、送信元ポートも書き換えることで、1つのパブリックアドレスを多数のホスト間で共有します。これは、家庭やオフィスの接続の多くで採用されているモードです。宛先NAT（DNAT）は、送信元ではなく宛先を書き換えるもので、ポートフォワーディング（内部サーバーをパブリックアドレスとポートで公開すること）に一般的に使用されます。

より大規模なレベルでは、キャリアグレードNAT（CGNAT）は、プロバイダが運用する共有プールから、加入者全体に対してNAPTを適用するものであり、その特徴は十分に独特であるため、用語集に独立した項目が設けられている。

NAT &Versa

Versa 上記のすべてのNATモードを、単一の構成可能なサービスとして実装しています。VOSデバイスでは、管理者はDirectorでCGNATプールとルールを設定し、ルールごとにNATモード（Basic NAT-44、DNAT-44、Dynamic NAT-44、NAPT-44、および2段階NATのバリエーション）を選択します。これは、単一の支店での導入であっても、プロバイダ規模の展開であっても同様です。 同じルールエンジンが、ステートレスな IPv6 プレフィックス変換のための NPT-66 や、IPv6 専用クライアントと IPv4 専用サーバー間の相互運用を実現する NAT64/DNS64 も処理します。

Concertoでは、これに相当する機能として、SD-WANのメインテンプレートに組み込まれたCGNATポリシーがあり、完全な宛先NATルールを設定することなく内部サービスを公開することを簡素化する「ポートフォワーディング」モードが追加されています。NATは、FTP、SIP、TFTPなど、ペイロード内にアドレスを埋め込む一部のプロトコルのアドレスを書き換えてしまうため、Versa では、NATルールとアプリケーション層ゲートウェイポリシーを組み合わせることで、これらのプロトコルが変換された経路でも正常に動作し続けるようにしています。Versaの記事ダイジェストでは、NAT設定の手順やCLI検証コマンドが公開されるたびに追跡しています。

よくある質問

NATとCGNATの違いは何ですか？

NATは一般的なアドレス変換メカニズムであり、CGNATはキャリア規模で適用されるNATであり、大規模なNAPTを用いて、数千人の加入者間で1つのパブリックIPアドレスプールを共有するものです。通常のNATは、通常、1つのゲートウェイの背後に存在する1つの組織にサービスを提供しますが、CGNATはプロバイダによって運用され、互いに関係のない加入者間で共有されます。

ソースNATと宛先NATの違いは何ですか？

ソースNATは、パケットの送信元アドレスを書き換えるもので、通常はプライベートネットワークからインターネットへ送信されるアウトバウンドトラフィックに対して行われます。宛先NATは、宛先アドレスを書き換えるもので、通常は内部サーバーに到達するインバウンドトラフィックに対して行われます。これは、ポートフォワーディングや内部サービスを外部に公開するための仕組みです。

なぜNATは一部のアプリケーションプロトコルを正常に動作させないのでしょうか？

FTP、SIP、TFTPなど、ペイロード内にIPアドレスやポートを埋め込むプロトコルは、プレーンNATの下では正常に動作しません。これは、NATデバイスがパケットのヘッダーのみを書き換え、ペイロードの内容は書き換えないためです。アプリケーション層ゲートウェイは、これらの埋め込まれたアドレスを検査・書き換え、一致するファイアウォールのピンホールを動的に開放します。

NATはそれ自体でセキュリティを確保できるのでしょうか？

NATには付随的なセキュリティ機能があります。つまり、要求されていない着信接続には従うべき既存の変換マッピングが存在しないため、デフォルトではその接続は切断されます。ただし、これはファイアウォールの代わりになるものではありません。ステートフル検査、アクセスルール、脅威防止機能によって、依然として意図的なセキュリティ対策が実施されます。

IPv6が登場した今、NATは依然として必要なのでしょうか？

はい、当面の間はそうでしょう。ほとんどのネットワークはデュアルスタックを採用しているか、あるいはIPv4のみのままであり、NATによって依然としてプライベートIPv4ネットワークがパブリックインターネットに接続されています。さらに、NAT64により、IPv6のみのクライアントでも、完了までに数年を要すると思われる移行期間中、残存するIPv4のみのサービスにアクセスできるようになります。

NATに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

NATについて調べているなら、次はこれらもぜひチェックしてみてください。