NAT 2（守りとしてのNetwork Address Translation）の位置づけ

NAT（Network Address Translation）は、通信の送受信で使われるIPアドレス（場合によってはポートも）を、ネットワーク境界で書き換える技術です。「2」の呼び方はベンダーや文脈によって意味が揺れることがありますが、少なくともここでの関心は、“NATを防御側の仕組みとしてどう考えるか”です。NATは、内部ネットワーク側のアドレスが外部から直接参照されにくくなることで、攻撃面（見え方）を減らす方向に働きます。

ただし、NATは万能な防壁ではありません。NATが通信を通す条件（どの通信を許可し、どれを遮断するか）は、実装と設定、そして「状態（セッション）」の扱いに強く依存します。したがって、守りとしてNATを理解する際は、「できること」「限界」「確認の仕方」を分けて捉えることが重要です。

仕組み：NATが書き換えるものと「状態」の役割

NATの基本は、境界装置がトラフィックを観測し、対応する変換ルールに従って送信元/宛先を別の値に置き換えることです。方式によって、主に次の要素が関わります。

  • 送信元アドレスの変換（例：内部→外部のアドレスに置換）
  • 宛先アドレスの変換（例：外部→内部の特定ホストに転送する形）
  • ポートも併せて変換するか（PAT/NAPTと呼ばれる形でよく見られます）
  • 変換の対応付けを、一定時間保持するか（状態テーブルの管理）

守りの観点では、この「状態」が鍵になります。外部から内部へ向けた通信が、何らかの条件を満たさない限り内部のホストに到達しないようにするには、そもそも変換対応が成立する必要があります。多くの構成では、内部側から開始された通信に対しては応答を許し、外部から突然開始する通信は（状態がないため）通りにくくなります。

実現できる防御効果と制限（NATだけで完結しない理由）

NATが“守り”として貢献しうる点は、主に「内部の存在を外部から直接列挙しにくい」「外部から見えるアドレスが集約される」ことです。結果として、攻撃者が内部端末を狙って直接到達するための手掛かりが減ります。

一方で、制限も明確です。

  1. NATはアクセス制御の全てではない NATはアドレス（と場合によってはポート）を変換しますが、許可/拒否のポリシーはファイアウォール機能やルール体系と結び付いて初めて完成します。NAT設定が緩い、または転送（公開）が有効になっていると、防御効果は小さくなります。

  2. “許される通信”は状態と設定に左右される 状態テーブルのタイムアウト、同時セッション数の制限、ポート割当の挙動などが、実際の安全性や可用性に影響します。さらに、応答や復帰の仕様が絡むため、「NAT＝安全」とは言い切れません。

  3. トランスポート層・アプリ層の問題は別に残る NATは主にIPレベル（必要に応じてポート）での見え方を変えます。