NATとは何か：攻撃対策としての位置づけ

ネットワークアドレス変換（NAT）は、通信の送信元または宛先（少なくとも一方）に関わるIPアドレスを、ルータやゲートウェイ装置の側で別の値に書き換える仕組みです。外部ネットワークから見たときに、内部端末の実IPアドレスがそのまま露出しにくくなるため、「攻撃対象が直接見える／直接届く状態」を緩和し、結果として攻撃されにくさにつながることがあります。

ただし、NATは“安全装置”ではなく、主にアドレス事情（IP枯渇対応やネットワーク分離）や通信の成立のための技術です。防御の効果は、NAT単体というより「境界でどういう通信を許可し、どこまで公開しているか」という設計とセットで決まります。

仕組み：変換とセッション管理で何が変わるか

NATが働くと、外部から見える送信元（または宛先）は内部端末のアドレスではなく、NAT装置側のアドレスになります。このため、外部ホストは「内部のどの端末宛てか」を、そのままの形で特定しにくくなります。

さらに多くの実装では、通信の成立に必要な情報をセッション（変換テーブル）として一時的に保持し、対応する往復の整合を取ります。たとえば、内部端末が外部へ接続を開始した場合、NATはその通信を追跡し、対応する応答を内部へ戻すことができます。逆に、内部からの接続が先に成立していないにもかかわらず、外部から内部端末へ“直接”届く形の通信は、変換テーブルに対応がなければ通りにくくなります。

この「内部から始まる通信は成立しやすい／対応がなければ成立しにくい」という性質が、攻撃に対する間接的な抑止要素になります。

制限と例外：NATでは防げないこと、設計で逆効果になること

NATの限界は大きく、代表的には次の点です。

  • 侵入の本質は“到達性”だけで決まらない：内部端末に脆弱性があれば、外部から到達できてしまう経路（別の公開方法、管理系の露出など）がある限り、NATで自動的に防げるわけではありません。
  • ポート開放（転送）があると条件が変わる：必要なサービスを外部へ提供するために、NAT越しの転送（公開）を行う場合があります。ここで公開対象や許可範囲が広いと、外部から内部へ到達できる通信が増え、抑止効果は弱まります。
  • 通信の“向き”やプロトコル特性で成立可否が変わる：関連する通信要件（例：特殊な制御情報を含むもの、アプリが期待するアドレス情報を必要とするもの）によっては、NAT越しにうまく動かないことがあります。これは防御というより互換性の問題ですが、運用変更が必要になり、その変更が防御に影響することもあります。
  • 攻撃者が“手段”を変える：NATが内部アドレスを隠しても、攻撃者がNAT装置経由で許可されている通信を狙ったり、公開された経路を利用したりする可能性は残ります。