NATは何をしているのか：基本イメージ
ネットワークアドレス変換（NAT）は、通信の送信元または宛先となるIPアドレス（場合によってポートも）を、別のアドレスに書き換える仕組みです。クラウド環境では、内部ネットワーク（仮想ネットワークやサブネットに相当する領域）の端末が外部と通信するときに、内部のIPをそのまま外へ出さず、代わりに外側で使われるアドレスでやり取りする構成がよく見られます。
この「書き換え」によって、外部から見ると内部端末が“そのままの姿”では認識されにくくなります。言い換えると、NATはネットワークの見え方を調整し、結果として内部の識別性を下げる方向に働くことがあります。
仕組み：アドレスと対応づけ（テーブル）の考え方
NATが実施する中心は、通信ごとの“対応づけ”です。典型的には次の流れになります。
- 内部端末が外部へ通信を開始する
- NAT機器（またはNAT機能）が、送信元IP（必要に応じてポートも）を外側のアドレスに置き換える
- 外部から返ってきた通信は、NAT側が対応づけを手がかりに内部端末へ転送する
この対応づけはNATテーブルのような管理情報として保持され、一定時間や通信の終了に応じて更新・削除されます。したがってNATは「永続的に自由な経路を開く」のではなく、基本的には“セッション（通信のまとまり）”に沿って成立する仕組みです。
どこまでが“保護”で、どこからが別物か：制限と例外
NATがもたらす保護は、主に「見え方」と「通信の成立条件」に関するものです。重要なのは、NATが以下を自動的に満たすわけではない点です。
- 認証：NATは「誰が正当か」を検証する機構ではありません。
- 暗号化：NATは通信内容（データ）を暗号化しません。
- 脆弱性対策：サーバやアプリの穴を塞ぐわけではありません。
- アクセス制御の厳密さ：許可・拒否の方針は、別の仕組み（ファイアウォール、セキュリティグループ相当、アプリ側の制御など）で決まります。
例外として、構成によっては外部から内部側へ“受け口”が作られることがあります。たとえば、特定の宛先やポートを内部に転送する設定（ポート転送のような考え方）が入ると、NATは見え方を調整しつつも、意図した通信経路を提供してしまう可能性があります。つまり「NATがあるから安全」とは言い切れず、実際の到達性（どの通信が入りうるか）はルール設計次第になります。
実践的な確認方法：NAT“だけ”では見分けないポイント
自分の環境でNATがどの程度“保護に寄与しているか”を確かめるには、次の観点で観測すると整理しやすくなります。
- 外部から内部が直接見えるか 外部端末（別ネットワーク）から、内部側のIPをそのまま宛先にできるか、また応答が返るかを確認します。NATが効いていれば、外部から内部IP宛ての到達性は限定されることが多い一方、転送設定があれば例外がありえます。