NATとは何か：オンライン保護と関係する「到達性の調整」
ネットワークアドレス変換（NAT）は、主にルータやゲートウェイなどの境界で、通信に使われるIPアドレス（多くの場合はポート番号も含む）を別のものに置き換える仕組みです。NATが関わると、外部から見える宛先や戻り経路が「内部の実体」とは一致しにくくなります。その結果、状況によっては、外部から内部へ“そのまま”到達しにくい状態を作れます。ここで重要なのは、NATはセキュリティを目的にした暗号技術ではなく、主に通信経路と到達性のあり方を変える技術だという点です。
仕組みの基本モデル：内部→変換→外部、戻り→追跡
典型的には次の流れで理解できます。
- 内部端末（例：家庭内のPCやスマホ）が外部サーバへ接続を開始します。
- NAT機器は、その通信の発信元（内部側のIP/ポート）を、外部側で扱える別のIP/ポートへ置き換えます。
- 返答が外部から戻ってきたとき、NAT機器は「どの内部端末への通信に対応するか」を追跡し、置き換え前の宛先へ正しく振り分けます。
この「追跡」によって、内部から始まった通信に対する戻りは成立しやすくなります。一方で、外部から内部へ“誰がどの宛先なのか”が自動的に決まらない形になりやすく、結果として内部への直接到達が難しくなることがあります。
重要な制限と例外：NATは“守り”ではあるが、暗号でも認証でもない
NATが提供し得る保護は、主に到達性に関するものです。だからこそ、次の制限を押さえておくと誤解が減ります。
-
暗号化・認証の代替にはならない NATがあっても、アプリケーション層（HTTPSなど）が暗号化や認証を担わない限り、通信内容がそのまま守られるわけではありません。NATは「番地の置き換え」であり、データの中身を守る仕組みとは別です。
-
守れる範囲は“通信の方向”に強く依存する 内部から開始した通信の戻りは成立しやすい一方、外部から開始する通信は、NAT側の状態（割当の有無）や設定次第で成立しにくくなります。ただし、外部からの受け付けを明示的に許す設定があると、その限界は崩れます。
-
設定・機能によっては、保護が薄まる 代表的な例外として、外部向けに特定ポートへ割り当てる設定（いわゆる“公開”に相当するもの）や、端末側が自動で開放を要求する挙動などが挙げられます。こうした条件では、NATが「到達性を抑える」役割を十分に果たせないことがあります。
-
NATの種類（動的・静的など）で性質が変わる NATと一口に言っても、動的に割り当てる方式か、固定的に対応を作る方式かで、外部からの見え方が変わります。静的に近い対応を作るほど、到達性に関する“抑制”は弱まりやすくなります。
他の概念との違い：NATとファイアウォール、VPN、プロキシを分けて考える
NATは「境界での置換」と「到達性の調整」が中心です。