*NAT機器によるIPアドレス変換*

ここでは、ファイアウォールの構築でよく使用されるIPアドレス変換について説明します。
IPアドレス変換は、主に以下の2つの目的で使用されます。

以下、2人の会話をご覧ください。

後輩 せんぱ～い (^ー^*)
先輩 ん、どうした～？
後輩 いま読んでいる資料に「なっと」っていうのがあるんですけど、何のことだか分かります？
先輩 「ナット」？ あぁ、「NAT」のことね。NATは「Network Address Translation」の略で、パケットのIPアドレスを変換する機能のことだよ。
後輩 「変換」っていうことは、IPアドレスを何かに書き換えるんですか？
先輩 そうだね。例として、下の図を見てみそ(．．)

NAT図1

後輩 ふむふむ( ゜゜)。。。割と仕組みは単純なんですね。
ホストBから見ると、「A.A.A.A」ではなくて「X.X.X.X」というホストと通信しているように見えるわけですね。
先輩 おお、なかなか飲み込みが早いね。実際にはパケットのチェックサムなど別のところも書き換えるんだけど、使うときにはIPアドレスのところだけを考えればイイんだ。
後輩 了解です(^-^ゞ
ところで、仕組みは分かったんですけど、この機能は何に使えばいいんでしょう（？_？）
先輩 う～ん、汎用的な技術なので特に決まった用途があるわけじゃないけど、例えば以下のようなケースが考えられるね(．．)

NAT図2

後輩 う～ん、よく分かんない。。。（＠＿＠）
NATしなくても、そのまま通信すればいいんじゃないですか？
先輩 いや、インターネット側と内部側のアドレス体系が違うから、それは無理なんだ。
後輩 （？＿？）
先輩 たぶん習ったと思うけど、IPアドレスというのはネットワーク的に個々の機器を識別するために割り当てるものだろう？
後輩 はい、習いました。
先輩 つまり、繋がっているネットワークの間では全体でIPアドレス割り当てのルールを決めて、それに従う必要があるよね？
後輩 はい、そうしないとお互いのIPアドレスが分からなかったり、重複したりしちゃいますよね。
先輩 逆に、繋がっていないネットワークの間では、繋がっていないわけだからお互いが好き勝手にルールを決めても問題ないわけだ。
後輩 ごもっともです。
先輩 仮に、もしそういう無関係なネットワーク同士を繋げることになったら、どうしたらいいと思う？
後輩 えっと、そのまま繋げるのは出来ないので、、、一方が片方のルールに従うように変更するか、新しいルールを作って両方がそれに従うか、の二択しかないと思うんですけど。。。 (;´Д`)
先輩 そうだね。上の例も、インターネットのアドレス空間と内部ネットワークを繋げるという面で、今の話と同じなんだよ。
後輩 （！＿！）
先輩 インターネット上での決まりで、以下の3種類のアドレス空間はプライベートなネットワークで自由に使っても良いことになっているので、インターネット上にはこれらのアドレス空間が存在してはいけないんだ。
後輩 そっか！（・０・☆）
お互いにアドレス空間が全く違うので、そのまま繋ぐだけじゃダメなんですね？
先輩 そう(￣ー￣)
後輩 なので、さっきの話と同じようにアドレス空間を合わせる必要があると。
先輩 そうそう(￣ー￣)(￣ー￣)
後輩 でも、インターネット側のアドレス空間を変えるなんて無理な話なので、どちらかといえば内部側で合わせてあげる必要があると。
先輩 そうそうそう(￣ー￣)(￣ー￣)(￣ー￣)
後輩 でもでも、もう内部のネットワークは稼動しちゃっているので、今さら構成は変えたくないんですよね？
先輩 そうそうそうそう(￣ー￣)(￣ー￣)(￣ー￣)(￣ー￣)
そこでつじつまを合わせるには、両者の間に何らかの変換器が必要になるんだ。
後輩 そっか！（・０・☆）プロバイダからもらったグローバルIPアドレスと内部のサーバで1対1のアドレス変換を定義すれば、全く構成を変えずにサーバをインターネットから見えるように構築できるんですね！
先輩 そうそうそうそうそう(￣ー￣)(￣ー￣)(￣ー￣)(￣ー￣)(￣ー￣)
つまり、こんな感じね(．．)

NAT図3

後輩 せんぱい！
NATって便利ですね～(^ー^*)
先輩 うんうん、そりゃよかったね～（ ´ー｀）
PCとルータを貸してあげるから、忘れないうちにラボで検証してみそ。
後輩 わっかりました。
行ってきま～す(たったったっ。。。。)
先輩 ふぅ、行ったか。。。
俺にも、あんな時代があったな～(しみじみ)

以下、「NAT機器によるポートアドレス変換」につづく。。。

ネットワークセキュリティ関係者の部屋 > ネットワークセキュリティ実践劇場 > NAT機器によるIPアドレス変換