{"schema":"article/1","id":"art_8b7aea1255","owner":"u_owner","status":"published","visibility":"public","version":1,"title":"書き換えた住所は、戻せるように覚えておく","rawTitle":"書き換えた住所は、戻せるように覚えておく","slug":"nw-basics-08-nat","file":"ネットワーク_08_NAT","relPath":"content/published/ネットワーク_08_NAT.md","aliases":[],"kind":"published","area":"tech","topic":"ネットワーク","category":"ネットワーク","tags":["ネットワーク","nat","インターネット","concept"],"summary":"支店の PC が外のサーバを見に行くとき、ルータが送信元の住所とポート番号を書き換えて変換表に 1 行覚え、帰りに書き戻すまでを 1 枚の図で追う","date":"2026-09-14","updated":"2026-09-14","links":["nw-basics-index","nw-basics-00-three-layers","nw-basics-07-internet","nw-basics-09-acl","nw-basics-10-gre","nw-basics-11-ipsec"],"blocks":[{"id":"blk_5629df","type":"paragraph","markdown":"図 7 では、支店からデータセンターへ社内の住所のまま送ると、プロバイダのルータで止まりました。","text":"図 7 では、支店からデータセンターへ社内の住所のまま送ると、プロバイダのルータで止まりました。","line":2,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_d64811","type":"paragraph","markdown":"それなのに、同じ支店の PC は普通にウェブを見られます。\n図 7 の注では、その理由をルータの書き換えとして 1 行だけ置きました。\nこの記事は、その書き換えを扱います。\n図 7 で挙げた 3 つの問題のうち、解けるのは「社内専用の住所はインターネットでは運ばれません」の、外のサーバへ行く分だけです。","text":"それなのに、同じ支店の PC は普通にウェブを見られます。\n図 7 の注では、その理由をルータの書き換えとして 1 行だけ置きました。\nこの記事は、その書き換えを扱います。\n図 7 で挙げた 3 つの問題のうち、解けるのは「社内専用の住所はインターネットでは運ばれません」の、外のサーバへ行く分だけです。","line":4,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_bb713c","type":"paragraph","markdown":"この連載は、ネットワークの言葉を 3 つの層に置いて読みます。\nもの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。","text":"この連載は、ネットワークの言葉を 3 つの層に置いて読みます。\nもの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。","line":9,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_34ba84","type":"heading","depth":2,"markdown":"## 登場するもの","text":"登場するもの","line":12,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_d82840","type":"heading","depth":4,"markdown":"#### 変換表（NAT テーブル）","text":"変換表（NAT テーブル）","line":14,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_6e01d7","type":"paragraph","markdown":"論理のものです。\nルータの中にできる、もう 1 つの表です。\n書いてあるのは「内側の住所とポート番号」と「書き換えた後の外側の住所とポート番号」の対応で、帰りの通信をこの表で逆に引いて書き戻します。","text":"論理のものです。\nルータの中にできる、もう 1 つの表です。\n書いてあるのは「内側の住所とポート番号」と「書き換えた後の外側の住所とポート番号」の対応で、帰りの通信をこの表で逆に引いて書き戻します。","line":16,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_f9ccc9","type":"heading","depth":4,"markdown":"#### 内側ローカルと内側グローバル","text":"内側ローカルと内側グローバル","line":20,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_51b19f","type":"paragraph","markdown":"内側ローカルは、社内で実際に使っている住所です。\n内側グローバルは、書き換えた後の外向けの住所です。\n外のサーバに見えるのは後者だけです。","text":"内側ローカルは、社内で実際に使っている住所です。\n内側グローバルは、書き換えた後の外向けの住所です。\n外のサーバに見えるのは後者だけです。","line":22,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_19fe54","type":"heading","depth":4,"markdown":"#### ポート番号","text":"ポート番号","line":26,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_dd4b8c","type":"paragraph","markdown":"TCP や UDP が持つ番号で、1 台の機器の中でどの通信かを見分けるために使います。\nウェブの既定は 80 です。\n図 5 では、ルータが見るのは IP の部分だけだと書きました。\nNAT はその後ろのポート番号まで見て書き換えます。","text":"TCP や UDP が持つ番号で、1 台の機器の中でどの通信かを見分けるために使います。\nウェブの既定は 80 です。\n図 5 では、ルータが見るのは IP の部分だけだと書きました。\nNAT はその後ろのポート番号まで見て書き換えます。","line":28,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_529da1","type":"heading","depth":4,"markdown":"#### 内側の送信元を書き換える NAT の 3 種","text":"内側の送信元を書き換える NAT の 3 種","line":33,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1c1ee8","type":"list","markdown":"- 静的 NAT は、住所だけを 1 対 1 で置き換えます。人が 1 行書き、その行はずっと残ります（ポート番号まで固定で結ぶ書き方もありますが、この図では扱いません）。\n- 動的 NAT は、用意しておいた外側の住所の集まりから 1 つ割り当てます。行は通信の開始でできて、終了で消えます。同時に使えるのは住所の数までです。\n- PAT は、1 つの外側の住所をポート番号で共用します。ポート番号が違えば何台でも同じ外側の住所を使えます。この図の ② はこれです。","text":"静的 NAT は、住所だけを 1 対 1 で置き換えます。人が 1 行書き、その行はずっと残ります（ポート番号まで固定で結ぶ書き方もありますが、この図では扱いません）。動的 NAT は、用意しておいた外側の住所の集まりから 1 つ割り当てます。行は通信の開始でできて、終了で消えます。同時に使えるのは住所の数までです。PAT は、1 つの外側の住所をポート番号で共用します。ポート番号が違えば何台でも同じ外側の住所を使えます。この図の ② はこれです。","line":35,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_118c7a","type":"heading","depth":2,"markdown":"## 結びつき","text":"結びつき","line":39,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_8b89f0","type":"list","markdown":"- インターフェース ⇄ 内側と外側の役は手動です。どちらの口が内側でどちらが外側かを人が指定します。この指定が無いと変換は起きません。\n- 内側の住所とポート番号 ⇄ 外側の住所とポート番号は、静的 NAT では手動です。動的 NAT と PAT では、通信の開始で自動に行ができます。\n- ルーティングテーブルとは結び付きません。NAT で行が増えるのは変換表だけで、経路の行は図 7 のままです。","text":"インターフェース ⇄ 内側と外側の役は手動です。どちらの口が内側でどちらが外側かを人が指定します。この指定が無いと変換は起きません。内側の住所とポート番号 ⇄ 外側の住所とポート番号は、静的 NAT では手動です。動的 NAT と PAT では、通信の開始で自動に行ができます。ルーティングテーブルとは結び付きません。NAT で行が増えるのは変換表だけで、経路の行は図 7 のままです。","line":41,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_df21fc","type":"heading","depth":2,"markdown":"## 通信フロー","text":"通信フロー","line":45,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_c03732","type":"paragraph","markdown":"支店の A（192.168.10.10）から、外のサーバ（192.0.2.50）のウェブを見に行き、返事が戻るまでです。","text":"支店の A（192.168.10.10）から、外のサーバ（192.0.2.50）のウェブを見に行き、返事が戻るまでです。","line":47,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_bd8732","type":"paragraph","markdown":"① A は宛先 192.0.2.50 が自分のネットワーク外なので、デフォルトゲートウェイ（ルータ 1）へ送ります。図 5・図 7 の ① と同じです。","text":"① A は宛先 192.0.2.50 が自分のネットワーク外なので、デフォルトゲートウェイ（ルータ 1）へ送ります。図 5・図 7 の ① と同じです。","line":49,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_66d19d","type":"paragraph","markdown":"② ルータ 1 は外側の口から出すときに、送信元を 192.168.10.10 のポート番号 50000 から 203.0.113.10 のポート番号 51001 に書き換え、変換表に 1 行書きます。","text":"② ルータ 1 は外側の口から出すときに、送信元を 192.168.10.10 のポート番号 50000 から 203.0.113.10 のポート番号 51001 に書き換え、変換表に 1 行書きます。","line":51,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_f466d6","type":"paragraph","markdown":"③ 宛先も送信元もグローバル IP なので、インターネットは運べます。図 7 の ③ で捨てられたのは、宛先が社内専用の住所だったからです。","text":"③ 宛先も送信元もグローバル IP なので、インターネットは運べます。図 7 の ③ で捨てられたのは、宛先が社内専用の住所だったからです。","line":53,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_349032","type":"paragraph","markdown":"④ サーバは返事を 203.0.113.10 のポート番号 51001 あてに返します。サーバが知っているのは書き換えた後の住所だけです。","text":"④ サーバは返事を 203.0.113.10 のポート番号 51001 あてに返します。サーバが知っているのは書き換えた後の住所だけです。","line":55,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_98eeef","type":"paragraph","markdown":"⑤ ルータ 1 は変換表を逆に引いて、宛先を 192.168.10.10 のポート番号 50000 に書き戻し、内側へ転送します。","text":"⑤ ルータ 1 は変換表を逆に引いて、宛先を 192.168.10.10 のポート番号 50000 に書き戻し、内側へ転送します。","line":57,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_3617e1","type":"heading","depth":2,"markdown":"## 図 8","text":"図 8","line":59,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_91016a","type":"paragraph","markdown":"図の上半分が構成図と 3 種の分け方、下半分が各テーブルの推移と通信の中身の推移です。","text":"図の上半分が構成図と 3 種の分け方、下半分が各テーブルの推移と通信の中身の推移です。","line":61,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_8f7bf7","type":"html","markdown":"\n \n NAT：外へ出るときに送信元の住所を書き換え、戻せるように覚えておく\n 図 7 の問題 2（社内専用の住所はインターネットで運ばれない）のうち、外のサーバへ行く分だけを解く\n \n 支店（自分のもの）\n \n インターネット（他人のもの）\n \n 外のサーバ（相手のもの）\n \n PC-A\n 192.168.10.10\n GW 192.168.10.1\n \n \n ルータ 1\n Gi0 192.168.10.1\n （内側 ip nat inside）\n Gi1 203.0.113.10\n （外側 ip nat outside）\n Gi0\n Gi1\n \n \n ISP-1\n プロバイダのルータ\n 203.0.113.1\n \n \n ISP-2\n 他人の\n ルータ\n \n \n 外のサーバ\n 192.0.2.50\n ウェブ（ポート番号 80）\n \n 1\n \n 2\n \n 3\n \n 4\n \n 5\n ② ここで送信元を書き換える\n 送信元も宛先もグローバル IP なので運べる\n サーバに社内の住所は見えない\n 内側の送信元を書き換える NAT の 3 種（この図の ② でどれを使うか）\n \n 静的 NAT（1 対 1・固定）\n 人が 1 行書く（手動）\n 住所だけを 1 対 1 で置き換える\n （ポート番号まで固定で結ぶ書き方\n 　もあるが、この図では扱わない）\n 行はずっと残る\n 外から中へ入る用途にも使える\n \n 動的 NAT（プール）\n 外側の住所を何個か用意しておく\n 通信の開始で 1 つ割り当てる\n 行は自動でできて、通信が\n 　終わると消える\n 同時に使えるのは住所の数まで\n \n PAT（1 つの外側 IP を共用）\n 住所とポート番号の組で覚える\n ポート番号が違えば、同じ外側 IP\n 　を何台でも共用できる\n 行は通信の開始で自動にできる\n この図の ② はこれ\n フロー\n ① A は宛先 192.0.2.50 が自分のネットワーク外なので、デフォルトゲートウェイ（ルータ 1）へ送る　＝図 5・図 7 の ① と同じ\n ② ルータ 1 は外側の口（Gi1）から出すときに、送信元を 192.168.10.10:50000 から 203.0.113.10:51001 に書き換え、変換表に 1 行書く\n ③ 宛先も送信元もグローバル IP なので、インターネットは運べる。図 7 の ③ で捨てられたのは、宛先が社内専用の住所だったから\n ④ サーバは返事を 203.0.113.10:51001 あてに返す。サーバが知っているのは書き換えた後の住所だけで、192.168.10.10 は見えない\n ⑤ ルータ 1 は変換表を逆に引いて、宛先を 192.168.10.10:50000 に書き戻し、内側へ転送する\n 3 層で見ると\n もの：変換表（NAT テーブル。論理）。内側ローカル＝社内の実際の住所、内側グローバル＝書き換えた後の外向けの住所\n 結びつき：インターフェース ⇄ 内側／外側の役（手動）。内側の住所＋ポート番号 ⇄ 外側の住所＋ポート番号（静的は手動、動的と PAT は通信で自動）\n フロー：図 5 の「宛先 IP・送信元 IP は端から端まで変わらない」が、NAT を通す区間で崩れる。MAC の付け替えは図 5 のまま\n 図 7 の 3 つの問題のうち、解けるのは問題 2 の「外向き」だけ。支店とデータセンターの社内住所同士をつなぐ話（図 10 の GRE・図 11 の IPsec）は別の道具\n 図の 192.0.2.50 も説明用に予約された番地（RFC 5737）。203.0.113.x は図 7 と同じ\n\n各テーブルの推移（変換表だけは、人が書く行と通信でできる行の両方がある）\n前提: ルータ 1 に PAT（1 つの外側 IP を共用）が設定してあり、Gi0 を内側・Gi1 を外側と指定済み\n \n ルータ 1: 変換表（NAT テーブル）\n ② 追加: 内側 192.168.10.10:50000\n 　　　　⇄ 外側 203.0.113.10:51001\n 　　　　（相手 192.0.2.50:80）\n ⑤ この行を逆に引いて書き戻す\n 通信が終わると消える（動的・PAT）\n \n ルータ 1: ルーティングテーブル\n 192.168.10.0/24 → Gi0（自動）\n 203.0.113.0/24 → Gi1（自動）\n 0.0.0.0/0 → 203.0.113.1（手動）\n 図 7 と同じ。NAT では行は増えない\n \n ルータ 1: ARP テーブル\n ① 追加: 192.168.10.10 → MAC A\n ② 追加: 203.0.113.1 → MAC ISP-1\n \n インターフェースの役（手動で指定）\n Gi0（内側）: ip nat inside\n Gi1（外側）: ip nat outside\n この指定が無いと変換は起きない\n \n 外のサーバから見えるもの\n 相手の IP は 203.0.113.10\n 相手のポート番号は 51001\n 192.168.10.10 は見えない\n通信の中身の推移（フローごとのフレーム／パケット）\n ① PC-A → ルータ 1（内側の区間）\n \n 宛先 MAC\n MAC R1-Gi0\n \n 送信元 MAC\n MAC A\n \n 宛先 IP\n 192.0.2.50\n \n 送信元 IP\n 192.168.10.10\n \n 送信元ポート番号\n 50000\n \n 宛先ポート番号\n 80\n \n データ\n ウェブ\n \n フレーム＝全部。ただしスイッチが見るのは MAC とタグの部分だけ\n \n パケット＝この部分。NAT を使うルータは、IP とその後ろのポート番号まで見る\n ② ルータ 1 → ISP-1（外側の区間・送信元 IP と送信元ポート番号が書き換わる）\n \n 宛先 MAC\n MAC ISP-1\n \n 送信元 MAC\n MAC R1-Gi1\n \n 宛先 IP\n 192.0.2.50\n \n 送信元 IP\n 203.0.113.10\n \n 送信元ポート番号\n 51001\n \n 宛先ポート番号\n 80\n \n データ\n ウェブ\n ③ インターネットの中\n 宛先がグローバル IP なので運ばれる。送信元も書き換え済みなので、返事の宛先もグローバル IP になり、戻ってこられる\n ④ サーバ → ルータ 1（外側の区間・返事）\n \n 宛先 MAC\n MAC R1-Gi1\n \n 送信元 MAC\n MAC ISP-1\n \n 宛先 IP\n 203.0.113.10\n \n 送信元 IP\n 192.0.2.50\n \n 送信元ポート番号\n 80\n \n 宛先ポート番号\n 51001\n \n データ\n 返事\n ⑤ ルータ 1 → PC-A（内側の区間・宛先 IP と宛先ポート番号が書き戻る）\n \n 宛先 MAC\n MAC A\n \n 送信元 MAC\n MAC R1-Gi0\n \n 宛先 IP\n 192.168.10.10\n \n 送信元 IP\n 192.0.2.50\n \n 送信元ポート番号\n 80\n \n 宛先ポート番号\n 50000\n \n データ\n 返事\nNAT は IP の部分だけでなく、その後ろの TCP/UDP のポート番号まで見て書き換える。IP だけを見ていた図 5 との違い\n図 5 では「宛先 IP・送信元 IP は端から端まで変わらない」と書いた。NAT を通す区間では、行きで送信元側が、帰りで宛先側が書き換わる\n外側のポート番号はルータが選ぶ。内側と同じ番号をそのまま使おうとする実装もある（RFC 4787 4.2.1）。\n　ただし、ぶつかったときも同じ番号にし続ける使い方（ポート多重）は禁止されている（同 REQ-3）\nルータの中の順序（内側 → 外側）: 入口の ACL → 経路探し → 変換 → 出口の ACL\n　帰り（外側 → 内側）は 入口の ACL → 変換 → 経路探し → 出口の ACL で、変換のほうが先に来る\n未検証: プールを使い切ったときの挙動（infraexpert の動的 NAT ページに記述なし）\n出典（NAT と NAPT の定義）: RFC 3022 https://www.rfc-editor.org/rfc/rfc3022.html\n出典（NAPT はポート番号も変換するので 1 つのグローバル IP を共用できる）: https://www.infraexpert.com/study/ip11.5.html\n出典（内部ローカル・内部グローバル、ip nat inside / ip nat outside）: https://www.infraexpert.com/study/natz0.html\n出典（動的 NAT の行は通信の開始ででき、終了で消える）: https://www.infraexpert.com/study/natz1.html\n出典（外側ポート番号の選び方・ポート多重の禁止）: RFC 4787 4.2.1 / REQ-3 https://www.rfc-editor.org/rfc/rfc4787.html\n出典（ルータの中の順序）: Cisco Understand the NAT Order of Operation\n　https://www.cisco.com/c/en/us/support/docs/ip/network-address-translation-nat/6209-5.html\n出典（ウェブの既定のポート番号が 80）: RFC 9110 4.2.1 https://www.rfc-editor.org/rfc/rfc9110.html\n\n## 図 7・図 9 との接続","text":"\n \n NAT：外へ出るときに送信元の住所を書き換え、戻せるように覚えておく\n 図 7 の問題 2（社内専用の住所はインターネットで運ばれない）のうち、外のサーバへ行く分だけを解く\n \n 支店（自分のもの）\n \n インターネット（他人のもの）\n \n 外のサーバ（相手のもの）\n \n PC-A\n 192.168.10.10\n GW 192.168.10.1\n \n \n ルータ 1\n Gi0 192.168.10.1\n （内側 ip nat inside）\n Gi1 203.0.113.10\n （外側 ip nat outside）\n Gi0\n Gi1\n \n \n ISP-1\n プロバイダのルータ\n 203.0.113.1\n \n \n ISP-2\n 他人の\n ルータ\n \n \n 外のサーバ\n 192.0.2.50\n ウェブ（ポート番号 80）\n \n 1\n \n 2\n \n 3\n \n 4\n \n 5\n ② ここで送信元を書き換える\n 送信元も宛先もグローバル IP なので運べる\n サーバに社内の住所は見えない\n 内側の送信元を書き換える NAT の 3 種（この図の ② でどれを使うか）\n \n 静的 NAT（1 対 1・固定）\n 人が 1 行書く（手動）\n 住所だけを 1 対 1 で置き換える\n （ポート番号まで固定で結ぶ書き方\n 　もあるが、この図では扱わない）\n 行はずっと残る\n 外から中へ入る用途にも使える\n \n 動的 NAT（プール）\n 外側の住所を何個か用意しておく\n 通信の開始で 1 つ割り当てる\n 行は自動でできて、通信が\n 　終わると消える\n 同時に使えるのは住所の数まで\n \n PAT（1 つの外側 IP を共用）\n 住所とポート番号の組で覚える\n ポート番号が違えば、同じ外側 IP\n 　を何台でも共用できる\n 行は通信の開始で自動にできる\n この図の ② はこれ\n フロー\n ① A は宛先 192.0.2.50 が自分のネットワーク外なので、デフォルトゲートウェイ（ルータ 1）へ送る　＝図 5・図 7 の ① と同じ\n ② ルータ 1 は外側の口（Gi1）から出すときに、送信元を 192.168.10.10:50000 から 203.0.113.10:51001 に書き換え、変換表に 1 行書く\n ③ 宛先も送信元もグローバル IP なので、インターネットは運べる。図 7 の ③ で捨てられたのは、宛先が社内専用の住所だったから\n ④ サーバは返事を 203.0.113.10:51001 あてに返す。サーバが知っているのは書き換えた後の住所だけで、192.168.10.10 は見えない\n ⑤ ルータ 1 は変換表を逆に引いて、宛先を 192.168.10.10:50000 に書き戻し、内側へ転送する\n 3 層で見ると\n もの：変換表（NAT テーブル。論理）。内側ローカル＝社内の実際の住所、内側グローバル＝書き換えた後の外向けの住所\n 結びつき：インターフェース ⇄ 内側／外側の役（手動）。内側の住所＋ポート番号 ⇄ 外側の住所＋ポート番号（静的は手動、動的と PAT は通信で自動）\n フロー：図 5 の「宛先 IP・送信元 IP は端から端まで変わらない」が、NAT を通す区間で崩れる。MAC の付け替えは図 5 のまま\n 図 7 の 3 つの問題のうち、解けるのは問題 2 の「外向き」だけ。支店とデータセンターの社内住所同士をつなぐ話（図 10 の GRE・図 11 の IPsec）は別の道具\n 図の 192.0.2.50 も説明用に予約された番地（RFC 5737）。203.0.113.x は図 7 と同じ\n\n各テーブルの推移（変換表だけは、人が書く行と通信でできる行の両方がある）\n前提: ルータ 1 に PAT（1 つの外側 IP を共用）が設定してあり、Gi0 を内側・Gi1 を外側と指定済み\n \n ルータ 1: 変換表（NAT テーブル）\n ② 追加: 内側 192.168.10.10:50000\n 　　　　⇄ 外側 203.0.113.10:51001\n 　　　　（相手 192.0.2.50:80）\n ⑤ この行を逆に引いて書き戻す\n 通信が終わると消える（動的・PAT）\n \n ルータ 1: ルーティングテーブル\n 192.168.10.0/24 → Gi0（自動）\n 203.0.113.0/24 → Gi1（自動）\n 0.0.0.0/0 → 203.0.113.1（手動）\n 図 7 と同じ。NAT では行は増えない\n \n ルータ 1: ARP テーブル\n ① 追加: 192.168.10.10 → MAC A\n ② 追加: 203.0.113.1 → MAC ISP-1\n \n インターフェースの役（手動で指定）\n Gi0（内側）: ip nat inside\n Gi1（外側）: ip nat outside\n この指定が無いと変換は起きない\n \n 外のサーバから見えるもの\n 相手の IP は 203.0.113.10\n 相手のポート番号は 51001\n 192.168.10.10 は見えない\n通信の中身の推移（フローごとのフレーム／パケット）\n ① PC-A → ルータ 1（内側の区間）\n \n 宛先 MAC\n MAC R1-Gi0\n \n 送信元 MAC\n MAC A\n \n 宛先 IP\n 192.0.2.50\n \n 送信元 IP\n 192.168.10.10\n \n 送信元ポート番号\n 50000\n \n 宛先ポート番号\n 80\n \n データ\n ウェブ\n \n フレーム＝全部。ただしスイッチが見るのは MAC とタグの部分だけ\n \n パケット＝この部分。NAT を使うルータは、IP とその後ろのポート番号まで見る\n ② ルータ 1 → ISP-1（外側の区間・送信元 IP と送信元ポート番号が書き換わる）\n \n 宛先 MAC\n MAC ISP-1\n \n 送信元 MAC\n MAC R1-Gi1\n \n 宛先 IP\n 192.0.2.50\n \n 送信元 IP\n 203.0.113.10\n \n 送信元ポート番号\n 51001\n \n 宛先ポート番号\n 80\n \n データ\n ウェブ\n ③ インターネットの中\n 宛先がグローバル IP なので運ばれる。送信元も書き換え済みなので、返事の宛先もグローバル IP になり、戻ってこられる\n ④ サーバ → ルータ 1（外側の区間・返事）\n \n 宛先 MAC\n MAC R1-Gi1\n \n 送信元 MAC\n MAC ISP-1\n \n 宛先 IP\n 203.0.113.10\n \n 送信元 IP\n 192.0.2.50\n \n 送信元ポート番号\n 80\n \n 宛先ポート番号\n 51001\n \n データ\n 返事\n ⑤ ルータ 1 → PC-A（内側の区間・宛先 IP と宛先ポート番号が書き戻る）\n \n 宛先 MAC\n MAC A\n \n 送信元 MAC\n MAC R1-Gi0\n \n 宛先 IP\n 192.168.10.10\n \n 送信元 IP\n 192.0.2.50\n \n 送信元ポート番号\n 80\n \n 宛先ポート番号\n 50000\n \n データ\n 返事\nNAT は IP の部分だけでなく、その後ろの TCP/UDP のポート番号まで見て書き換える。IP だけを見ていた図 5 との違い\n図 5 では「宛先 IP・送信元 IP は端から端まで変わらない」と書いた。NAT を通す区間では、行きで送信元側が、帰りで宛先側が書き換わる\n外側のポート番号はルータが選ぶ。内側と同じ番号をそのまま使おうとする実装もある（RFC 4787 4.2.1）。\n　ただし、ぶつかったときも同じ番号にし続ける使い方（ポート多重）は禁止されている（同 REQ-3）\nルータの中の順序（内側 → 外側）: 入口の ACL → 経路探し → 変換 → 出口の ACL\n　帰り（外側 → 内側）は 入口の ACL → 変換 → 経路探し → 出口の ACL で、変換のほうが先に来る\n未検証: プールを使い切ったときの挙動（infraexpert の動的 NAT ページに記述なし）\n出典（NAT と NAPT の定義）: RFC 3022 https://www.rfc-editor.org/rfc/rfc3022.html\n出典（NAPT はポート番号も変換するので 1 つのグローバル IP を共用できる）: https://www.infraexpert.com/study/ip11.5.html\n出典（内部ローカル・内部グローバル、ip nat inside / ip nat outside）: https://www.infraexpert.com/study/natz0.html\n出典（動的 NAT の行は通信の開始ででき、終了で消える）: https://www.infraexpert.com/study/natz1.html\n出典（外側ポート番号の選び方・ポート多重の禁止）: RFC 4787 4.2.1 / REQ-3 https://www.rfc-editor.org/rfc/rfc4787.html\n出典（ルータの中の順序）: Cisco Understand the NAT Order of Operation\n　https://www.cisco.com/c/en/us/support/docs/ip/network-address-translation-nat/6209-5.html\n出典（ウェブの既定のポート番号が 80）: RFC 9110 4.2.1 https://www.rfc-editor.org/rfc/rfc9110.html\n\n## 図 7・図 9 との接続","line":63,"sources":["src_1","src_2","src_3","src_4","src_5","src_6","src_7"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_a8fac9","type":"paragraph","markdown":"図 5 では「宛先 IP・送信元 IP は端から端まで変わらない」と書きました。\nNAT を通す区間では、この約束が崩れます。\n行きで送信元の側が、帰りで宛先の側が書き換わります。\nMAC の付け替えは図 5 のままで、変わるのは IP とポート番号の欄だけです。","text":"図 5 では「宛先 IP・送信元 IP は端から端まで変わらない」と書きました。\nNAT を通す区間では、この約束が崩れます。\n行きで送信元の側が、帰りで宛先の側が書き換わります。\nMAC の付け替えは図 5 のままで、変わるのは IP とポート番号の欄だけです。","line":292,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_311250","type":"paragraph","markdown":"図 7 の ③ で通信が止まったのは、宛先が社内専用の住所で、途中に一致する行が無かったからです。\n図 8 の ③ は宛先も送信元もグローバル IP なので運ばれます。\nただし解けたのは外向きの分だけです。\n支店とデータセンターの社内住所同士をつなぐ話は図 10 の GRE、中身が読める話は図 11 の IPsec が扱います。","text":"図 7 の ③ で通信が止まったのは、宛先が社内専用の住所で、途中に一致する行が無かったからです。\n図 8 の ③ は宛先も送信元もグローバル IP なので運ばれます。\nただし解けたのは外向きの分だけです。\n支店とデータセンターの社内住所同士をつなぐ話は図 10 の GRE、中身が読める話は図 11 の IPsec が扱います。","line":297,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_f25975","type":"paragraph","markdown":"次の図 9 では、ルータの口に「通す・通さない」の行の並びを付けます。\nルータの中で、その判定が経路探しや変換とどの順で来るかは、この図と同じ出典で確かめられます。","text":"次の図 9 では、ルータの口に「通す・通さない」の行の並びを付けます。\nルータの中で、その判定が経路探しや変換とどの順で来るかは、この図と同じ出典で確かめられます。","line":302,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_703626","type":"heading","depth":2,"markdown":"## 未検証・注意","text":"未検証・注意","line":305,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_85b39e","type":"list","markdown":"- 外側のポート番号はルータが選びます。内側と同じ番号をそのまま使おうとする実装もあります（RFC 4787 4.2.1）。ただし、ぶつかったときも同じ番号を使い続ける使い方（ポート多重）は禁止されています（同 REQ-3）。図では別の番号（50000 から 51001）で描いてあり、番号が変わり得ることを見せています。\n- 動的 NAT でプールを使い切ったときの挙動は未検証です。引用したページに記述がありません。\n- 静的 NAT について「ポート番号は使わない」とは書けません。ポート番号まで固定で結ぶ書き方があります。この図では扱っていません。\n- ルータの中の処理順序は、内側から外側が「入口の ACL → 経路探し → 変換 → 出口の ACL」、外側から内側が「入口の ACL → 変換 → 経路探し → 出口の ACL」です。帰りだけ変換が先に来ます。\n- 図の 192.0.2.50 と 203.0.113.x は、説明用に予約された番地です（図 7 から引き継ぎ）。","text":"外側のポート番号はルータが選びます。内側と同じ番号をそのまま使おうとする実装もあります（RFC 4787 4.2.1）。ただし、ぶつかったときも同じ番号を使い続ける使い方（ポート多重）は禁止されています（同 REQ-3）。図では別の番号（50000 から 51001）で描いてあり、番号が変わり得ることを見せています。動的 NAT でプールを使い切ったときの挙動は未検証です。引用したページに記述がありません。静的 NAT について「ポート番号は使わない」とは書けません。ポート番号まで固定で結ぶ書き方があります。この図では扱っていません。ルータの中の処理順序は、内側から外側が「入口の ACL → 経路探し → 変換 → 出口の ACL」、外側から内側が「入口の ACL → 変換 → 経路探し → 出口の ACL」です。帰りだけ変換が先に来ます。図の 192.0.2.50 と 203.0.113.x は、説明用に予約された番地です（図 7 から引き継ぎ）。","line":307,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_240080","type":"heading","depth":2,"markdown":"## 出典","text":"出典","line":313,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_670088","type":"list","markdown":"- 勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）\n- [RFC 3022: Traditional IP Network Address Translator](https://www.rfc-editor.org/rfc/rfc3022.html) — Basic NAT は IP アドレスだけを変換し、NAPT は「内側の IP とポート番号」の組を「外側の IP と割り当てたポート番号」の組に対応づける。外向きは送信元のポート番号、内向きは宛先のポート番号を変換する\n- [RFC 4787: NAT Behavioral Requirements for Unicast UDP](https://www.rfc-editor.org/rfc/rfc4787.html) — 4.2.1 に内側と同じポート番号を使おうとする実装の説明。REQ-3「A NAT MUST NOT have a 'Port assignment' behavior of 'Port overloading'」\n- [RFC 9110: HTTP Semantics](https://www.rfc-editor.org/rfc/rfc9110.html) — 4.2.1。ポート番号が書かれていなければ TCP の 80 が既定\n- [Cisco: Understand the NAT Order of Operation](https://www.cisco.com/c/en/us/support/docs/ip/network-address-translation-nat/6209-5.html) — 内側から外側は入口の ACL・経路探し・変換・出口の ACL の順。外側から内側は変換が経路探しより先\n- [インフラエキスパート: NAPT](https://www.infraexpert.com/study/ip11.5.html) — ポート番号も変換することで 1 つのグローバル IP を複数の端末で共有できる\n- [インフラエキスパート: スタティック NAT](https://www.infraexpert.com/study/natz0.html) — 内部ローカルアドレスと内部グローバルアドレスの 1 対 1 の対応。`ip nat inside` / `ip nat outside` の指定\n- [インフラエキスパート: ダイナミック NAT](https://www.infraexpert.com/study/natz1.html) — アドレスプールから割り当てる。行は通信の開始のときにできる","text":"勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）RFC 3022: Traditional IP Network Address Translator — Basic NAT は IP アドレスだけを変換し、NAPT は「内側の IP とポート番号」の組を「外側の IP と割り当てたポート番号」の組に対応づける。外向きは送信元のポート番号、内向きは宛先のポート番号を変換するRFC 4787: NAT Behavioral Requirements for Unicast UDP — 4.2.1 に内側と同じポート番号を使おうとする実装の説明。REQ-3「A NAT MUST NOT have a 'Port assignment' behavior of 'Port overloading'」RFC 9110: HTTP Semantics — 4.2.1。ポート番号が書かれていなければ TCP の 80 が既定Cisco: Understand the NAT Order of Operation — 内側から外側は入口の ACL・経路探し・変換・出口の ACL の順。外側から内側は変換が経路探しより先インフラエキスパート: NAPT — ポート番号も変換することで 1 つのグローバル IP を複数の端末で共有できるインフラエキスパート: スタティック NAT — 内部ローカルアドレスと内部グローバルアドレスの 1 対 1 の対応。ip nat inside / ip nat outside の指定インフラエキスパート: ダイナミック NAT — アドレスプールから割り当てる。行は通信の開始のときにできる","line":315,"sources":["src_1","src_2","src_3","src_4","src_5","src_6","src_7"],"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_1f7c1f","type":"heading","depth":2,"markdown":"## 関連","text":"関連","line":324,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}},{"id":"blk_bed0bf","type":"list","markdown":"- [ネットワーク\\_INDEX](/notes/nw-basics-index) — 連載の目次\n\n- 連載の入口: [ネットワーク\\_00\\_3層で言葉を置く](/notes/nw-basics-00-three-layers)（`/notes/nw-basics-00-three-layers`）\n\n- 前の記事（図 7）: [ネットワーク\\_07\\_インターネットを挟む](/notes/nw-basics-07-internet)（`/notes/nw-basics-07-internet`）\n\n- 次の記事（図 9）: [ネットワーク\\_09\\_ACL](/notes/nw-basics-09-acl)（`/notes/nw-basics-09-acl`）\n\n- 同じ 3 つの問題を解く記事: [ネットワーク\\_10\\_GREトンネル](/notes/nw-basics-10-gre)（`/notes/nw-basics-10-gre`） ／ [ネットワーク\\_11\\_IPsec](/notes/nw-basics-11-ipsec)（`/notes/nw-basics-11-ipsec`）","text":"ネットワーク_INDEX — 連載の目次連載の入口: ネットワーク_00_3層で言葉を置く（/notes/nw-basics-00-three-layers）前の記事（図 7）: ネットワーク_07_インターネットを挟む（/notes/nw-basics-07-internet）次の記事（図 9）: ネットワーク_09_ACL（/notes/nw-basics-09-acl）同じ 3 つの問題を解く記事: ネットワーク_10_GREトンネル（/notes/nw-basics-10-gre） ／ ネットワーク_11_IPsec（/notes/nw-basics-11-ipsec）","line":326,"lineage":[],"authoredBy":{"kind":"human","id":"owner","label":"ぴぐお"}}],"sources":[{"id":"src_1","url":"https://www.rfc-editor.org/rfc/rfc3022.html","title":"RFC 3022: Traditional IP Network Address Translator","accessed":"2026-09-14","kind":"secondary"},{"id":"src_2","url":"https://www.rfc-editor.org/rfc/rfc4787.html","title":"RFC 4787: NAT Behavioral Requirements for Unicast UDP","accessed":"2026-09-14","kind":"secondary"},{"id":"src_3","url":"https://www.rfc-editor.org/rfc/rfc9110.html","title":"RFC 9110: HTTP Semantics","accessed":"2026-09-14","kind":"secondary"},{"id":"src_4","url":"https://www.cisco.com/c/en/us/support/docs/ip/network-address-translation-nat/6209-5.html","title":"Cisco: Understand the NAT Order of Operation","accessed":"2026-09-14","kind":"secondary"},{"id":"src_5","url":"https://www.infraexpert.com/study/ip11.5.html","title":"インフラエキスパート: NAPT","accessed":"2026-09-14","kind":"secondary"},{"id":"src_6","url":"https://www.infraexpert.com/study/natz0.html","title":"インフラエキスパート: スタティック NAT","accessed":"2026-09-14","kind":"secondary"},{"id":"src_7","url":"https://www.infraexpert.com/study/natz1.html","title":"インフラエキスパート: ダイナミック NAT","accessed":"2026-09-14","kind":"secondary"}],"errata":[]}