NAPTとプロキシによる境界の保護

NAPTは、一つのグローバルIPアドレスを複数の端末で共有するための、IPアドレスとポート番号の変換の仕組みである。プロキシは、クライアントとサーバの間に入って要求を中継する装置やソフトウェアである。フォワードプロキシは利用者側の代理、リバースプロキシはサーバ側の代理として働く。ファイアウォールと組み合わせて境界を守る役割を、それぞれの仕組みと限界から理解することが要点である。

NAPTの仕組み

NAPTはIPアドレスに加えてTCP・UDPのポート番号を識別の手がかりとし、プライベートIPアドレスとグローバルIPアドレスの対応を管理する。これにより、LAN上の複数の端末が一つのグローバルIPアドレスを共有してインターネットにアクセスできる。 NAPTはIPマスカレードとも呼ばれ、家庭内のPCを無線LANルータ経由でインターネットに接続する場合にも使われる。

インターネットから内部PCへの応答パケットでは、ルータが宛先IPアドレスと宛先ポート番号を書き換え、元のプライベートIPアドレスとポート番号に戻す。送信元のIPアドレスやポート番号は、通常は書き換えられない。

セキュリティ上の効果と限界

内部PCからの通信が発生すると、NAPTは変換表に対応する項目を作る。そのため、外部からの不正アクセスは対応付けのない通信として扱われ、内部のPCへ届きにくくなる。 ただし、ポート転送などで対応付けを設定すれば外部から接続できる場合があり、NAPTだけで不正アクセスを完全に防げるわけではない。

NAPTは侵入の兆候を検知して遮断する機能を持たない。侵入の検知にはIDS、検知後の遮断にはIPSなどの機能が必要になる。無線LANの通信の暗号化はWPAが担い、NAPTとは別の機能である。