개념 사전/네트워크 / 주소 변환과 필터
개념 사전 · 개념

NAT

Network Address Translation · 네트워크 주소 변환

는 경계 장비가 IP 패킷의 주소를 다른 주소로 바꾸고 필요한 대응 상태를 관리하는 기술이다. 포트까지 변환하는 /PAT를 포함할 수 있지만 주소 변환 자체가 암호화나 연결 허용 정책은 아니다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

01무엇이고, 어떤 일을 하나

  • 서로 다른 주소 공간을 연결하고 내부 주소를 외부에 사용할 주소로 대응시킨다.
  • 정적 일대일·동적 풀·포트 공유 등 목적에 맞는 주소 사용 방식을 제공한다.
  • 응답의 역변환과 체크섬· 인용 정보를 조정해 양 끝의 통신을 연결한다.

02어떤 순서로 동작하나

  1. 기존 대응 조회

    외부로 향하는 패킷의 프로토콜·주소·포트와 정책을 확인한다. 해당 흐름의 변환 상태가 있는지 찾는다.

  2. 새 매핑 할당

    필요하면 global 주소와 사용 가능한 식별 값을 선택한다. 포트 충돌과 구현의 할당 정책을 반영한다.

  3. 변환 후 전달

    내부 주소·포트를 선택된 global 대응으로 바꾸고 반환을 위한 상태를 유지한다. 실제 송신에는 외부 목적지 경로도 필요하다.

  4. 반환 방향 복원

    응답의 주소·포트와 상태를 맞춰 내부 대응으로 되돌린다. 변환 상태와 내부 반환 경로가 모두 맞아야 응답이 도착한다.

03먼저 알아둘 용어와 구성요소

의 내부 관점에서 내부 호스트를 나타내는 주소다.
의 외부 관점에서 내부 호스트를 나타내는 변환 주소다.
변환 전후 주소·포트와 프로토콜의 대응 정보다.
만들어진 매핑에 어떤 외부 발신자의 패킷을 허용할지 정하는 별도 규칙이다.
외부 호스트가 외부 네트워크에서 사용하는 주소다.
의 내부 관점에서 외부 호스트를 나타내는 주소다. 외부 주소를 변환하지 않으면 과 같다.
주소 대응을 고정하여 유지하는 방식이다.
필요할 때 주소 풀에서 변환 주소를 할당하는 방식이다.
프로토콜·주소·포트 등의 변환 대응과 수명 정보를 저장한 상태다.
내부 호스트가 외부용 변환 주소를 이용해 같은 내부의 서비스로 접속하도록 다시 내부로 돌려 보내는 동작이다.
LEARN THROUGH PRACTICE

실습: UDP 변환표에서 Inside local과 global 추적

실제 translation 행을 읽어 주소 변환과 포트 유지·변경을 구별한다.

실습 구성과 전제

  • IOS 장비를 통과하는 probe의 변환표다. 예시 설정은 내부 172.16.0.0/24와 문서용 외부 주소를 사용하는 별도 재구성이다.
  • 사진의 외부 주소는 당시 가상 구성 값이다. 새 실습에서는 자신이 소유한 격리망 주소로 치환한다.

  1. 변환 대상과 경계 정의

    • 용 은 어떤 내부 주소를 변환할지 고르는 조건이다. 같은 을 인터페이스 access-group으로 적용한 패킷 필터와 뜻이 다르다.
    • inside/outside는 내부·외부 인터페이스 역할이고 local/global은 주소가 보이는 표현이다. 네 가지 주소 열을 한 쌍으로 줄여 읽지 않는다.
    text
    access-list 10 permit 172.16.0.0 0.0.0.255
interface FastEthernet0/0
 ip nat inside
interface FastEthernet0/1
 ip nat outside
exit
ip nat inside source list 10 interface FastEthernet0/1 overload

    같은 원리의 PAT 재구성 예시. 인터페이스 주소·경로는 별도로 준비한다.

    확인 기준

    인터페이스 역할·변환 대상·외부 경로를 모두 확인한다.

  2. 변환표의 실제 한 행 대조

    • 에는 172.16.0.1:49177, 에는 변환된 주소의 :49177이 보인다. 이 행에서는 주소가 바뀌고 포트는 유지되었다.
    • PAT가 항상 포트를 다른 숫자로 바꿔야 하는 것은 아니다. 충돌이 없으면 원래 포트를 사용할 수 있으며 주소·포트 조합으로 상태를 구분한다.
    text
    show ip nat translations
show ip nat statistics

    실습 흐름을 재구성한 명령 예시. 장치·인터페이스 이름은 구성에 맞춰 사용한다.

    NAT 상태 · 상태 확인법원본 크기로 보기 ↗
    • Protocol은 udp이며 Inside local·global·Outside local·global 네 열이 있다.
    • 첫 행의 내부·변환 후 포트는 49177이고 상대 포트는 33434다.
    확인 기준

    주소 변화와 포트 변화를 각각 기록한다.

  3. 복수 probe와 반환 상태 검증

    • 뒤 행에서 내부 포트와 상대 포트가 증가한다. 각 행은 변환 상태이며 그 개수를 연결 개수라고 읽지 않는다.
    • 과 이 이 표에서는 같다. 다른 쪽 존재만으로 이 장비의 두 Outside 값이 항상 달라지는 것은 아니다.
    text
    show ip route
show access-lists 10
show ip nat translations

    경로·대상 조건·상태를 함께 대조하는 조회

    확인 기준

    표의 생성은 변환 처리의 증거지만 원격 응답의 증거는 아니다. 앞뒤의 같은 흐름과 반환 경로를 확인한다.

실습에서 확인한 동작 원리

  • 표의 네 주소 열은 이 장비의 관점으로 읽는다.
  • 상태 생성·주소 변환·최종 응답 성공을 별도 증거로 검증한다.
관련 개념·전체 실습 화면 이어서 읽기 →
동작·명령 참고 문서

04예제로 따라가기

  • 내부 호스트 192.0.2.10:40000이 외부 A=198.51.100.10:5000으로 보낸다. 가 외부 표시 주소 203.0.113.5:62000을 할당했다고 하자. 같은 내부 끝점이 B=198.51.100.20:5000으로 보낼 때 endpoint-independent 이면 203.0.113.5:62000을 재사용한다. 다른 매핑 정책이라면 별도 포트가 만들어질 수 있다.
  • A가 203.0.113.5:62000으로 응답하면 는 살아 있는 매핑을 찾아 목적지를 192.0.2.10:40000으로 되돌린다. 외부 서버의 원래 주소·포트도 함께 기록해 흐름을 연결한다. 통신하지 않은 C가 같은 외부 포트로 보내더라도 수용 여부는 필터 정책에 달려 있다. 외부 매핑을 공유한다는 사실만으로 C의 패킷이 허용된다고 결론내리지 않는다.
  • 매핑이 만료되고 외부 포트가 다른 흐름에 재할당되면 과거 캡처의 포트 번호만으로 현재 소유자를 찾을 수 없다. 생성·마지막 사용 시각과 프로토콜을 같이 보존해야 한다.

05혼동하기 쉬운 점과 확인 기준

  • 변환표 생성은 규칙이 일부 트래픽을 처리했다는 증거다. 변환된 패킷이 올바른 WAN 출구로 실제 나갔는지는 ··출구 필터·캡처로 별도 확인한다.
  • 응답은 도착했지만 상태가 만료됐거나 다른 장비로 돌아오면 매핑을 찾지 못할 수 있다. 비대칭 경로와 상태 동기화 여부가 주소 규칙 자체만큼 중요하다.
  • IP·포트가 바뀌면 해당 헤더와 사용 중인 · 체크섬을 새 값에 맞춰야 한다. 캡처의 잘못된 체크섬 표시는 offload 여부를 확인한 뒤 실제 오류와 구별한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.

NAT와 PAT, 주소 변환 추적정적 NAT·동적 풀·PAT·포트 포워딩을 실제 변환 전후 튜플과 IOS 설정으로 풀어 읽는다. inside/outside의 의미, 처리 순서, 풀·포트 고갈과 반환 경로를 구분한다.상세 노트 읽기 →

공식 문서 · 표준

기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.