PAT·NAPT
Port Address Translation · NAPT · Network Address Port Translation · NAT Overload · 포트 주소 변환
PAT는 여러 내부 통신을 주소와 전송 계층 포트 등의 식별자로 구분해 외부 주소를 공유하는 변환 방식이다. IP 주소만 일대일로 대응하는 와 달리 방향별 매핑 상태와 포트 자원이 중요하다.
밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.
01무엇이고, 어떤 일을 하나
- 외부 주소가 적어도 여러 내부 호스트가 동시에 외부 서비스에 접속하도록 한다.
- 같은 내부 출발지 포트라도 호스트·프로토콜·정책에 따라 구분되는 외부 매핑을 만든다.
- 돌아온 응답을 어느 내부 소켓으로 전달할지 변환 상태로 결정한다.
02어떤 순서로 동작하나
- 매핑 검색
내부 패킷이 변환 대상 정책과 출구 조건에 맞으면 기존 변환 상태를 찾는다. 사용 중인 매핑의 재사용 범위는 프로토콜과 목적지 의존성 등 정책에 영향 받는다.
- 외부 식별자 할당
새 통신이면 사용 가능한 외부 주소·포트 등을 선택해 내부 끝점과 연결한다. 동일 숫자 포트를 쓴 두 내부 호스트도 각각 구분 가능해야 응답을 올바르게 복원한다.
- 헤더와 체크섬 변환
출발지 주소·포트가 바뀌면 헤더와 사용 중인 · 체크섬을 맞춘다. 주소는 전송 계층의 의사 헤더에 들어가므로 IP 헤더 수정만으로 완료되지 않는다.
- 반환과 만료
외부 응답의 목적지 주소·포트·프로토콜을 상태와 대조해 내부로 역변환한다. 상태가 만료되거나 다른 장비로 응답이 돌아오면 같은 외부 포트가 보여도 원래 연결로 복원되지 않을 수 있다.
03먼저 알아둘 용어와 구성요소
- 변환 전 내부의 주소·포트와 프로토콜로 통신을 구별하는 정보다.
- 외부에서 그 통신을 표현하는 변환 주소·포트의 대응이다.
- Cisco 설정에서 포트 등을 활용한 주소 공유를 지정하는 대표 표현이다.
- 프로토콜별 상태가 유효하게 유지되는 시간 조건으로 에는 FIN이 없다.
실습: UDP 변환표에서 Inside local과 global 추적
실제 translation 행을 읽어 주소 변환과 포트 유지·변경을 구별한다.
실습 구성과 전제
- IOS 장비를 통과하는 probe의 변환표다. 예시 설정은 내부 172.16.0.0/24와 문서용 외부 주소를 사용하는 별도 재구성이다.
- 사진의 외부 주소는 당시 가상 구성 값이다. 새 실습에서는 자신이 소유한 격리망 주소로 치환한다.
변환 대상과 경계 정의
- 용 은 어떤 내부 주소를 변환할지 고르는 조건이다. 같은 을 인터페이스 access-group으로 적용한 패킷 필터와 뜻이 다르다.
- inside/outside는 내부·외부 인터페이스 역할이고 local/global은 주소가 보이는 표현이다. 네 가지 주소 열을 한 쌍으로 줄여 읽지 않는다.
textaccess-list 10 permit 172.16.0.0 0.0.0.255 interface FastEthernet0/0 ip nat inside interface FastEthernet0/1 ip nat outside exit ip nat inside source list 10 interface FastEthernet0/1 overload같은 원리의 PAT 재구성 예시. 인터페이스 주소·경로는 별도로 준비한다.
확인 기준인터페이스 역할·변환 대상·외부 경로를 모두 확인한다.
변환표의 실제 한 행 대조
- Inside local에는 172.16.0.1:49177, Inside global에는 변환된 주소의 :49177이 보인다. 이 행에서는 주소가 바뀌고 포트는 유지되었다.
- PAT가 항상 포트를 다른 숫자로 바꿔야 하는 것은 아니다. 충돌이 없으면 원래 포트를 사용할 수 있으며 주소·포트 조합으로 상태를 구분한다.
textshow ip nat translations show ip nat statistics실습 흐름을 재구성한 명령 예시. 장치·인터페이스 이름은 구성에 맞춰 사용한다.
원본 크기로 보기 ↗- Protocol은 udp이며 Inside local·global·Outside local·global 네 열이 있다.
- 첫 행의 내부·변환 후 포트는 49177이고 상대 포트는 33434다.
확인 기준주소 변화와 포트 변화를 각각 기록한다.
복수 probe와 반환 상태 검증
- 뒤 행에서 내부 포트와 상대 포트가 증가한다. 각 행은 변환 상태이며 그 개수를 연결 개수라고 읽지 않는다.
- Outside local과 Outside global이 이 표에서는 같다. 다른 쪽 존재만으로 이 장비의 두 Outside 값이 항상 달라지는 것은 아니다.
textshow ip route show access-lists 10 show ip nat translations경로·대상 조건·상태를 함께 대조하는 조회
확인 기준표의 생성은 변환 처리의 증거지만 원격 응답의 증거는 아니다. 앞뒤의 같은 흐름과 반환 경로를 확인한다.
실습에서 확인한 동작 원리
- 표의 네 주소 열은 이 장비의 관점으로 읽는다.
- 상태 생성·주소 변환·최종 응답 성공을 별도 증거로 검증한다.
동작·명령 참고 문서
04예제로 따라가기
- A =192.0.2.10:51000, B =192.0.2.20:51000이 같은 서버 443에 접속하면 외부 203.0.113.5:62000 과:62001처럼 구분할 수 있다. 가상 포트 선택이며 항상 1씩 증가한다는 알고리즘은 아니다.
- 서버 응답 198.51.100.20:443 →203.0.113.5:62000은 상태에 따라 192.0.2.10:51000으로 복원된다. 외부 패킷만 보는 관제에서는 해당 시각의 변환 기록이 내부 행위자 연결의 근거다.
- 외부 포트가 만료 후 다른 내부 호스트에 재할당되면 숫자 62000만으로 오래전 통신과 현재 통신을 동일시할 수 없다. 시각·프로토콜·수명·양 끝 주소를 함께 기록해야 한다.
05혼동하기 쉬운 점과 확인 기준
- PAT가 외부에서 임의의 신규 연결을 항상 허용하는 것은 아니다. 매핑 정책과 필터 정책을 구분하고 정적 포트 포워딩과 동적 반환 경로의 차이를 본다.
- 주소 공유가 무제한 연결을 뜻하지 않는다. 포트·상태 테이블·처리량·타이머 제한 때문에 일부 신규 연결만 실패할 수 있다.
06상세 노트 · 실습 자료
헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.
공식 문서 · 표준
기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.