NAT와 PAT, 주소 변환 추적

01주소 부족을 변환으로 연결하는 방식

• 주소 변환NAT는 경계에서 IP 주소 표현을 바꾸고, NAPT 또는 PAT는 전송 식별자까지 바꾼다. 내부 호스트는 자신의 주소로 서버에 패킷을 보내지만 외부 서버에는 변환된 주소가 출발지로 보인다.

  • 라우팅은 보낼 다음 홉을 선택하고 NAT는 패킷에 기록된 주소를 바꾸므로 서로 별도의 기능이다.
  • 변환 규칙 하나를 넣는다고 경로·DNS·접근통제가 함께 만들어지지 않는다.
• Inside·OutsideInside와 outside는 NAT를 적용하는 인터페이스 역할이다. 사설 주소가 있는 인터페이스를 무조건 inside로 정하는 규칙이 아니며 겹치는 주소 공간 사이에서도 NAT를 사용할 수 있다.

  • 이하 설명은 전통적인 IOS inside source NAT를 중심으로 한다.
  • NAT Virtual Interface, VRF, ASA, Linux의 처리 순서와 명령을 동일한 것으로 섞지 않는다.

02Inside/Outside와 Local/Global 네 가지 주소

• 네 주소의 관점Inside local은 내부 호스트의 내부 관점 주소, inside global은 외부에서 그 호스트를 나타내는 주소이다. Outside global은 외부 호스트의 외부 관점 주소이고 outside local은 내부에서 보이는 외부 호스트 주소이다.

  • 일반적인 inside source NAT만 수행하면 outside local과 outside global은 같다.
  • Local/global이라는 이름 자체가 사설/공인 주소 문법을 뜻하지 않는다.
• 패킷 전후 주소문서용 예제에서 내부 192.0.2.10:51000이 외부 서버 203.0.113.20:443에 연결하고 변환 주소가 198.51.100.10:61000이라면 아래 네 값으로 기록한다. 이 주소는 인터넷 운용을 위한 실주소가 아니라 설명용 예약 주소이다.

03정적 NAT와 동적 NAT의 할당 단위

• 정적 NAT정적 NAT는 한 inside local과 한 inside global을 고정 대응시킨다. 내부 발신뿐 아니라 허용된 외부 패킷도 global 주소를 목적지로 하여 내부 호스트에 전달될 수 있다.

  • 이때 upstream이 global 주소를 NAT 장비로 보내야 한다.
  • 같은 링크의 주소이면 장비의 Proxy ARP 등 주소 수신 동작이 관련되고, 별도 풀 대역이면 상위 라우팅이 필요하다.
  • 주소를 반드시 secondary로 추가해야만 NAT가 된다는 일반 규칙은 없다.
• 동적 NAT동적 NAT는 내부 호스트가 통신을 시작할 때 global 주소 풀에서 할당한다. overload가 없으면 여러 내부 주소가 한 global 주소를 포트로 공유하는 방식이 아니다.

  • 풀 주소 두 개가 모두 할당되면 세 번째 내부 호스트는 새 주소 대응을 얻지 못할 수 있다.
  • 세션·타이머에 따라 주소가 반환되며, 특정 TCP 포트가 비어 있다는 사실만으로 이 주소 단위 고갈이 해결되지는 않는다.

04IOS에서 주소 풀을 구성하는 의미

• Pool 구성내부 G0/0은 192.0.2.1/24, 외부 G0/1은 198.51.100.1/24이며 상위 라우터 .254가 있다고 가정한다. 다음 구성은 192.0.2.0/24에서 시작된 트래픽에 풀 .10~.19를 사용한다.

  • 풀 주소는 충돌 없이 배정되어 있고 외부에서 이 NAT 장비로 돌아올 수 있어야 한다.
• NAT 분류 ACLACL 10의 permit은 NAT 대상으로 분류한다는 뜻이다. 이 ACL의 deny 또는 불일치는 해당 규칙으로 변환하지 않는다는 의미이지 패킷을 자동으로 폐기한다는 의미가 아니다.

  • 패킷 차단은 별도로 인터페이스 ACL이나 방화벽이 담당한다.

interface GigabitEthernet0/0
 ip address 192.0.2.1 255.255.255.0
 ip nat inside
 no shutdown
interface GigabitEthernet0/1
 ip address 198.51.100.1 255.255.255.0
 ip nat outside
 no shutdown
access-list 10 permit 192.0.2.0 0.0.0.255
ip nat pool LESSON 198.51.100.10 198.51.100.19 netmask 255.255.255.0
ip nat inside source list 10 pool LESSON
ip route 0.0.0.0 0.0.0.0 198.51.100.254

동적 주소 NAT의 문서용 예. 주소 풀과 외부 링크가 동일 서브넷인 구성이다.

05PAT 매핑 생성과 반환 패킷 처리

• PAT의 단위TCP·UDP의 프로토콜·주소·포트 조합에 대응 상태를 만들어 여러 흐름이 global 주소를 공유한다. 내부 호스트당 외부 포트 하나를 영구 할당하는 방식이 아니다.
• 포트 선택가능하면 원래 출발지 포트를 유지할 수 있다. 충돌이나 할당 정책에 따라 바꾸므로 모든 패킷의 포트가 반드시 달라지는 것은 아니다.
• 다른 프로토콜과 용량ICMP Echo는 포트 대신 Identifier 등을 대응시킬 수 있다. 예약 포트·동시 흐름·목적지별 재사용·global 주소 수·테이블 자원에 따라 용량이 달라지므로 65535명으로 고정하지 않는다.
• 자원 고갈의 증상기존 연결은 유지되는데 신규 연결만 실패하면 새 매핑 할당 실패와 자원 사용량을 분리해 본다. 순수 IP 프로토콜 지원 조건도 따로 확인한다.

1. 기존 대응 조회외부로 향하는 패킷의 프로토콜·주소·포트와 NAT 정책을 확인한다. 해당 흐름의 변환 상태가 있는지 찾는다.
2. 새 매핑 할당필요하면 global 주소와 사용 가능한 식별 값을 선택한다. 포트 충돌과 구현의 할당 정책을 반영한다.
3. 변환 후 전달내부 주소·포트를 선택된 global 대응으로 바꾸고 반환을 위한 상태를 유지한다. 실제 송신에는 외부 목적지 경로도 필요하다.
4. 반환 방향 복원응답의 주소·포트와 상태를 맞춰 내부 대응으로 되돌린다. 변환 상태와 내부 반환 경로가 모두 맞아야 응답이 도착한다.

07주소 NAT와 PAT, 포트 포워딩 설정을 구별하기

• Overload·정적 PAT앞 절의 inside/outside 역할과 ACL을 이용하여 동적 NAT 대신 overload를 넣으면 PAT가 된다. 정적 1:1과 정적 TCP 포트 매핑은 서로 다른 예시이며 충돌하는 global 주소에 무작정 함께 추가하지 않는다.
• 인수·서버 경로정적 PAT의 인수는 내부 주소·내부 서비스 포트 다음에 global 주소·외부 공개 포트를 적는다. 외부 198.51.100.20:8443으로 들어온 TCP가 내부 192.0.2.20:443으로 전달되고 응답은 역으로 출발지가 바뀐다.

  • 내부 서버는 실제 443에서 듣고 있어야 하며 반환 경로가 같은 NAT 상태를 통과해야 한다.

! PAT using a pool
ip nat inside source list 10 pool LESSON overload
! PAT using the outside interface address
ip nat inside source list 10 interface GigabitEthernet0/1 overload
! static one-to-one mapping
ip nat inside source static 192.0.2.20 198.51.100.20
! static port mapping, alternative to the one-to-one example
ip nat inside source static tcp 192.0.2.20 443 198.51.100.20 8443

각 줄은 서로 다른 NAT 형태의 예이다. 앞 절의 동적 풀 구성에 모두 누적하지 않는다.

08패킷 처리 순서와 반환 경로

• 처리 순서전통적 IOS inside-to-outside 처리에서는 목적지 경로를 구한 뒤 inside source를 global로 변환한다. 반환 outside-to-inside 패킷은 global 목적지를 local로 역변환한 뒤 내부 목적지 경로를 구한다.

  • Cisco의 해당 문서가 다루는 소프트웨어·기능 조합의 순서이며 이를 모든 방화벽 제품의 ACL 평가 주소로 일반화하지 않는다.
• 응답·경로원래 요청 192.0.2.10:51000 → 203.0.113.20:443이 변환되면 외부 캡처는 출발지 198.51.100.10:61000을 보게 된다. 서버 응답의 목적지가 이 global endpoint이며 NAT가 local endpoint로 되돌린다.

  • IP 주소를 바꾼 경우 IPv4 헤더 체크섬과 TCP/UDP 의사 헤더에 포함되는 값도 일관되게 보정해야 한다.
  • NAT 장비 양쪽의 패킷을 주소가 다르다는 이유로 별개 통신으로 처리하지 않는다.

09변환 표를 한 줄씩 판독하기

• 변환 행 해석다음 표의 한 행은 TCP 통신에서 inside local과 inside global이 다르고 outside의 두 표현은 같음을 보여준다. 포트까지 함께 읽어야 동시에 접속한 다른 사용자를 구분할 수 있다.

  • 실습의 UDP traceroute처럼 목적지 포트가 probe마다 증가하면 한 주소에서 여러 행이 생길 수 있으며 이 행 수를 사용자 수로 세면 안 된다.
• 통계·여러 흐름show ip nat statistics는 활성 translation과 인터페이스 역할, 풀 할당 상태 등을 보여준다.

  • ACL 카운터만 증가하고 변환이 없으면 규칙·풀·통과 경로의 조건을, 변환과 발신 패킷은 있는데 응답이 없으면 상위 경로와 서버를, 응답이 외부에 도착했는데 내부에 없으면 역변환·내부 경로·정책을 나누어 본다.

show ip nat translations
Pro Inside global          Inside local          Outside local         Outside global
tcp 198.51.100.10:61000     192.0.2.10:51000       203.0.113.20:443       203.0.113.20:443

show ip nat statistics
show access-lists 10
show ip route 203.0.113.20
show arp

주소를 문서용으로 바꾼 출력 형식 예. 실제 실행 결과를 주장하는 값이 아니다.

11상태 만료, 내부 회귀와 응용 프로토콜

• 상태 만료동적 매핑은 무한히 남지 않는다. 프로토콜과 연결 상태에 따른 타이머가 만료되면 늦게 돌아온 패킷을 해석할 정보가 없어질 수 있다.

  • 장비를 재시작하거나 변환 표 전체를 지우는 행위도 활성 연결에 영향을 준다.
  • 장애 후 다른 NAT 장비로 반환 경로가 바뀌었는데 상태를 공유하지 않으면 동일한 문제가 생긴다.
• Hairpin·Payload내부 클라이언트가 서버의 외부 공개 주소로 접속하는 hairpin 흐름은 보통의 inside→outside 예만으로 보장되지 않는다. 제품의 hairpin 지원 또는 내부 DNS가 내부 주소를 주는 설계가 필요하다.

  • FTP·SIP처럼 payload에 주소·포트를 넣는 프로토콜은 단순 IP 헤더 변환만으로 충분하지 않을 수 있고 ALG 지원과 암호화 여부가 영향을 준다.
  • NAT는 암호화·인증·접근통제 자체가 아니며 공개 서비스에 대한 허용 범위는 별도 정책으로 정한다.