社内で使う私的（プライベート）アドレスはそのままでは外に出られません。そこで出口の機器が、送り出すときに公的（グローバル）アドレスへ書き換えます。これがNAT。NAPTはさらにポート番号まで使い分けて、多数の端末を1つのグローバルIPに集約します。戻ってきた通信を正しい端末へ返せるのは、出口が変換表を覚えているからです。
私的アドレスは「社内でだけ通じる住所」。外の相手はそれを知りません。だから出口で差出人の住所を公的なものに貼り替えてから送る。返信は公的アドレス宛に来るので、出口が「これは中の誰宛だったか」を表で引いて元の私的アドレスに戻します。
出て行くとき ― 差出人を書き換えて表に記録
NAPTでは、複数の端末が同じ公的IPを共有しても、割り当てるポート番号を変えることで区別できます。だから「1個のグローバルIPで社内全員が外に出る」が成立します。
動きで見る
往復を1手ずつ追うと、出口が送信元を書き換えて変換表に記録し、戻りを逆引きで元の端末へ戻す流れが見えます。表に無い「外から突然」の通信が戻せず落ちる様子も分かります。（図は横スクロールできます）
戻ってくるとき ― 表を逆に引いて振り分け
要は「出口で差出人を貼り替え、戻りは表で振り分ける」。設問では「なぜ多数の端末が1つのグローバルIPで通信できるか（＝ポートで区別）」「外部の機器から見える送信元IPは何か（＝変換後の公的IP）」「戻りをどう正しい端末に返すか（＝変換表）」が問われます。見える住所が途中で変わる点を押さえると、ログの送信元IPやアクセス制限の設計も追えます。
外から見える送信元は変換後の公的IPで、社内の私的IPは見えません。だから「クラウド側でIP制限するなら出口の公的IPを登録する」「サーバのログに残るのはNAPT後のIPで個人特定にはひと手間要る」といった話につながります。誰の通信かは出口の変換表を見ないと分からないのが要点です。
SC向け：遮蔽の副作用と追跡性
NAPTは「外から自発的に接続を始められない」という副次的な遮蔽を生みますが、これはファイアウォールの代替にはなりません。SC/NW午後では、この遮蔽をどこまで信頼してよいか、そして変換で失われる追跡性をどう補うかが問われます。
攻撃・リスク
- 「外から接続を始められない（変換表に無い戻りは落ちる）」のは副次的な遮蔽にすぎない。内側から誘い出せば通るため、境界防御の代わりにはならない。
- 複数端末が1つのグローバルIPを共有するため、外から見ると「内側の誰か」を特定しにくく追跡性が下がる。サーバのログには変換後IPしか残らない。
- 同時セッションが過多になるとポート枯渇で新規通信が張れなくなる。
効く対策
- 変換ログ（変換前IP・ポート／変換後IP・ポート／時刻）を保全し、事後の追跡を可能にする。
- 境界防御は別途ファイアウォールで明示的に設計する（NAPTに頼らない）。
- 内部から内部を公的IP経由で参照する場合のヘアピンNAT等の挙動を考慮する。
午後では「NATがあるとログから何が分かる／分からないか」「なぜ外部から直接入れないのか（＝FWの代わりになるか）」が判断軸として問われます。