네트워크 주소 변환

3. 변환 방식

NAT는 주로 사설 네트워크와 공용 네트워크 간의 트래픽을 중계하며 IP 주소 및 포트 번호를 변환한다. 인터넷에 접속하려면 전 세계에서 유일한 IP 주소(글로벌 IP 주소)를 사용해야 한다. 따라서 사설 네트워크 환경에서 사설 IP 주소가 할당된 장치는 그 자체로는 인터넷에 접속할 수 없다. NAT를 사용하면 게이트웨이를 통과하는 IP 패킷의 송신 또는 수신 IP 주소가 글로벌 IP 주소 또는 사설 IP 주소로 변환된다. 이렇게 하여 LAN 내의 장치가 라우터 등의 게이트웨이를 통해 인터넷에 접속할 수 있게 된다.

원래 NAT는 송수신하는 패킷의 송신처, 수신처 IP 주소만 식별하여 변환하는 것이었기 때문에, 여러 기기가 동시에 외부 네트워크에 접속하는 경우, 해당 기기 수와 동일한 수의 공인 IP 주소가 필요했다. 그래서 현재는 사설 IP 주소와 공인 IP 주소의 1 대 1 변환 외에, 포트 번호도 변환하여 사설 IP 주소와 공인 IP 주소를 1 대 다수로 변환하는 NAPT가 사용되는 경우가 많다.

NAT는 LAN 내 호스트에 프라이빗 IP 주소를 할당하고, 인터넷에 연결할 때만 글로벌 IP 주소를 사용하는 기술이므로, NAT를 활용하여 사용할 글로벌 IP 주소의 수를 줄일 수 있다.

3. 1. 기본 NAT (Basic NAT)

3. 2. NAPT (Network Address and Port Translation)

3. 3. NAT의 종류

3. 3. 1. 풀 콘 NAT (Full-cone NAT)

• 내부 주소(iAddr:iPort)가 외부 주소(eAddr:ePort)에 매핑되면, iAddr:iPort에서 보낸 모든 패킷은 eAddr:ePort를 통해 전송된다.
• 모든 외부 호스트는 eAddr:ePort로 패킷을 보내 iAddr:iPort로 패킷을 보낼 수 있다.^[2]

3. 3. 2. 제한 콘 NAT (Restricted-cone NAT)

3. 3. 3. 대칭 NAT (Symmetric NAT)

4. 구현

NAT는 주로 라우터, 방화벽, 게이트웨이 등의 네트워크 장비에서 구현된다.

4. 1. 양방향 통신 설정

4. 2. 변환 과정

5. 응용

NAT는 다음과 같은 다양한 분야에서 활용된다.

• '''라우팅:''' 네트워크 주소 변환은 IP 주소 중복 문제를 해결하는 데 사용될 수 있다.^[9][10] 주소 중복은 주로 잘못된 구성으로 인해 발생하며, 특히 사설 네트워크 주소를 사용할 때 두 네트워크 또는 서브넷의 병합으로 인해 발생할 수 있다.
• '''부하 분산:''' 클라이언트-서버 애플리케이션에서 부하 분산기는 클라이언트 요청을 여러 서버로 분산시킨다. 네트워크 주소 변환은 서버 클러스터의 대표 IP 주소를 요청을 처리하는 특정 호스트에 매핑하는 데 사용될 수 있다.^{[11][12][13][14]}
• '''기타 기술:''' IEEE 역 주소 및 포트 변환(RAPT 또는 RAT)은 실제 IP 주소가 자주 바뀌는 호스트가 고정된 홈 IP 주소를 통해 서버에 계속 연결될 수 있도록 한다.^[15] 주소 및 포트 매핑은 주소 및 포트 변환과 ISP 제공업체의 내부 IPv6 네트워크를 통해 IPv4 패킷을 터널링하는 시스코 제안이다.

5. 1. 라우팅

5. 2. 부하 분산

5. 3. 기타 기술

6. 한계 및 문제점

NAT는 종단 간 연결(End-to-End Connectivity)을 저해하고, 일부 인터넷 프로토콜과의 호환성 문제를 일으킬 수 있다. 예를 들어 NAT는 IPsec 헤더의 값을 수정하여 IPsec 및 기타 터널링 프로토콜에서 수행하는 무결성 검사를 방해하기 때문에 IPsec과 같은 터널링 프로토콜을 복잡하게 만든다.^[16]

VOIP, 화상 회의, 기타 P2P 애플리케이션과 같은 응용 프로그램들은 NAT 환경에서 작동하기 위해 NAT 트래버설 기술을 사용해야 한다.^[2] 서로 다른 NAT 뒤에 있는 피어들이 통신하려고 할 때 NAT 트래버설 문제가 발생하는데, 이 문제를 해결하는 한 가지 방법은 포트 포워딩을 사용하는 것이다. TCP NAT 트래버설에 가장 널리 사용되는 기술은 TCP 홀 펀칭이다. UDP의 경우, NAT는 포트 유지를 필요로 하지 않으며, 여러 UDP 통신이 동일한 소스 포트에서 발생할 수 있어 포트 예측을 간단하게 만든다.^[5]

2006년 기준으로, P2P 네트워크 클라이언트의 약 70%가 어떤 형태의 NAT를 사용했다.^[6]

NAT 사용은 인터넷의 핵심 원칙이었던 종단 간 연결을 위반한다는 비판도 있으며, 많은 IPv6 아키텍처 설계자들은 IPv6가 NAT의 필요성을 없애기 위해 고안되었다고 믿고 있다.^[17]

포트만 추적하는 NAT 구현은 여러 개의 동시 연결을 사용하는 내부 애플리케이션에 의해 빠르게 소모될 수 있다는 문제점도 있다. 또한 내부 주소가 모두 하나의 공용 주소 뒤에 숨겨져 있기 때문에 외부 호스트가 특정 내부 호스트에 직접 연결을 시작하는 것은 불가능하며, 이는 인터넷 카페 등 불특정 다수가 이용하는 접속 단말에서의 악의적인 이용(스팸 행위나 게시판 훼손, 인터넷 범죄 등)이 이루어진 경우 익명성이 높아져 특정하기가 더 어려워진다는 문제점을 야기한다.

6. 1. 단편화 및 체크섬

7. 관련 용어

• DNAT (Destination NAT, 목적지 네트워크 주소 변환): 라우팅되는 패킷의 목적지 IP 주소를 변경하고, 모든 응답에 대해 역기능을 수행하는 기술이다. 주로 사설 네트워크에 있는 서비스를 공용 IP 주소에서 공개하는 데 사용되며, 포트 포워딩이라고도 한다.
• SNAT (Source NAT, 소스 네트워크 주소 변환): 출발지 IP 주소를 변환하는 기술이다. 벤더에 따라 의미가 다르지만, 흔히 1대 다 NAT, 즉 공용 서비스로의 발신 연결을 위한 NAT를 의미한다.^[18][19][20]
• 상태 저장 NAT (Stateful NAT): 시스코 시스템즈(Cisco Systems)에서 사용하는 용어이다.^[21]
• 정적 NAT (Static NAT): WatchGuard에서 사용하는 용어이다.^[22]
• 보안 NAT (Secure NAT): F5 네트웍스(F5 Networks)와 마이크로소프트(Microsoft)에서 ISA 서버와 관련하여 사용하는 용어이다.^[23]
• 동적 NAT (Dynamic NAT): 내부 IP 주소를 동적으로 공인 IP 주소 ''그룹''에 매핑한다.^[24][25] 정적 NAT와 달리 일대일 매핑이 아닌, 여러 개의 공인 IP 주소를 사용한다.
• 정적 NAT (Static NAT): 내부 IP 주소를 항상 동일한 외부 IP 주소에 매핑한다.
• NAT 루프백 (NAT Hairpinning, NAT Reflection): LAN 내부에서 외부 IP 주소를 통해 접근할 수 있게 해주는 기능이다.^[26][27]
• NAPT (Network Address and Port Translation): IP 주소뿐만 아니라 포트 번호도 변환하여 사설 IP 주소와 공인 IP 주소를 1대 다수로 변환한다. NAT 오버로드, PAT, IP 마스커레이드 등으로도 불린다.
• 기타 용어

8. IPv6 환경에서의 NAT

IPv6는 넓은 주소 공간을 제공하여 주소 보존의 필요성을 없애고, 모든 장치에 고유하고 전역적으로 라우팅 가능한 주소를 부여할 수 있도록 설계되었다. 따라서 네트워크 주소 변환(NAT)은 일반적으로 사용되지 않는다. 고유 로컬 주소를 네트워크 접두사 변환(NPTv6)과 함께 사용하면 NAT와 유사한 결과를 얻을 수 있다.^[28]

하지만 통신 사업자가 제공하는 실제 접두사 길이에 따라 IPv6의 넓은 주소 공간이 부족해질 수 있다. 예를 들어, 전체 가정 네트워크에 /64 접두사가 할당되는 경우가 드물지 않으며, 이 경우 모든 장치가 계속 연결 가능하도록 범위를 수동으로 세분화해야 한다.^[29] 심지어 IPv6-to-IPv6 NAT인 NAT66이 유용할 수 있는 경우도 있는데, APNIC 블로그에서는 단일 주소(/128)만 제공된 경우를 예시로 제시한다.^[30]

9. NAT 영향을 받는 응용 프로그램

일부 응용 계층 프로토콜(예: 파일 전송 프로토콜(FTP), 세션 개시 프로토콜(SIP))은 응용 데이터 내에 명시적인 네트워크 주소를 보내기 때문에 NAT 환경에서 문제가 발생할 수 있다. 예를 들어, 액티브 모드 FTP는 제어 트래픽(명령)과 데이터 트래픽(파일 내용)에 대해 별도의 연결을 사용하는데, 요청 호스트가 NAT 방화벽 뒤에 있으면 IP 주소나 TCP 포트 번호 변환으로 인해 서버가 수신한 정보가 유효하지 않게 된다. SIP도 IP 전화 통화 제어 시 동일한 문제를 겪는다.

이러한 문제를 해결하기 위해 다음과 같은 방법들이 사용된다.

• 응용 계층 게이트웨이(ALG): NAT 방화벽 장치에서 실행되는 ALG 소프트웨어 모듈은 주소 변환으로 인해 유효하지 않게 된 페이로드 데이터를 업데이트한다. 각 프로토콜마다 별도의 ALG가 필요하며, 프로토콜 데이터가 암호화된 경우에는 작동하지 않는다.
• NAT 트래버설 기술: STUN, 상호 연결 설정(ICE) 등의 프로토콜을 사용하거나 세션 경계 컨트롤러를 통해 NAT 통과를 돕는다. UDP 기반 기술이 더 간단하고 널리 사용된다.
• 포트 제어 프로토콜(PCP), NAT 포트 매핑 프로토콜(NAT-PMP), 인터넷 게이트웨이 장치 프로토콜: NAT 장치가 이러한 프로토콜을 구현해야 사용할 수 있다.
• UPnP NAT Traversal: UPnP의 인터넷 게이트웨이 장치(IGD) 사양을 준수하는 NAT 라우터를 통해 애플리케이션이 포트 매핑을 자동 생성, 삭제 및 획득할 수 있다.

10. NAT 소프트웨어 예시

• 인터넷 연결 공유(ICS): 윈도우 데스크톱 운영 체제에 포함된 NAT 및 DHCP 구현이다.
• IP필터: 오픈솔라리스, 프리BSD, 넷BSD를 포함한 여러 유닉스 계열 운영 체제에서 사용 가능하다.
• ipfirewall(ipfw): 프리BSD 네이티브 패킷 필터이다.
• Netfilter with iptables/nftables: 리눅스 패킷 필터이다.
• NPF: 넷BSD 네이티브 패킷 필터이다.
• PF: 오픈BSD 네이티브 패킷 필터이다.
• 라우팅 및 원격 액세스 서비스(RRAS): 윈도우 서버 운영 체제에 포함된 라우팅 구현이다.
• 벡터 패킷 처리(VPP): 리눅스용 사용자 공간 패킷 전달 구현이다.
• 윈게이트: 윈도우용 타사 라우팅 구현이다.

참조

_[1] 서적 Network Protocols Handbook https://books.google[...] Javvin Technologies Inc. 2005
_[2] IETF Network Address Translation (NAT) Behavioral Requirements for Unicast UDP IETF 2007-01-01
_[3] 학술지 Anatomy: A Look Inside Network Address Translators https://ipj.dreamhos[...] 2004-09-01
_[4] 학술지 Network Address Translation: Extending the Internet Address Space https://ieeexplore.i[...] 2010-07-01
_[5] 웹사이트 Characterization and Measurement of TCP Traversal through NATs and Firewalls http://nutss.gforge.[...] 2006-12-01
_[6] 웹사이트 Illuminating the shadows: Opportunistic network and web measurement http://illuminati.co[...] 2006-12-01
_[7] IETF
_[8] 웹사이트 The Audio over IP Instant Expert Guide http://www.tieline.c[...] Tieline 2010-01-01
_[9] 웹사이트 Using NAT in Overlapping Networks https://www.cisco.co[...] 2005-08-01
_[10] 웹사이트 VPNs with Overlapping Subnets Problem Scenario https://www.juniper.[...] 2017-09-01
_[11] IETF Load Sharing using IP Network Address Translation 1998-08-01
_[12] 웹사이트 What Is Layer 4 Load Balancing? https://www.nginx.co[...] 2020-06-01
_[13] 웹사이트 What is load balancing? https://nfware.com/b[...] 2018-11-01
_[14] 웹사이트 Configure Server Load Balancing Using Dynamic NAT https://www.cisco.co[...] 2018-06-01
_[15] 서적 Proceedings WMCSA'99. Second IEEE Workshop on Mobile Computing Systems and Applications
_[16] IETF Some Internet Architectural Guidelines and Philosophy IETF 2002-01-01
_[17] IETF Local Network Protection for IPv6 IETF 2007-01-01
_[18] 웹사이트 Enhanced IP Resiliency Using Cisco Stateful NAT https://www.cisco.co[...]
_[19] 웹사이트 Use NAT for Public Accessto Servers with Private IP Addresses on the Private Network (WatchGuard configuration example) https://www.watchgua[...]
_[20] 웹사이트 K7820: Overview of SNAT features https://support.f5.c[...] 2007-08-28
_[21] 웹사이트 Enhanced IP Resiliency Using Cisco Stateful NAT https://www.cisco.co[...]
_[22] 웹사이트 Use NAT for Public Accessto Servers with Private IP Addresses on the Private Network (WatchGuard configuration example) https://www.watchgua[...]
_[23] 웹사이트 K7820: Overview of SNAT features https://support.f5.c[...] 2007-08-28
_[24] 웹사이트 Dynamic NAT https://study-ccna.c[...] 2016-01-26
_[25] 웹사이트 Dynamic NAT https://docs.oracle.[...]
_[26] 웹사이트 What is NAT Reflection/NAT Loopback/NAT Hairpinning? http://www.nycnetwor[...] NYC Networkers 2014-11-09
_[27] 웹사이트 NAT Loopback Routers – OpenSim http://opensimulator[...] OpenSimulator 2013-10-21
_[28] 웹사이트 After staunch resistance, NAT may come to IPv6 after all https://arstechnica.[...] 2008-07-23
_[29] 웹사이트 subnet - IPv6 subnetting a /64 - what will break, and how to work around it? https://serverfault.[...] 2015-08-18
_[30] 웹사이트 NAT66: The good, the bad, the ugly https://blog.apnic.n[...] 2018-02-01
_[31] IETF Port Control Protocol (PCP) IETF 2013-01-01
_[32] 웹사이트 Major DNS flaw could disrupt the Internet https://www.networkw[...] 2008-07-08
_[33] 문서 STUN
_[34] 웹사이트 NAT Types http://list.sipfound[...]
_[35] 논문 IETF RFC 4787 Network Address Translation (NAT) Behavioral Requirements for Unicast UDP https://www.ietf.org[...] IETF 2007-01-01