NATとポート — 家の住所を1つの公開住所にまとめる

家庭用ルーターが行うのはNAPT（IPマスカレード）でした。その心臓部が変換表です。1エントリは単なる1対1ではなく、5つの組（5タプル）で通信を識別します。

• プロトコル（TCP／UDP）
• 内側の 送信元IP＋ポート
• 外側の 送信元IP＋ポート（ルーターが割り当てた公開側）
• 宛先IP＋ポート

ポート番号はトランスポート層の概念で、どの層が何を担うかは ネットワークの階層 で押さえられます。返信が来ると、ルーターは宛先の公開IP＋ポートを鍵に変換表を引き、内側の本来の相手へ戻します。

ここから「外から始まる通信が入れない」理由がはっきりします。変換表のエントリは内側発の通信でしか作られないからです。外から突然来たパケットには対応するエントリがなく、ルーターは戻し先を決められないため破棄します。これは欠陥ではなく、結果として簡易なファイアウォールとして働き、VPC のプライベート側の設計思想にもつながります。

「内側発の通信で穴が開く」と言っても、その穴がどこまでの相手に通じるかはNATの実装で変わります。外向きの挙動で4つに分類されます。

• フルコーン※1 — 内側が一度でも外へ出れば、その外側ポート宛の通信を誰からでも内側へ通す。最も緩い
• 制限コーン（アドレス制限）※2 — 一度通信したことのある宛先IPからの戻りだけ通す
• ポート制限コーン — 通信した宛先のIPとポートの両方が一致する戻りだけ通す
• 対称型（symmetric）※3 — 宛先が変わるたびに外側ポートも変える。最も厳しく、外から見た穴の位置が相手ごとに違う

前の3つ（コーン系）は「一度開いた穴の外側ポートが固定」なのに対し、対称型だけは穴が相手ごとに動くのが決定的な差です。

登場人物メモ:

• ※1 フルコーン — 一度開けば誰からでも通す最も緩い型
• ※2 制限コーン — 通信済みの相手からの戻りだけ通す型
• ※3 対称型 — 宛先ごとに外側ポートを変える最も厳しい型

P2P（端末どうしの直接通信・ビデオ通話やオンライン対戦）では、双方がNATの内側にいます。どちらも「外から入れない」ので、そのままでは繋がりません。ここで使うのがホールパンチングです。

• STUN※4 — 公開サーバに問い合わせ、自分が外からどの公開IP＋ポートに見えているかを教えてもらう仕組み。この「外から見た穴」を相手に伝え合い、ほぼ同時に外へ発信すると、互いの変換表に戻り穴ができて直接繋がる
• なぜ対称型だと破綻するか — 対称型は宛先ごとに外側ポートを変える。STUNサーバ相手に観測した穴は、通信相手にはまったく別のポートになる。相手は穴の位置を予測できず、パンチが当たらない
• TURN※5 — パンチが無理なときの最終手段。公開サーバが中継点となり、両者のパケットを転送して橋渡しする。直接ではなくなるが確実に繋がる（その分サーバ負荷と遅延が増える）

つまり「STUNで直接を狙い、ダメならTURNで中継」が定石で、対称NATが混じるほどTURN頼みになります。

登場人物メモ:

• ※4 STUN — 自分が外からどう見えるか（公開IP＋ポート）を教えてもらう仕組み
• ※5 TURN — 直接繋げないときに中継してくれる最終手段

外部から常時アクセスさせたいサーバ（自宅サーバ・ゲームホスト）には、変換表に固定の穴を用意します。

• ポートフォワーディング — 「この公開ポート宛は、この内側機器のこのポートへ」と手動で固定する設定
• UPnP／NAT-PMP — アプリが自分でルーターに穴開けを要求する仕組み。手動設定なしで繋がる利便がある一方、内部のアプリが勝手に外向きの口を開けられるため、マルウェアに悪用されうるセキュリティ上の懸念がある

IPv4アドレスの枯渇で、いまや公開IPすら足りません。そこでISPはCGNAT（キャリアグレードNAT）を導入します。

• 家庭ルーターが持つ「公開IP」が、実はISP内で多数の加入者が共有する住所で、その外側にもう一段のNATがある（NATの二段重ね）
• このため家庭側でポートフォワーディングを設定しても、外からの通信は家庭ルーターに届く前に上位NATで落ちる。自宅サーバ公開やP2Pが難しくなる
• 加えて、多数の加入者で公開IPとポートを分け合うためポート枯渇が起きやすい
• 回避策は固定グローバルIPの契約か、次のIPv6への移行

住所を見た経路判断と変換をまとめて担うのが ルーター です。

ここまでの苦労（多重化・NAT越え・CGNAT）は、すべてIPv4の住所不足が生んだものでした。IPv6はこの前提を覆します。

• IPv6のアドレス空間は事実上無尽蔵で、各機器にグローバルアドレスを直接振れる。住所を使い回すためのNAPTが原理的に不要になる
• 各端末が固有の公開アドレスを持てるので、外から入れない問題やNAT越えの苦労が消える（P2Pが素直に繋がる）
• ただし「NATが簡易防御になっていた」面は失われるため、守りはファイアウォールで明示的に行う設計へ移る
• よくある誤解 — 「IPv6はNATを内蔵している」わけでも「暗号化でNATを代替する」わけでもない。そもそも多重化が要らないのが本質

• 対称NAT同士でP2P不成立 — STUNが効かずTURN中継に頼るしかなく、遅延と中継コストが増える
• CGNAT配下でポート開放不能 — 家庭側の設定が上位NATに阻まれ、サーバ公開ができない
• UPnPの開けっぱなし — アプリやマルウェアが開けた穴が残り、意図しない口が外に晒される
• ポート枯渇 — 大量同時接続やCGNAT共有で、割り当てる一時ポートが尽きて新規接続が張れない
• 変換表のタイムアウト — 長時間無通信のエントリが消え、P2Pや常時接続がある日突然切れる