アドレス変換・代理中継・VPN

まず結論：5つを1行で言い分ける

このレッスンで扱う5つの仕組みは、どの情報を書き換えるか・誰の代わりに動くかで区別できます。下の表を最初に頭に入れてから本文を読んでください。

NAT：プライベートIPとグローバルIPの変換

プライベートIPアドレスは、社内や家庭の中だけで使う住所です（例：192.168.x.x、10.x.x.x、172.16〜31.x.x）。グローバルIPアドレスは、インターネット上で世界に1つだけの住所で、インターネットと直接やり取りできるのはこちらだけです。

NAT（Network Address Translation）は、社内のPCが外に出るときに送信元のプライベートIPをグローバルIPに書き換え、戻ってきた応答では逆に書き換えて社内のPCへ届けます。試験の正解はほぼ毎回「プライベートIPアドレスとグローバルIPアドレスを相互に変換する機能」という文です。

ただし、アドレスだけを書き換える狭い意味のNATでは、同時に外へ出られる台数はグローバルIPの個数までです。グローバルIPが1個しかないなら、次のNAPTが必要になります。

NAPT（IPマスカレード）：1つのグローバルIPをみんなで使う

NAPT（Network Address Port Translation）は、IPアドレスに加えてポート番号（前のレッスンで学んだ、1台の中で通信を区別する番号）も書き換えます。Linuxでの呼び名からIPマスカレードとも呼ばれ、試験では両方の名前が出ます。

たとえるなら、会社の代表電話番号と内線番号です。外から見える番号（グローバルIP）は1つでも、内線番号（ポート番号）で「どの社員（PC）宛ての電話か」を振り分けられます。

PC1とPC2がたまたま同じポート番号を使っていても、ルータが別々のポート番号に付け替えて対応表に記録するので、戻ってきた応答を正しいPCに返せます。

試験での出方：「装置AのWAN側（インターネット側）にグローバルIPアドレスが1個だけ割り当てられている。複数のPCがインターネットを使うのに必要な機能は？」という構成図つきの問題が繰り返し出ています。答えはNAPT（IPマスカレード）で、DHCP・PPPoE・パケットフィルタリングが並ぶひっかけ選択肢です。

取り違えやすい「ネットワークの係」比較表

NAT・NAPTの問題では、別の機能の説明文や名前がひっかけ選択肢として並びます。それぞれ「何をする係か」で見分けます。

プロキシサーバ：代わりにアクセスしてくれる中継役

プロキシサーバ（proxy＝代理）は、社内のPCから頼まれて、PCの代わりに外部のWebサーバへ接続する中継役です。外のサーバから見えるのはプロキシだけなので、社内PCは外と直接やり取りしません。

役割は主に3つです。キャッシュ（一度取ったWebページを手元に保存し、次から速く返す）、アクセス先の制限やログの記録といったセキュリティ確保、そして中継そのものです。

フォワードプロキシとリバースプロキシ

ふつう「プロキシ」と言えばフォワードプロキシで、社内のクライアント側に立ちます。リバースプロキシは逆に、Webサーバの手前に立って、インターネットから来たリクエストを受け取りWebサーバへ中継します。

ひっかけにはプロキシARP（ルータが別の機器に代わってARPに応答する仕組み）やDMZも並びますが、どちらも「リクエストをWebサーバに中継する」ものではありません。

プロキシ経由の通信で、ポート番号はどう流れるか

ルールは2つだけです。①要求パケットの宛先ポートは、相手が待ち受けている番号。②応答パケットは、往きの送信元と宛先を入れ替える。要求を出す側は、空いている番号（動的ポート、例：50001）をその都度使います。

flowchart LR
  A["クライアントA（例:50001番を使用）"] -->|"①要求 宛先8080"| B["プロキシB（8080番で待ち受け）"]
  B -->|"②要求 宛先80"| C["WebサーバC（80番で待ち受け）"]
  C -->|"③応答 宛先=Bが使った番号"| B
  B -->|"④応答 宛先50001"| A

宛先が8080になるのは①だけです。8080は④では送信元側に出てくるので、ここを取り違えないことが得点の分かれ目です。

VPN：インターネットを専用線のように使う

VPN（Virtual Private Network）は、トンネリング（元のパケットを別のパケットで包んで運ぶ技術）と暗号化・認証を組み合わせ、インターネットを閉域網（関係者だけの専用網）のように使う技術です。たとえるなら、中身の見えない封筒に入れて鍵をかけ、公道（インターネット）を運ぶイメージです。