NAT, FrameRelay, Tunneling

NAT은 Network Address Translation으로, 사설 ip를 공인 ip로 변경하는 서비스이다. 이 서비스는 가정용 공유기에 대부분 탑재 되어있으며, NAT이 있으면 여러가지 장점이 있다.

- NAT은 한 ip를 여러 기기가 사용할 수 있어, 경제적이다

- 근래에 ipv4주소가 부족해지면서, NAT이 공인 ip주소의 수를 줄여주는 역할을 할 수 있다

- NAT은 하나의 장치로 데이터가 나가기 때문에 방화벽을 구축하기 쉽다

NAT은 IP masquerading 방식으로 동작한다. 이 동작 방식은 하나의 공인 ip뒤에 여러 사설 ip를 할당하는 기법이다.

---

NAT에는 여러 종류가 있다.

- Static NAT(정적 NAT) : 공인 ip와 사설 ip를 1:1 방식으로 변환한다.

- Dynamic NAT(동적 NAT) :  공인 ip와 사설 ip를 n:n으로 변환한다.

- Network Address Port Translation(NAPT) : Dynamic NAT에 포트까지 변환하는 방식이다.

- Source NAT(SNAT) : Static NAT와 유사하지만, 출발지 ip만 공개한다.

- Destination NAT(DNAT) : Static NAT와 유사하지만, 도착지 ip만 공개한다.

이 외에도 다양한 NAT가 있다.

---

Static NAT는 다음과 같이 설정할 수 있다.

router(config)#ip nat inside source list [ACL 번호] interface [공인 ip가 할당된 인터페이스]
router(config)#interface [사설 ip를 할당한 인터페이스]
router(config-if)#ip nat inside // 내부
router(config)#interface [공인 ip가 할당된 인터페이스]
router(config-if)#ip nat outside // 외부

---

Dynamic NAT는 다음과 같이 설정할 수 있다. (전체적으로 Static NAT와 유사하지만, IP가 여러개여도 된다)

router(config)#ip nat pool [풀 이름] [처음 공인 ip주소 ~ 마지막 공인 ip주소] netmask [서브넷마스크] // 풀(ip 범위) 설정
router(config)#ip nat inside source list [ACL 번호] pool [풀 이름]
router(config)#interface [사설 ip를 할당한 인터페이스]
router(config-if)#ip nat inside // 내부
router(config)#interface [공인 ip가 할당된 인터페이스]
router(config-if)#ip nat outside // 외부

---

PAT는 Port Address Translation으로, Dynamic NAT의 한 종류이다. 이렇게 변환된 ip 주소는 호스트를 구분할 수 없어서, 포트번호로 구분한다. PAT에서 사용하는 포트는 주로 well-known(http, ssh 등의 서비스가 대부분 서버로 사용하는 포트)을 제외하고 49152(or 1024) ~ 65535 중에서 사용한다.

PAT은 다음과 같이 설정할 수 있다. (Dynamic NAT에 포트까지 변환시켜서, 하나의 공인 ip로 여러 호스트가 통신할 수 있다)

router(config)#ip nat inside source list [ACL 번호] interface [공인 ip가 할당된 인터페이스]
router(config)#interface [사설 ip를 할당한 인터페이스]
router(config-if)#ip nat inside // 내부
router(config)#interface [공인 ip가 할당된 인터페이스]
router(config-if)#ip nat outside // 외부

---

FrameRelay는 WAN사이에서 패킷을 가상 회선을 통해 주고받는다. 실제론 물리적인 회선을 여러 기기가 공유하지만, 논리적으로는 각각의 기기가 전용으로 설정된 것처럼 사용할 수 있게 해준다.

FrameRelay에는 크게 2가지가 있다.

PVC(플라스틱?) : 고정된 경로로만 이동하는 가상회선이다. 항상 연결되어 있으므로, 데이터 전송시 대기 시간이 없고 빠르게 전송할 수 있다.

SVC : 동적으로 이동하는 가상회선이다. 필요할때만 연결하고 전송이 완료되면 회선을 끊는다.

---

Tunneling은 가상 사설 네트워크을 사용하여 데이터를 전송하는 기술이다.

VPN : 가상 사설 네트워크로 데이터를 암호화하여 전송한다.
GRE : 암호화 없이 패킷을 다른 프로토콜로 변환하여 전송한다.

VPN을 사용할때는 다양한 방법을 사용할 수 있다. IKEv2, L2TP등은 암호화 없이 데이터를 전송하여, 보안에 취약하다. IPsec은 패킷을 인증하고 암호화하여, 위 방법의 취약한 부분을 개선한다.