SNATはパケットの送信元IPアドレス、DNATは宛先IPアドレスを変換します。社内PCから外部へ出る通信はSNAT、公開IP宛の通信を内部サーバーへ渡す場合はDNATが代表例です。
本文では変換前後の送信元・宛先を構成図と表で比べ、PAT・ポートフォワードとの関係、戻り通信の変換、FWポリシーがNAT前後のどちらを見るかを製品別に確認する理由を説明します。
✅インフラエンジニアが知っておきたい
SNAT（送信元IP変換）
DNAT（宛先IP変換）
を整理💡SNATは、通信の送信元IPを変えるNAT
社内PCがインターネットへ出るときに、内部IPをFWのグローバルIPに見せるような使い方。💡DNATは、通信の宛先IPを変えるNAT。… pic.twitter.com/AOwbgbmkxN
— けんと＠設計構築チャンネル (@yeiquer12) 2026年7月10日
SNATは送信元IP、DNATは宛先IPを変換し、外部接続やサーバー公開で使うと整理したポスト。
SNATとDNATは何が違う？
SNATは通信の送信元IP、DNATは宛先IPを変えます。変換の前後で、クライアント、NAT装置、サーバーの各観測点が見る送信元・宛先は異なります。そのため、構成図に変換前後の4タプルを明記します。
SNATではIPがどう変わる？
実務の開始点は「policyとNATの処理順を製品資料で確認」です。社内PC 10.0.0.10が外部へ出るSNATと、203.0.113.10:443を内部10.0.0.20へ公開するDNATを上下に並べると、変わるフィールドが明確になります。 その結果を該当するshow出力やpacket captureで確認します。期待値には、試験証跡には変換前後のIPとポートを両方残す。
policyとNATの処理順を製品資料で確認について、実施条件・結果・採否理由を記録します。試験証跡には変換前後のIPとポートを両方残す。 口頭説明に頼らず、次のレビューで同じ条件を照合できます。
| 確認軸 | 実務で押さえる内容 |
|---|---|
| ポイント1 | SNAT後は外部サーバーから変換装置のIPが送信元に見える |
| ポイント2 | DNATは外部公開IPへの通信を内部サーバーへ転送できる |
| ポイント3 | PATはIPに加えてportも変換して1つのIPを共有する |
| ポイント4 | 戻り通信にはNAT tableまたは静的変換が必要 |
| ポイント5 | FW policyとserver logでは観測するアドレスが異なる場合がある |
用語だけでなく、packet flowと観測点に置いて確認します。
| 確認対象 | 判断基準 | 残す証跡 |
|---|---|---|
| source IP | SNAT後は外部サーバーから変換装置のIPが送信元に見える | source IPで差分が出た観測点と時刻を保存 |
| destination IP | DNATは外部公開IPへの通信を内部サーバーへ転送できる | policyとNATの処理順を製品資料で確認 |
| static NAT | PATはIPに加えてportも変換して1つのIPを共有する | 変換tableと経路・ACLを取得 |
| PAT | 戻り通信にはNAT tableまたは静的変換が必要 | 実通信で変換後のsrc/dst/IP/portを観測 |
| port forwarding | FW policyとserver logでは観測するアドレスが異なる場合がある | NAT log・FW log・server logを時刻で突合 |
ブラウザアクセス、サーバー公開、LB配下の3例を扱う。という観点を、レビューと試験へ反映します。
構成図で比較するSNAT・DNATの変換前後では何を確認する？
障害調査では往路だけでなく、戻り通信が同じNAT装置を通るか、session tableに対応する変換エントリがあるかまで確認します。
SNAT・DNATとは：SNATは主に送信元IPを変換し、DNATは主に宛先IPを変換します。社内端末の外部接続、公開サーバー、ロードバランサーなどで通信の見え方を変える技術です。
構成図ではsource IPの入力点と出力点を示し、該当するshow出力やpacket captureで実装状態を確かめます。関連する観点として、試験証跡には変換前後のIPとポートを両方残す。 ここまで追うと、用語とpacketの動きがつながります。
再確認に必要なのは、変換前のsrc/dst/IP/portを固定の証跡です。試験証跡には変換前後のIPとポートを両方残す。 口頭説明に頼らず、次のレビューで同じ条件を照合できます。
(出典：www.rfc-editor.orgの参照資料（公式・一次情報）)
SNATは送信元IPアドレスをどう変換する？
SNATはpacketの送信元IPを変換します。社内端末がInternetへ出る構成では、private IPをglobal IPへ変換し、戻りpacketを元の端末へ対応付けます。確認時は変換前の送信元、変換後address、outbound interface、戻りsessionの4点をNAT tableとpacket captureで照合します。
DNATは宛先IPアドレスをどう変換する？
DNATで変わるIPの確認基準：DNATはdestination IPやportを公開addressから内部serverへ変換します。戻り通信で逆変換が成立することも確認します。
DNATではIPがどう変わる？
そこでstatic NATを観測点にし、「SNATは内部→外部でしか使わないと断定」という判断を避けます。別装置のlogやcaptureでは、試験証跡には変換前後のIPとポートを両方残す。 複数の観測点を使うと、片側だけを見た誤判定を防げます。
変換tableと経路・ACLを取得の完了判定を、取得した値と判断理由で示します。試験証跡には変換前後のIPとポートを両方残す。 変更後の差分や再発時の比較基準として使える記録になります。
- STEP 01Inside Local
- STEP 02SNAT/DNAT装置
- STEP 03Inside Global
- STEP 04Outside Server
社内PCからインターネットへ接続するSNATの具体例は？
社内PCの外部接続：戻り通信にはNAT tableまたは静的変換が必要。
社内PCの外部接続では何を確認する？
構成図ではPATの入力点と出力点を示し、該当するshow出力やpacket captureで実装状態を確かめます。関連する観点として、FW policyとserver logでは観測するアドレスが異なる場合がある。 ここまで追うと、用語とpacketの動きがつながります。
実通信で変換後のsrc/dst/IP/portを観測について、実施条件・結果・採否理由を記録します。試験証跡には変換前後のIPとポートを両方残す。 変更後の差分や再発時の比較基準として使える記録になります。
ip nat inside source list 10 interface GigabitEthernet0/2 overload
ip nat inside source static tcp 10.0.0.10 443 203.0.113.10 443
show ip nat translations外部から公開サーバーへ接続するDNATの具体例は？
公開サーバー：FW policyとserver logでは観測するアドレスが異なる場合がある。
公開サーバーでは何を確認する？
実務の開始点は「NAT log・FW log・server logを時刻で突合」です。期待値には、SNAT後は外部サーバーから変換装置のIPが送信元に見える。
NAT log・FW log・server logを時刻で突合の完了判定を、取得した値と判断理由で示します。試験証跡には変換前後のIPとポートを両方残す。 第三者は同じ入力と期待値を使って結果を追試できます。
静的NAT・PAT・ポートフォワードとはどんな関係？
静的NAT・PATの確認基準：PATは複数端末の通信を1つまたは少数のglobal IPへ集約し、portを含むtranslation tableでsessionを識別します。
そこでreturn trafficを観測点にし、「NATをセキュリティ機能と断定」という判断を避けます。 複数の観測点を使うと、片側だけを見た誤判定を防げます。
試験証跡には変換前後のIPとポートを両方残す。 口頭説明だけにせず、構成・操作・出力を対応付けてレビュー可能にします。
| コマンド・config | 確認すること |
|---|---|
| show ip nat translations | 現行の状態・counter・関連設定を変更せず確認 |
| ip nat inside source list 10 interface GigabitEthernet0/2 overload | 設計値をconfigへ反映し、show出力と実通信で確認 |
| ip nat inside source static tcp 10.0.0.10 443 203.0.113.10 443 | 設計値をconfigへ反映し、show出力と実通信で確認 |
対象機器・VRF・interface・取得時刻と一緒に保存します。
戻り通信でNAT変換が元に戻るのはどういう仕組み？
NAT装置は変換時に、変換前後のIP・ポート・プロトコルを対応付けたtranslationまたはsessionを保持します。戻りパケットがその対応条件に一致すると、宛先または送信元を元の値へ戻して内部へ転送します。エントリがタイムアウトした、戻りが別のNAT装置へ流れた、ポートまで一致しない場合は復元できません。障害時は変換表、経路、セッション、両側キャプチャを同じ時刻で確認します。
戻り通信：戻り通信にはNAT tableまたは静的変換が必要。
戻りではどんな通信が発生する？
関連する観点として、PATはIPに加えてportも変換して1つのIPを共有する。 ここまで追うと、用語とpacketの動きがつながります。
FWポリシーでNAT前・NAT後のどちらを見る？
FWがNAT前とNAT後のどちらのアドレスをポリシー照合に使うかは、製品と処理順で異なります。一般論で決めず、対象バージョンの公式資料、ポリシーマッチのカウンター、NATセッション、キャプチャで確認します。
FWポリシーでは何を確認する？
| 避ける判断 | 代わりに確認すること |
|---|---|
| SNATは内部→外部でしか使わないと断定 | SNATは内部→外部でしか使わないと断定の対象、取得時刻、現行値を記録し、設計値または正常時と照合 |
| NATをセキュリティ機能と断定 | policyとNATの処理順を製品資料で確認 |
禁止事項だけでなく、正しい確認行動まで手順化します。
NATログと変換テーブルはどう確認する？
「NATログ」は、show ip nat translationsを実行する前に正常値を決めてから行います。確認項目は次のとおりです。戻り通信にはNAT tableまたは静的変換が必要。
開始点は「実通信で変換後のsrc/dst/IP/portを観測」です。出力には対象機器、VRF・VLAN・interface、取得時刻を添え、構成図や対向機器の結果と照合します。
想定と違っても、その場でclearや設定変更はしません。試験証跡には変換前後のIPとポートを両方残す。 この順序なら、作業前後で同じ条件を比較できます。
関連する仕組みをどの順序で確認する？
- PATとは？NATとの違いとIP・ポート変換の仕組み
- ACL・FWポリシーはNAT前とNAT後どちらのIPを見る？
SNAT・DNATで起きやすい設計ミスは？
変換前・後のアドレスをACL/FWで取り違える、戻り経路がNAT装置を通らない、PATのポート競合、公開先サーバーのデフォルトゲートウェイ違いが代表例です。テストではセッションと両方向のログを照合します。
設計ではどんなミスが起きやすい？
現場では「NATをセキュリティ機能と断定」という早合点を避け、社内PC 10.0.0.10が外部へ出るSNATと、203.0.113.10:443を内部10.0.0.20へ公開するDNATを上下に並べると、変わるフィールドが明確になります。 変更前に対象、取得時刻、直前変更を記録し、再現条件を崩さないことが確認が欠かせません。
確認は「NAT log・FW log・server logを時刻で突合」から進めます。該当するshow出力やpacket captureでPATの期待値と実測値を比べます。さらに別の証跡では、SNAT後は外部サーバーから変換装置のIPが送信元に見える。
よくある疑問への答えは？
SNAT DNAT 違いで最初に確認すべきことは？
最初は「変換前のsrc/dst/IP/portを固定」です。 対象と期待値を固定してからshow出力や実通信を取得します。
設定変更前に何を残すべきですか？
設定変更前に何を残すべきですかでは、構成図と設定行を対応付け、投入前の差分、適用後の状態、戻し方まで確認します。
Xポストの内容だけで実機に設定してもよいですか？
送信元・宛先のどちらを変えるかで判断するには？
「SNAT DNAT 違い」を理解するときは、定義だけでなく、構成のどこで処理され、何を観測すれば正否を判断できるかまで整理します。
最後に押さえるのは「変換前のsrc/dst/IP/portを固定」から「NAT log・FW log・server logを時刻で突合」までを1本の手順にすることです。試験証跡には変換前後のIPとポートを両方残す。 これを構成図、config、show出力、試験結果で説明できれば、設計構築の実務でも再現できます。 SNATとDNATの違い｜変換するIPアドレスが異なる、構成図で比較するSNAT・DNATの変換前後へ当てはめて確認します。
SNATとDNATの違いを現場で確認するときの完了条件
SNATとDNATの違いの確認は、コマンドが一度成功した時点では終わりません。対象と前提を固定し、正常時との差を観測し、復旧後に既存通信への影響まで確認します。
| 段階 | 確認内容 | 残す証跡 |
|---|---|---|
| 前提 | 送信元、宛先、プロトコル、ポート、方向、NAT前後のアドレス | 対象、構成図、OS・機種、直前変更 |
| 正常系 | 期待する通信・状態と判定値 | policy hit数、session/NAT table、許可・拒否ログ、パケット |
| 異常系 | 一度に一条件だけ変え、症状と観測点を照合 | 失敗出力、時刻、仮説、次の確認 |
| 復旧 | 原因を戻し、同じ試験と代表的な既存通信を再確認 | 変更前後、復旧判定、残存リスク |
インフラエンジニアが案件で考えること
実案件で「SNATとDNATの違い｜送信元・宛先IPの変換を構成図で解説」を確認するとき、最初に現行構成と正常時の状態を保存します。SNATとDNATの違い｜変換するIPアドレスが異なる、構成図で比較するSNAT・DNATの変換前後、SNATは送信元IPアドレスを変換する、DNATは宛先IPアドレスを変換するを同じ時刻・同じ条件で取得し、変更や障害の前後を比べます。
SNATは一つのshow出力だけで正常判定しません。社内PCからインターネットへ接続するSNATの例、外部から公開サーバーへ接続するDNATの例、静的NAT・PAT・ポートフォワードとの関係まで追い、構成図と実機の値を照合します。
確認の起点は ip nat inside source list 10 interface GigabitEthernet0/2 overload ip nat inside source static tcp 10.0.0.10 443 203.0.113.10 443 show ip nat translations です。
試験証跡には変換前後のIPとポートを両方残す。
実案件では変換前後のIPとportを構成図、通信要件、試験表へ同じ表記で反映します。NATだけ成功してもFW許可、戻り経路、サーバー待受がなければ業務通信は成立しないため、各観測点のログを時刻で突合します。
例えば、社内PC 10.0.0.10が外部へ出るSNATと、203.0.113.10:443を内部10.0.0.20へ公開するDNATを上下に並べると、変わるフィールドが明確になります。 このとき「show ip nat translations」と「ip nat inside source list 10 interface GigabitEthernet0/2 overload」を闇雲に取るのではなく、どの仮説を確認する出力かを手順書に書きます。対象と時刻がないlogは、後から正常・異常を判断できません。
レビューでは「SNATは内部→外部でしか使わないと断定、NATをセキュリティ機能と断定」を禁止事項にするだけでなく、代わりに確認する資料とコマンドを決めます。試験証跡には変換前後のIPとポートを両方残す。 変更の一部が正常でも業務通信全体が成立するとは限らないため、層の異なる証跡を組み合わせます。
また、ブラウザアクセス、サーバー公開、LB配下の3例を扱う。 この観点を設計書、config レビュー、試験仕様、作業手順の各成果物へ通して反映します。個人の経験に閉じず、第三者が同じ順序で再現できる状態にすることが、設計構築案件の品質につながります。
| 段階 | 確認すること | 証跡・判断 |
|---|---|---|
| 作業前 | 作業前の対象、取得時刻、現行値を記録し、設計値または正常時と照合 | show ip nat translations |
| レビュー | 変換tableと経路・ACLを取得 | 構成図・差分・指摘対応 |
| 作業後 | NAT log・FW log・server logを時刻で突合 | ip nat inside source list 10 interface GigabitEthernet0/2 overload |
| 異常時 | 影響範囲と復旧期限 | 中止・rollback・判断者 |
同じ条件でbefore/afterを比較できるようにします。
まとめ
SNATは送信元、DNATは宛先を変換します。切り分けでは変換前後のIP・ポート、変換テーブル、FWの処理順、復路、サーバーログを同じ時刻で比べ、どの観測点からアドレスが変わったかを確認します。
