【入門編】 VPN環境におけるNATトラバーサルの詳細とトラブルシューティング – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

こんにちは！ネットワークの迷宮へようこそ。セキュリティスペシャリストの筆者です。

今日は、VPNを構築するエンジニアなら誰もが一度は頭を抱える「NATトラバーサル（NAT-T）」という難所について、深掘りしていきましょう。教科書を読んで「UDP 4500番…？何それおいしいの？」と首を傾げたあなたも、この記事を読み終える頃には、パケットの流れが手に取るようにわかるはずです。

—

まず、VPNの仕組みを「手紙の配達」に例えてみましょう。

本来、IPsecというプロトコルは、非常に厳格なマナーを持つ「格式高い手紙」です。送り主の住所と宛先がパケットの先頭にしっかり記されており、途中で内容が書き換えられたり、住所が隠されたりすることを極端に嫌います。

しかし、現代のネットワークには必ずと言っていいほど「NAT（ネットワークアドレス変換）」というルーターがいます。これは、会社の入り口で「社内用の内線番号（プライベートIP）」を「会社の代表電話番号（グローバルIP）」に書き換えてくれる、いわば「受付係」です。

問題はここからです。IPsecの元々のルールでは、「途中で住所（IPアドレス）を書き換えるなんて言語道断！」となっており、受付係（NATルーター）が住所を書き換えた瞬間、VPNという手紙は「内容が改ざんされた！」と勘違いして、怒って破棄されてしまうのです。

これが、VPNがNAT環境で繋がらない最大の理由です。

—

この問題を解決するために登場したのが「NATトラバーサル（NAT-T）」という技術です。

先ほどの「格式高い手紙（IPsec）」が、NATという受付を通る際に、「中身は変えないから、外側に封筒をもう一枚被せて通してくれない？」と頼むようなイメージです。

具体的には、本来のIPsecパケットを、UDPという、より柔軟で扱いやすいパケットの中にすっぽりと包み込んでしまいます。この時、受付係（NATルーター）は外側の封筒だけを書き換えるので、中身の「格式高い手紙」は無傷のまま、無事に目的地まで届くことができるというわけです。

この時使われるのが、有名な UDP 4500 番というポート番号です。

—

もしVPNが繋がらないなら、以下のポイントを上から順にチェックしてみてください。現場で最も多い「ハマりポイント」です。

NATルーターやファイアウォールで、UDP 4500 番ポートの通過が許可されているか確認してください。これが塞がれていると、いくらNATトラバーサルが有効でも、手紙は入り口でゴミ箱行きです。

ルーターやVPNゲートウェイの設定で「NAT-T」が有効になっているか確認しましょう。例えば、Cisco機器であれば以下のような設定が必要です。

! IPsecのNATトラバーサル機能を有効化する設定例
crypto isakmp nat-traversal
! NAT-Tが機能するためのUDP 4500番の許可設定
access-list 101 permit udp any any eq 4500

これ、意外と見落とされがちです。パケットを二重に包む（カプセル化する）ということは、当然ながら封筒のサイズが大きくなります。

巨大なパケットが、途中の狭いトンネル（MTU制限のある回線）を通ろうとして、パケットが分割されたり、破棄されたりすることがあります。もし「接続はできるけど、通信が途中で止まる」という場合は、MTU値を小さめに設定してみてください。

—

IPsecが「格式高い手紙」なら、SSL-VPN（最近ではTLS-VPNとも呼ばれます）は「Webブラウザという最強の道具」を使う現代的な通信です。

HTTPS（TCP 443）という、普段Webサイトを見るために使っている通り道を使うため、NATやファイアウォールの制限をほとんど受けません。IPsecでどうしてもNATとの相性が悪い場合は、この SSL-VPN への切り替えを検討するのも、現場で生き残るための賢い戦略です。

—

ネットワークのトラブルは、まるで「見えない糸を解く作業」です。
「なぜ動かないのか」をパケットの気持ちになって追いかけてみてください。「受付係（NAT）が気を利かせて書き換えた住所」が、実は「手紙の封印（IPsecのチェックサム）」を壊していた……そんな物語が、そこには必ずあります。

これからも、一つひとつのパケットがどこで迷子になっているのか、丁寧に追いかけていきましょう。あなたのその粘り強さが、企業の、そして誰かの安全な通信を守る鍵になるのですから。

それでは、また次回の技術探訪でお会いしましょう！