網路位址轉換（Network Address Translation, NAT）最初為緩解 IPv4 位址枯竭而設計，透過私有位址與公有位址轉換，讓內部網路以少量公網 IP 存取網際網路。隨著技術演進，NAT 成為網路邊界安全的基石之一，廣泛整合於企業防火牆、UTM、新一代防火牆中，提供位址隱藏、存取控制、流量檢測等安全功能。
這些位址不在公網路由，僅用於內部網路，NAT 閘道負責雙向轉換。
| 類型 | 說明 | 適用場景 |
|---|---|---|
| 靜態 NAT (Static NAT) | 一對一固定映射：內部私有 IP ↔ 公有 IP | 公開伺服器（Web、Mail、VPN 閘道） |
| 動態 NAT (Dynamic NAT) | 從公有 IP 池動態分配，用完釋放 | 內部主機上網，公有 IP 數 ≥ 同時上線主機數 |
| 連接埠位址轉換 (PAT/NAPT) | 多對一：單一公有 IP + 不同埠號 對應多個內部主機 | 最常見，家用/企業共用單一/少量公網 IP 上網 |
| 雙向 NAT (Bi-directional NAT) | 結合靜態與動態，支援內外雙向主動連線 | 複雜跨網域應用、VoIP、IPsec VPN 穿透 |
外部僅見 NAT 閘道公有 IP，無法直接掃描、指紋識別內部主機 IP、作業系統、開放埠口，大幅降低偵察攻擊成功率。
NAT 天然阻擋外部主動發起的連線（除非配置連接埠轉發/靜態 NAT）。防火牆政策可針對「轉換後」的公有 IP/埠口制定允許/拒絕規則，實現精細管控。
針對 SYN Flood 等攻擊，NAT 閘道可在邊界進行連線數限制、速率限制、SYN Proxy 機制，保護後端伺服器資源耗盡。
現代 NAT/防火牆內建 Application Layer Gateway (ALG) 支援 FTP、SIP、H.323、RTSP 等協議，動態開啟資料連線埠口，並在應用層檢測異常指令（如 FTP PORT 指令注入、SIP 訊息畸形）。
記錄每條連線的五元組（來源/目的 IP、來源/目的埠、協議）與狀態（SYN、ESTABLISHED、FIN），僅允許符合狀態機的封包通過，有效防禦 IP 偽造、TCP 旗標異常攻擊。
解析應用層協議（HTTP、DNS、SMTP、SQL、RDP 等），識別應用特徵、惡意負載（SQL Injection、XSS、Shellcode、C2 通訊），並可進行內容過濾、資料防洩漏 (DLP)。
基於特徵碼、行為分析、信譽情報，即時阻斷已知/未知漏洞利用、暴力破解、惡意軟體下載、C2 回連。
| 局限 | 補強措施 |
|---|---|
| 無法防禦內部發起的惡意連線（C2、資料外洩） | 部署出站流量檢測、DNS 檢測、SSL 檢測、EDR/XDR |
| ALG 可能引入漏洞或破壞協議 | 僅啟用必要 ALG，保持韌體更新，必要時停用 |
| 大量連線導致 NAT 表耗盡（NAT Exhaustion） | 調整連線老化時間、啟用連線限制、擴展公有 IP 池 |
| IPv6 環境下 NAT 不再必要，但仍需邊界防護 | 部署 IPv6 防火牆、前綴委派 (DHCPv6-PD)、RA Guard、SAVI |
NAT 從單純的位址擴展技術，演變為網路邊界安全的核心組件。結合狀態檢測、DPI、IPS、威脅情報，NAT 防火牆提供了「隱藏、控制、檢測、阻斷」的多層防禦。然而，NAT 非萬靈丹，必須配合內部網段劃分、零信任存取、端點防護、安全運營體系，才能構建纵深防御體系。