네트워크 주소 변환

사설 IP 주소는 인터넷 상에서 직접 라우팅되지 않고, 특정 로컬 네트워크 내부에서만 사용되는 IP 주소를 의미한다. 반면 공인 IP 주소는 인터넷 상에서 전 세계적으로 고유하게 식별되며, 인터넷 서비스 제공자로부터 할당받아 사용하는 주소이다.

사설 IP 주소는 다음의 세 가지 주소 대역으로 표준화되어 있으며, 이 범위 내의 주소는 인터넷에서 라우팅되지 않는다.

이러한 구분은 IPv4 주소의 고갈 문제를 완화하기 위해 도입되었다. 하나의 공인 IP 주소를 공유하는 여러 내부 장치가 각각 사설 IP 주소를 사용함으로써, 필요한 공인 주소의 수를 크게 줄일 수 있다. 예를 들어, 가정 내의 스마트폰, 노트북, 스마트 TV 등은 모두 서로 다른 사설 IP 주소를 가지지만, 인터넷에 나갈 때는 라우터의 단일 공인 IP 주소를 공유한다.

IPv4 주소 체계는 약 43억 개의 고유 주소를 제공하지만, 인터넷 사용 기기의 폭발적 증가로 인해 이 주소 공간은 빠르게 고갈되었다. 이 문제를 완화하기 위해 사설 IP 주소 범위(예: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)가 정의되었으며, 이 주소들은 인터넷 상에서 직접 라우팅되지 않고 조직 내부에서만 재사용될 수 있다. NAT는 이러한 사설 네트워크의 다수 호스트가 단일 또는 소수의 공인 IP 주소를 공유하여 인터넷에 접속할 수 있도록 하는 핵심 메커니즘이다.

주소 변환의 필요성은 크게 두 가지 측면에서 설명된다. 첫째는 공인 IP 주소의 절약이다. 하나의 공인 IP 주소를 통해 수십, 수백 대의 내부 호스트가 외부 네트워크와 통신할 수 있게 함으로써 IPv4 주소 고갈 문제를 지연시켰다. 둘째는 보안적 측면이다. NAT는 기본적으로 외부 네트워크에서 내부 사설 네트워크의 실제 IP 주소와 토폴로지를 숨기는 효과를 제공한다. 외부에서 발신된 패킷이 내부 네트워크로 들어오려면 NAT 변환 테이블에 해당 연결에 대한 매핑 정보가 사전에 존재해야 하므로, 원치 않는 외부 접속을 차단하는 추가적인 방화벽 역할을 수행한다.

이러한 필요성 때문에 NAT는 가정용 라우터, 기업망, 데이터센터 등 인터넷 접속이 필요한 거의 모든 네트워크 환경에서 필수적인 기술로 자리 잡았다. 그러나 이는 IPv4 주소 공간의 한계에 대한 임시 해결책이며, 궁극적인 해결책은 충분한 주소 공간을 제공하는 IPv6로의 전환이다.

정적 NAT는 사설 IP 주소와 공인 IP 주소 간의 변환을 고정적으로, 일대일로 매핑하는 방식이다. 내부 네트워크의 특정 장치(예: 웹 서버 또는 메일 서버)에 항상 동일한 공인 IP 주소를 할당하여 외부에서 접근할 수 있도록 한다. 관리자가 수동으로 변환 테이블을 구성해야 하며, 한 번 설정되면 주소 매핑이 변경되지 않는다.

주로 내부 네트워크에 위치한 서버를 외부 인터넷에 공개해야 할 때 사용된다. 예를 들어, 사설 IP 주소 192.168.1.100을 가진 웹 서버가 있다면, 정적 NAT를 통해 이를 공인 IP 주소 203.0.113.10으로 고정적으로 변환한다. 외부 사용자는 203.0.113.10으로 접속하면, NAT 장비(예: 라우터 또는 방화벽)가 해당 트래픽을 자동으로 192.168.1.100으로 전달한다.

이 방식의 주요 특징은 주소 변환이 예측 가능하고 영구적이라는 점이다. 이는 서버 운영에 안정성을 제공하지만, 제한된 공인 IP 주소를 각 내부 장치에 하나씩 할당해야 하므로 주소 효율성은 낮다. 따라서 대규모 내부 네트워크의 모든 클라이언트 장치에 적용하기보다는, 특정 서비스 제공을 위한 서버에 한정되어 사용된다.

동적 NAT는 미리 정의된 공인 IP 주소 풀에서 사용 가능한 주소를 할당하여 사설 IP 주소를 변환하는 방식이다. 정적 NAT가 고정된 1:1 매핑을 사용하는 반면, 동적 NAT는 내부 네트워크의 호스트가 외부로 통신을 시작할 때마다 풀에서 빈 공인 주소를 동적으로 선택하여 할당한다. 이 변환은 통신 세션이 유지되는 동안만 지속되며, 세션이 종료되면 해당 공인 주소는 풀로 반환되어 다른 내부 호스트가 사용할 수 있게 된다.

동적 NAT의 동작 과정은 다음과 같다. 내부 호스트(예: 192.168.1.10)가 외부 서버에 패킷을 보내면, NAT 장비(라우터 또는 방화벽)는 해당 패킷의 출발지 주소를 확인한다. 장비는 내부 주소 변환 테이블을 검색한 후, 기존 매핑이 없으면 사용 가능한 공인 IP 주소 풀(예: 203.0.113.1 ~ 203.0.113.10)에서 하나의 주소(예: 203.0.113.3)를 선택하여 할당한다. 이후 외부로 나가는 모든 패킷의 출발지 주소는 이 공인 주소로 변환된다. 반대로 외부에서 들어오는 응답 패킷의 목적지 주소가 203.0.113.3이면, NAT 장비는 변환 테이블을 참조하여 원래의 내부 주소인 192.168.1.10으로 다시 변환하여 전달한다.

이 방식의 주요 특징과 제약 사항은 아래 표와 같다.

동적 NAT는 정적 NAT에 비해 공인 IP 주소를 더 효율적으로 활용할 수 있으며, 내부 네트워크 구조를 일정 정도 숨기는 기본적인 보안 이점을 제공한다. 그러나 공인 IP 풀의 크기보다 많은 내부 호스트가 동시에 외부와 통신해야 할 경우 연결 실패가 발생할 수 있다는 한계가 있다. 이 한계를 극복하기 위해 단일 공인 IP 주소로 여러 내부 호스트의 통신을 구분할 수 있는 PAT 방식이 더 널리 사용된다.

PAT는 동적 NAT의 한 형태로, 하나의 공인 IP 주소를 여러 개의 사설 IP 주소가 공유하도록 하는 기술이다. 이때, 각 내부 호스트의 연결을 구분하기 위해 TCP/UDP 포트 번호를 추가적으로 변환하여 사용한다. 이 방식은 주소 변환 테이블에 사설 IP 주소뿐만 아니라 포트 번호까지 기록하여, 하나의 공인 IP 주소로 수천 개의 내부 연결을 동시에 처리할 수 있게 한다. 따라서 PAT는 주소 절약 측면에서 가장 효율적인 NAT 방식으로 평가받는다.

PAT의 동작 과정은 다음과 같다. 내부 네트워크의 호스트(예: 192.168.1.10)가 외부 서버(예: 203.0.113.5)에 접속하려고 하면, NAT 장비(주로 라우터 또는 방화벽)는 해당 패킷의 출발지 주소와 포트(예: 192.168.1.10:1500)를 자신의 공인 IP 주소와 사용 가능한 새로운 포트(예: 203.0.113.1:62000)로 변환한다. 이 매핑 정보는 NAT 테이블에 기록된다. 이후 외부 서버로부터의 응답 패킷이 공인 IP 주소와 포트(203.0.113.1:62000)로 도착하면, NAT 장비는 테이블을 조회하여 원래의 내부 호스트(192.168.1.10:1500)로 패킷을 전달한다.

PAT는 대부분의 가정용 라우터와 소규모 기업 네트워크에서 표준적으로 사용되는 방식이다. 이는 IPv4 주소 고갈 문제를 극복하는 데 결정적인 역할을 했다. 그러나 모든 내부 호스트의 트래픽이 단일 공인 IP 주소로 집중되기 때문에, 해당 주소가 블랙리스트에 등록될 경우 내부의 모든 사용자가 영향을 받을 수 있다는 단점도 존재한다. 또한, 포트 번호를 식별자로 사용하기 때문에 포트 번호에 의존하지 않는 특정 애플리케이션 계층 프로토콜(예: FTP의 액티브 모드, IPsec 등)과의 호환성 문제가 발생할 수 있다.

네트워크 주소 변환의 도입은 주로 IPv4 주소 고갈 문제를 완화하기 위한 것이었지만, 부수적으로 중요한 장점들을 제공한다. 그 중 가장 두드러지는 것은 공인 IP 주소의 절약과 기본적인 수준의 네트워크 보안 향상이다.

첫 번째 주요 장점은 공인 IP 주소의 효율적인 절약이다. 하나의 공인 IP 주소를 여러 대의 내부 호스트가 공유할 수 있게 함으로써, 제한된 IPv4 주소 자원을 극적으로 확장한다. 예를 들어, 한 가정이나 소규모 사무실 네트워크에는 수십 대의 장치가 존재할 수 있지만, 인터넷 서비스 제공자로부터 할당받는 공인 IP 주소는 단 하나인 경우가 일반적이다. PAT 방식을 통해 내부 장치들의 사설 IP와 포트 번호를 하나의 공인 IP와 서로 다른 포트 번호로 변환하면, 모든 장치가 동시에 인터넷에 접속하는 것이 가능해진다. 이는 IPv4 주소 체계의 수명을 연장하는 데 결정적인 역할을 했다.

두 번째 장점은 기본적인 방화벽 효과로 인한 보안성 향상이다. NAT 장비(주로 라우터)는 기본적으로 외부 네트워크에서 시작된 연결 요청을 내부 네트워크로 자동으로 전달하지 않는다. 내부 호스트가 외부로 먼저 연결을 시도하여 변환 테이블이 생성된 경우에만, 해당 연결에 대한 응답 트래픽이 내부로 전달된다. 이는 외부에서의 무단 스캔이나 공격 시도가 내부 네트워크에 직접 도달하는 것을 막는 일종의 숨김 효과를 제공한다. 따라서 내부 네트워크의 실제 토폴로지와 호스트 주소가 외부에 노출되는 것을 방지한다[4]. 그러나 이는 완전한 보안 솔루션이 아니며, 애플리케이션 계층 공격이나 내부에서 시작된 악성 트래픽을 막지 못한다는 점에 유의해야 한다.

네트워크 주소 변환은 패킷의 IP 주소와 포트 번호를 실시간으로 변환해야 하므로, 라우터나 방화벽과 같은 네트워크 장비에 추가적인 처리 부담을 준다. 주소 변환을 위해 변환 테이블을 유지하고, 각 패킷 헤더를 검사하고 수정하는 과정에서 약간의 지연이 발생한다. 이는 처리량이 많거나 실시간성이 중요한 애플리케이션에서 성능 저하의 원인이 될 수 있다.

특히, IP 헤더 내의 주소 정보를 변경하면 체크섬을 재계산해야 하며, TCP나 UDP 헤더의 체크섬도 영향을 받아 추가 계산이 필요하다. 이러한 오버헤드는 대규모 트래픽을 처리하는 네트워크 환경에서 누적되어 성능에 영향을 미칠 수 있다.

주소 변환은 IPsec이나 FTP의 Active 모드와 같이 애플리케이션 계층 페이로드 내부에 IP 주소나 포트 번호를 포함하는 프로토콜과의 호환성 문제를 일으킨다. NAT 장비는 일반적으로 전송 계층까지만 패킷을 처리하며, 애플리케이션 데이터까지 깊이 들여다보지 않기 때문에, 데이터 부분에 포함된 주소 정보는 변환되지 않은 채로 전달된다.

이로 인해 통신이 실패하거나 정상적으로 동작하지 않는 경우가 발생한다. 이러한 문제를 해결하기 위해 ALG가 개발되었지만, 모든 프로토콜을 지원하지는 않으며, ALG 자체도 추가적인 복잡성과 보안 취약점을 도입할 수 있다.

STUN, TURN, ICE는 NAT 뒤에 위치한 호스트(예: 가정 내 PC나 스마트폰)가 외부 네트워크와 직접적인 P2P 연결을 수립하는 데 어려움을 겪는 문제, 즉 NAT 트래버셀을 해결하기 위해 설계된 프로토콜군이다. 이들은 각기 다른 역할을 수행하며, 종종 함께 사용되어 최적의 연결 경로를 찾는다.

STUN은 가장 기본적인 프로토콜로, 호스트가 자신의 공용 네트워크 상의 주소(공인 IP 주소와 포트)를 발견하는 데 사용된다. 호스트는 인터넷에 위치한 STUN 서버에 요청을 보내고, 서버는 응답을 통해 "NAT 장치가 이 연결을 위해 외부에 매핑해 놓은 주소는 무엇인가"를 알려준다. 이렇게 발견된 주소 정보를 통해 양측 호스트는 서로의 공용 주소를 알 수 있게 되며, 간단한 콘 스타일 NAT 환경에서는 이 정보만으로 직접 P2P 연결이 가능해진다. 그러나 대칭형 NAT[5]처럼 더 제한적인 NAT 뒤에 있을 경우 STUN만으로는 연결에 실패한다.

이러한 제한적인 환경에서 TURN이 중계자 역할을 한다. TURN은 직접적인 P2P 연결이 불가능할 때, 중간에 위치한 TURN 서버를 통해 모든 데이터를 릴레이(중계)하는 방식을 제공한다. 호스트는 TURN 서버와 연결을 수립하고, 모든 통신 데이터는 이 서버를 경유하여 상대방에게 전달된다. 이 방식은 반드시 연결을 성공시킬 수 있지만, 서버의 대역폭을 소모하고 지연 시간이 증가하는 단점이 있다. 따라서 TURN은 최후의 수단으로 사용된다.

ICE는 STUN과 TURN을 포함한 다양한 방법을 체계적으로 시도하여 최적의 연결 경로를 선택하는 프레임워크이다. ICE를 구현한 에이전트는 가능한 모든 통신 주후보(Candidate)를 수집한다. 이 후보에는 자신의 사설 IP 주소, STUN을 통해 발견된 공용 주소, TURN 서버의 릴레이 주소 등이 포함된다. 이후 이 후보 목록을 시그널링 채널(예: SIP)을 통해 상대방과 교환하고, STUN 요청을 이용한 연결성 확인(Connectivity Checks) 절차를 수행한다. 이 과정에서 지연이 가장 적고 직접적인 연결(우선순위: 사설 주소 직접 연결 > STUN을 통한 공용 주소 연결 > TURN 릴레이)이 가능한 경로를 자동으로 선택한다.

P2P 통신은 중앙 서버를 거치지 않고 단말 간 직접 연결을 통해 데이터를 교환하는 방식이다. 그러나 각 단말이 사설 IP 주소를 사용하고 NAT 장비 뒤에 위치할 경우, 외부에서 해당 단말의 정확한 주소와 포트를 알 수 없어 직접적인 연결 설정이 어렵다. 이는 파일 공유, 음성 통화(VoIP), 온라인 게임 등 P2P 애플리케이션의 주요 장애 요인으로 작용한다.

이 문제를 해결하기 위해 NAT 트래버셀 기술이 활용된다. 핵심은 통신을 희망하는 양측 단말(A와 B)이 각자의 공인 주소와 포트 정보를 서로 교환하고, NAT 장비를 통과할 수 있는 경로를 확립하는 것이다. 일반적인 절차는 다음과 같다. 먼저, 양측은 STUN 서버에 접속하여 자신에게 할당된 공인 IP 주소와 포트를 확인한다. 이후 이 정보를 시그널링 채널(종종 중개 서버를 통해)을 이용해 상대방에게 전달한다. 양측이 서로의 주소 정보를 알게 되면, NAT 장비의 매핑 테이블을 유지시키기 위해 패킷을 지속적으로 보내는 '홀 펀칭' 기법을 사용하여 직접 연결을 시도한다.

그러나 대칭형 NAT과 같은 제한적인 NAT 유형에서는 홀 펀칭이 실패할 수 있다. 이 경우 TURN 서버를 릴레이 서버로 사용하는 방법이 최후의 수단으로 동작한다. ICE 프레임워크는 STUN을 통한 직접 연결 시도부터 TURN을 통한 릴레이에 이르기까지 가능한 모든 후보 경로를 체계적으로 수집하고 테스트하여 최상의 연결을 설정한다. 이러한 기술들의 조합을 통해 대부분의 NAT 환경에서도 P2P 통신이 가능해진다.

IPv4 주소의 고갈이 현실적인 위협으로 대두되면서, IPv6의 도입이 긴급한 과제로 부상했다. IPv4는 약 43억 개(2^32)의 주소만을 제공하는 반면, IPv6는 2^128개, 즉 약 3.4×10^38개의 거의 무한에 가까운 주소 공간을 제공한다. 이는 지구상의 모든 모래알 개수보다 많은 양으로, 모든 장치에 고유한 공인 IP 주소를 할당하는 것이 가능해진다.

IPv6 주소는 128비트로 구성되며, 16비트씩 8그룹으로 나누어 콜론(:)으로 구분하여 표현한다. 예를 들어, 2001:0db8:85a3:0000:0000:8a2e:0370:7334와 같은 형태를 가진다. 주소 표현을 간소화하기 위해 선행하는 0은 생략할 수 있으며, 연속된 0의 그룹은 '::'로 한 번만 압축하여 표현할 수 있다.

이러한 방대한 주소 공간은 사설 IP 주소 체계와 NAT의 주된 존재 이유였던 주소 절약의 필요성을 근본적으로 줄여준다. 따라서 IPv6 환경에서는 종단 간 직접 통신이 더욱 용이해지고, 네트워크 구조가 단순화될 수 있는 기반을 마련했다.

IPv6의 도입은 거의 무한에 가까운 주소 공간을 제공하여, IPv4 환경에서 사설 IP 주소와 공인 IP 주소를 구분하고 변환해야 했던 근본적인 압박을 크게 완화시켰다. 이론적으로는 모든 장치에 고유한 공인 IP 주소를 할당하는 것이 가능해졌기 때문에, 주소 절약을 위한 NAT의 기본적인 필요성은 사라졌다. 따라서 초기 IPv6 설계에서는 NAT를 배제하고 종단 간(end-to-end) 연결성을 복원하는 것을 목표로 했다[7].

그러나 실제 IPv6 배포 과정에서는 보안이나 네트워크 관리 측면에서 NAT와 유사한 기능에 대한 요구가 여전히 존재한다. 예를 들어, 내부 네트워크 토폴로지를 외부에 숨기려는 요구는 IPv6에서도 지속된다. 이에 대응하여 IPv6에서는 전통적인 주소 변환 대신 프리픽스 변환 (Prefix Translation)이나 방화벽 필터링 정책을 활용한 네트워크 분리 방식이 더 권장된다. CGNAT와 같은 대규모 변환 기술은 IPv4 주소 고갈을 완화하기 위한 과도기적 솔루션으로 남아, IPv6-only 네트워크와 IPv4 인터넷을 연결하는 데 일부 사용된다.

결과적으로, IPv6 환경에서 NAT의 역할은 '주소 절약'에서 '네트워크 관리 및 정책 적용' 도구로 변화했다. 순수 IPv6 네트워크에서는 NAT 없이도 충분한 주소 할당과 강력한 보안 정책 구현이 가능하지만, IPv4와의 공존 기간 동안에는 변환 기술이 계속 필요할 수 있다.

포트 포워딩은 네트워크 주소 변환의 한 형태로, 라우터나 방화벽과 같은 네트워크 게이트웨이 장치가 외부 네트워크(예: 인터넷)에서 들어오는 특정 포트의 통신 요청을 내부 네트워크의 특정 장치로 전달하도록 정적으로 매핑하는 기술이다. 이를 통해 내부 네트워크에 위치한 서버(예: 웹 서버, 게임 서버, FTP 서버)를 공인 IP 주소를 직접 할당하지 않고도 외부에서 접근할 수 있게 한다.

동작 원리는 다음과 같다. 관리자는 라우터의 설정에서 외부 포트 번호, 내부 대상 장치의 사설 IP 주소, 그리고 해당 장치에서 사용할 내부 포트 번호를 지정한다. 예를 들어, 외부 포트 80의 요청을 내부 IP 192.168.1.100의 포트 80으로 전달하도록 설정하면, 외부 사용자가 라우터의 공인 IP 주소로 웹 접속(포트 80)을 시도할 때 라우터는 그 요청을 자동으로 내부의 지정된 서버로 리디렉션한다.

포트 포워딩은 주로 정적 NAT 방식으로 구현되며, 매핑 관계가 고정되어 있다는 점에서 동적 NAT나 PAT와 구분된다. 이 기술은 홈 네트워크에서 원격 데스크톱, 파일 공유, 또는 멀티플레이어 게임 호스팅을 위해 널리 사용된다. 그러나 특정 포트를 열어둠으로써 해당 내부 장치에 대한 직접적인 공격 경로가 생길 수 있어, 보안 설정을 신중하게 관리해야 한다는 단점도 있다[8].

NAPT는 PAT와 동의어로, 하나의 공인 IP 주소를 여러 개의 사설 IP 주소가 공유하도록 하는 주소 변환 기술이다. 동적 NAT가 사설 IP와 공인 IP를 1:1로 매핑하는 반면, NAPT는 포트 번호를 추가적으로 변환함으로써 하나의 공인 IP로 수천 개의 내부 호스트 연결을 동시에 처리할 수 있다. 이는 주로 IPv4 주소 고갈 문제를 극복하기 위해 광범위하게 사용되는 방식이다.

NAPT의 동작 원리는 다음과 같다. 내부 네트워크의 호스트가 외부로 패킷을 전송하면, NAT 장비(예: 라우터 또는 공유기)는 출발지의 사설 IP 주소와 포트 번호를 자신의 공인 IP 주소와 새로운 임시 포트 번호로 변환한다. 이 변환 정보는 NAT 테이블에 기록된다. 외부에서 들어오는 응답 패킷은 목적지 포트 번호를 확인하여, NAT 테이블을 참조해 원래의 내부 호스트 IP와 포트로 다시 변환하여 전달한다. 이를 통해 단일 공인 IP로도 내부의 여러 장치가 각기 다른 포트를 통해 인터넷에 동시 접속할 수 있다.

NAPT는 현대의 대부분의 가정용 네트워크와 소규모 사무실 네트워크에서 표준적으로 사용된다. 그러나 모든 내부 세션이 하나의 공인 IP를 공유하기 때문에, 외부에서 내부의 특정 서버(예: 웹 서버, 게임 서버)로의 직접적인 인바운드 연결을 설정하기 어렵다는 단점이 있다. 이 문제는 포트 포워딩이나 DMZ 설정을 통해 해결할 수 있다. 또한, IPsec이나 FTP의 일부 모드와 같이 패킷 데이터 내부에 IP 주소나 포트 정보를 포함하는 특정 프로토콜은 추가적인 ALG 지원 없이 NAPT를 통과하기 어려울 수 있다.