>>872
ＮＡＴの場合、変換テーブルにヒットしなかったパケットは、そのまま
(プライベートアドレスのまま)中継されます。(当然破棄される)
最近のブロードバンドルータは、安価でも時間によってフィルタを動的に
変更できるので、NAPT＋パケットフィルタが現実的ではないでしょうか。