Трансляция сетевых адресов

Трансляция сетевых адресов между частной сетью и Интернетом

Трансляция сетевых адресов ( NAT ) — это метод преобразования одного пространства IP-адресов в другое путем изменения информации о сетевых адресах в IP-заголовке пакетов, пока они проходят через устройство маршрутизации трафика . Первоначально этот метод использовался для обхода необходимости назначать новый адрес каждому хосту при перемещении сети или при замене вышестоящего поставщика услуг Интернета , но он не мог маршрутизировать адресное пространство сети. Он стал популярным и важным инструментом сохранения глобального адресного пространства в условиях исчерпания адресов IPv4 . Один маршрутизируемый через Интернет IP-адрес шлюза NAT может использоваться для всей частной сети .

Поскольку преобразование сетевых адресов изменяет информацию об IP-адресе в пакетах, реализации NAT могут различаться по своему специфическому поведению в различных случаях адресации и по своему влиянию на сетевой трафик. Специфика поведения NAT обычно не документируется поставщиками оборудования, содержащего реализации NAT.

История

IPv4 использует 32-битные адреса, способные однозначно адресовать около 4,4 миллиарда устройств. К 1992 году стало очевидно, что этого будет недостаточно. 1994 год В RFC   1631 NAT описывается как «краткосрочное решение» двух наиболее серьезных проблем, стоящих перед IP-Интернетом в то время: истощение IP-адресов и масштабирование маршрутизации. К 2004 году NAT получил широкое распространение.

Базовый NAT

Самый простой тип NAT обеспечивает преобразование IP-адресов «один в один» (RFC 1631). В RFC   2663 этот тип NAT называется базовым NAT ; его также называют NAT «один к одному» . В этом типе NAT только IP-адреса, контрольная сумма изменяются IP-заголовка и любые контрольные суммы более высокого уровня, которые включают IP-адрес. Базовый NAT можно использовать для соединения двух IP-сетей с несовместимой адресацией.

NAT «один ко многим»

Сопоставление сетевых адресов

Большинство трансляторов сетевых адресов сопоставляют несколько частных хостов с одним общедоступным IP-адресом.

Вот типичная конфигурация:

1. Локальная сеть использует одну из назначенных подсетей частных IP-адресов (RFC 1918). ).
2. В сети есть маршрутизатор, имеющий как частный, так и публичный адрес. Частный адрес используется маршрутизатором для связи с другими устройствами в частной локальной сети. Публичный адрес (обычно присваиваемый поставщиком услуг Интернета ) используется маршрутизатором для связи с остальной частью Интернета.
3. Когда трафик проходит из сети в Интернет, маршрутизатор преобразует адрес источника в каждом пакете из частного адреса в собственный публичный адрес маршрутизатора. Маршрутизатор отслеживает основные данные о каждом активном соединении (в частности, адрес назначения и порт ). Когда маршрутизатор получает входящий трафик из Интернета, он использует данные отслеживания соединения, которые он сохранил на исходящей фазе, чтобы определить, на какой частный адрес (если таковой имеется) ему следует переслать ответ.

Все IP-пакеты имеют IP-адрес источника и IP-адрес назначения. Обычно для пакетов, проходящих из частной сети в общедоступную сеть, изменяется адрес источника, а для пакетов, проходящих из общедоступной сети обратно в частную сеть, изменяется адрес назначения. Чтобы избежать двусмысленности в том, как преобразуются ответы, необходимы дальнейшие модификации пакетов. Подавляющая часть интернет-трафика использует протокол управления передачей (TCP) или протокол пользовательских дейтаграмм (UDP). Для этих протоколов номера портов изменяются таким образом, чтобы комбинация IP-адреса (в заголовке IP ) и номера порта (в заголовке транспортного уровня ) в возвращаемом пакете могла быть однозначно сопоставлена ​​с соответствующим пунктом назначения частной сети. используется термин «сетевой адрес и трансляция портов » (NAPT). В RFC 2663 для этого типа NAT Другие названия включают преобразование адресов портов (PAT), маскировку IP , перегрузку NAT и NAT «многие к одному» . Это наиболее распространенный тип NAT, который стал синонимом общепринятого термина «NAT».

Этот метод позволяет осуществлять связь через маршрутизатор только тогда, когда разговор начинается в частной сети, поскольку первоначальная исходящая передача устанавливает необходимую информацию в таблицах трансляции. Таким образом, веб-браузер в частной сети сможет просматривать веб-сайты, находящиеся за пределами сети, тогда как веб-браузеры за пределами сети не смогут просматривать веб-сайт, размещенный внутри сети. Протоколы, не основанные на TCP и UDP, требуют других методов трансляции.

Дополнительным преимуществом NAT «один ко многим» является то, что он снижает нехватку адресов IPv4 , позволяя целым сетям подключаться к Интернету с использованием одного общедоступного IP-адреса.

Методы перевода

Трансляцию сетевых адресов и портов можно реализовать несколькими способами. Некоторым приложениям, использующим информацию об IP-адресе, может потребоваться определить внешний адрес транслятора сетевых адресов. Это адрес, который обнаруживают его коммуникационные узлы во внешней сети. Кроме того, может возникнуть необходимость изучить и классифицировать используемый тип сопоставления, например, когда требуется установить прямой путь связи между двумя клиентами, оба из которых находятся за отдельными шлюзами NAT.

Для этой цели в RFC 3489 в 2003 году был указан протокол под названием Simple Traversal of UDP over NAT ( STUN ). Он классифицировал реализации NAT как полноконусный NAT , (адресный) NAT с ограниченным конусом , конусный NAT с ограниченным портом или симметричный NAT и предложили методику тестирования устройства соответственно. Однако с тех пор эти процедуры были исключены из статуса стандартов, поскольку эти методы недостаточны для правильной оценки многих устройств. RFC 5389 стандартизировал новые методы в 2008 году, и аббревиатура STUN теперь представляет собой новое название спецификации: Утилиты обхода сеансов для NAT .

Классификации реализации NAT

Полноконусный NAT , также известный как NAT «один к одному» Как только внутренний адрес (iAddr:iPort) сопоставляется с внешним адресом (eAddr:ePort), любые пакеты из iAddr:iPort отправляются через eAddr:ePort. Любой внешний хост может отправлять пакеты на iAddr:iPort, отправляя пакеты на eAddr:ePort.
(Адрес)-ограниченный конус NAT Как только внутренний адрес (iAddr:iPort) сопоставляется с внешним адресом (eAddr:ePort), любые пакеты из iAddr:iPort отправляются через eAddr:ePort. Внешний хост ( hAddr:any ) может отправлять пакеты в iAddr:iPort, отправляя пакеты в eAddr:ePort, только если iAddr:iPort ранее отправил пакет в hAddr: Any . «Любой» означает, что номер порта не имеет значения.
Конусный NAT с ограничением портов Аналогичен конусному NAT с ограниченным адресом, но ограничение включает номера портов. Как только внутренний адрес (iAddr:iPort) сопоставляется с внешним адресом (eAddr:ePort), любые пакеты из iAddr:iPort отправляются через eAddr:ePort. Внешний хост ( hAddr:hPort ) может отправлять пакеты на iAddr:iPort, отправляя пакеты на eAddr:ePort, только если iAddr:iPort ранее отправил пакет на hAddr:hPort.
Симметричный NAT Комбинация одного внутреннего IP-адреса, а также IP-адреса и порта назначения сопоставляется с одним уникальным IP-адресом и портом внешнего источника; если тот же внутренний хост отправляет пакет даже с тем же адресом источника и портом, но в другой пункт назначения, используется другое сопоставление. Только внешний хост, который получает пакет от внутреннего хоста, может отправить пакет обратно.

Многие реализации NAT объединяют эти типы, поэтому лучше обратиться к конкретному индивидуальному поведению NAT, а не использовать терминологию конуса/симметричности. RFC 4787 пытается устранить путаницу, вводя стандартизированную терминологию для наблюдаемого поведения. Для первого пункта в каждой строке приведенной выше таблицы RFC будет характеризовать NAT с полным конусом, с ограниченным конусом и с конусом с ограниченным портом как имеющее независимое от конечной точки сопоставление , тогда как он будет характеризовать симметричный NAT как имеющий адресное преобразование. и порт-зависимое сопоставление . Для второго маркера в каждой строке приведенной выше таблицы RFC 4787 также помечает полноконусный NAT как имеющий фильтрацию, независимую от конечной точки , NAT с ограниченным конусом как имеющий фильтрацию, зависящую от адреса , а конусный NAT с ограниченным портом как имеющий адрес. и фильтрация, зависящая от порта , и симметричный NAT, имеющий либо фильтрацию, зависящую от адреса , либо фильтрацию, зависящую от адреса и порта . Другие классификации поведения NAT, упомянутые в RFC, включают: сохраняют ли они порты, когда и как обновляются сопоставления, могут ли внешние сопоставления использоваться внутренними хостами (т. е. их жесткое поведение), а также уровень детерминизма, который демонстрируют NAT при применении всех этих правил. В частности, большинство NAT сочетают в себе симметричный NAT для исходящих соединений со статическим сопоставлением портов , при котором входящие пакеты, адресованные внешнему адресу и порту, перенаправляются на определенный внутренний адрес и порт.

Сопоставление NAT и фильтрация NAT

RFC 4787 проводит различие между отображением NAT и фильтрацией NAT.

Раздел 4.1 RFC описывает сопоставление NAT и определяет, как внешний IP-адрес и номер порта должны быть преобразованы во внутренний IP-адрес и номер порта. Он определяет независимое от конечной точки сопоставление, сопоставление, зависящее от адреса, и сопоставление, зависящее от адреса и порта, поясняет, что эти три возможных варианта не относятся к безопасности NAT, поскольку безопасность определяется поведением фильтрации, а затем указывает: «NAT ДОЛЖЕН иметь поведение «Независимое от конечной точки сопоставление».

Раздел 5 RFC посвящен фильтрации NAT и описывает, какие критерии используются NAT для фильтрации пакетов, исходящих от определенных внешних конечных точек. Возможные варианты: «Фильтрация, независимая от конечной точки», «Фильтрация, зависящая от адреса» и «Фильтрация, зависящая от адреса и порта». Фильтрация, независимая от конечной точки, рекомендуется там, где требуется максимальная прозрачность приложения, а фильтрация, зависящая от адреса, рекомендуется там, где наиболее важно более строгое поведение фильтрации.

Некоторые устройства NAT еще не соответствуют RFC 4787, поскольку они обрабатывают сопоставление и фильтрацию NAT одинаково, поэтому их опция конфигурации для изменения метода фильтрации NAT также меняет метод сопоставления NAT (например, Netgate TNSR ). Для брандмауэра PF доступно исправление для включения поддержки RFC 4787, но оно еще не объединено.

Тип NAT и обход NAT, роль сохранения порта для TCP

Проблема прохождения NAT возникает, когда одноранговые узлы, находящиеся за разными NAT, пытаются установить связь. Одним из способов решения этой проблемы является использование переадресации портов . Другой способ — использовать различные методы обхода NAT. Самый популярный метод обхода TCP NAT — это пробивка TCP-дыр .

Пробивка отверстий TCP требует, чтобы NAT следовал схеме сохранения портов для TCP. Для данного исходящего TCP-соединения на обеих сторонах NAT используются одни и те же номера портов. Сохранение портов NAT для исходящих TCP-соединений имеет решающее значение для обхода TCP NAT, поскольку в TCP один порт может использоваться только для одного соединения за раз, поэтому программы привязывают отдельные TCP-сокеты к эфемерным портам для каждого TCP-соединения, что делает невозможным прогнозирование порта NAT. для TCP.

С другой стороны, для UDP NAT не требуют сохранения портов. Действительно, несколько соединений UDP (каждый из которых имеет отдельную конечную точку ) могут происходить на одном и том же исходном порту, и приложения обычно повторно используют один и тот же сокет UDP для отправки пакетов на разные хосты. Это упрощает прогнозирование порта, поскольку для каждого пакета это один и тот же исходный порт.

Кроме того, сохранение портов в NAT для TCP позволяет протоколам P2P обеспечивать меньшую сложность и меньшую задержку, поскольку нет необходимости использовать третью сторону (например, STUN) для обнаружения порта NAT, поскольку само приложение уже знает порт NAT.

Однако если два внутренних хоста попытаются связаться с одним и тем же внешним хостом, используя один и тот же номер порта, NAT может попытаться использовать другой внешний IP-адрес для второго соединения или может потребоваться отказаться от сохранения порта и переназначить порт.

По состоянию на 2006 год Примерно 70% клиентов в P2P -сетях использовали ту или иную форму NAT.

Выполнение

Установление двусторонней связи

В двунаправленном NAT сеанс может быть установлен как изнутри, так и снаружи.

Каждый пакет TCP и UDP содержит номер порта источника и номер порта назначения. Каждый из этих пакетов инкапсулируется в IP-пакет, IP-заголовок которого содержит IP-адрес источника и IP-адрес назначения. Тройка IP-адрес/протокол/номер порта определяет связь с сетевым сокетом .

Для общедоступных служб, таких как веб-серверы и почтовые серверы, номер порта важен. Например, порт 80 подключается через сокет к программному обеспечению веб-сервера почтового сервера SMTP , а порт 25 — к демону . Также важен IP-адрес общедоступного сервера, который по своей глобальной уникальности аналогичен почтовому адресу или номеру телефона. И IP-адрес, и номер порта должны быть правильно известны всем хостам, желающим успешно обмениваться данными.

Частные IP-адреса, описанные в RFC 1918, можно использовать только в частных сетях, не подключенных напрямую к Интернету. Порты являются конечными точками связи, уникальными для этого хоста, поэтому соединение через устройство NAT поддерживается за счет комбинированного сопоставления порта и IP-адреса. Частный адрес внутри NAT сопоставляется с внешним общедоступным адресом. Трансляция адресов портов (PAT) разрешает конфликты, которые возникают, когда несколько хостов используют один и тот же номер исходного порта для одновременного установления разных внешних подключений.

Аналогия расширения телефонного номера

Устройство NAT похоже на телефонную систему в офисе, имеющую один общественный телефонный номер и несколько добавочных номеров. Все исходящие телефонные звонки, сделанные из офиса, поступают с одного и того же телефонного номера. Однако входящий вызов, в котором не указан добавочный номер, не может быть автоматически переведен на человека внутри офиса. В этом сценарии офис представляет собой частную локальную сеть, основной номер телефона — это общедоступный IP-адрес, а отдельные расширения — это уникальные номера портов.

Процесс перевода

При использовании NAT все сообщения, отправляемые на внешние хосты, фактически содержат внешний IP-адрес и информацию о порте устройства NAT вместо внутренних IP-адресов хостов или номеров портов. NAT только транслирует IP-адреса и порты своих внутренних хостов, скрывая истинную конечную точку внутреннего хоста в частной сети.

Когда компьютер в частной (внутренней) сети отправляет IP-пакет во внешнюю сеть, устройство NAT заменяет IP-адрес внутреннего источника в заголовке пакета внешним IP-адресом устройства NAT. Затем PAT может назначить соединению номер порта из пула доступных портов, вставив этот номер порта в поле исходного порта. Затем пакет пересылается во внешнюю сеть. Затем устройство NAT вносит запись в таблицу трансляции, содержащую внутренний IP-адрес, исходный исходный порт и преобразованный исходный порт. Последующие пакеты с того же IP-адреса и номера порта внутреннего источника преобразуются в тот же IP-адрес и номер порта внешнего источника. Компьютер, получающий пакет, прошедший NAT, устанавливает соединение с портом и IP-адресом, указанными в измененном пакете, не обращая внимания на тот факт, что предоставленный адрес транслируется.

При получении пакета из внешней сети устройство NAT выполняет поиск в таблице трансляции на основе порта назначения в заголовке пакета. Если совпадение обнаружено, IP-адрес назначения и номер порта заменяются значениями, найденными в таблице, и пакет пересылается во внутреннюю сеть. В противном случае, если номер порта назначения входящего пакета не найден в таблице трансляции, пакет отбрасывается или отклоняется, поскольку устройство PAT не знает, куда его отправить.

Приложения

Маршрутизация

Трансляцию сетевых адресов можно использовать для уменьшения перекрытия IP-адресов. Перекрытие адресов происходит, когда хосты в разных сетях с одинаковым пространством IP-адресов пытаются достичь одного и того же хоста назначения. Чаще всего это неправильная конфигурация, которая может возникнуть в результате слияния двух сетей или подсетей, особенно при использовании адресации частной сети RFC 1918 . Хост назначения воспринимает трафик, по-видимому, поступающий из той же сети, а промежуточные маршрутизаторы не имеют возможности определить, куда следует отправить ответный трафик. Решением является либо изменение нумерации для устранения дублирования, либо преобразование сетевых адресов.

Балансировка нагрузки

В клиент-серверных приложениях балансировщики нагрузки пересылают клиентские запросы на набор серверных компьютеров для управления рабочей нагрузкой каждого сервера. Трансляцию сетевых адресов можно использовать для сопоставления репрезентативного IP-адреса кластера серверов с конкретными хостами, которые обслуживают запрос.

Связанные методы

Обратный адрес и трансляция портов IEEE (RAPT или RAT) позволяют хосту, реальный IP-адрес которого время от времени меняется, оставаться доступным в качестве сервера через фиксированный домашний IP-адрес. Реализация RAPT Cisco представляет собой перегрузку PAT или NAT и сопоставляет несколько частных IP-адресов одному общедоступному IP-адресу. Несколько адресов могут быть сопоставлены с одним адресом, поскольку каждый частный адрес отслеживается по номеру порта. PAT использует уникальные номера исходных портов на внутреннем глобальном IP-адресе, чтобы различать трансляции. PAT пытается сохранить исходный порт источника. Если этот исходный порт уже используется, PAT назначает первый доступный номер порта, начиная с начала соответствующей группы портов 0–511, 512–1023 или 1024–65535. Когда больше нет доступных портов и настроено более одного внешнего IP-адреса, PAT переходит к следующему IP-адресу, чтобы попытаться снова выделить исходный исходный порт. Этот процесс продолжается до тех пор, пока не закончатся доступные порты и внешние IP-адреса.

Сопоставление адреса и порта — это предложение Cisco, которое сочетает в себе преобразование адреса и порта с туннелированием пакетов IPv4 через внутреннюю сеть IPv6 поставщика услуг Интернета . По сути, это (почти) без сохранения состояния альтернатива NAT операторского уровня и DS-Lite , которая полностью переносит функцию преобразования адреса /порта IPv4 (и поддержание состояния NAT) в существующую реализацию NAT на оборудовании заказчика . Таким образом можно избежать NAT444 и проблем с сохранением состояния NAT операторского уровня, а также обеспечить механизм перехода для одновременного развертывания собственного IPv6 с очень небольшой добавленной сложностью.

Проблемы и ограничения

Хосты за маршрутизаторами с поддержкой NAT не имеют сквозного подключения и не могут участвовать в некоторых интернет-протоколах. Службы, требующие инициации TCP -соединений из внешней сети или использующие протоколы без сохранения состояния, например UDP , могут быть нарушены. Если маршрутизатор NAT не приложит особых усилий для поддержки таких протоколов, входящие пакеты не смогут достичь пункта назначения. Некоторые протоколы могут поддерживать один экземпляр NAT между участвующими хостами ( например, FTP в пассивном режиме ), иногда с помощью шлюза уровня приложения (см. § Приложения, на которые влияет NAT ), но терпят неудачу, когда обе системы отделены от Интернет через NAT. Использование NAT также усложняет протоколы туннелирования, такие как IPsec , поскольку NAT изменяет значения в заголовках, которые мешают проверкам целостности, выполняемым IPsec и другими протоколами туннелирования.

Сквозное соединение было основным принципом Интернета, поддерживаемым, например, Советом по архитектуре Интернета . В текущих документах по архитектуре Интернета отмечается, что NAT является нарушением сквозного принципа , но NAT действительно играет важную роль при тщательном проектировании. Гораздо больше беспокойства вызывает использование IPv6 NAT, и многие архитекторы IPv6 полагают, что IPv6 был предназначен для устранения необходимости в NAT.

Реализация, которая только отслеживает порты, может быть быстро исчерпана внутренними приложениями, которые используют несколько одновременных подключений, например HTTP- запрос к веб-странице с множеством встроенных объектов. Эту проблему можно решить, отслеживая IP-адрес назначения в дополнение к порту, таким образом используя один локальный порт для многих удаленных хостов. Такое дополнительное отслеживание увеличивает сложность реализации и увеличивает вычислительные ресурсы устройства перевода.

Поскольку все внутренние адреса замаскированы под одним общедоступным адресом, внешние хосты не могут напрямую инициировать соединение с конкретным внутренним хостом. Такие приложения, как VOIP , видеоконференции и другие одноранговые приложения, для работы должны использовать методы обхода NAT .

Фрагментация и контрольные суммы

Чистый NAT, работающий только на IP, может или не может правильно анализировать протоколы с полезной нагрузкой, содержащей информацию об IP, например ICMP . Это зависит от того, интерпретируется ли полезная нагрузка хостом внутри или снаружи трансляции . Базовые протоколы, такие как TCP и UDP, не могут функционировать должным образом, если NAT не примет меры за пределами сетевого уровня.

IP-пакеты имеют контрольную сумму в каждом заголовке пакета, что обеспечивает обнаружение ошибок только для заголовка. IP-дейтаграммы могут стать фрагментированными, и NAT необходимо повторно собрать эти фрагменты, чтобы обеспечить правильный пересчет контрольных сумм более высокого уровня и правильное отслеживание того, какие пакеты какому соединению принадлежат.

TCP и UDP имеют контрольную сумму, которая охватывает все передаваемые ими данные, а также заголовок TCP или UDP, а также псевдозаголовок , который содержит IP-адреса источника и назначения пакета, несущего заголовок TCP или UDP. Чтобы исходный NAT успешно прошел TCP или UDP, он должен пересчитать контрольную сумму заголовка TCP или UDP на основе преобразованных IP-адресов, а не исходных, и поместить эту контрольную сумму в заголовок TCP или UDP первого пакета фрагментированного набора. пакетов.

Альтернативно, исходный хост может выполнить обнаружение MTU пути , чтобы определить размер пакета, который может быть передан без фрагментации, а затем установить бит «не фрагментировать» (DF) в соответствующем поле заголовка пакета. Это только одностороннее решение, поскольку отвечающий хост может отправлять пакеты любого размера, которые могут быть фрагментированы до достижения NAT.

Варианты условий

ДНКАТ

Трансляция сетевых адресов назначения (DNAT) — это метод прозрачного изменения IP-адреса назначения маршрутизируемого пакета и выполнения обратной функции для любых ответов. Любой маршрутизатор, расположенный между двумя конечными точками, может выполнить это преобразование пакета.

DNAT обычно используется для публикации сервиса, расположенного в частной сети на общедоступном IP-адресе. Такое использование DNAT также называется переадресацией портов или DMZ , когда оно используется на всем сервере , который становится доступным для глобальной сети, становясь аналогом незащищенной военной демилитаризованной зоны (DMZ).

СНАТ

Значение термина SNAT зависит от поставщика:

• исходный NAT является общим расширением и является аналогом целевого NAT ( DNAT ). Это используется для описания NAT «один ко многим»; NAT для исходящих подключений к госуслугам.
• NAT с отслеживанием состояния используется Cisco Systems
• статический NAT используется WatchGuard
• безопасный NAT используется F5 Networks и Microsoft (в отношении ISA Server )

Безопасное преобразование сетевых адресов (SNAT) является частью сервера Microsoft Internet Security and Acceleration Server и расширением драйвера NAT, встроенного в Microsoft Windows Server . Он обеспечивает отслеживание и фильтрацию дополнительных сетевых подключений, необходимых для протоколов FTP , ICMP , H.323 и PPTP , а также возможность настройки прозрачного прокси-сервера HTTP .

Динамическая трансляция сетевых адресов

Как работает динамический NAT.

Динамический NAT, как и статический NAT, не распространен в небольших сетях, но встречается в крупных корпорациях со сложными сетями. Если статический NAT обеспечивает однозначное сопоставление внутренних и общедоступных статических IP-адресов, динамический NAT использует группу общедоступных IP-адресов.

NAT-закрепление

Закрепление NAT , также известное как петля NAT или отражение NAT , это функция многих потребительских маршрутизаторов когда машина в локальной сети может получить доступ к другой машине в локальной сети через внешний IP-адрес локальной сети/маршрутизатора (при этом на маршрутизаторе настроена переадресация портов для направления запросов на соответствующий компьютер в локальной сети). Официально это понятие описано в 2008 году. РФК   5128 .

Ниже описан пример сети:

• Публичный адрес: 203.0.113.1 . Это адрес WAN -интерфейса роутера.
• Внутренний адрес роутера: 192.168.1.1
• Адрес сервера: 192.168.1.2 .
• Адрес локального компьютера: 192.168.1.100

Если пакет отправляется на 203.0.113.1 компьютером по адресу 192.168.1.100 , пакет обычно направляется на шлюз по умолчанию (маршрутизатор). Маршрутизатор с функцией обратной связи NAT определяет, что 203.0.113.1 является адресом его интерфейса WAN, и обрабатывает пакет так, как будто он исходит от этого интерфейса. Он определяет место назначения для этого пакета на основе правил DNAT (переадресации портов) для места назначения. Если данные были отправлены на порт 80 и для порта 80 существует правило DNAT, направленное на 192.168.1.2 , то хост по этому адресу получит пакет.

Если применимое правило DNAT недоступно, маршрутизатор отбрасывает пакет. ICMP Destination Unreachable Может быть отправлен ответ . Если какие-либо правила DNAT присутствовали, трансляция адресов все еще действует; маршрутизатор все равно перезаписывает исходный IP-адрес в пакете. Локальный компьютер ( 192.168.1.100 ) отправляет пакет как исходящий от 192.168.1.100 , но сервер ( 192.168.1.2 ) получает его как исходящий от 203.0.113.1 . Когда сервер отвечает, процесс идентичен внешнему отправителю. Таким образом, между хостами внутри сети LAN возможна двусторонняя связь через общедоступный IP-адрес.

NAT в IPv6

Трансляция сетевых адресов обычно не используется в IPv6 , поскольку одной из целей разработки IPv6 является восстановление сквозного сетевого подключения. Большое адресное пространство IPv6 устраняет необходимость сохранения адресов, и каждому устройству может быть присвоен уникальный глобально маршрутизируемый адрес. Использование уникальных локальных адресов в сочетании с преобразованием сетевых префиксов позволяет достичь результатов, аналогичных NAT.

Большое адресное пространство IPv6 все еще можно обойти в зависимости от фактической длины префикса, предоставленной оператором связи. Нередко получают префикс /64 — наименьшую рекомендуемую подсеть — для всей домашней сети, что требует использования различных методов для ручного разделения диапазона, чтобы все устройства оставались доступными. Даже реальный NAT IPv6-IPv6, NAT66, иногда может оказаться полезным: в блоге APNIC описан случай, когда автору был предоставлен только один адрес (/128).

Приложения, на которые влияет NAT

Некоторые протоколы прикладного уровня , такие как протокол передачи файлов (FTP) и протокол инициирования сеанса (SIP), отправляют явные сетевые адреса в данных своих приложений. Например, протокол передачи файлов в активном режиме использует отдельные соединения для трафика управления (команды) и трафика данных (содержимое файла). При запросе передачи файла хост, отправляющий запрос, идентифицирует соответствующее соединение для передачи данных по адресам сетевого уровня и транспортного уровня . Если хост, отправляющий запрос, находится за простым брандмауэром NAT, трансляция IP-адреса или номера TCP-порта делает информацию, полученную сервером, недействительной. SIP обычно контролирует голосовые вызовы по IP и сталкивается с той же проблемой. SIP и сопровождающий его протокол описания сеанса могут использовать несколько портов для установки соединения и передачи голосового потока через транспортный протокол реального времени . IP-адреса и номера портов закодированы в полезных данных и должны быть известны до прохождения NAT. Без специальных методов, таких как STUN , поведение NAT непредсказуемо, и связь может выйти из строя. Программное или аппаратное обеспечение шлюза прикладного уровня (ALG) может исправить эти проблемы. Программный модуль ALG, работающий на устройстве брандмауэра NAT, обновляет любые данные полезной нагрузки, которые стали недействительными в результате преобразования адреса. ALG необходимо понимать протокол более высокого уровня, который им необходимо исправить, поэтому для каждого протокола с этой проблемой требуется отдельный ALG. Например, во многих системах Linux существуют модули ядра, называемые трекерами соединений , которые служат для реализации ALG. Однако ALG не может работать, если данные протокола зашифрованы.

Другое возможное решение этой проблемы — использовать методы обхода NAT с использованием таких протоколов, как STUN или Interactive Connectivity Setting (ICE), или собственные подходы в пограничном контроллере сеанса . Обход NAT возможен как в приложениях на основе TCP, так и в приложениях UDP, но метод на основе UDP проще, более понятен и более совместим с устаревшими NAT. В любом случае протокол высокого уровня должен быть разработан с учетом обхода NAT, и он не работает надежно через симметричные NAT или другие устаревшие NAT с плохим поведением.

Другими возможностями являются протокол управления портами (PCP), Протокол сопоставления портов NAT (NAT-PMP) или протокол устройства интернет-шлюза , но для этого требуется, чтобы устройство NAT реализовало этот протокол.

Большинство протоколов клиент-сервер (FTP является основным исключением). ), однако не отправляют контактную информацию уровня 3 и не требуют какой-либо специальной обработки со стороны NAT. Фактически, сегодня избежание осложнений NAT является практически обязательным требованием при разработке новых протоколов более высокого уровня.

NAT также может вызывать проблемы при IPsec применении шифрования и в случаях, когда несколько устройств, таких как SIP-телефоны, расположены за NAT. Телефоны, которые шифруют свою сигнализацию с помощью IPsec, инкапсулируют информацию о порте в зашифрованный пакет, а это означает, что устройства NAT не могут получить доступ к порту и преобразовать его. В этих случаях устройства NAT возвращаются к простым операциям NAT. Это означает, что весь трафик, возвращающийся в NAT, отображается на один клиент, что приводит к сбою обслуживания более чем одного клиента за NAT. Есть несколько решений этой проблемы: одно — использовать TLS , который работает на уровне 4 и не маскирует номер порта; другой — инкапсулировать IPsec в UDP — последнее решение выбрано TISPAN для обеспечения безопасного прохождения NAT или NAT с «IPsec Passthru» поддержкой ; другой вариант — использовать пограничный контроллер сеанса для прохождения NAT .

Интерактивное установление соединения — это метод обхода NAT, который не зависит от поддержки ALG.

Уязвимость протокола DNS, объявленная Дэном Камински 8 июля 2008 г. косвенно зависит от сопоставления портов NAT. Чтобы избежать отравления кэша DNS , крайне желательно не транслировать номера исходных портов UDP исходящих DNS-запросов от DNS-сервера за брандмауэром, реализующим NAT. Рекомендуемый обходной путь уязвимости DNS — заставить все кэширующие DNS-серверы использовать случайные исходные порты UDP. Если функция NAT дерандомизирует исходные порты UDP, DNS-сервер становится уязвимым.

Примеры программного обеспечения NAT

• Общий доступ к подключению к Интернету (ICS): реализация NAT и DHCP включена в Windows. настольные операционные системы
• IPFilter : включен в OpenSolaris , FreeBSD и NetBSD , доступен для многих других Unix-подобных операционных систем.
• ipfirewall (ipfw): собственный фильтр пакетов FreeBSD.
• Netfilter с iptables / nftables : Linux фильтр пакетов
• NPF : собственный пакетный фильтр NetBSD.
• PF : собственный пакетный фильтр OpenBSD.
• Служба маршрутизации и удаленного доступа (RRAS): реализация маршрутизации включена в Windows Server. операционные системы
• VPP : реализация пересылки пакетов в пользовательском пространстве для Linux.
• WinGate : сторонняя реализация маршрутизации для Windows.

См. также

• Anything In Anything (AYIYA) – IPv6 через IPv4 UDP, таким образом работает туннелирование IPv6 через большинство NAT.
• NAT операторского уровня – NAT за NAT внутри интернет-провайдера.
• Шлюз (телекоммуникации) – соединение между двумя сетевыми системами.
• Протокол устройства шлюза Интернета (UPnP IGD) Метод прохождения NAT
• Промежуточный блок — промежуточный блок на пути данных между исходным хостом и хостом назначения.
• Протокол сопоставления портов NAT (NAT-PMP) Метод обхода NAT
• Протокол управления портами (PCP) Метод обхода NAT
• Запуск порта – механизм обхода NAT
• Подсеть — логическое подразделение IP-сети. Страницы, отображающие краткие описания целей перенаправления.
• Туннелирование Teredo – обход NAT с использованием IPv6

Внешние ссылки

• Характеристика различных TCP NAT на Wayback Machine (архивировано 11 января 2006 г.) - документ, в котором обсуждаются различные типы NAT.
• Анатомия: взгляд изнутри на трансляторы сетевых адресов - том 7, выпуск 3, сентябрь 2004 г.
• Джефф Тайсон, HowStuffWorks: как работает трансляция сетевых адресов
• Маршрутизация с помощью NAT в archive.today (заархивировано 3 января 2013 г.) (часть документации для IBM iSeries)
• Часто задаваемые вопросы о трансляции сетевых адресов (NAT) — Cisco Systems