Wiki NAT

Čo je NAT (Network Address Translation)

NAT (Network Address Translation – preklad sieťových adries) je sieťová metóda, ktorá umožňuje prepisovať IP adresy v hlavičkách paketov počas ich tranzitu cez smerovač (router) alebo bránu. Táto technológia slúži ako most medzi privátnymi (lokálnymi) sieťami a verejným internetom. Umožňuje jednému zariadeniu, napríklad domácemu smerovaču, reprezentovať celú skupinu počítačov navonok pod jedinou spoločnou IP adresou.

Na čo slúži

Primárnym dôvodom vzniku NAT bol kritický nedostatok voľných adries v protokole IPv4. Medzi hlavné funkcie patrí:

• Úspora verejných IP adries: Tisíce zariadení v lokálnej sieti môžu pristupovať do internetu pomocou jedinej verejnej IP adresy.
• Skrytie vnútornej topológie: Vonkajší pozorovatelia vidia iba IP adresu NAT zariadenia, nie štruktúru internej siete.
• Zjednodušenie administrácie: Zmena poskytovateľa internetového pripojenia (ISP) vyžaduje zmenu adresy iba na vonkajšom rozhraní smerovača, pričom lokálne adresy zostávajú nezmenené.

Ako funguje komunikácia

Keď zariadenie z lokálnej siete (napr. s privátnou IP adresou 192.168.1.50) odošle požiadavku na webový server v internete, proces prebieha nasledovne:

1. Odoslanie paketu: Zdrojové zariadenie vytvorí paket so svojou privátnou IP adresou a náhodným zdrojovým portom (napr. 50000).
2. Preklad (Translation) na smerovači: Router zachytí paket smerujúci do internetu. Nahradí privátnu IP adresu svojou vlastnou verejnou IP adresou (napr. 203.0.113.1) a priradí mu voľný port zo svojej NAT tabuľky (napr. 15000).
3. Záznam v NAT tabuľke: Router si do pamäte zapíše mapovanie: 192.168.1.50:50000 <-> 203.0.113.1:15000.
4. Odpoveď servera: Cieľový server odpovedá na verejnú adresu smerovača a port 15000.
5. Spätný preklad: Smerovač vyhľadá port 15000 vo svojej tabuľke, prepíše cieľovú IP adresu na 192.168.1.50 a port na 50000, a doručí paket pôvodnému odosielateľovi.

Protokol alebo sieťová vrstva

NAT operuje primárne na sieťovej vrstve (L3 – Network Layer) referenčného modelu OSI, kde modifikuje IP adresy. Avšak najbežnejšia implementácia NAT, známa ako PAT (Port Address Translation) alebo NAPT (Network Address Port Translation), zasahuje aj do transportnej vrstvy (L4 – Transport Layer), pretože aktívne číta a modifikuje porty protokolov TCP (Transmission Control Protocol) a UDP (User Datagram Protocol).

Dôležité adresy, porty alebo parametre

V kontexte NAT rozlišujeme štyri typy adries definované štandardom RFC 2663:

Praktický príklad

Predstavme si konfiguráciu statického prekladu jeden k jednému (Static NAT), kedy chceme sprístupniť interný webový server do internetu:

Interný webový server: IP 10.0.0.80, port TCP 80
Vonkajšia verejná IP smerovača: 198.51.100.5

Konfiguračné pravidlo (Static NAT / Port Forwarding):
Smeruj akúkoľvek komunikáciu prichádzajúcu na 198.51.100.5:80 na lokálnu adresu 10.0.0.80:80.

Ak teraz používateľ z internetu zadá do prehliadača verejnú adresu 198.51.100.5, smerovač bezpečne preloží dopyt na interný server, hoci ten nemá priamu verejnú IP adresu.

Bezpečnostné súvislosti

Hoci sa NAT často mylne považuje za plnohodnotný bezpečnostný prvok, jeho primárna funkcia je smerovacia. Poskytuje však takzvanú implicitnú bezpečnosť: zariadenia z internetu nemôžu samovoľne nadviazať spojenie s počítačom v privátnej sieti, pretože smerovač nemá v NAT tabuľke vytvorený príslušný dynamický záznam a prichádzajúci paket bez milosti zahodí.

NAT nenahrádza stavový firewall (Stateful Firewall). Pre komplexnú bezpečnosť je nevyhnutné kombinovať preklad adries s aktívnou filtráciou prevádzky a bezpečnostnými pravidlami.

Výhody a obmedzenia

Výhody

• Výrazné spomalenie vyčerpania obmedzeného adresného priestoru IPv4.
• Možnosť flexibilného prečíslovania internej siete bez vplyvu na vonkajšie pripojenie.
• Zvýšenie súkromia vnútornej siete skrytím skutočných IP adries koncových staníc.

Obmedzenia

• Porušenie princípu End-to-End: Niektoré protokoly vyžadujúce priame spojenie dvoch bodov (napr. IPsec, SIP pre VoIP, P2P siete) vyžadujú pomocné technológie ako STUN alebo TURN.
• Zvýšené nároky na hardvér: Smerovač musí udržiavať masívnu NAT tabuľku v pamäti RAM a prepočítavať kontrolné súčty každého prechádzajúceho paketu.
• Komplikované trasovanie (Traceability): Analýza sieťových incidentov je zložitejšia, pretože v logoch cieľových serverov figuruje iba jedna spoločná verejná IP adresa.

Často kladené otázky

Aký je rozdiel medzi SNAT a DNAT?

SNAT (Source NAT) mení zdrojovú IP adresu paketu a používa sa vtedy, keď interné zariadenia iniciujú spojenie smerom von. DNAT (Destination NAT) mení cieľovú IP adresu a používa sa typicky pri sprístupňovaní lokálnych služieb do internetu (tzv. Port Forwarding).

Vyrieši prechod na IPv6 potrebu NAT?

Áno, protokoly IPv6 disponujú obrovským množstvom adries, takže každé zariadenie na svete môže mať svoju vlastnú globálne unikátnu verejnú IP adresu. V čisto IPv6 sieťach NAT stráca svoj pôvodný zmysel, hoci prechodové mechanizmy (napr. NAT64) sa stále používajú na prepojenie IPv6 a IPv4 svetov.

Čo znamená termín Double NAT?

K Double NAT (dvojitému NAT-ovaniu) dochádza vtedy, keď sú v ceste zapojené dva smerovače vykonávajúce preklad adries za sebou (napríklad smerovač od ISP a za ním vlastný domáci router). Tento stav spôsobuje problémy pri online hraní, videohovoroch a presmerovaní portov.