NAT je co? Konfigurace NAT

Přeložení síťové adresy (NAT) je způsob, jak změnit místo jednoho adresního prostoru na jiný tím, že změníte informace síťové adresy v IP (Internet Protocol). To znamená, že hlavičky paketů se mění v okamžiku, kdy jsou v cestě zařízením pro směrování provozu. Tato metoda byla původně použita k zjednodušení přesměrování provozu v sítích IP bez přečíslování každého hostitele. Stala se oblíbeným a důležitým nástrojem pro zachování a distribuci globálního adresového prostoru v důsledku nedostatku adres IPv4.

NAT je co?

Původním použitím překladů síťových adres je mapovat každou adresu z jednoho adresního prostoru na odpovídající adresu v jiném prostoru. Například je to nutné, pokud se změnil poskytovatel internetových služeb a uživatel nemůže veřejně oznámit novou trasu do sítě. V podmínkách předvídatelného globálního vyčerpání prostoru IP adres je technologie NAT od konce devadesátých let stále více využívána v kombinaci s šifrováním IP (což je metoda přesunutí více adres IP do stejného prostoru). Tento mechanismus je implementován ve směrovacím zařízení, které používá statické překladové tabulky pro mapování "skrytých" adres na jednu IP adresu a přesměruje na výstup výstupní IP pakety. Proto jsou zobrazeny jako pocházející ze směrovacího zařízení. Naopak komunikačního kanálu Odpovědi se zobrazují ve zdrojové adrese IP pomocí pravidel uložených v překladových tabulkách. Pravidla překladové tabulky se po krátké době vymažou, pokud nový provoz neaktualizuje svůj stav. Jedná se o základní mechanismus NAT. Co to znamená?

Tato metoda umožňuje komunikaci prostřednictvím směrovače pouze v případě, že se spojení vyskytne v šifrované síti, protože to vytváří překladové tabulky. Například webový prohlížeč uvnitř takové sítě může zobrazit místo mimo něj, ale instalovaný mimo něj, nemůže otevřít zdroj hostovaný v něm. Nicméně většina zařízení NAT dnes dovoluje správce sítě Konfigurace záznamů tabulky překladů pro trvalé použití. Tato funkce je často označována jako statická NAT nebo port forwarding a umožňuje provoz pocházející z "externí" sítě oslovit určené hostitele v šifrované síti.

Kvůli popularitě této metody, která byla použita k uložení adresového prostoru IPv4, se termín NAT (který je vlastně ten, který je zmíněn výše) stal téměř synonymem metody šifrování.

Vzhledem k tomu, že překlad překladů síťových adres změní informace o IP adrese IP paketů, má to vážné důsledky pro kvalitu připojení k internetu a vyžaduje velkou pozornost podrobnostem jeho implementace.

Způsoby používání NAT se vzájemně liší svým specifickým chováním v různých případech, které se týkají dopadu na síťovou dopravu.

Základní NAT

Nejjednodušší typ překladu síťových adres (NAT) poskytuje překlad do jednoho adresáře IP. RFC 2663 je hlavním typem tohoto vysílání. V tomto typu se mění pouze adresy IP a kontrolní součet IP záhlaví. Základní typy překladů lze použít k připojení dvou IP sítí, které mají nekompatibilní adresování.

NAT - je to v jednom spojení?

Většina odrůd NAT je schopna mapovat několik soukromých hostitelů na jednu veřejnou IP adresu. V typické konfiguraci používá místní síť jednu z přiřazených "podřízených" adres IP (RFC 1918). Router v této síti má v tomto prostoru soukromou adresu.

Směrovač se také připojí k Internetu pomocí "veřejné" adresy přidělené poskytovatelem. Protože dopravní toky z místní sítě na internetu, adresa Zdroj v každém balíčku je přeložen z vlastní adresy na veřejnou adresu. Směrovač sleduje základní data pro každé aktivní spojení (zejména adresu a cílový port). Když je k němu vrácena odpověď, pomocí datových připojení, která jsou uložena během fáze ukončení, určí soukromou adresu interní sítě, na kterou má být odpověď odeslána.

Jednou z výhod této funkce je to, že slouží jako praktické řešení hrozícího vyčerpání adresního prostoru IPv4. Dokonce i velké sítě mohou být připojeny k Internetu pomocí jediné IP adresy.

Všechny datagramy paketů v sítích IP mají dvě IP adresy - zdroj a cíl. Obvykle pakety přecházející ze soukromé sítě do veřejné sítě budou mít zdrojovou adresu paketu, která se během přechodu z veřejné sítě změní na soukromou. Složitější konfigurace jsou také možné.

Vlastnosti

Nastavení NAT může mít některé funkce. Aby se zabránilo potížím s přenosem vrácených paketů, jsou nutné další úpravy. Drtivá většina internetového provozu prochází protokoly TCP a UDP, a čísla portů jsou změněny tak, že kombinace IP adresy a číslo portu v opačném směru, začne být mapovány data.

Protokoly, které nejsou založeny na protokolu TCP a UDP, vyžadují jiné metody překladu. Protokol o správě internetových zpráv (ICMP) zpravidla uvádí přenášená data do existujícího připojení. To znamená, že musí být zobrazeny pomocí stejné IP adresy a původně nastaveného čísla.

Co musíte zvážit?

Konfigurace NAT na routeru neumožňuje připojení "od konce ke konci". Proto se tyto směrovače nemohou účastnit některých internetových protokolů. Služby, které vyžadují zahájení připojení TCP z externí sítě nebo uživatelů bez protokolů, nemusí být k dispozici. Pokud směrovač NAT nevyvíjí značné úsilí na podporu takových protokolů, příchozí pakety nemohou dosáhnout svého cíle. Některé protokoly lze vložit jednu překlad mezi zúčastněnými hosts ( „pasivní režim» FTP, například), někdy s pomocí aplikační brány, ale spojení je navázáno, když jsou oba systémy oddělené od Internetu pomocí NAT. Pomocí NAT také komplikuje takové „tunelování“ protokolů, jako je například IPsec, protože se změní hodnoty v záhlaví, které interagují s integritou žádosti o přezkum.

Existující problém

Koncová připojení je základním principem internetu, který existuje od jeho vzniku. Současný stav sítě naznačuje, že NAT je porušením tohoto principu. Specialisté jsou vážně znepokojeni rozsáhlým používáním síťových adres v IPv6-překladu a problém, jak je efektivně eliminovat, se zvyšuje.

Vzhledem k krátkodobé povaze tabulek, které zachovávají stav vysílání v routerech NAT, ztratí interní síťová zařízení připojení IP, obvykle ve velmi krátké době. Když mluvíte o NAT v routeru, neměli byste na tuto okolnost zapomenout. Tím se výrazně snižuje doba provozu kompaktních zařízení, která běží na bateriích a bateriích.

Škálovatelnost

Navíc při použití NAT jsou monitorovány pouze porty, které mohou být rychle vyčerpány interními aplikacemi, které používají více simultánních připojení (například požadavky na HTTP pro webové stránky s velkým počtem vestavěných objektů). Tento problém lze zmírnit sledováním cílové adresy IP vedle portu (tedy jeden místní port je sdílen velkým počtem vzdálených počítačů).

Některé potíže

Vzhledem k tomu, všechny vnitřní adresy převlečený za veřejnost, externí hostitelé nemožné k navázání připojení k určitému internímu uzlu bez jakékoliv speciální konfigurace na firewallu (což je přesměrovat připojení k určitému portu). Aplikace, jako je IP telefonie, videokonference a podobné služby, by měly správně fungovat pomocí technik NAT traversal.

Zpětná adresa a port překladu (Rapt) umožňuje hostiteli, jehož skutečná adresa IP se čas od času mění, aby zůstala k dispozici jako server s použitím pevné IP adresy domácí sítě. V zásadě by to mělo umožnit, aby konfigurace serverů udržovala připojení. Navzdory skutečnosti, že toto není ideální řešení problémy se může stát dalším užitečným nástrojem v arzenálu správce sítě při řešení problému konfigurace NAT v routeru.

Přeložení adresy portů (PAT)

Implementace aplikace Cisco Rapt je překlad adresového portu (PAT), který zobrazuje několik soukromých adres IP ve formě jednoho veřejného adresáře. Více adres lze zobrazit jako adresa, protože každá z nich je sledována pomocí čísla portu. PAT používá jedinečné čísla zdrojových portů na interní globální IP, aby rozlišovala směr přenosu dat. Tato čísla jsou 16bitová celá čísla. Celkový počet interních adres, které mohou být převedeny do té vnější, může teoreticky dosáhnout 65536. Skutečný počet portů, ke kterým může být jeden IP adresa přiřazena, je asi 4000. Typicky PAT pokusí uložit zdrojový port „originální“. Je-li již v provozu, Port Address Translation přiřadí první volné číslo portu počínaje od počátku jednotlivých skupin - 0-511, 512-1023 nebo 1024-65535. V případě, že nejsou k dispozici další porty a je zde více než jeden externí IP-adresa, PAT se přesune na další, aby se pokusili identifikovat zdrojový port. Tento proces pokračuje až do vyčerpání dostupných dat.

Adresa a port jsou zobrazeny službou Cisco, která kombinuje adresu překladového portu s daty tunelování paketů IPv4 přes interní síť IPv6. Ve skutečnosti je to neoficiální alternativa k CarrierGrade NAT a DS-Lite, která podporuje IP-překládání adres / portů (a proto jsou podporována nastavení NAT). Tím se zabrání problémům při instalaci a údržbě připojení a také poskytuje mechanismus migrace pro zavedení protokolu IPv6.

Metody překladu

Existuje několik způsobů, jak implementovat překlad síťové adresy a portu. V některých aplikacích, protokoly, které aplikace používají pro práci s IP adresami, pracující v zašifrované síti, musíte definovat externí adresy NAT (který se používá na druhém konci spojení), a navíc je často nutné zkoumat a klasifikovat typ přenosu. Obvykle se tak děje proto, že je žádoucí zavést přímý komunikační kanál (nebo uložit nepřerušený přenos dat prostřednictvím serveru nebo pro zlepšení výkonu) mezi dvěma klienty, z nichž oba jsou individuální NAT.

Pro tento účel (jak konfigurovat NAT) v roce 2003 byl vyvinut speciální protokol RFC 3489, který poskytuje jednoduchý obtok UDP prostřednictvím NATS. K dnešnímu dni je zastaralá, protože takové metody dnes nestačí k správnému posouzení výkonu mnoha zařízení. Nové metody byly standardizovány v dokumentu RFC 5389, který byl vytvořen v říjnu 2008. Tato specifikace se dnes nazývá SessionTraversal a je nástroj pro práci NAT.

Vytvoření obousměrné komunikace

Každý paket TCP a UDP obsahuje zdrojovou adresu IP a číslo portu, stejně jako souřadnice cílového portu.

Chcete-li získat takové veřejné služby jako funkce poštovních serverů, je důležité číslo portu. Například, port 80 se připojuje k softwaru webového serveru a 25 k poštovnímu serveru SMTP. IP adresa veřejného serveru je také důležitá, podobně jako poštovní adresa nebo telefonní číslo. Oba tyto parametry musí být spolehlivě známy všem uzlům, které hodlají vytvořit spojení.

Soukromé adresy IP jsou důležité pouze v místních sítích, kde se používají, stejně jako v hostitelských přístavech. Porty jsou jedinečné koncové body komunikace na hostiteli, takže připojení přes NAT je podporováno kombinací mapování portů a adresy IP.

PAT (Port AddressTranslation) řeší spory, které mohou vzniknout mezi dvěma různými hostiteli pod stejným číslem zdrojového portu navázat jedinečné spojení najednou.