إعادة توجيه المنافذ وPAT

أكثر أشكال NAT شيوعًا هو PAT (ترجمة عناوين المنافذ)، ويُسمى أيضًا NAT overload. فهو يتيح لمئات الأجهزة مشاركة عنوان IP عام واحد باستخدام أرقام المنافذ للتمييز بين محادثاتها.

وهذا ما يفعله الموجّه المنزلي: يصل كل جهاز خلفه إلى الإنترنت عبر عنوان عام واحد، ولا يميزه عن غيره سوى المنفذ.

يحتوي كل اتصال TCP أو UDP على منفذ مصدر ومنفذ وجهة. ويخصص PAT لكل اتصال داخلي منفذ مصدر فريدًا على العنوان العام، بحيث يُعرَّف كل تدفق تعريفًا فريدًا من خلال تركيبة IP العام والمنفذ.

عندما يصل رد إلى منفذ معين، يبحث الموجّه في جدوله لمعرفة الجهاز الداخلي والمنفذ اللذين ينتمي إليهما، ثم يسلّمهما الرد على النحو الصحيح.

يحتفظ PAT بجدول يربط عنوان IP ومنفذ كل جهاز داخلي بزوج فريد من عنوان IP ومنفذ عامين. فعلى سبيل المثال، إذا استخدم حاسوبان المنفذ 50000 داخليًا، فسيحصل كل منهما على منفذ مترجم مختلف خارجيًا.

يتيح هذا الربط لعنوان عام واحد نقل آلاف الاتصالات المتزامنة دون خلط بينها، لأن لكل تدفق رقم منفذ خارجيًا فريدًا.

يعمل PAT بكفاءة كبيرة مع الاتصالات الصادرة، حيث يبدأ جهاز داخلي المحادثة. لكن ماذا عن الاتصالات الواردة، عندما يريد شخص على الإنترنت الوصول إلى خادم داخل شبكتكم؟

لا يملك الموجّه إدخالًا في الجدول لاتصال وارد غير مطلوب، لذلك لا يعرف إلى أي جهاز داخلي يرسله، ويسقطه ببساطة. وهنا يأتي دور إعادة توجيه المنافذ.

تنشئ إعادة توجيه المنافذ قاعدة يدوية: تُعاد توجيه حركة المرور التي تصل إلى عنوان IP العام على منفذ محدد إلى جهاز داخلي ومنفذ داخلي محددين.

فعلى سبيل المثال، يتيح توجيه المنفذ العام 443 إلى خادم ويب داخلي للأشخاص على الإنترنت الوصول إلى ذلك الخادم عبر عنوانكم العام الوحيد، رغم أن الخادم يملك عنوان IP خاصًا خلف NAT.

تُستخدم إعادة توجيه المنافذ لاستضافة الخدمات خلف NAT:

• خادم ويب أو ألعاب منزلي يمكن الوصول إليه من الإنترنت.
• الوصول عن بُعد إلى نظام كاميرات أمنية.
• تطبيق مستضاف ذاتيًا يمكن الوصول إليه من الخارج.

تربط كل قاعدة منفذًا خارجيًا بجهاز داخلي واحد، فتفتح مدخلًا محددًا ومضبوطًا عبر حدود NAT.

توجّه هذه القاعدة التصورية حركة مرور الويب الخارجية إلى خادم داخلي. لاحظوا كيف يربط المنفذ العام جهازًا ومنفذًا خاصين.

بالنسبة إلى خادم يجب أن يكون قابلًا للوصول إليه بالكامل، يربط NAT الثابت عنوان IP عامًا واحدًا بعنوان IP خاص واحد، ربطًا دائمًا واحدًا لواحد. وعلى خلاف PAT، يستخدم الخادم الداخلي دائمًا العنوان العام المخصص نفسه.

يناسب هذا الخوادم التي تحتاج إلى وصول وارد ثابت ويمكن التنبؤ به عبر منافذ متعددة، حيث لا تكفي قاعدة واحدة لإعادة توجيه منفذ.

تستهدف قواعد إعادة التوجيه عادةً المنافذ المعروفة المرتبطة بخدمات محددة. فتوجيه المنفذ 80 يصل إلى خادم ويب عبر HTTP، والمنفذ 443 عبر HTTPS، والمنفذ 25 إلى خادم بريد عبر SMTP.

من الضروري معرفة المنفذ المرتبط بكل خدمة: فرقم المنفذ الخاطئ يرسل حركة المرور إلى المكان الخطأ أو لا يرسلها إلى أي مكان. احرصوا دائمًا على توجيه المنافذ الدقيقة التي تحتاج إليها الخدمة المستضافة فعلًا فقط.

كل قاعدة لإعادة توجيه المنافذ تفتح ثغرة عبر حدود NAT، وتعرّض جهازًا داخليًا للإنترنت. ويصبح ذلك الجهاز عرضة للهجمات مباشرة، لذا يجب تحديثه وتعزيز حمايته، ويفضل حمايته أيضًا بجدار ناري.

افتحوا المنافذ التي تحتاجون إليها فعلًا فقط، وقيّدوا عناوين المصدر متى أمكن، ولا تعيدوا توجيه خدمات حساسة مثل RDP أو SSH إلى الإنترنت المفتوح من دون حماية قوية.

يتيح PAT لأجهزة كثيرة مشاركة عنوان IP عام واحد عبر منح كل تدفق منفذًا فريدًا، يُتتبع في جدول ترجمة، مما يجعله مثاليًا لحركة المرور الصادرة. وتضيف إعادة توجيه المنافذ قواعد يدوية لكي تصل حركة المرور الواردة إلى جهاز داخلي محدد، بينما يخصص NAT الثابت عنوان IP عامًا لخادم. وكل منفذ مفتوح يمثل خطرًا أمنيًا يجب إدارته بعناية.

اختبروا معرفتكم بـ PAT وإعادة التوجيه.

يشارك PAT عنوان IP عامًا واحدًا بين أجهزة كثيرة باستخدام أرقام منافذ فريدة لكل تدفق، تُتتبع في جدول ترجمة، مما يجعله مثاليًا لحركة المرور الصادرة. وتربط إعادة توجيه المنافذ يدويًا منفذًا خارجيًا بجهاز داخلي للسماح بالوصول الوارد، بينما يخصص NAT الثابت عنوان IP عامًا لخادم. وكل منفذ مفتوح يعرّض جهازًا للخطر ويجب تأمينه.