Port forwarding og PAT

Den mest almindelige form for NAT er PAT (Port Address Translation), også kaldet NAT overload. Det lader hundredvis af enheder dele én offentlig IP-adresse ved hjælp af portnumre, der adskiller deres kommunikationer.

Det er det, din hjemmerouter gør: Alle enheder bag den får adgang til internettet gennem én offentlig adresse og adskilles kun ved hjælp af porten.

Hver TCP- eller UDP-forbindelse har en kildeport og en destinationsport. PAT tildeler hver intern forbindelse en unik kildeport på den offentlige adresse, så hver datastrøm identificeres entydigt af kombinationen af offentlig IP-adresse og port.

Når der kommer et svar til en bestemt port, slår routeren op i sin tabel for at finde den interne enhed og port, som svaret hører til, og leverer det derefter korrekt.

PAT vedligeholder en tabel, der knytter hver intern enheds IP-adresse og port til et unikt par af offentlig IP-adresse og port. For eksempel får to pc'er, der begge bruger port 50000 internt, forskellige oversatte porte eksternt.

Denne tilknytning gør det muligt for én offentlig adresse at bære tusindvis af samtidige forbindelser uden at blande dem sammen, fordi hver datastrøm har sit eget unikke eksterne portnummer.

PAT fungerer fremragende for udgående forbindelser, hvor en intern enhed starter kommunikationen. Men hvad med indgående forbindelser, når nogen på internettet vil have adgang til en server i dit netværk?

Routeren har ingen tabelpost for en uopfordret indgående forbindelse, så den ved ikke, hvilken intern enhed den skal sende den til, og kasserer den ganske enkelt. Det er her, portviderestilling kommer ind i billedet.

Portviderestilling opretter en manuel regel: Trafik, der ankommer til den offentlige IP-adresse på en bestemt port, videresendes til en valgt intern enhed og port.

Hvis den offentlige port 443 for eksempel viderestilles til en intern webserver, kan personer på internettet få adgang til serveren gennem din ene offentlige adresse, selvom serveren har en privat IP-adresse bag NAT.

Portviderestilling bruges til at hoste tjenester bag NAT:

• En hjemmewebserver eller en spilserver, der kan nås fra internettet.
• Fjernadgang til et sikkerhedskamerasystem.
• En selvhostet applikation, der tilgås udefra.

Hver regel knytter en ekstern port til én intern enhed og åbner en specifik, kontrolleret indgang gennem NAT-grænsen.

Denne konceptuelle regel viderestiller ekstern webtrafik til en intern server. Bemærk, hvordan den offentlige port knyttes til en privat enhed og port.

For en server, der skal være fuldt tilgængelig, knytter statisk NAT én offentlig IP-adresse til én privat IP-adresse, en-til-en og permanent. I modsætning til PAT bruger den interne server altid den samme dedikerede offentlige adresse.

Det egner sig til servere, der kræver ensartet og forudsigelig indgående adgang på mange porte, hvor én enkelt regel for portviderestilling ikke ville være tilstrækkelig.

Regler for viderestilling retter sig normalt mod velkendte porte, der er knyttet til bestemte tjenester. Viderestilling af port 80 når en webserver via HTTP, port 443 via HTTPS og port 25 en mailserver via SMTP.

Det er afgørende at vide, hvilken port der er knyttet til hvilken tjeneste: Et forkert portnummer sender trafikken det forkerte sted hen eller ingen steder. Viderestil altid kun de nøjagtige porte, som den hostede tjeneste faktisk har brug for.

Hver regel for portviderestilling laver et hul gennem din NAT-grænse og eksponerer en intern enhed for internettet. Enheden kan derefter angribes direkte, så den skal være opdateret, hærdet og helst beskyttet af en firewall.

Åbn kun de porte, du virkelig har brug for, begræns kildeadresser, hvor det er muligt, og viderestil aldrig følsomme tjenester som RDP eller SSH til det åbne internet uden stærk beskyttelse.

PAT lader mange enheder dele én offentlig IP-adresse ved at give hver datastrøm en unik port, som registreres i en oversættelsestabel. Det er ideelt til udgående trafik. Portviderestilling tilføjer manuelle regler, så indgående trafik når frem til en valgt intern enhed, og statisk NAT dedikerer en offentlig IP-adresse til en server. Hver åbning er en sikkerhedsrisiko, der skal håndteres omhyggeligt.

PAT deler én offentlig IP-adresse mellem mange enheder ved hjælp af unikke portnumre for hver datastrøm, som registreres i en oversættelsestabel. Det er perfekt til udgående trafik. Portviderestilling knytter manuelt en ekstern port til en intern enhed for at give indgående adgang, og statisk NAT dedikerer en offentlig IP-adresse til en server. Hver åbning eksponerer en enhed og skal sikres.