Udfordringer med NAT og firewalls

Velkommen! For at WebRTC kan fungere, skal enheder kommunikere direkte, peer-to-peer (P2P). Men ofte er der usynlige barrierer, som blokerer denne direkte vej.

I denne lektion undersøger vi to store hindringer: Network Address Translation (NAT) og firewalls. Det er afgørende at forstå dem, når du bygger robuste realtidsapplikationer.

NAT står for Network Address Translation. Tænk på det som et postkontor for dit hjemmenetværk.

• Det gør det muligt for flere enheder på et privat netværk (f.eks. dit hjemmenetværk via Wi-Fi) at dele én offentlig IP-adresse.
• Det primære formål er at spare på offentlige IPv4-adresser og tilføje et grundlæggende sikkerhedslag.

Alle enheder på internettet har brug for en IP-adresse. Der findes to hovedtyper:

• Privat IP: Bruges internt på dit lokale netværk (f.eks. 192.168.1.100). Er ikke synlig fra internettet.
• Offentlig IP: Dit netværks ene adresse, som er synlig for omverdenen. Al trafik fra dit private netværk ser ud til at komme fra denne offentlige IP.

NAT er teknologien, der forbinder disse to verdener.

Når en enhed på dit netværk anmoder om noget fra internettet, oversætter NAT dens private IP og en bestemt port til den offentlige IP og en anden ledig port.

Det vedligeholder en tabel over disse oversættelser. Når et svar vender tilbage til den offentlige IP og den oversatte port, ved NAT, hvilken intern enhed det skal videresende svaret til. Dette kaldes porttilknytning.

Der findes ikke kun én type NAT. Nogle er mere begrænsende end andre, hvilket gør P2P-forbindelser vanskeligere:

• Full Cone NAT: Mest tilladende.
• Restricted Cone NAT: Lidt mere begrænsende.
• Port-Restricted Cone NAT: Endnu mere begrænsende.
• Symmetric NAT: Mest begrænsende og kræver ofte en relæserver.

NAT-typen har stor betydning for, hvor svært det er at oprette en direkte forbindelse.

Her er det grundlæggende problem: Når Peer A vil oprette forbindelse til Peer B, kender Peer A kun Peer Bs offentlige IP-adresse og port (fra en signaleringsserver).

Peer B er imidlertid bag NAT. Den offentlige IP og port peger ikke direkte på Peer Bs private IP og port. NAT ved ikke, at en uopfordret indgående forbindelse skal videresendes til Peer B, hvis der ikke allerede findes en tilknytning eller en anmodning fra Peer B.

Ud over NAT er firewalls en anden vigtig barriere. En firewall er et netværkssikkerhedssystem, der overvåger og kontrollerer indgående og udgående netværkstrafik.

• Den fungerer som et filter, der tillader eller blokerer trafik baseret på et sæt sikkerhedsregler.
• Firewalls beskytter private netværk mod uautoriseret adgang og ondsindede angreb.

Firewalls håndhæver regler baseret på forskellige faktorer:

• IP-adresser: Blokering af kendte ondsindede kilder.
• Portnumre: Begrænsning af adgang til bestemte tjenester.
• Protokoller: Tilladelse eller afvisning af bestemte kommunikationstyper (f.eks. HTTP, TCP, UDP).

Som standard er mange firewalls konfigureret til at blokere de fleste uopfordrede indgående forbindelser, fordi de betragtes som en potentiel trussel.

WebRTC bruger ofte dynamiske porte til medier (lyd/video) og datastrømme og er primært afhængig af UDP-protokollen for at være effektiv.

Firewalls, især strikse firewalls, kan blokere disse dynamiske UDP-porte, så medier ikke kan strømme mellem peers, selv hvis et forbindelseshåndtryk blev gennemført delvist. Resultatet er ingen lyd, video eller data.

Når enheder befinder sig bag både NAT og firewalls, bliver udfordringen for WebRTC endnu større.

• NAT skjuler den faktiske interne adresse.
• Firewalls blokerer aktivt indgående forbindelser for at beskytte netværket.

Tilsammen danner de en formidabel barriere, som ofte forhindrer direkte peer-to-peer-kommunikation uden specialiserede teknikker. Det er disse teknikker, vi skal undersøge nu!

Vi har lært, at NAT og firewalls er væsentlige hindringer for direkte peer-to-peer-kommunikation, især i WebRTC.

• NAT skjuler private netværksadresser, så peers ikke kan adresseres udefra.
• Firewalls blokerer aktivt uopfordrede indgående forbindelser af sikkerhedshensyn.

I de næste lektioner ser vi nærmere på, hvordan teknologier som STUN og TURN hjælper os med at overvinde disse udfordringer ved netværksgennemgang!