Wie NAT eine öffentliche IP-Adresse teilt

Das Internet verwendet IPv4-Adressen. Davon gibt es nur etwa 4,3 Milliarden – deutlich weniger als heute online Geräte vorhanden sind. Für jedes Smartphone, jeden Laptop und jedes andere Gerät eine öffentliche Adresse zu kaufen, ist unmöglich.

NAT (Network Address Translation) ist die clevere Lösung: Viele Geräte in einem privaten Netzwerk können sich eine einzige öffentliche IP-Adresse für den Internetzugriff teilen, wodurch der begrenzte Vorrat geschont wird.

Netzwerke verwenden intern private IP-Adressbereiche (10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16). Diese sind im öffentlichen Internet nicht routbar und können daher nicht direkt online verwendet werden.

Eine öffentliche IP-Adresse ist weltweit eindeutig und im Internet routbar. NAT verbindet diese beiden Welten, indem es zwischen privaten internen Adressen und der öffentlichen Adresse übersetzt, die das Internet sieht.

NAT wird typischerweise auf dem Router oder der Firewall am Rand eines Netzwerks ausgeführt, also an der Grenze zwischen dem privaten LAN und dem öffentlichen Internet. Ihr Router zu Hause führt gerade NAT aus.

Dieses Gerät am Netzwerkrand verwendet an seiner äußeren Schnittstelle die einzige öffentliche Adresse, die vom ISP zugewiesen wurde, und an seiner inneren Schnittstelle das private Netzwerk. Es führt für jedes dahinterliegende Gerät die Übersetzung durch.

Wenn ein internes Gerät ein Paket ins Internet sendet, schreibt NAT die Quelladresse um: Aus der privaten IP-Adresse wird die öffentliche IP-Adresse des Routers. Für den Zielserver sieht es so aus, als käme der Datenverkehr von der öffentlichen Adresse.

Wenn die Antwort zurückkommt, schreibt NAT das Ziel wieder in die richtige private Adresse um und stellt sie dem richtigen internen Gerät zu – alles transparent.

NAT verwaltet eine Übersetzungstabelle, die jede interne Verbindung einer externen Verbindung zuordnet, damit Antworten wieder dem richtigen Gerät zugeordnet werden können. Ohne diese Tabelle wüsste der Router nicht, zu welchem internen Host ein zurückkehrendes Paket gehört.

Jeder Eintrag erfasst die interne Adresse, die externe Adresse und identifizierende Details. So können Dutzende gleichzeitiger Verbindungen eine öffentliche IP-Adresse gemeinsam nutzen, ohne dass es zu Verwechslungen kommt.

Es gibt verschiedene NAT-Varianten:

• Statisches NAT: eine feste Eins-zu-eins-Zuordnung zwischen einer privaten und einer öffentlichen Adresse.
• Dynamisches NAT: private Adressen werden nach Bedarf einem Pool öffentlicher Adressen zugeordnet.
• PAT (Port Address Translation): Viele Geräte teilen sich mithilfe von Portnummern eine öffentliche IP-Adresse. Dies ist die häufigste Variante in Privathaushalten.

NAT wurde entwickelt, um Adressen einzusparen, bietet aber zusätzlich einen Sicherheitsvorteil. Da interne Geräte private, nicht routingfähige Adressen haben, die hinter einer öffentlichen IP-Adresse verborgen sind, kann das Internet nicht direkt eine Verbindung zu ihnen initiieren.

Dies ist keine echte Firewall und sollte auch nicht als solche betrachtet werden. Dennoch verbirgt NAT das interne Netzwerk auf natürliche Weise und blockiert standardmäßig nicht angeforderten eingehenden Datenverkehr.

NAT wurde unverzichtbar, weil IPv4-Adressen knapp sind. IPv6 verfügt über einen enormen Adressraum und gibt jedem Gerät eine weltweit eindeutige Adresse, sodass herkömmliches NAT dort größtenteils nicht erforderlich ist.

Dennoch ist NAT weiterhin allgegenwärtig, weil IPv4 noch lange nicht verschwunden ist. Es zu verstehen ist unverzichtbar, auch wenn die Welt langsam zur reichhaltigen Adressierung von IPv6 übergeht.

Stellen Sie sich ein Zuhause mit mehreren Geräten vor, die jeweils eine private Adresse wie 192.168.1.10 und 192.168.1.11 besitzen. Der Router verfügt über eine öffentliche Adresse vom Internetdienstanbieter, beispielsweise 203.0.113.5.

Wenn ein Gerät im Web surft, ersetzt der Router vor dem Versenden des Pakets dessen private Quelladresse durch 203.0.113.5. Jedes Gerät verwendet online dieselbe öffentliche Identität, doch die Übersetzungstabelle des Routers sorgt dafür, dass jede Antwort wieder das richtige Gerät erreicht.

NAT ist nicht frei von Problemen. Es kann Protokolle beeinträchtigen, die IP-Adressen in ihren Daten enthalten oder eingehende Verbindungen benötigen, etwa einige Sprach- (VoIP-) und Peer-to-Peer-Anwendungen.

Zu den Umgehungslösungen gehören Portweiterleitung, Gateways auf Anwendungsebene und Protokolle, die für die Übertragung durch NAT entwickelt wurden. Diese Komplikationen sind der Preis dafür, dass der begrenzte IPv4-Adressraum so weit ausgedehnt werden kann.

NAT ermöglicht es vielen privaten Geräten, eine öffentliche IP-Adresse gemeinsam zu nutzen, und spart dadurch knappe IPv4-Adressen. Es läuft auf dem Edge-Router oder der Firewall, schreibt Quell- und Zieladressen um und verfolgt Verbindungen in einer Übersetzungstabelle. Es gibt statische, dynamische und PAT-Varianten, bietet einen zusätzlichen Sicherheitseffekt und ist unter IPv6 größtenteils nicht erforderlich.

Testen Sie Ihre Grundlagen zu NAT.

NAT übersetzt zwischen privaten internen Adressen und einer gemeinsam genutzten öffentlichen IP-Adresse und spart dadurch knappen IPv4-Adressraum. Es läuft auf dem Edge-Router bzw. der Firewall, schreibt Adressen um und verfolgt Datenströme in einer Übersetzungstabelle – als statisches, dynamisches oder PAT-NAT. Außerdem verbirgt es interne Hosts vor nicht angefordertem eingehendem Datenverkehr und ist unter IPv6 größtenteils nicht erforderlich.