Portweiterleitung und PAT

Die häufigste NAT-Variante ist PAT (Port Address Translation), auch NAT Overload genannt. Damit können Hunderte von Geräten eine einzige öffentliche IP-Adresse gemeinsam nutzen, indem Portnummern verwendet werden, um ihre Verbindungen voneinander zu unterscheiden.

Genau das macht Ihr Heimrouter: Jedes Gerät dahinter erreicht das Internet über dieselbe öffentliche Adresse und wird nur anhand des Ports unterschieden.

Jede TCP- oder UDP-Verbindung besitzt einen Quellport und einen Zielport. PAT weist jeder internen Verbindung an der öffentlichen Adresse einen eindeutigen Quellport zu. Dadurch wird jeder Datenstrom durch die Kombination aus öffentlicher IP-Adresse und Port eindeutig identifiziert.

Wenn eine Antwort für einen bestimmten Port eintrifft, sucht der Router in seiner Tabelle nach dem zugehörigen internen Gerät und Port und stellt sie anschließend korrekt zu.

PAT verwaltet eine Tabelle, die die IP-Adresse und den Port jedes internen Geräts einem eindeutigen Paar aus öffentlicher IP-Adresse und Port zuordnet. Verwenden beispielsweise zwei PCs intern beide den Port 50000, erhalten sie extern unterschiedliche übersetzte Ports.

Dank dieser Zuordnung kann eine öffentliche Adresse Tausende gleichzeitiger Verbindungen übertragen, ohne dass diese verwechselt werden, da jeder Datenstrom eine eigene eindeutige externe Portnummer besitzt.

PAT funktioniert hervorragend bei ausgehenden Verbindungen, die von einem internen Gerät gestartet werden. Doch was geschieht bei eingehenden Verbindungen, wenn jemand aus dem Internet einen Server in Ihrem Netzwerk erreichen möchte?

Für eine nicht angeforderte eingehende Verbindung hat der Router keinen Tabelleneintrag. Er weiß daher nicht, an welches interne Gerät er sie senden soll, und verwirft sie einfach. Hier kommt die Portweiterleitung ins Spiel.

Portweiterleitung erstellt eine manuelle Regel: Datenverkehr, der an einem bestimmten Port der öffentlichen IP-Adresse eintrifft, wird an ein ausgewähltes internes Gerät und dessen Port weitergeleitet.

Wenn beispielsweise der öffentliche Port 443 an einen internen Webserver weitergeleitet wird, können Personen aus dem Internet diesen Server über Ihre einzige öffentliche Adresse erreichen, obwohl der Server hinter NAT eine private IP-Adresse besitzt.

Portweiterleitung wird verwendet, um Dienste hinter NAT bereitzustellen:

• Ein von außen erreichbarer Web- oder Gameserver zu Hause.
• Fernzugriff auf ein Überwachungskamerasystem.
• Eine selbst gehostete Anwendung, auf die von außerhalb zugegriffen wird.

Jede Regel ordnet einen externen Port einem internen Gerät zu und öffnet damit einen bestimmten, kontrollierten Zugang durch die NAT-Grenze.

Diese konzeptionelle Regel leitet externen Webdatenverkehr an einen internen Server weiter. Beachten Sie, wie der öffentliche Port einem privaten Gerät und Port zugeordnet wird.

Für einen Server, der vollständig erreichbar sein muss, ordnet statisches NAT eine öffentliche IP-Adresse dauerhaft und eins zu eins einer privaten IP-Adresse zu. Anders als bei PAT verwendet der interne Server immer dieselbe dedizierte öffentliche Adresse.

Dies eignet sich für Server, die an vielen Ports einen konsistenten, vorhersehbaren eingehenden Zugriff benötigen und bei denen eine einzelne Portweiterleitungsregel nicht ausreichen würde.

Weiterleitungsregeln beziehen sich normalerweise auf bekannte Ports, die bestimmten Diensten zugeordnet sind. Eine Weiterleitung von Port 80 erreicht einen Webserver über HTTP, Port 443 einen Webserver über HTTPS und Port 25 einen Mailserver über SMTP.

Es ist entscheidend zu wissen, welcher Port welchem Dienst zugeordnet ist: Eine falsche Portnummer leitet den Datenverkehr an den falschen Ort oder ins Leere. Leiten Sie immer nur die Ports weiter, die der bereitgestellte Dienst tatsächlich benötigt.

Jede Portweiterleitungsregel durchbricht die NAT-Grenze und setzt ein internes Gerät dem Internet aus. Dieses Gerät kann dadurch direkt angegriffen werden und muss daher mit Sicherheitsupdates versorgt, abgesichert und möglichst durch eine Firewall geschützt werden.

Öffnen Sie nur die Ports, die Sie wirklich benötigen, schränken Sie die Quelladressen nach Möglichkeit ein und leiten Sie niemals sensible Dienste wie RDP oder SSH ohne starken Schutz ins offene Internet weiter.

PAT ermöglicht es vielen Geräten, eine öffentliche IP-Adresse gemeinsam zu nutzen, indem es jedem Datenstrom einen eindeutigen Port zuweist und diesen in einer Übersetzungstabelle verfolgt. Das ist ideal für ausgehenden Datenverkehr. Portweiterleitung ergänzt manuelle Regeln, damit eingehender Datenverkehr ein ausgewähltes internes Gerät erreicht, während statisches NAT einem Server eine öffentliche IP-Adresse fest zuweist. Jede Öffnung stellt ein Sicherheitsrisiko dar und muss sorgfältig verwaltet werden.

Testen Sie Ihr Wissen zu PAT und Portweiterleitung.

PAT ermöglicht es vielen Geräten, eine öffentliche IP-Adresse gemeinsam zu nutzen, indem pro Datenstrom eindeutige Portnummern verwendet und in einer Übersetzungstabelle verfolgt werden. Das ist ideal für ausgehenden Datenverkehr. Portweiterleitung ordnet manuell einen externen Port einem internen Gerät für eingehenden Zugriff zu, während statisches NAT einem Server eine öffentliche IP-Adresse fest zuweist. Jede solche Öffnung setzt ein Gerät Risiken aus und muss abgesichert werden.