Port forwarding e PAT

La forma più comune di NAT è il PAT (Port Address Translation), chiamato anche NAT overload. Consente a centinaia di dispositivi di condividere un solo indirizzo IP pubblico usando i numeri di porta per distinguere le rispettive comunicazioni.

È ciò che fa il router domestico: ogni dispositivo dietro di esso accede a Internet attraverso un unico indirizzo pubblico, distinguendosi solo tramite la porta.

Ogni connessione TCP o UDP ha una porta sorgente e una porta di destinazione. PAT assegna a ogni connessione interna una porta sorgente univoca sull'indirizzo pubblico, così ogni flusso viene identificato univocamente dalla combinazione di IP pubblico e porta.

Quando arriva una risposta destinata a una determinata porta, il router consulta la propria tabella per trovare il dispositivo e la porta interni a cui appartiene, quindi la consegna correttamente.

PAT mantiene una tabella che associa l'IP e la porta di ogni dispositivo interno a una coppia univoca di IP e porta pubblici. Ad esempio, due PC che usano entrambi internamente la porta 50000 ricevono porte tradotte diverse all'esterno.

Questa associazione permette a un solo indirizzo pubblico di gestire migliaia di connessioni simultanee senza confonderle, poiché ogni flusso dispone di un proprio numero di porta esterno univoco.

PAT funziona molto bene per le connessioni in uscita, avviate da un dispositivo interno. Ma cosa accade con le connessioni in ingresso, quando qualcuno su Internet vuole raggiungere un server all'interno della rete?

Il router non dispone di una voce in tabella per una connessione in ingresso non richiesta, quindi non sa a quale dispositivo interno inviarla e la scarta semplicemente. È qui che entra in gioco il port forwarding.

Il port forwarding crea una regola manuale: il traffico che arriva all'IP pubblico su una porta specifica viene inoltrato a un dispositivo interno e a una porta scelti.

Ad esempio, inoltrare la porta pubblica 443 a un web server interno consente agli utenti Internet di raggiungere quel server tramite il singolo indirizzo pubblico, anche se il server ha un IP privato dietro NAT.

Il port forwarding viene usato per ospitare servizi dietro NAT:

• Un web server domestico o un game server raggiungibile da Internet.
• L'accesso remoto a un sistema di videosorveglianza.
• Un'applicazione self-hosted accessibile dall'esterno.

Ogni regola associa una porta esterna a un dispositivo interno, aprendo un punto di accesso specifico e controllato attraverso il confine del NAT.

Questa regola concettuale inoltra il traffico web esterno a un server interno. Noti come la porta pubblica venga associata a un dispositivo e a una porta privati.

Per un server che deve essere completamente raggiungibile, il NAT statico associa un IP pubblico a un IP privato, uno a uno e in modo permanente. A differenza di PAT, il server interno usa sempre lo stesso indirizzo pubblico dedicato.

È adatto ai server che necessitano di un accesso in ingresso coerente e prevedibile su molte porte, situazione in cui una singola regola di port forwarding non sarebbe sufficiente.

Le regole di inoltro fanno solitamente riferimento alle well-known ports associate a servizi specifici. L'inoltro della porta 80 raggiunge un web server tramite HTTP, quello della 443 tramite HTTPS e quello della 25 un mail server tramite SMTP.

È essenziale sapere quale porta corrisponde a ciascun servizio: un numero di porta errato invia il traffico alla destinazione sbagliata o a nessuna destinazione. Inoltri sempre solo le porte esatte di cui il servizio ospitato ha effettivamente bisogno.

Ogni regola di port forwarding apre una breccia nel confine del NAT, esponendo un dispositivo interno a Internet. Il dispositivo diventa direttamente attaccabile, quindi deve essere aggiornato, adeguatamente configurato e, idealmente, protetto da un firewall.

Apra solo le porte realmente necessarie, limiti ove possibile gli indirizzi sorgente e non inoltri mai servizi sensibili come RDP o SSH verso Internet senza una protezione efficace.

PAT consente a molti dispositivi di condividere un solo IP pubblico assegnando a ogni flusso una porta univoca, monitorata in una tabella di traduzione; è ideale per il traffico in uscita. Il port forwarding aggiunge regole manuali affinché il traffico in ingresso raggiunga un dispositivo interno scelto, mentre il NAT statico dedica un IP pubblico a un server. Ogni apertura rappresenta un rischio per la sicurezza e deve essere gestita con attenzione.

Verifichi le Sue conoscenze di PAT e port forwarding.

PAT condivide un solo IP pubblico tra molti dispositivi usando numeri di porta univoci per ogni flusso, monitorati in una tabella di traduzione; è perfetto per il traffico in uscita. Il port forwarding associa manualmente una porta esterna a un dispositivo interno per consentire l'accesso in ingresso, mentre il NAT statico dedica un IP pubblico a un server. Ogni apertura espone un dispositivo e deve essere protetta.