Port forwarding en PAT

PAT houdt een tabel bij die het IP-adres en de poort van elk intern apparaat koppelt aan een uniek openbaar IP-adres en poortpaar. Twee pc's die intern allebei poort 50000 gebruiken, krijgen bijvoorbeeld extern verschillende vertaalde poorten.

Dankzij deze koppeling kan één openbaar adres duizenden gelijktijdige verbindingen dragen zonder ze door elkaar te halen, omdat elke gegevensstroom een eigen uniek extern poortnummer heeft.

PAT werkt uitstekend voor uitgaande verbindingen, waarbij een intern apparaat de verbinding start. Maar hoe zit het met inkomende verbindingen, wanneer iemand op internet een server in je netwerk wil bereiken?

De router heeft geen tabelvermelding voor een ongewenste inkomende verbinding. Hij weet dus niet naar welk intern apparaat hij deze moet sturen en verwijdert de verbinding gewoon. Hier komt poortdoorsturing van pas.

Met poortdoorsturing maak je een handmatige regel: verkeer dat op een specifieke poort bij het openbare IP-adres aankomt, wordt doorgestuurd naar een gekozen intern apparaat en een gekozen poort.

Als je bijvoorbeeld openbare poort 443 doorstuurt naar een interne webserver, kunnen mensen op internet die server via je ene openbare adres bereiken, ook al heeft de server achter NAT een privéadres.

Poortdoorsturing wordt gebruikt om diensten achter NAT beschikbaar te stellen:

• Een thuiswebserver of gameserver die vanaf internet bereikbaar is.
• Toegang op afstand tot een beveiligingscamerasysteem.
• Een zelf gehoste toepassing die van buitenaf wordt gebruikt.

Elke regel koppelt een externe poort aan één intern apparaat en opent zo een specifieke, gecontroleerde toegang door de NAT-grens.

Deze conceptuele regel stuurt extern webverkeer door naar een interne server. Let erop hoe de openbare poort wordt gekoppeld aan een privaat apparaat en een private poort.

Voor een server die volledig bereikbaar moet zijn, koppelt statische NAT één openbaar IP-adres permanent één-op-één aan één privéadres. In tegenstelling tot PAT gebruikt de interne server altijd hetzelfde toegewezen openbare adres.

Dit is geschikt voor servers die op veel poorten consistente, voorspelbare inkomende toegang nodig hebben en waarvoor één regel voor poortdoorsturing niet volstaat.

Regels voor doorsturing zijn meestal gericht op bekende poorten die aan specifieke diensten zijn gekoppeld. Doorsturen van poort 80 bereikt een webserver via HTTP, poort 443 via HTTPS en poort 25 een mailserver via SMTP.

Het is essentieel dat je weet welke poort bij welke dienst hoort: een verkeerd poortnummer stuurt verkeer naar de verkeerde plaats of helemaal nergens heen. Stuur altijd alleen de exacte poorten door die de gehoste dienst echt nodig heeft.

Elke regel voor poortdoorsturing maakt een opening in je NAT-grens en stelt een intern apparaat bloot aan internet. Dat apparaat kan dan rechtstreeks worden aangevallen. Het moet daarom bijgewerkt en goed beveiligd zijn en idealiter door een firewall worden beschermd.

Open alleen de poorten die je echt nodig hebt, beperk waar mogelijk de bronadressen en stuur gevoelige diensten zoals RDP of SSH nooit zonder sterke beveiliging door naar het openbare internet.

Met PAT kunnen veel apparaten één openbaar IP-adres delen door elke gegevensstroom een unieke poort te geven, die in een vertaaltabel wordt bijgehouden. Dit is ideaal voor uitgaand verkeer. Poortdoorsturing voegt handmatige regels toe zodat inkomend verkeer een gekozen intern apparaat bereikt, en statische NAT wijst een openbaar IP-adres permanent aan een server toe. Elke opening vormt een beveiligingsrisico dat je zorgvuldig moet beheren.

PAT deelt één openbaar IP-adres met veel apparaten door per gegevensstroom unieke poortnummers te gebruiken, die in een vertaaltabel worden bijgehouden. Dit is ideaal voor uitgaand verkeer. Poortdoorsturing koppelt handmatig een externe poort aan een intern apparaat voor inkomende toegang, en statische NAT wijst een openbaar IP-adres permanent aan een server toe. Elke opening stelt een apparaat bloot en moet worden beveiligd.