Przekierowanie portów i PAT

Najczęściej spotykaną formą NAT jest PAT (Port Address Translation), nazywany również przeciążeniem NAT. Pozwala on setkom urządzeń współdzielić jeden publiczny adres IP, wykorzystując numery portów do rozróżniania ich sesji.

Właśnie tak działa router domowy: każde urządzenie znajdujące się za routerem łączy się z internetem przez jeden publiczny adres, a poszczególne połączenia są rozróżniane wyłącznie na podstawie portu.

Każde połączenie TCP lub UDP ma port źródłowy i port docelowy. PAT przypisuje każdemu połączeniu wewnętrznemu unikalny port źródłowy na publicznym adresie, dzięki czemu każdy przepływ jest jednoznacznie identyfikowany kombinacją publicznego adresu IP i portu.

Gdy nadejdzie odpowiedź dotycząca danego portu, router wyszukuje odpowiedni wpis w tabeli, aby ustalić, do którego urządzenia wewnętrznego i portu należy ją dostarczyć, a następnie robi to poprawnie.

PAT prowadzi tabelę mapującą adres IP i port każdego urządzenia wewnętrznego na unikalną parę publicznego adresu IP i portu. Na przykład dwa komputery korzystające wewnętrznie z portu 50000 otrzymają różne porty po translacji zewnętrznej.

To mapowanie pozwala jednemu publicznemu adresowi obsługiwać tysiące jednoczesnych połączeń bez ich mieszania, ponieważ każdy przepływ ma własny, unikalny zewnętrzny numer portu.

PAT świetnie sprawdza się w przypadku połączeń wychodzących, gdy urządzenie wewnętrzne rozpoczyna komunikację. Co jednak z połączeniami przychodzącymi, gdy ktoś w internecie chce połączyć się z serwerem znajdującym się w Państwa sieci?

Router nie ma wpisu dotyczącego niezamówionego połączenia przychodzącego, więc nie wie, do którego urządzenia wewnętrznego je wysłać, i po prostu je odrzuca. Właśnie w tym miejscu przydaje się przekierowanie portów.

Przekierowanie portów tworzy ręczną regułę: ruch docierający do publicznego adresu IP na określonym porcie jest przekazywany do wybranego urządzenia wewnętrznego i jego portu.

Na przykład przekierowanie publicznego portu 443 do wewnętrznego serwera WWW pozwala użytkownikom internetu uzyskać dostęp do tego serwera za pośrednictwem jednego publicznego adresu, mimo że serwer ma prywatny adres IP za NAT.

Przekierowanie portów służy do udostępniania usług z sieci znajdującej się za NAT:

• Domowy serwer WWW lub serwer gier dostępny z internetu.
• Zdalny dostęp do systemu kamer bezpieczeństwa.
• Aplikacja hostowana samodzielnie i dostępna z zewnątrz.

Każda reguła mapuje zewnętrzny port na jedno urządzenie wewnętrzne, tworząc określone, kontrolowane przejście przez granicę NAT.

Ta przykładowa reguła przekazuje zewnętrzny ruch WWW do serwera wewnętrznego. Proszę zauważyć, jak publiczny port jest mapowany na prywatne urządzenie i port.

W przypadku serwera, który musi być w pełni dostępny, statyczny NAT mapuje jeden publiczny adres IP na jeden prywatny adres IP — jeden do jednego i na stałe. W przeciwieństwie do PAT serwer wewnętrzny zawsze korzysta z tego samego, dedykowanego publicznego adresu.

Takie rozwiązanie pasuje do serwerów wymagających spójnego i przewidywalnego dostępu przychodzącego na wielu portach, gdy pojedyncza reguła przekierowania portów byłaby niewystarczająca.

Reguły przekierowania zwykle dotyczą dobrze znanych portów powiązanych z konkretnymi usługami. Przekierowanie portu 80 prowadzi do serwera WWW przez HTTP, portu 443 — przez HTTPS, a portu 25 — do serwera pocztowego przez SMTP.

Wiedza o tym, który port odpowiada danej usłudze, jest niezbędna: niewłaściwy numer portu kieruje ruch w złe miejsce albo donikąd. Należy przekierowywać wyłącznie te porty, których dana usługa rzeczywiście potrzebuje.

Każda reguła przekierowania portów tworzy otwór w granicy NAT, wystawiając urządzenie wewnętrzne na działanie internetu. Urządzenie staje się bezpośrednim celem ataków, dlatego należy je aktualizować, odpowiednio zabezpieczyć i najlepiej chronić zaporą sieciową.

Należy otwierać tylko naprawdę potrzebne porty, w miarę możliwości ograniczać adresy źródłowe i nigdy nie przekierowywać wrażliwych usług, takich jak RDP lub SSH, bezpośrednio do otwartego internetu bez silnych zabezpieczeń.

PAT pozwala wielu urządzeniom współdzielić jeden publiczny adres IP, nadając każdemu przepływowi unikalny port śledzony w tabeli translacji, co idealnie sprawdza się w przypadku ruchu wychodzącego. Przekierowanie portów dodaje ręczne reguły, dzięki którym ruch przychodzący dociera do wybranego urządzenia wewnętrznego, a statyczny NAT przypisuje serwerowi dedykowany publiczny adres IP. Każde takie otwarcie stanowi zagrożenie dla bezpieczeństwa i wymaga ostrożnego zarządzania.

PAT umożliwia wielu urządzeniom współdzielenie jednego publicznego adresu IP dzięki użyciu unikalnych numerów portów dla poszczególnych przepływów, śledzonych w tabeli translacji; rozwiązanie to idealnie nadaje się do ruchu wychodzącego. Przekierowanie portów ręcznie mapuje zewnętrzny port na urządzenie wewnętrzne, zapewniając dostęp przychodzący, a statyczny NAT przypisuje serwerowi publiczny adres IP. Każde takie otwarcie wystawia urządzenie na zagrożenia i musi być odpowiednio zabezpieczone.