Jak NAT współdzieli jeden publiczny adres IP

Internet korzysta z adresów IPv4, których istnieje tylko około 4,3 miliarda — znacznie mniej niż liczba urządzeń obecnie podłączonych do sieci. Kupienie publicznego adresu dla każdego telefonu, laptopa i gadżetu jest niemożliwe.

NAT (Network Address Translation) to sprytne rozwiązanie tego problemu: pozwala wielu urządzeniom w sieci prywatnej współdzielić jeden publiczny adres IP podczas łączenia się z internetem, oszczędzając ograniczoną pulę adresów.

Sieci wewnętrznie korzystają z prywatnych zakresów adresów IP (10.0.0.0/8, 172.16.0.0/12 oraz 192.168.0.0/16). Adresy te nie są routowalne w publicznym internecie, dlatego nie można ich używać bezpośrednio online.

Publiczny adres IP jest unikatowy globalnie i routowalny w internecie. NAT łączy oba światy, tłumacząc prywatne adresy wewnętrzne na publiczny adres widoczny w internecie i odwrotnie.

NAT zazwyczaj działa na routerze lub zaporze sieciowej znajdujących się na brzegu sieci, czyli na granicy między prywatną siecią LAN a publicznym internetem. Państwa domowy router wykonuje teraz translację NAT.

To urządzenie brzegowe przechowuje pojedynczy publiczny adres (przydzielony przez dostawcę usług internetowych) na swoim interfejsie zewnętrznym, a po stronie wewnętrznej obsługuje sieć prywatną, wykonując translację dla każdego urządzenia znajdującego się za nim.

Gdy urządzenie wewnętrzne wysyła pakiet do internetu, NAT przepisuje adres źródłowy z prywatnego adresu IP na publiczny adres IP routera. Dla serwera docelowego ruch wygląda tak, jakby pochodził z publicznego adresu.

Gdy odpowiedź wraca, NAT przepisuje adres docelowy z powrotem na właściwy adres prywatny i dostarcza ją odpowiedniemu urządzeniu wewnętrznemu — wszystko odbywa się w sposób przezroczysty.

NAT prowadzi tabelę translacji, która mapuje każdą wewnętrzną sesję na sesję zewnętrzną, dzięki czemu odpowiedzi można przypisać właściwemu urządzeniu. Bez niej router nie wiedziałby, do którego hosta wewnętrznego należy powracający pakiet.

Każdy wpis zawiera adres wewnętrzny, adres zewnętrzny oraz dane identyfikacyjne, dzięki czemu dziesiątki jednoczesnych połączeń mogą współdzielić jeden publiczny adres IP bez pomyłek.

Wyróżniamy kilka rodzajów NAT:

• Statyczny NAT: stałe mapowanie jeden do jednego między jednym prywatnym a jednym publicznym adresem.
• Dynamiczny NAT: adresy prywatne są w razie potrzeby mapowane na pulę adresów publicznych.
• PAT (Port Address Translation): wiele urządzeń współdzieli jeden publiczny adres IP, wykorzystując numery portów; jest to najczęściej spotykana forma NAT w sieciach domowych.

NAT utworzono w celu oszczędzania adresów, ale zapewnia on również dodatkową korzyść w zakresie bezpieczeństwa. Ponieważ urządzenia wewnętrzne mają prywatne, nieroutowalne adresy ukryte za jednym publicznym adresem IP, internet nie może bezpośrednio zainicjować z nimi połączenia.

Nie jest to prawdziwa zapora sieciowa i nie należy na niej polegać jak na zaporze, ale NAT w naturalny sposób ukrywa sieć wewnętrzną i domyślnie blokuje niezamówiony ruch przychodzący.

NAT stał się niezbędny, ponieważ adresy IPv4 są ograniczone. IPv6, dzięki ogromnej przestrzeni adresowej, zapewnia każdemu urządzeniu unikalny globalny adres, dlatego tradycyjny NAT jest w nim w dużej mierze niepotrzebny.

NAT nadal jednak występuje wszędzie, ponieważ IPv4 jeszcze długo nie zniknie. Jego zrozumienie jest bardzo ważne, nawet gdy świat powoli przechodzi na bogatą przestrzeń adresową IPv6.

Wyobraźmy sobie dom z kilkoma urządzeniami, z których każde ma prywatny adres, na przykład 192.168.1.10 i 192.168.1.11. Router ma jeden publiczny adres otrzymany od dostawcy usług internetowych, na przykład 203.0.113.5.

Gdy dowolne urządzenie przegląda internet, router przed wysłaniem pakietu na zewnątrz zmienia jego prywatny adres źródłowy na 203.0.113.5. Wszystkie urządzenia korzystają więc w internecie z tej samej publicznej tożsamości, a tabela translacji routera sprawia, że każda odpowiedź trafia z powrotem do właściwego urządzenia.

NAT nie jest pozbawiony wad. Może zakłócać działanie protokołów, które umieszczają adresy IP w swoich danych lub wymagają połączeń przychodzących, jak niektóre aplikacje głosowe (VoIP) i aplikacje peer-to-peer.

Do obejść należą przekierowanie portów, bramy na poziomie aplikacji oraz protokoły zaprojektowane do przechodzenia przez NAT. Te komplikacje są ceną za tak znaczne wydłużenie możliwości ograniczonej przestrzeni adresowej IPv4.

NAT pozwala wielu prywatnym urządzeniom współdzielić jeden publiczny adres IP, oszczędzając ograniczone adresy IPv4. Działa na brzegu sieci, na routerze lub zaporze sieciowej, zmieniając adresy źródłowe i docelowe oraz śledząc sesje w tabeli translacji. Występuje w odmianach statycznej, dynamicznej i PAT, zapewnia dodatkowy skutek związany z bezpieczeństwem i jest w dużej mierze niepotrzebny w IPv6.

Sprawdź podstawową wiedzę o NAT.

NAT tłumaczy adresy między prywatnymi adresami wewnętrznymi a współdzielonym publicznym adresem IP, oszczędzając ograniczoną przestrzeń IPv4. Działa na brzegu sieci, na routerze lub zaporze sieciowej, zmienia adresy i śledzi przepływy w tabeli translacji, w odmianach statycznej, dynamicznej lub PAT. Ukrywa także hosty wewnętrzne przed niezamówionym ruchem przychodzącym i jest w dużej mierze niepotrzebny w IPv6.