Перенаправление портов и PAT

Самая распространённая форма NAT — это PAT (трансляция адресов портов), также называемая перегрузкой NAT. Она позволяет сотням устройств использовать один общедоступный IP-адрес, различая их сеансы с помощью номеров портов.

Именно это делает домашний маршрутизатор: каждое устройство за ним выходит в интернет через один общедоступный адрес, а различить устройства можно только по порту.

У каждого подключения TCP или UDP есть порт источника и порт назначения. PAT назначает каждому внутреннему подключению уникальный порт источника на общедоступном адресе, поэтому каждый поток однозначно определяется сочетанием общедоступного IP и порта.

Получив ответ для определённого порта, маршрутизатор обращается к своей таблице, определяет внутреннее устройство и порт, которым он принадлежит, а затем правильно доставляет ответ.

PAT поддерживает таблицу, сопоставляющую IP и порт каждого внутреннего устройства с уникальной парой общедоступных IP и порта. Например, два компьютера, использующие внутри сети порт 50000, получают разные преобразованные порты снаружи.

Благодаря этому сопоставлению один общедоступный адрес может переносить тысячи одновременных подключений без путаницы: у каждого потока есть собственный уникальный внешний номер порта.

PAT отлично работает для исходящих подключений, когда внутреннее устройство начинает сеанс. Но что происходит со входящим подключением, когда кто-то в интернете хочет обратиться к серверу внутри вашей сети?

В таблице маршрутизатора нет записи для входящего подключения, не инициированного изнутри, поэтому он не знает, какому внутреннему устройству его передать, и просто отбрасывает его. Здесь и применяется перенаправление портов.

Перенаправление портов создаёт правило вручную: трафик, поступающий на общедоступный IP через определённый порт, перенаправляется выбранному внутреннему устройству и порту.

Например, перенаправление общедоступного порта 443 на внутренний веб-сервер позволяет людям в интернете обращаться к этому серверу через ваш единственный общедоступный адрес, хотя у сервера за NAT есть частный IP.

Перенаправление портов используют, чтобы размещать службы за NAT:

• Домашний веб-сервер или игровой сервер, доступный из интернета.
• Удалённый доступ к системе камер наблюдения.
• Приложение на собственном сервере, доступное извне.

Каждое правило сопоставляет внешний порт с одним внутренним устройством, открывая определённый контролируемый проход через границу NAT.

Это концептуальное правило перенаправляет внешний веб-трафик на внутренний сервер. Обратите внимание, как общедоступный порт сопоставляется с частным устройством и портом.

Для сервера, который должен быть полностью доступен, статический NAT однозначно и постоянно сопоставляет один общедоступный IP с одним частным IP. В отличие от PAT, внутренний сервер всегда использует один и тот же выделенный общедоступный адрес.

Это подходит серверам, которым нужен постоянный предсказуемый входящий доступ через множество портов и которым недостаточно одного правила перенаправления порта.

Правила перенаправления обычно нацелены на известные порты, связанные с определёнными службами. Перенаправление порта 80 ведёт к веб-серверу по HTTP, порта 443 — по HTTPS, а порта 25 — к почтовому серверу по SMTP.

Важно знать, какой порт соответствует каждой службе: неправильный номер порта направит трафик не туда или вообще в никуда. Всегда перенаправляйте только те порты, которые действительно нужны размещённой службе.

Каждое правило перенаправления порта пробивает отверстие в границе NAT, открывая внутреннее устройство для интернета. Такое устройство становится непосредственной целью атак, поэтому его необходимо обновлять, защищать и по возможности дополнительно защищать межсетевым экраном.

Открывайте только действительно нужные порты, по возможности ограничивайте адреса источников и никогда не направляйте чувствительные службы, такие как RDP или SSH, в открытый интернет без надёжной защиты.

PAT позволяет множеству устройств использовать один общедоступный IP, назначая каждому потоку уникальный порт, который отслеживается в таблице трансляции; это идеально для исходящего трафика. Перенаправление портов добавляет ручные правила, чтобы входящий трафик достигал выбранного внутреннего устройства, а статический NAT закрепляет общедоступный IP за сервером. Каждое такое открытие представляет собой риск для безопасности, которым нужно тщательно управлять.

Проверьте свои знания PAT и перенаправления портов.

PAT позволяет множеству устройств использовать один общедоступный IP, назначая каждому потоку уникальные номера портов, которые отслеживаются в таблице трансляции; это идеально для исходящего трафика. Перенаправление портов вручную сопоставляет внешний порт с внутренним устройством для входящего доступа, а статический NAT закрепляет общедоступный IP за сервером. Каждое открытие делает устройство доступным извне и требует защиты.