Portvidarebefordran och PAT

PAT har en tabell som mappar varje intern enhets IP-adress och port till ett unikt par av offentlig IP-adress och port. Exempelvis får två datorer som båda använder port 50000 internt olika översatta portar externt.

Denna mappning gör att en offentlig adress kan bära tusentals samtidiga anslutningar utan att de blandas ihop, eftersom varje trafikflöde har ett eget unikt externt portnummer.

PAT fungerar utmärkt för utgående anslutningar, där en intern enhet startar kommunikationen. Men vad händer med inkommande anslutningar, när någon på internet vill nå en server i ert nätverk?

Routern har ingen tabellpost för en oombedd inkommande anslutning. Därför vet den inte vilken intern enhet den ska skicka anslutningen till och släpper den helt enkelt. Det är här portvidarebefordran kommer in.

Portvidarebefordran skapar en manuell regel: trafik som anländer till den offentliga IP-adressen på en viss port vidarebefordras till en vald intern enhet och port.

Om ni till exempel vidarebefordrar den offentliga porten 443 till en intern webbserver kan personer på internet nå servern via er enda offentliga adress, trots att servern har en privat IP-adress bakom NAT.

Portvidarebefordran används för att tillhandahålla tjänster bakom NAT:

• En webb- eller spelserver i hemmet som kan nås från internet.
• Fjärråtkomst till ett säkerhetskamerasystem.
• En egenhostad applikation som nås utifrån.

Varje regel mappar en extern port till en intern enhet och öppnar en specifik, kontrollerad väg genom NAT-gränsen.

Den här konceptuella regeln vidarebefordrar extern webbtrafik till en intern server. Lägg märke till hur den offentliga porten mappas till en privat enhet och port.

För en server som måste vara fullt nåbar mappar statisk NAT en offentlig IP-adress till en privat IP-adress, en-till-en och permanent. Till skillnad från PAT använder den interna servern alltid samma dedikerade offentliga adress.

Detta passar servrar som behöver konsekvent och förutsägbar inkommande åtkomst på många portar, där en enda regel för portvidarebefordran inte skulle räcka.

Regler för vidarebefordran riktas vanligtvis mot välkända portar som är kopplade till specifika tjänster. Vidarebefordran av port 80 når en webbserver via HTTP, port 443 via HTTPS och port 25 en e-postserver via SMTP.

Det är viktigt att veta vilken port som hör till vilken tjänst: ett felaktigt portnummer skickar trafiken till fel plats eller ingenstans alls. Vidarebefordra alltid endast de exakta portar som den tillhandahållna tjänsten faktiskt behöver.

Varje regel för portvidarebefordran öppnar ett hål genom er NAT-gräns och exponerar en intern enhet mot internet. Enheten blir då direkt utsatt för angrepp och måste uppdateras, härdas och helst skyddas av en brandvägg.

Öppna endast de portar ni verkligen behöver, begränsa källadresser när det är möjligt och vidarebefordra aldrig känsliga tjänster som RDP eller SSH till det öppna internet utan ett starkt skydd.

PAT låter många enheter dela på en offentlig IP-adress genom att ge varje trafikflöde en unik port, som registreras i en översättningstabell. Det är idealiskt för utgående trafik. Portvidarebefordran lägger till manuella regler så att inkommande trafik når en vald intern enhet, och statisk NAT avsätter en offentlig IP-adress åt en server. Varje öppning innebär en säkerhetsrisk som måste hanteras varsamt.

PAT delar en offentlig IP-adress mellan många enheter genom att använda unika portnummer för varje trafikflöde, som registreras i en översättningstabell. Det är perfekt för utgående trafik. Portvidarebefordran mappar manuellt en extern port till en intern enhet för inkommande åtkomst, och statisk NAT avsätter en offentlig IP-adress åt en server. Varje öppning exponerar en enhet och måste säkras.