การส่งต่อพอร์ตและ PAT

รูปแบบ NAT ที่พบได้บ่อยที่สุดคือ PAT (การแปลที่อยู่พอร์ต) หรือเรียกอีกอย่างว่า NAT แบบโอเวอร์โหลด วิธีนี้ทำให้อุปกรณ์หลายร้อยเครื่องใช้ที่อยู่ IP สาธารณะเดียวกันได้ โดยใช้ หมายเลขพอร์ต แยกการสื่อสารของแต่ละเครื่องออกจากกัน

นี่คือสิ่งที่เราเตอร์ภายในบ้านทำ: อุปกรณ์ทุกเครื่องที่อยู่หลังเราเตอร์จะเข้าถึงอินเทอร์เน็ตผ่านที่อยู่สาธารณะเดียวกัน โดยแยกกันด้วยพอร์ต

การเชื่อมต่อ TCP หรือ UDP ทุกครั้งจะมี พอร์ตต้นทาง และ พอร์ตปลายทาง PAT จะกำหนดพอร์ตต้นทางที่ไม่ซ้ำกันบนที่อยู่สาธารณะให้การเชื่อมต่อภายในแต่ละรายการ ดังนั้นจึงสามารถระบุกระแสข้อมูลแต่ละรายการได้อย่างชัดเจนจาก IP สาธารณะและพอร์ตประกอบกัน

เมื่อการตอบกลับมาถึงพอร์ตใดพอร์ตหนึ่ง เราเตอร์จะค้นหาในตารางเพื่อดูว่าพอร์ตนั้นเป็นของอุปกรณ์และพอร์ตภายในใด แล้วส่งต่อไปอย่างถูกต้อง

PAT จะเก็บตารางที่จับคู่ IP และพอร์ตของอุปกรณ์ภายในแต่ละเครื่องกับคู่ IP และพอร์ตสาธารณะที่ไม่ซ้ำกัน ตัวอย่างเช่น พีซีสองเครื่องที่ใช้พอร์ต 50000 ภายในเหมือนกัน จะได้รับพอร์ตที่แปลแล้วแตกต่างกันเมื่อออกสู่ภายนอก

การจับคู่นี้ทำให้ที่อยู่สาธารณะหนึ่งรายการรองรับการเชื่อมต่อพร้อมกันนับพันรายการได้โดยไม่ปะปนกัน เพราะกระแสข้อมูลแต่ละรายการมีหมายเลขพอร์ตภายนอกของตัวเอง

PAT ทำงานได้ดีมากกับการเชื่อมต่อขาออก ซึ่งอุปกรณ์ภายในเป็นผู้เริ่มการสื่อสาร แต่การเชื่อมต่อขาเข้าล่ะ เมื่อมีผู้ใช้อินเทอร์เน็ตต้องการเข้าถึงเซิร์ฟเวอร์ภายในเครือข่ายของคุณ

เราเตอร์ไม่มีรายการในตารางสำหรับการเชื่อมต่อขาเข้าที่ไม่ได้ร้องขอ จึงไม่ทราบว่าควรส่งไปยังอุปกรณ์ภายในเครื่องใด และจะทิ้งการเชื่อมต่อนั้นไป นี่คือจุดที่การส่งต่อพอร์ตเข้ามาช่วย

การส่งต่อพอร์ตจะสร้างกฎด้วยตนเองว่า การรับส่งข้อมูลที่มาถึง IP สาธารณะบนพอร์ตที่ระบุ จะถูกส่งต่อไปยังอุปกรณ์และพอร์ตภายในที่เลือกไว้

ตัวอย่างเช่น การส่งต่อพอร์ตสาธารณะ 443 ไปยังเว็บเซิร์ฟเวอร์ภายใน จะทำให้ผู้ใช้อินเทอร์เน็ตเข้าถึงเซิร์ฟเวอร์นั้นผ่านที่อยู่สาธารณะเดียวของคุณได้ แม้เซิร์ฟเวอร์จะมี IP ส่วนตัวอยู่หลัง NAT

การส่งต่อพอร์ตใช้สำหรับเปิดบริการจากอุปกรณ์ที่อยู่หลัง NAT:

• เว็บเซิร์ฟเวอร์ภายในบ้านหรือเซิร์ฟเวอร์เกมที่เข้าถึงได้จากอินเทอร์เน็ต
• การเข้าถึงระบบกล้องรักษาความปลอดภัยจากระยะไกล
• แอปพลิเคชันที่โฮสต์ด้วยตนเองและเข้าถึงจากภายนอก

กฎแต่ละข้อจะจับคู่พอร์ตภายนอกกับอุปกรณ์ภายในหนึ่งเครื่อง เพื่อเปิดช่องทางเฉพาะที่ควบคุมได้ผ่านขอบเขตของ NAT

กฎเชิงแนวคิดนี้ส่งต่อการรับส่งข้อมูลเว็บจากภายนอกไปยังเซิร์ฟเวอร์ภายใน โปรดสังเกตว่าพอร์ตสาธารณะจับคู่กับอุปกรณ์และพอร์ตส่วนตัวอย่างไร

สำหรับเซิร์ฟเวอร์ที่ต้องเข้าถึงได้อย่างสมบูรณ์ NAT แบบคงที่จะจับคู่ IP สาธารณะหนึ่งรายการกับ IP ส่วนตัวหนึ่งรายการแบบหนึ่งต่อหนึ่งและถาวร ต่างจาก PAT เซิร์ฟเวอร์ภายในจะใช้ที่อยู่สาธารณะเฉพาะเดิมอยู่เสมอ

วิธีนี้เหมาะกับเซิร์ฟเวอร์ที่ต้องการการเข้าถึงขาเข้าที่สม่ำเสมอและคาดเดาได้ผ่านหลายพอร์ต ซึ่งกฎส่งต่อพอร์ตเพียงรายการเดียวอาจไม่เพียงพอ

กฎการส่งต่อมักกำหนดเป้าหมายเป็น พอร์ตที่รู้จักกันดี ซึ่งเชื่อมโยงกับบริการเฉพาะ การส่งต่อพอร์ต 80 จะไปยังเว็บเซิร์ฟเวอร์ผ่าน HTTP, 443 ผ่าน HTTPS และ 25 ไปยังเมลเซิร์ฟเวอร์ผ่าน SMTP

การรู้ว่าพอร์ตใดจับคู่กับบริการใดเป็นสิ่งสำคัญ เพราะหมายเลขพอร์ตที่ไม่ถูกต้องจะส่งการรับส่งข้อมูลไปผิดที่หรือไม่ส่งไปที่ใดเลย ควรส่งต่อเฉพาะพอร์ตที่บริการซึ่งโฮสต์อยู่ต้องใช้จริงเท่านั้น

กฎส่งต่อพอร์ตทุกข้อคือการเจาะช่องผ่านขอบเขต NAT และเปิดเผยอุปกรณ์ภายในสู่อินเทอร์เน็ต อุปกรณ์นั้นจะถูกโจมตีได้โดยตรง จึงต้องติดตั้งแพตช์ เสริมความปลอดภัย และควรได้รับการปกป้องด้วยไฟร์วอลล์

เปิดเฉพาะพอร์ตที่จำเป็นจริง จำกัดที่อยู่ต้นทางเมื่อทำได้ และอย่าส่งต่อบริการที่มีความอ่อนไหว เช่น RDP หรือ SSH สู่อินเทอร์เน็ตแบบเปิดโดยไม่มีการป้องกันที่รัดกุม

PAT ทำให้อุปกรณ์จำนวนมากใช้ IP สาธารณะเดียวกันได้ โดยกำหนด พอร์ต ที่ไม่ซ้ำกันให้กระแสข้อมูลแต่ละรายการและติดตามไว้ในตารางแปลที่อยู่ จึงเหมาะอย่างยิ่งกับการรับส่งข้อมูลขาออก ส่วน การส่งต่อพอร์ตจะเพิ่มกฎด้วยตนเองเพื่อให้การรับส่งข้อมูลขาเข้าไปถึงอุปกรณ์ภายในที่เลือกไว้ และ NAT แบบคงที่จะจัดสรร IP สาธารณะเฉพาะให้เซิร์ฟเวอร์แต่ละเครื่อง การเปิดช่องทางแต่ละรายการล้วนมีความเสี่ยงด้านความปลอดภัยที่ต้องจัดการอย่างรอบคอบ

ทดสอบความรู้เกี่ยวกับ PAT และการส่งต่อพอร์ตของคุณ

PAT ทำให้หลายอุปกรณ์ใช้ IP สาธารณะเดียวกัน โดยใช้ หมายเลขพอร์ต ที่ไม่ซ้ำกันสำหรับกระแสข้อมูลแต่ละรายการและติดตามไว้ในตารางแปลที่อยู่ จึงเหมาะอย่างยิ่งกับการรับส่งข้อมูลขาออก การส่งต่อพอร์ตจะจับคู่พอร์ตภายนอกกับอุปกรณ์ภายในด้วยตนเองเพื่อเปิดทางเข้าขาเข้า ส่วน NAT แบบคงที่จะจัดสรร IP สาธารณะเฉพาะให้เซิร์ฟเวอร์ การเปิดช่องทางแต่ละรายการทำให้อุปกรณ์ถูกเปิดเผยและต้องรักษาความปลอดภัย