NAT

NAT to mechanizm translacji adresów sieciowych, ukrywający adresację prywatną za publicznym adresem IP.

Na czym polega translacja adresów NAT

NAT, czyli Network Address Translation, jest mechanizmem działającym na urządzeniu pośredniczącym, najczęściej na routerze domowym albo zaporze sieciowej. Jego zadaniem jest modyfikowanie adresów IP znajdujących się w nagłówkach pakietów podczas przechodzenia między siecią lokalną a inną siecią, zwykle Internetem. W typowej sieci domowej komputery, laptopy, telewizory, drukarki i telefony otrzymują prywatne adresy IPv4, na przykład z zakresu 192.168.0.0/16, 172.16.0.0/12 albo 10.0.0.0/8. Takie adresy nie są routowane bezpośrednio w publicznym Internecie.

Router posiada zwykle co najmniej jeden interfejs LAN oraz interfejs WAN. Po stronie LAN używa adresu prywatnego, natomiast od operatora otrzymuje publiczny adres IPv4 albo adres należący do innej sieci operatorskiej. Gdy urządzenie z sieci lokalnej wysyła pakiet do Internetu, router zastępuje jego prywatny adres źródłowy adresem używanym po stronie WAN. Dla ruchu powrotnego przechowuje informację pozwalającą przypisać odpowiedź do właściwego komputera w sieci lokalnej.

NAT a porty i tablica połączeń

W praktyce domowy NAT bardzo często działa razem z translacją portów, określaną jako NAPT albo PAT. Sam adres IP nie wystarcza do rozróżnienia wielu jednoczesnych połączeń wychodzących z jednego publicznego adresu, dlatego router wykorzystuje także numery portów TCP lub UDP. Przykładowo laptop może otworzyć połączenie z lokalnego adresu 192.168.1.25 i portu źródłowego 51544 do serwera WWW na porcie TCP 443. Router może przetłumaczyć ten ruch na publiczny adres oraz inny port źródłowy, a następnie zapisać mapowanie w tablicy translacji.

Tablica zawiera między innymi adres i port źródłowy po stronie LAN, adres i port po stronie WAN, adres docelowy oraz informacje o protokole. Dzięki temu odpowiedź odebrana na publicznym interfejsie może zostać przekazana do właściwego urządzenia lokalnego. Wpisy nie są przechowywane bez końca. Ich czas życia zależy od implementacji routera, rodzaju ruchu i stanu połączenia. Zakończenie lub wygaśnięcie wpisu może spowodować przerwanie nieaktywnej sesji, dlatego niektóre aplikacje wymagają okresowego podtrzymywania połączenia.

NAT nie jest tym samym co zapora sieciowa, chociaż oba mechanizmy często występują w jednym routerze. Zapora filtruje ruch według reguł, natomiast NAT zmienia informacje adresowe i utrzymuje mapowania. Wiele połączeń inicjowanych z sieci lokalnej przechodzi przez router, ponieważ istnieje dla nich aktywny wpis translacji. Nie oznacza to jednak, że NAT samodzielnie zapewnia pełną ochronę urządzeń. Bezpieczna konfiguracja wymaga również właściwych reguł zapory, aktualnego oprogramowania urządzeń i ograniczenia niepotrzebnych usług.

Ruch przychodzący, przekierowanie portów i ograniczenia

Połączenia inicjowane z Internetu do urządzenia znajdującego się za NAT-em zwykle nie mogą zostać dostarczone bez dodatkowej konfiguracji. Router nie wie wtedy, do którego komputera przekazać pakiet skierowany na publiczny adres. Rozwiązaniem może być przekierowanie portu, nazywane port forwardingiem lub DNAT. Administrator tworzy regułę wskazującą publiczny port oraz prywatny adres i port urządzenia docelowego. Przykładowo ruch przychodzący na określony port TCP może zostać skierowany do konkretnego hosta w sieci LAN.

Przekierowanie portu powinno być stosowane tylko wtedy, gdy jest rzeczywiście potrzebne. Udostępnienie usługi na publicznym adresie zwiększa jej dostępność z Internetu, ale jednocześnie naraża ją na skanowanie, próby logowania i wykorzystanie podatności. Przy diagnozowaniu problemu trzeba sprawdzić, czy router ma publiczny adres IPv4 na interfejsie WAN. Jeżeli operator stosuje CGNAT, klient otrzymuje adres współdzielony przez wielu abonentów i zwykłe przekierowanie portu na routerze może nie działać. W takiej sytuacji potrzebna jest usługa publicznego adresu, odpowiednia funkcja operatora albo rozwiązanie oparte na połączeniu wychodzącym.

Dodatkowym problemem może być podwójny NAT, występujący na przykład wtedy, gdy modem operatora i własny router działają jednocześnie w trybie routowania. Pakiet przechodzi wtedy przez dwie tablice translacji, a przekierowanie portów musi być skonfigurowane na obu urządzeniach albo jedno z nich powinno pracować w trybie mostu. NAT może także komplikować niektóre protokoły, połączenia peer-to-peer, gry sieciowe, zdalny dostęp i komunikację głosową. Aplikacje rozwiązują ten problem między innymi przez techniki wykrywania typu NAT, serwery pośredniczące oraz protokoły pomagające ustanowić bezpośrednią ścieżkę.

Rozpoznawanie problemów z NAT w domu i biurze

Objawy nieprawidłowej konfiguracji NAT obejmują brak dostępu do Internetu, działające połączenia wychodzące przy jednoczesnym braku dostępu do usługi z zewnątrz, losowe rozłączanie sesji oraz problemy występujące tylko w jednej części sieci. Diagnostykę warto rozpocząć od ustalenia adresu IP komputera, bramy domyślnej i serwerów DNS. W systemie Windows można użyć polecenia ipconfig, a następnie sprawdzić trasę do adresu zewnętrznego za pomocą tracert. Sam wynik tych poleceń nie potwierdza jeszcze poprawności NAT, ale pozwala odróżnić problem lokalnej konfiguracji od problemu po stronie routera lub operatora.

Należy porównać adres IPv4 widoczny w panelu administracyjnym routera z adresem obserwowanym przez usługę internetową. Jeżeli router pokazuje adres prywatny, adres z zakresu 100.64.0.0/10 używanego przez operatorów dla CGNAT albo adres należący do wewnętrznej sieci modemu, przekierowanie portów może wymagać dodatkowego urządzenia lub interwencji operatora. Warto również sprawdzić, czy urządzenie docelowe ma stały adres lokalny albo rezerwację DHCP. Reguła przekierowania wskazująca nieaktualny adres będzie nieskuteczna po zmianie konfiguracji klienta.

Podczas serwisowania trzeba zweryfikować model pracy routera, konfigurację WAN, aktywne reguły przekierowań, zakres DHCP, ewentualny podwójny NAT oraz działanie zapory. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnozy problemów z dostępem sieciowym można również sprawdzić ustawienia karty sieciowej, przewodów, punktu dostępowego i routera. Prawidłowa ocena wymaga ustalenia, czy usterka dotyczy samej translacji, routingu, DNS, zapory, sprzętu sieciowego czy ograniczeń narzuconych przez operatora.