شرح NAT: ترجمة العناوين والمنافذ في شبكات IPv4

تترجم NAT العناوين عند حدود الشبكة؛ وتترجم PAT المنافذ أيضاً كي يشترك عدة عملاء في عناوين IPv4 عامة. تظل الترجمة بحاجة إلى توجيه صحيح وسياسة جدار ناري صريحة.

لماذا تُستخدم ترجمة العناوين

تضم IPv4 نحو 4.3 مليار عنوان، أي أقل من عدد الأجهزة المتصلة. تتيح العنونة الخاصة داخل الشبكة والعنونة العامة عند حافتها لأجهزة كثيرة مشاركة الاتصال. مثلاً، يظهر العملاء الداخليون 192.168.1.10 و192.168.1.20 و192.168.1.30 عبر العنوان العام 203.0.113.5. لا تُوجّه عناوين RFC 1918 الخاصة عالمياً.

NAT الثابتة ربط دائم واحد لواحد، كما في حالة خادم مثلاً. تختار NAT الديناميكية من مجموعة عناوين عامة. وتميّز PAT، التي تسمى غالباً NAT overload، اتصالات داخلية كثيرة باستخدام عنوان عام واحد أو عدد قليل منها ومنافذ مترجمة.

قراءة ترجمة PAT

يعني inside local عادةً عنوان المضيف كما يظهر داخل شبكته؛ ويعني inside global عنوانه الظاهر خارجياً. تغيّر NAT العناوين، ومع PAT منافذ المصدر أيضاً، مع تخزين الحالة في جدول. لا تقرر التوجيه بمفردها: تظل الواجهات والمسارات وقوائم الوصول الصحيحة شروطاً مسبقة.

في هذا المثال المبسط، يصبح 192.168.1.10:5001 هو 203.0.113.5:10001، بينما يصبح 192.168.1.20:5001 هو 203.0.113.5:10002. وجهة الاتصالين التوضيحيين هي 8.8.8.8:80. تربط حالة الترجمة كل اتصال عائد بعميله الداخلي؛ ولا يلزم أن تصبح منافذ المصدر الداخلية المتطابقة منافذ خارجية متطابقة.

NAT ليست جداراً نارياً

تعني PAT أن اتصالاً وارداً عشوائياً وغير مطلوب لا يُربط تلقائياً بمضيف داخلي دون حالة مطابقة. وهذا لا يحل محل سياسة أمن محددة. قد تكشف إعادة توجيه المنافذ والربط الثابت ومساعدات البروتوكولات خدماتٍ للخارج. يقيّم الجدار الناري الحركة وفق قواعد أو مناطق أو هويات أو تطبيقات.

يعقّد تغيير الترويسات بعض البروتوكولات واستكشاف الأعطال والاتصال من طرف إلى طرف. توفر IPv6 فضاء عناوين أوسع بكثير؛ ويأتي الأمن فيها من الترشيح والتقسيم، لا من الإبقاء المتعمّد على ندرة العناوين.

يبدأ استكشاف العطل قبل الترجمة

افحصوا أولاً قدرة المضيف الداخلي على الوصول إلى بوابته ووجود مسار للوجهة. ثم افحصوا تصنيف NAT وACL وجدول الترجمة ومسار العودة. يوحي غياب إدخال من الجدول بأن الحركة لا تصل إلى الجهاز أو لا تطابق القاعدة. وقد يشير وجود إدخال دون رد إلى مشكلة في التوجيه الأعلى أو الترشيح أو خدمة الوجهة.

التقطوا الحركة على الجانبين لتأكيد تغييرات العناوين والمنافذ المتوقعة. اضبطوا سعة التسجيل وفق حجم PAT الفعلي، خصوصاً إذا كان يلزم لاحقاً نسبة الاتصالات إلى العملاء الداخليين، وراقبوا سعة المنافذ المتاحة.

قائمة تحقق عملية

01
افحصوا واجهات inside/outside والتوجيه.
02
قارنوا شبكة المصدر والوجهة وACL الخاصة بـNAT مع حركة الاختبار.
03
راقبوا إدخالات الترجمة والعدادات أثناء اختبار موجّه.
04
افحصوا الاتجاهين بحثاً عن توجيه غير متماثل أو ترشيح.
05
راقبوا سجلات NAT وسعة المنافذ.

الأسئلة الشائعة

لماذا تعمل الخدمة داخلياً ولا تعمل عبر عنوانها العام؟

تشمل الأسباب المحتملة غياب إعادة توجيه المنافذ، أو قواعد الجدار الناري، أو مسار عودة خاطئ، أو غياب hairpin NAT للوصول الداخلي إلى العنوان العام.

هل تجعل NAT الشبكة آمنة؟

ليس بمفردها. يعتمد الأمن على الترشيح الصريح والتقسيم والخدمات الآمنة والهوية والمراقبة. تتمثل وظيفة NAT الأساسية في ترجمة العناوين والمنافذ.

شرح NAT: ترجمة العناوين والمنافذ في شبكات IPv4

معرفة يمكنك تطبيقها.