NAT i shpjeguar: përkthimi i adresave dhe porteve në rrjetet IPv4

NAT përkthen adresat në kufirin e një rrjeti; PAT përkthen edhe portat, që disa klientë të mund të ndajnë adresa publike IPv4. Përkthimi kërkon sërish rutim të saktë dhe një politikë firewall-i të përcaktuar shprehimisht.

Pse përdoret përkthimi i adresave

IPv4 ka rreth 4.3 miliardë adresa, më pak se numri i pajisjeve të lidhura. Adresimi privat brenda një rrjeti dhe adresimi publik në skajin e tij u lejojnë shumë pajisjeve të ndajnë lidhjen. Për shembull, klientët e brendshëm 192.168.1.10, 192.168.1.20 dhe 192.168.1.30 paraqiten përmes adresës publike 203.0.113.5. Adresat private RFC 1918 nuk rutohen globalisht.

NAT statik është një lidhje e përhershme një-me-një, për shembull për një server. NAT dinamik zgjedh nga një grup adresash publike. PAT, i quajtur shpesh NAT overload, dallon shumë lidhje të brendshme duke përdorur një ose pak adresa publike dhe porta të përkthyera.

Lexoni një përkthim PAT

Inside local zakonisht do të thotë adresa e një hosti siç shihet brenda rrjetit të tij; inside global është adresa e tij e dukshme nga jashtë. NAT ndryshon adresat dhe, me PAT, portat burimore, duke ruajtur gjendjen në një tabelë. Ai nuk vendos vetë për rutimin: ndërfaqet, rrugët dhe listat e qasjes të sakta mbeten parakushte.

Në këtë shembull të thjeshtuar, 192.168.1.10:5001 bëhet 203.0.113.5:10001, ndërsa 192.168.1.20:5001 bëhet 203.0.113.5:10002. Të dyja lidhjet ilustruese kanë destinacion 8.8.8.8:80. Gjendja e përkthimit e lidh çdo lidhje kthimi me klientin e saj të brendshëm; portat burimore identike brenda nuk kanë pse të bëhen porta identike jashtë.

NAT nuk është firewall

PAT nënkupton se një lidhje hyrëse e pakërkuar çfarëdo nuk lidhet automatikisht me një host të brendshëm pa një gjendje përkatëse. Kjo nuk zëvendëson një politikë sigurie të përcaktuar. Përcjellja e portave, lidhjet statike dhe ndihmësit e protokolleve mund të ekspozojnë shërbime. Një firewall vlerëson trafikun sipas rregullave, zonave, identiteteve ose aplikacioneve.

Ndryshimi i header-ave i ndërlikon disa protokolle, diagnostikimin dhe lidhjen nga skaji në skaj. IPv6 ofron një hapësirë adresash shumë më të madhe; siguria atje vjen nga filtrimi dhe segmentimi, jo nga ruajtja e qëllimshme e mungesës së adresave.

Diagnostikimi fillon para përkthimit

Kontrolloni fillimisht që hosti i brendshëm mund të arrijë gateway-in e tij dhe që ekziston një rrugë për destinacionin. Pastaj shqyrtoni klasifikimin NAT, ACL-në, tabelën e përkthimit dhe rrugën e kthimit. Mungesa e një hyrjeje në tabelë sugjeron se trafiku nuk po arrin te pajisja ose nuk përputhet me rregullin. Një hyrje pa përgjigje mund të tregojë problem rutimi më tej, filtrimi ose shërbimi në destinacion.

Kapni trafikun në të dyja anët për të konfirmuar ndryshimet e pritshme të adresave dhe portave. Përshtatni kapacitetin e regjistrimit me vëllimin real PAT, veçanërisht nëse lidhjet duhen lidhur më vonë me klientët e brendshëm, dhe monitoroni kapacitetin e disponueshëm të portave.

Lista praktike e kontrollit

01
Kontrolloni ndërfaqet inside/outside dhe rutimin.
02
Krahasoni rrjetin burimor, destinacionin dhe ACL-në e NAT me trafikun e testit.
03
Vëzhgoni hyrjet e përkthimit dhe numëruesit gjatë një testi të synuar.
04
Kontrolloni të dy drejtimet për rutim asimetrik ose filtrim.
05
Monitoroni regjistrat NAT dhe kapacitetin e portave.

Pyetje të shpeshta

Pse një shërbim funksionon brenda, por jo përmes adresës së tij publike?

Shkaqe të mundshme janë përcjellja e munguar e portave, rregullat e firewall-it, rruga e gabuar e kthimit ose mungesa e hairpin NAT për qasje nga brenda te adresa publike.

A e bën NAT një rrjet të sigurt?

Jo më vete. Siguria varet nga filtrimi i përcaktuar shprehimisht, segmentimi, shërbimet e sigurta, identiteti dhe monitorimi. NAT kryesisht përkthen adresa dhe porta.

NAT i shpjeguar: përkthimi i adresave dhe porteve në rrjetet IPv4

Njohuri që mund t’i zbatoni.