NAT (překlad síťových adres)

Příklady z praxe

1. 01

   Notebook a telefon sdílí jednu adresu

   Notebook odešle požadavek na web z adresy 192.168.1.23 a telefon zároveň z 192.168.1.24. Router oba požadavky přepíše na stejnou veřejnou adresu, ale použije rozdílné zdrojové porty. Webový server vidí jednu veřejnou adresu, zatímco router podle tabulky vrátí odpovědi správným zařízením.

2. 02

   Publikování serveru přes port forwarding

   Malý server běží uvnitř firmy na adrese 10.0.0.20 a poslouchá HTTPS na portu 443. Správce nastaví DNAT, aby požadavky na veřejnou adresu a port 443 končily na interním serveru. Výsledkem je dostupná služba z internetu, ale otevřený port musí hlídat firewall a aktualizace serveru.

   # Ilustrační pravidla pro Linux firewall
   iptables -t nat -A PREROUTING -p tcp --dport 443 -j DNAT --to-destination 10.0.0.20:443
   iptables -t nat -A POSTROUTING -j MASQUERADE

Časté omyly

MýtusNAT je firewall, takže síť za NATem je automaticky bezpečná.

Ve skutečnostiNAT pouze přepisuje adresy a porty podle překladů. O skutečném povolování a blokování provozu rozhodují firewallová pravidla, aktualizace služeb a celková konfigurace sítě.

MýtusKdyž mám port forwarding, zařízení za NATem má veřejnou IP adresu.

Ve skutečnostiPort forwarding zpřístupní konkrétní port nebo službu, nikoli celou interní adresu. Zařízení zůstává v privátní síti a ostatní porty mohou být dál nedostupné nebo filtrované.

Časté dotazy

Proč NAT komplikuje některé hry nebo VoIP?

NAT může komplikovat hry, VoIP a peer-to-peer aplikace, protože příchozí paket z internetu často nemá předem vytvořený záznam v překladové tabulce. Aplikace pak neví, na jaké veřejné adrese a portu je zvenku dosažitelná. Řešením bývá přesměrování portu, UPnP, STUN, TURN, relé server nebo VPN, podle bezpečnostních požadavků a typu sítě.

Nahrazuje NAT firewall?

NAT nenahrazuje firewall, i když mnoho domácích routerů kombinuje obě funkce v jednom zařízení. Překlad adres způsobí, že nevyžádaný příchozí paket obvykle nemá cílový záznam v tabulce. Firewall ale pracuje s pravidly, stavem spojení, rozhraními, protokoly a výjimkami. Bez správné firewallové politiky může být služba zveřejněná přes port forwarding stále zranitelná.

Co znamená dvojitý NAT u domácí přípojky?

Dvojitý NAT znamená, že paket prochází dvěma překlady adres za sebou, například přes domácí router a současně přes zařízení poskytovatele internetu. Běžné prohlížení webu většinou funguje, ale hostování serveru, vzdálený přístup, některé hry nebo VPN mohou narážet na problém s příchozí konektivitou. Častým signálem je veřejná adresa jiná než adresa na WAN rozhraní domácího routeru.

Má smysl NAT v IPv6 síti?

NAT v IPv6 síti obvykle není potřeba kvůli úspoře adres, protože IPv6 počítá s velkým adresním prostorem a přidělováním prefixů koncovým sítím. Bezpečnost se má řešit hlavně firewallem, ne skrýváním za jednu adresu. Výjimky existují, například překlad mezi IPv6 a IPv4 nebo speciální provozní požadavky, ale běžná IPv6 architektura preferuje přímé směrování.

Zdroje

1. Traditional IP Network Address Translator (Traditional NAT)(otevře se v novém okně)RFC Editor, 2001
2. Network Address Translation (NAT) Behavioral Requirements for Unicast UDP(otevře se v novém okně)RFC Editor, 2007
3. Common Requirements for Carrier-Grade NATs (CGNs)(otevře se v novém okně)RFC Editor, 2013

Související pojmy

• FirewallFirewall je bezpečnostní prvek, který podle nastavených pravidel povoluje nebo blokuje síťovou komunikaci mezi zařízeními, sítěmi nebo aplikacemi. Může běžet jako software v operačním systému, specializované síťové zařízení, cloudová služba nebo aplikační filtr chránící web před nežádoucími požadavky a omezuje dopad chybné konfigurace.
• IP adresaIP adresa je číselný identifikátor zařízení nebo síťového rozhraní v síti používající Internet Protocol. Slouží k doručování paketů mezi zdrojem a cílem, podobně jako adresa na obálce, ale v podobě zpracovatelné routery. Existuje ve verzích IPv4 a IPv6 a může být veřejná, privátní, statická nebo dynamická.
• UDPUDP je transportní síťový protokol pro posílání samostatných datagramů bez navázání spojení a bez záruky doručení. Nabízí nízkou režii a rychlý start komunikace, ale pořadí, opakování ztracených zpráv, řízení zahlcení a případné šifrování musí řešit aplikace nebo vyšší protokol.
• VPNVPN je technologie, která vytvoří šifrovaný tunel mezi zařízením a vzdálenou sítí, takže provoz putuje veřejným internetem, ale chová se, jako by šlo o soukromé propojení. Používá se pro vzdálený přístup zaměstnanců do firemní sítě, propojení poboček a skrytí obsahu i cíle komunikace před poskytovatelem připojení.
• PortPort je šestnáctibitové číslo v hlavičce TCP nebo UDP, které na jednom počítači rozlišuje jednotlivé síťové služby a spojení. IP adresa doručí paket ke stroji, port určí, kterému procesu ho operační systém předá. Rozsah je 0 až 65535, přičemž známé služby mají čísla přidělená organizací IANA.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• API GatewayAPI Gateway je vstupní vrstva mezi klientem a sadou backendových služeb, která přijímá požadavky, směruje je na správné API, vynucuje bezpečnostní pravidla a často řeší limity, logování nebo transformace odpovědí. Pomáhá skrýt vnitřní strukturu systému a sjednotit chování pro web, mobilní aplikaci i partnery.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.