Vollbildmodus: Seiteninhalt ohne Menus

NAT (Network Address Translation)

Network Address Translation (NAT) ist in Rechnernetzen der Sammelbegriff für Verfahren, die automatisiert Adressinformationen in Datenpaketen durch andere ersetzen, um verschiedene Netze zu verbinden. Daher kommen sie typischerweise auf Routern zum Einsatz.

:!: Diese Seite ist eine inhaltsgekürzte Version aus Wikipedia und unter der Lizenz Creative Commons Attribution/Share Alike verfügbar.

NAT-Typen

NAT wird in Source-NAT und Destination-NAT unterteilt. Während beim Source-NAT die Adresse des Computers umgeschrieben wird, der die Verbindung aufbaut, wird beim Destination-NAT die Adresse des angesprochenen Computers verändert.

Source-NAT

Große Verbreitung fand Source-NAT durch die Knappheit öffentlicher IPv4-Adressen und die Tendenz, private Subnetze mit dem Internet zu verbinden. Die einfachste Lösung dieses Problems war oft die durch NAT mögliche Verwendung mehrerer privater IP-Adressen mit nur einer öffentlichen IP-Adresse, wobei die Abbildung auf diese aufgrund der 16 Bit breiten Portnummern auf etwa 65000 Sitzungen (Port-Address-Translation Einträge) beschränkt bleibt.

Gerade in privaten oder möglichst preisgünstig ausgeführten Netzinstallationen wird Source-NAT als eine Art Sicherheitsmerkmal und zur Trennung von internem und externem Netz eingesetzt. Während eine NAT-Installation oberflächlich tatsächlich diese gewünschte Wirkung erzielt, kann sie weder Sicherheitsinfrastruktur noch wirksame Maßnahmen zur Trennung von Netzen ersetzen. So wird die Source-NAT-Funktion eines Routers im professionellen Bereich oft durch ein zusätzlich betriebenes Application Level Gateway unterstützt.

Funktionsweise

Bei jedem Verbindungsaufbau durch den Client wird die Quell-IP-Adresse durch eine des Routers ersetzt. Außerdem wird der Quellport durch einen freien Port des Routers ersetzt, der dadurch belegt wird. Diese Zuordnung wird im Router gespeichert. Der Vorgang wird als PAT (Port Address Translation) bezeichnet.

lokales Netz (LAN) öffentliches Netz (WAN)
Quelle Ziel Router ⇒ NAT Quelle Ziel
192.168.0.2:4701 170.0.0.1:80 Absender umgeschrieben zu: 205.0.0.2:6787 170.0.0.1:80
192.168.0.3:5387 170.0.0.1:80 Absender umgeschrieben zu: 205.0.0.2:8709 170.0.0.1:80
192.168.0.4:1001 170.0.0.1:23 Absender umgeschrieben zu: 205.0.0.2:4806 170.0.0.1:23

Destination-NAT

Destination-NAT wird beispielsweise verwendet, um mehrere, unterschiedliche Serverdienste, die auf verschiedenen Computern betrieben werden, unter einer einzigen IP-Adresse anzubieten.

Auch wird es manchmal bei Hot Spots benutzt, um Zugriffe auf Webseiten vor der Anmeldung auf den Rechner umzuleiten, der die Anmeldung anbietet.

Funktionsweise

Bei jedem Verbindungsaufbau durch den Client wird die Ziel-IP-Adresse durch eine andere ersetzt. Außerdem wird der Zielport durch einen freien Port des Routers ersetzt, der dadurch belegt wird. Diese Zuordnung wird im Router gespeichert.

lokales Netz (LAN) öffentliches Netz (WAN)
Quelle Ziel Router ⇒ NAT Quelle Ziel
170.0.0.1:1001 171.4.2.1:80 Absender umgeschrieben zu: 170.0.0.1:1001 192.168.0.2:80
170.0.0.1:1001 171.4.2.1:22 Absender umgeschrieben zu: 170.0.0.1:1001 192.168.0.3:22
170.0.0.1:1001 171.4.2.1:81 Absender umgeschrieben zu: 170.0.0.1:1001 192.168.0.3:80

Kritik

  • NAT wird oft nur als eine Notlösung betrachtet, um bei nicht dauerhaft verbundenen Netzinstallationen das Problem der knappen IPv4-Adressen zu umgehen.
  • Das größte Problem an NAT ist, dass die saubere Zuordnung „1 Host mit eindeutiger IP-Adresse“ nicht eingehalten wird. Durch die Umschreibung von Protokoll-Headern, die einer Man-in-the-middle (MITM)-Attacke ähnelt, haben so insbesondere ältere Protokolle und Verschlüsselungsverfahren auf Netzwerk- und Transportebene durch diesen Designbruch Probleme (IPsec]]-AH). Protokollkomplikationen durch NAT werden in RFC 3027 beschrieben.
  • Ebenso leiden insbesondere Netzwerkdienste, die Out-of-Band-Signalisierung und Rückkanäle einsetzen, etwa VoIP-Protokolle, unter Komplikationen durch NAT-Gateways.
  • NAT-Gateways heben die strenge Trennung des OSI-Schichtenmodells auf.

Links

 
netzwerke/nat-network-address-translation.txt · Zuletzt geändert: 2010/08/27 15:43 von st