NAT i PAT: Tłumaczenie adresów sieciowych i współdzielenie puli IP

Wyczerpanie globalnej puli adresów IPv4 zmusiło inżynierów do wdrożenia mechanizmów pozwalających na jednoczesne korzystanie z Internetu przez setki lub tysiące urządzeń w sieci lokalnej (posiadających prywatne adresy IP) za pomocą zaledwie jednego lub kilku publicznych adresów IP. Służą do tego technologie NAT (Network Address Translation) oraz jej najbardziej powszechna odmiana – PAT (Port Address Translation). W ramach przedmiotu LSK (Lokalne Sieci Komputerowe) przyszły technik musi doskonale rozumieć zasady translacji adresów oraz obsługę ruchu wychodzącego i przychodzącego.

1. Istota i cel stosowania mechanizmu NAT

NAT polega na modyfikowaniu adresów IP w nagłówkach pakietów przechodzących przez router brzegowy łączący sieć prywatną (Intranet) z publiczną (Internet):

• Oszczędność adresów IPv4: Umożliwia ukrycie całej floty komputerów z puli prywatnej za jednym publicznym adresem IP interfejsu WAN routera.
• Zwiększenie bezpieczeństwa (Security through obscurity): Urządzenia z sieci lokalnej są niewidoczne bezpośrednio z poziomu Internetu, ponieważ ich adresy prywatne nie są routowane w globalnej sieci.

2. Rodzaje i warianty translacji NAT

W zależności od potrzeb architektury sieciowej wyróżnia się kilka modeli translacji:

• Static NAT (Statyczny NAT): Stałe, niezmienne powiązanie jednego adresu prywatnego z jednym konkretnym adresem publicznym w stosunku 1:1. Stosowany najczęściej dla wewnętrznych serwerów (WWW, poczta), które muszą być publicznie dostępne z zewnątrz.
• Dynamic NAT (Dynamiczny NAT): Automatyczne mapowanie adresów prywatnych na dynamicznie przydzielane adresy z puli publicznych adresów IP (stosunek 1:1 w danym momencie, w zależności od dostępności w puli).
• PAT (Port Address Translation / Overloading / NAPT): Najpopularniejszy wariant, w którym wiele adresów prywatnych jest tłumaczonych na jeden publiczny adres IP. Rozróżnienie poszczególnych sesji odbywa się poprzez modyfikację numerów portów warstwy transportowej (TCP/UDP) w tabeli translacji routera.

3. Jak działa PAT (Overload)?

Gdy komputer A (o adresie 192.168.1.10:50000) wysyła żądanie do serwera w Internecie:

• Router brzegowy zamienia prywatny adres źródłowy na swój publiczny adres IP (np. 203.0.113.5) oraz przypisuje unikalny numer portu wyjściowego (np. 10001).
• Wewnętrzna tabela NAT (NAT Translation Table) zapamiętuje to powiązanie.
• Gdy odpowiedź z Internetu wraca na port 10001 routera, ten sprawdza tabelę, przywraca pierwotny adres prywatny komputera A oraz jego port, po czym bezbłędnie dostarcza pakiet do wnętrza sieci LAN.

Strategia technika

Konfigurując router brzegowy w małej lub średniej sieci, zawsze upewnij się, że poprawnie wskazano interfejsy wewnętrzne (inside) oraz zewnętrzne (outside), a reguły translacji PAT (Overload) opierają się na dynamicznej liście ACL lub interfejsie wyjściowym WAN. Pamiętaj również, że jeśli w sieci LAN działają usługi wymagające połączeń inicjowanych z zewnątrz (np. zdalny pulpit, serwery), sam PAT nie wystarczy – konieczne będzie skonfigurowanie tzw. przekierowania portów (Port Forwarding) lub statycznego wpisu NAT.