4.7 NAT und PAT

Warum IPv4-NAT eingesetzt wird

Private IPv4-Adressen sind im öffentlichen Internet nicht global routbar. Ein NAT-Gateway verbindet den privaten und den öffentlichen Adressbereich, indem es Adressinformationen beim Weiterleiten verändert. Am häufigsten geschieht dies am Internetzugang eines Haushalts oder Unternehmens.

In der Alltagssprache wird die gemeinsame Nutzung einer öffentlichen IPv4-Adresse oft einfach NAT genannt. Technisch handelt es sich dabei meistens um Network Address and Port Translation, kurz NAPT, beziehungsweise Port Address Translation, kurz PAT. Neben der Adresse werden Transportkennungen wie TCP- oder UDP-Ports umgesetzt.

NAT und PAT sauber unterscheiden

Basic NAT bildet eine IP-Adresse auf eine andere IP-Adresse ab. Dafür kann ein Pool externer Adressen verwendet werden. PAT beziehungsweise NAPT ergänzt diese Abbildung um Ports oder vergleichbare Transportkennungen. Dadurch lassen sich viele gleichzeitige Verbindungen verschiedener interner Geräte über dieselbe externe IPv4-Adresse unterscheiden.

Bei TCP und UDP ist eine Kommunikation durch Quell-IP, Quellport, Ziel-IP, Zielport und Protokoll eindeutig beschreibbar. Das NAT-Gateway muss die zugehörigen Prüfsummen nach einer Änderung ebenfalls anpassen. Bei ICMP können statt Ports beispielsweise Query-Identifier zur Zuordnung dienen.

SNAT und PAT bei einer ausgehenden Verbindung

Beginnt ein internes Gerät eine Verbindung, ersetzt das Gateway die private Quelladresse durch eine externe Adresse. Bei PAT wählt oder erhält die Verbindung zusätzlich einen externen Quellport. Das Ziel im Internet sieht deshalb das NAT-Gateway als Kommunikationspartner auf IP-Ebene.

Bei der Rückrichtung findet das Gateway anhand des externen Zielports und weiterer Sitzungsmerkmale den passenden Eintrag. Es stellt die interne Zieladresse und den internen Zielport wieder her. Die Zuordnung ist zustandsbehaftet und läuft nach Protokoll- und Implementierungsregeln ab, wenn sie nicht mehr benötigt wird.

NAT-Tabelle, Bindings und Sitzungszustand

Die Begriffe NAT-Tabelle und Session-Tabelle werden je nach Hersteller unterschiedlich verwendet. Fachlich hilfreich ist die Trennung zwischen einem Translation Binding und dem Zustand einer konkreten Kommunikation. Ein Binding beschreibt die Abbildung eines internen Transportendpunkts auf die externe Seite. Ein Sitzungs- oder Connection-Tracking-Eintrag kann zusätzlich Gegenstelle, Protokollstatus, Zeitstempel und Zeitüberschreitungen enthalten.

Eine Firewall kann dieselben Verbindungsinformationen zur Zustandsprüfung nutzen, NAT und Firewall sind dennoch verschiedene Funktionen. NAT allein ist keine Sicherheitsrichtlinie. Es verändert Adressinformationen, entscheidet aber nicht automatisch nach einem vollständigen Regelwerk, welcher Verkehr erlaubt sein soll.

Masquerading und dynamische WAN-Adressen

Masquerading bezeichnet in vielen Systemen eine Form von dynamischem SNAT beziehungsweise PAT, bei der die aktuell am externen Interface vorhandene Adresse verwendet wird. Das ist für Internetanschlüsse praktisch, deren öffentliche IPv4-Adresse wechseln kann.

Bei einer festen öffentlichen Adresse kann eine explizite SNAT-Regel leichter nachvollziehbar sein. Der genaue Sprachgebrauch und die Konfiguration unterscheiden sich zwischen Linux, Firewalls und Herstellern; entscheidend bleibt, welche Quelladresse und gegebenenfalls welcher Port tatsächlich abgebildet werden.

DNAT und Portweiterleitung

Bei DNAT wird die Zieladresse und gegebenenfalls der Zielport eines eingehenden Pakets verändert. Eine Portweiterleitung ist ein typischer Anwendungsfall: Eine Verbindung an einer öffentlichen Adresse und einem festgelegten Port wird an einen internen Server weitergegeben.

Die Rückpakete müssen passend zur ursprünglichen Abbildung übersetzt werden. Dafür benötigt das Gateway den Verbindungszustand und einen korrekten Rückweg. Eine Weiterleitung sollte nur für tatsächlich benötigte Dienste eingerichtet und durch Firewallregeln, aktuelle Software, starke Authentisierung und Protokollverschlüsselung geschützt werden.

NAT-Verhalten nicht mit alten Cone-Klassen verwechseln

Die älteren Begriffe Full Cone, Restricted Cone, Port Restricted Cone und Symmetric NAT vermischen Mapping- und Filterverhalten. Für eine präzisere Beschreibung werden diese Eigenschaften getrennt betrachtet: Welche externe Abbildung entsteht, und von welchen externen Endpunkten wird Rückverkehr akzeptiert?

Endpoint-Independent Mapping verwendet für denselben internen Endpunkt grundsätzlich dieselbe externe Abbildung, unabhängig von der Gegenstelle. Bei Address- oder Address-and-Port-Dependent Mapping kann sich die Abbildung je nach Ziel unterscheiden. Filtering beschreibt davon getrennt, welche Gegenstellen an ein bestehendes Mapping senden dürfen.

STUN, ICE und TURN für NAT-Traversal

STUN ermöglicht einem Endpunkt unter anderem, die vom NAT zugewiesene öffentliche IP-Adresse und den Port zu ermitteln, Konnektivität zu prüfen und ein Binding durch Keep-alives aufrechtzuerhalten. STUN ist meist UDP-basiert, kann laut aktueller Spezifikation aber auch über weitere Transportvarianten genutzt werden.

STUN allein garantiert keine direkte bidirektionale Verbindung. In Echtzeitkommunikation wird es häufig innerhalb von ICE eingesetzt. ICE sammelt mögliche Verbindungswege und prüft Kandidatenpaare. Ist keine geeignete direkte Verbindung möglich, kann TURN als Relay dienen, über das die Nutzdaten laufen.

Grenzen, Doppel-NAT und Carrier-Grade NAT

NAT durchbricht das einfache Ende-zu-Ende-Adressmodell. Anwendungen, die Adressen oder Ports in ihren Nutzdaten übertragen, eingehende Verbindungen erwarten oder Ende-zu-Ende-Schutz über veränderte Header benötigen, können zusätzliche Verfahren erfordern. Portknappheit, Zeitüberschreitungen und schwerer nachvollziehbare Protokollpfade erschweren Betrieb und Fehlersuche.

Bei Doppel-NAT durchläuft die Verbindung zwei Übersetzungsstufen, beispielsweise einen eigenen Router hinter einem Providerrouter. Carrier-Grade NAT teilt zusätzlich eine öffentliche IPv4-Adresse zwischen mehreren Anschlüssen und verwendet dafür häufig 100.64.0.0/10. Eine Portweiterleitung am eigenen Router genügt dann nicht, weil die vorgelagerte Übersetzungsstufe ebenfalls berücksichtigt werden müsste.

IPv6: globale Adressen, Firewall und Übersetzung

IPv6 stellt einen sehr großen globalen Adressraum bereit. Geräte können global eindeutige Adressen besitzen, sodass die bei IPv4 übliche Adress- und Portteilung nicht zur Adressersparnis benötigt wird. Das bedeutet nicht, dass jedes IPv6-Gerät ungefiltert erreichbar sein sollte: Eine zustandsbehaftete Firewall kann eingehende Verbindungen blockieren, ohne Adressen zu übersetzen.

Für Übergänge zwischen IPv6- und IPv4-Netzen existieren spezielle Verfahren wie NAT64. Sie lösen ein Interworking-Problem zwischen Adressfamilien und sind nicht mit dem gewöhnlichen IPv4-PAT am Heimanschluss gleichzusetzen. IPv6-Präfixübersetzung und Provideranforderungen sind Spezialthemen; in einem normalen Dual-Stack-Netz sollte zunächst natives Routing mit klaren Firewallregeln bevorzugt werden.

NAT-Probleme systematisch prüfen