6.5 DHCP, NAT und PAT

Private IPv4-Adressbereiche

RFC 1918 reserviert drei IPv4-Bereiche für private Netze. Sie dürfen innerhalb von Organisationen geroutet werden, werden aber im globalen öffentlichen Internet nicht als gewöhnliche Ziel- oder Quelladressen weitergeleitet. Die alte Zuordnung zu den Klassen A, B und C ist nur noch historisch; geplant wird mit CIDR-Präfixen.

Was NAT verändert

Network Address Translation verändert IPv4-Quell- oder Zieladressen beim Übergang zwischen Adressräumen. Das Gateway muss dabei auch abhängige Prüfsummen anpassen. Source NAT verändert typischerweise die Quelle ausgehender Pakete; Destination NAT verändert das Ziel, beispielsweise bei einer veröffentlichten internen Serveradresse.

Die Cisco-Begriffe Inside Local, Inside Global, Outside Local und Outside Global beschreiben die Sicht auf Adressen. In vielen einfachen Netzen sind Outside Local und Outside Global identisch. Die Begriffe sind hilfreich für Geräteausgaben, aber kein Ersatz für die klare Angabe, welche Adresse vor und nach der Übersetzung vorhanden ist.

Statisches NAT, dynamisches NAT und PAT

Eine TCP-Verbindung wird an einem Beobachtungspunkt durch Protokoll, Quelladresse, Quellport, Zieladresse und Zielport unterschieden. PAT verwaltet für aktive Verbindungen passende Zuordnungen. Bei UDP verwendet das Gateway zeitlich begrenzte Zustände; für ICMP können andere Identifikatoren berücksichtigt werden.

Ports werden nicht zwingend nur aus einem historischen Bereich oberhalb 32767 gewählt. Die Implementierung bestimmt die externe Portauswahl und muss Konflikte vermeiden. Bei erschöpften Adressen oder Ports können keine neuen Zuordnungen angelegt werden.

NAT ist keine Firewall

Eine zustandsbehaftete PAT-Zuordnung führt dazu, dass eine unerwartete neue Verbindung von außen ohne Portweiterleitung meist keinem internen Host zugeordnet werden kann. Das ist ein Nebeneffekt des Übersetzungszustands, aber kein vollständiges Sicherheitskonzept. NAT prüft nicht automatisch Benutzerrechte, Anwendungsinhalte oder Schadsoftware.

Eine Firewall setzt ausdrücklich Regeln durch und protokolliert Entscheidungen. NAT und Firewall werden häufig auf demselben Gerät kombiniert, bleiben technisch jedoch verschiedene Funktionen. Die interne Adressstruktur zu verbergen bietet nur begrenzten Zusatznutzen und ersetzt weder Segmentierung noch Härtung.

Nutzen und Grenzen von NAT/PAT

NAT-Konfiguration, Prüfung und Fehlersuche

Die konkrete Syntax hängt vom Hersteller ab. In Cisco-IOS-artigen Konfigurationen werden Schnittstellen als innen oder außen markiert, übersetzbare Quellen ausgewählt und statische Regeln, Pools oder Overload/PAT eingerichtet. Vor jeder Änderung müssen Richtung, Adressräume und erwarteter Datenfluss skizziert werden.

• Existiert vor NAT eine passende Route?
• Trifft die Auswahlregel wirklich den Quellverkehr?
• Wurde eine Zuordnung erzeugt und läuft ihr Timer noch?
• Ist der Rückweg über dasselbe übersetzende Gerät geführt?
• Sind Protokolle mit eingebetteten Adressen durch passende Verfahren unterstützt?
• Ist der Port- oder Adresspool erschöpft?

NAT in IPv6-Netzen

IPv6 benötigt für gewöhnliche Endsystemadressierung kein PAT zur Adressersparnis. Globale IPv6-Adressen und eine zustandsbehaftete Firewall ermöglichen das Ende-zu-Ende-Adressmodell, ohne jedes interne System ungefiltert erreichbar zu machen.

Für besondere Übergänge existieren dennoch Übersetzungsverfahren. NAT64 übersetzt zwischen IPv6- und IPv4-Kommunikation und wird häufig mit DNS64 kombiniert. NPTv6 übersetzt IPv6-Präfixe zustandslos, ist aber kein portübersetzendes PAT. Diese Verfahren sind keine Begründung, IPv6 grundsätzlich wie ein privates IPv4-Netz mit NAT zu planen.

DHCPv4 verteilt mehr als eine Adresse

DHCPv4 vergibt Netzparameter als zeitlich begrenztes Lease. Neben der IPv4-Adresse können unter anderem Präfix beziehungsweise Subnetzmaske, Standardgateway, DNS-Server, Domain-Suchliste und weitere Optionen übertragen werden. Ein Client darf nicht annehmen, jede mögliche Option werde immer bereitgestellt.

Automatische beziehungsweise dynamische Vergabe wählt eine freie Adresse aus einem Pool. Eine Reservierung ordnet einem bekannten Client eine bestimmte Konfiguration zu. BOOTP arbeitete stärker mit festen Zuordnungen und gilt heute hauptsächlich als historischer Vorläufer; DHCP behielt Teile des Nachrichtenformats und der Relay-Logik bei.

DORA: Discover, Offer, Request, Acknowledge

Ein neuer Client sendet DHCPDISCOVER, weil er Server und eigene IPv4-Konfiguration noch nicht kennt. Server können DHCPOFFER senden. Mit DHCPREQUEST wählt der Client ein Angebot und macht seine Auswahl auch für andere Server sichtbar. DHCPACK bestätigt das Lease; DHCPNAK kann eine ungültige Anforderung ablehnen.

Ein DHCP-Relay empfängt lokale Clientnachrichten und leitet sie als Unicast zum entfernten Server weiter. Es liefert Informationen über das Clientnetz, damit der Server den richtigen Pool auswählt. Ohne Relay erreicht ein Broadcast keinen Server in einem anderen IP-Netz.

Lease verlängern und freigeben

Ein Lease endet nicht erst plötzlich am Ablaufzeitpunkt. Der Client versucht zunächst bei T1, üblicherweise nach 50 Prozent der Lease-Zeit, den bisherigen Server per DHCPREQUEST zu erreichen. Bei T2, üblicherweise nach 87,5 Prozent, versucht er die Verlängerung breiter. Diese Standardwerte können durch den Server beeinflusst werden.

DHCPv6 und SLAAC

DHCPv6 ist ein eigenes Protokoll und keine einfache Portvariante von DHCPv4. Es verwendet UDP 546 am Client und UDP 547 an Server beziehungsweise Relay. Stateful DHCPv6 kann Adressen und Präfixe vergeben; Stateless DHCPv6 liefert nur weitere Konfigurationsparameter. Prefix Delegation versorgt Router mit einem delegierten IPv6-Präfix.

SLAAC bildet Adressen aus Router Advertisements. DHCPv6 kann anstelle von oder zusätzlich zu SLAAC verwendet werden. Das Standardgateway wird bei IPv6 grundsätzlich über Router Advertisements gelernt, nicht als gewöhnliche DHCPv6-Gateway-Option. Die Flags in Router Advertisements und die Clientimplementierung beeinflussen das Verhalten.

DHCP absichern

Ein nicht autorisierter DHCP-Server kann falsche Gateways oder DNS-Server verteilen und Verkehr umleiten. DHCP-Starvation versucht, einen Pool durch viele vorgetäuschte Clients zu erschöpfen. Switchfunktionen wie DHCP Snooping können vertrauenswürdige Serverports festlegen und Bindings für weitere Schutzmechanismen erzeugen.

DHCP prüfen und Fehler finden