Was ist CGNAT?

Carrier-Grade NAT (CGNAT) ist ein Verfahren zur Netzwerkadressübersetzung im großen Maßstab, bei dem zahlreiche private IPv4-Adressen einem kleinen Pool öffentlicher IPv4-Adressen zugeordnet werden, wobei Netzwerkadress- und Portübersetzung (NAPT) zum Einsatz kommt, um Adressraum zu sparen. Internetdienstanbieter und Unternehmen setzen dieses Verfahren ein, um begrenzte Zuteilungen öffentlicher IPv4-Adressen auf einen großen Kundenstamm auszudehnen.

Die wichtigsten Erkenntnisse

• CGNAT teilt über NAPT einen öffentlichen IP-Pool auf viele Teilnehmer auf.
• Beim ausgehenden Datenverkehr werden nur die Quelladresse und der Port übersetzt.
• Versa CGNAT unterstützt außerdem NAT64, DNS64 und Netzwerkverschleierung.
• Adresspools und Regeln auf VOS-Geräten legen fest, wie die Übersetzung erfolgt.
• Bei den „Twice-NAT“-Modi werden sowohl die Quell- als auch die Zieladresse in einem Durchgang übersetzt.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CGNAT & Versa · Häufig gestellte Fragen

Warum ist CGNAT wichtig?

Die Erschöpfung der IPv4-Adressen machte CGNAT unvermeidlich. Der öffentliche IPv4-Adressraum ist bereits vor Jahren erschöpft, doch das Internet wächst weiter – mehr Teilnehmer, mehr Geräte pro Teilnehmer, mehr IoT-Endpunkte. Netzbetreiber können nicht genügend öffentliche Adressen erwerben, um jedem Gerät eine eigene zuzuweisen. Daher nutzt CGNAT einen kleinen Pool öffentlicher Adressen und verlängert so die Nutzungsdauer von IPv4, ohne dass sofort auf IPv6 umgestellt werden muss.

Der Nutzen geht über den Datenschutz hinaus. CGNAT verbirgt zudem die interne Topologie: Ein externes Gerät sieht nur die gemeinsam genutzte öffentliche Adresse, nicht die dahinter liegende private Adressierung, wodurch die Angriffsfläche verringert wird. Auf VOS-Geräten v Versa . sorgt CGNAT für den Internet-Breakout des Datenverkehrs in Zweigstellen, unterstützt „Twice-NAT“ für die kombinierte Quell- und Zieladressübersetzung und ermöglicht die Netzwerkverschleierung, indem die tatsächliche IP-Adresse eines Servers hinter einer dynamisch zugewiesenen Adresse verborgen wird.

Was ist CGNAT?

CGNAT funktioniert wie herkömmliches NAT, jedoch in viel größerem Umfang. Ein Netzwerkgerät – der Edge-Router eines Netzbetreibers oder, bei „ Versa “-Implementierungen, ein VOS-Gerät – verwaltet einen Pool öffentlicher IP-Adressen sowie Regeln, die festlegen, welcher private Datenverkehr wie übersetzt wird. Wenn ein privater Host Datenverkehr nach außen sendet, schreibt das Gerät die Quell-IP-Adresse und in der Regel auch den Quellport auf eine Adresse aus dem öffentlichen Pool um und verfolgt anschließend die Zuordnung (die Bindung), damit der Rückverkehr den Weg zurückfindet.

Da sich Tausende privater Adressen einen vergleichsweise kleinen öffentlichen Adresspool teilen, wird die Portzuweisung – und nicht die Adresszuweisung – zur zu verwaltenden Ressource: Jede öffentliche Adresse unterstützt viele gleichzeitige Sitzungen über verschiedene Ports hinweg. Konfigurierbare Timeouts für ICMP-, TCP- und UDP-Zuordnungen geben ungenutzte Bindungen frei, und Verfahren wie „Round Robin“ verteilen die Last über den gesamten Pool. Endpunktunabhängige Zuordnungen und Filter steuern, ob eine Bindung über entfernte Ziele hinweg wiederverwendet wird, was für VoIP- und Gaming-Datenverkehr von Bedeutung ist.

Arten von CGNAT

Drei allgemeine Ansätze decken unterschiedliche Übersetzungsanforderungen ab. NAT44, auch als „Large-Scale-NAT“ bezeichnet, ist die Kernfunktion von CGNAT: Viele private IPv4-Adressen teilen sich über NAPT einen Pool öffentlicher IPv4-Adressen, wobei Varianten wie „Basic“, „Dynamic“, „Destination“ und „Twice-NAT“ alles abdecken – von statischen Eins-zu-Eins-Zuordnungen bis hin zur vollständig dynamischen Quell- und Zielübersetzung in einem einzigen Durchlauf. NAT64/DNS64 löst ein anderes Problem – es ermöglicht reinen IPv6-Clients den Zugriff auf reine IPv4-Server, indem eine IPv6-Adresse für das Ziel synthetisiert und der resultierende Datenverkehr am Gateway wieder in IPv4 übersetzt wird. NPTv6 (Network Prefix Translation) ist eine zustandslose IPv6-zu-IPv6-Alternative: Es tauscht interne Adresspräfixe gegen externe aus, wobei ein checksum-neutraler Algorithmus zum Einsatz kommt, und tauscht dabei die Flexibilität von NAT gegen Einfachheit und End-to-End-Erreichbarkeit ein.

CGNAT & Versa

Versa Implementiert CGNAT nativ auf VOS-Geräten als Dienst, der auf Adresspools und Regeln basiert. In Director konfigurieren Administratoren CGNAT-Pools und -Regeln pro Gerätevorlage – Adressbereiche, Portzuweisungsschemata, Mapping-Timeouts – und wenden anschließend NAT-Modi an, die von Basic NAT-44 und NAPT-44 über „Twice-NAT“-Varianten bis hin zu NPT-66 für die IPv6-Präfixübersetzung und NAT64/DNS64 für die IPv4-IPv6-Zusammenarbeit reichen. In Concerto wird dieselbe Funktion als CGNAT-Richtlinien bereitgestellt, die in die SD-WAN-Hauptvorlagen integriert sind, ergänzt um einen Port-Forwarding-Modus, der die Bereitstellung eines internen Dienstes über eine einzige Regel vereinfacht.

Versa CGNAT unterstützt zudem die Netzwerkverschleierung – dabei wird eine dynamische Zieladresse zugewiesen, sodass eine DNS-Abfrage eine Scheinadresse anstelle der tatsächlichen Serveradresse zurückgibt – sowie eine endpunktunabhängige Zuordnung für NAT-sensitive Anwendungen. Betreiber führen die Fehlerbehebung bei CGNAT über die Befehlszeilenschnittstelle (CLI) durch und überprüfen dabei über den vsmd-Daemon die Pool-Statistiken, den Status der Regeln pro Mandant sowie die Zähler für aktive Sitzungen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen CGNAT und normalem NAT?

Bei herkömmlichem NAT wird eine private Adresse einem Haushalt oder Büro einer öffentlichen Adresse zugeordnet. Bei CGNAT wird ein kleiner Pool öffentlicher Adressen auf Tausende von Teilnehmern aufgeteilt, wobei die Kapazität durch Übersetzung auf Port-Ebene vervielfacht wird – dieser gemeinsam genutzte, vom Netzbetreiber verwaltete Pool macht das System zu einem System der „Carrier-Grade“-Klasse.

Führt CGNAT dazu, dass Anwendungen, die auf eingehende Verbindungen angewiesen sind, nicht mehr funktionieren?

Das ist möglich. Da sich die Teilnehmer eine öffentliche Adresse teilen, kann ein externer Host einen bestimmten Teilnehmer nicht zuverlässig erreichen, ohne dass zuvor durch ausgehenden Datenverkehr eine Verbindung hergestellt wurde – dies erschwert das Hosting sowie bestimmten VoIP- oder Gaming-Datenverkehr, sofern keine Portweiterleitung konfiguriert ist.

Warum nutzen Internetdienstanbieter CGNAT?

Durch die Erschöpfung des IPv4-Adressraums standen den Internetdienstanbietern nicht mehr genügend öffentliche Adressen zur Verfügung, um jedem Teilnehmer eine eigene zuzuweisen. Mithilfe von CGNAT kann ein Anbieter einen großen Kundenstamm aus einem wesentlich kleineren öffentlichen IPv4-Adresspool versorgen, wodurch die vollständige Umstellung auf IPv6 hinausgezögert wird und die Teilnehmer weiterhin mit dem IPv4-Internet verbunden bleiben.

Was versteht man unter „Twice-NAT“ bei CGNAT?

Bei „Twice-NAT“ werden sowohl die Quell- als auch die Zieladresse eines Pakets in einer Regel übersetzt – beispielsweise durch dynamische Übersetzung der Quelladresse bei gleichzeitiger statischer Umschreibung der Zieladresse. Versa CGNAT unterstützt für diese Szenarien die Modi „Twice Basic“, „Twice Dynamic“ und „Twice NAPT-44“.

In welcher Beziehung steht NAT64 zu CGNAT?

NAT64 ist ein CGNAT-Modus, der es reinen IPv6-Clients ermöglicht, reine IPv4-Server zu erreichen: DNS64 generiert eine IPv6-Adresse für das Ziel, und das Gateway wandelt den resultierenden Datenverkehr wieder in IPv4 um – dies ist der Mechanismus, der den reinen IPv6-Zugriff auf ein älteres IPv4-Internet ermöglicht.

Mehr zu CGNAT

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über CGNAT informieren, sollten Sie sich als Nächstes diese Artikel ansehen.