Was ist DNAT?

Destination NAT (DNAT) schreibt die Ziel-IP-Adresse – und optional den Zielport – eingehender Pakete um und kehrt diese Übersetzung bei den Antworten wieder um. Dies ist der Mechanismus, der es ermöglicht, einen Server in einem privaten Netzwerk, beispielsweise einen Webserver in einer DMZ, über eine öffentliche IP-Adresse zu erreichen, ohne dessen tatsächliche interne Adresse preiszugeben.

Die wichtigsten Erkenntnisse

• DNAT schreibt die Ziel-IP-Adresse und den Zielport eingehender Pakete um.
• Dadurch wird ein Server mit privater IP-Adresse für das öffentliche Internet zugänglich gemacht.
• Portweiterleitung ist eine vereinfachte Form von DNAT, die nur einen einzigen Dienst betrifft.
• „Twice NAT“ kombiniert DNAT und Source-NAT in einer Übersetzungsregel.
• Versa VOS konfiguriert DNAT mithilfe von CGNAT-Pools und Übersetzungsregeln.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DNAT & Versa · Häufig gestellte Fragen

Warum ist DNAT wichtig?

Viele Organisationen betreiben interne Server – Web-Frontends, Mail-Relays, Anwendungs-Backends – über private, nicht routbare Adressen, benötigen jedoch bestimmte Dienste, die über das Internet oder Partnernetzwerke erreichbar sein müssen. Würde eine öffentliche Adresse direkt an einen internen Host weitergeleitet, würde dies die tatsächliche Adressierung des Netzwerks offenlegen. DNAT löst dieses Problem: Ein Gateway gibt eine öffentliche IP-Adresse bekannt, schreibt das Ziel übereinstimmender Verbindungen auf die private Adresse des eigentlichen Servers um und kehrt diese Umschreibung beim Ausgang wieder um, sodass die Adresse des internen Hosts nach außen hin niemals sichtbar ist.

Da sich lediglich die Zielfelder ändern, muss nichts, was dem NAT-Gerät vorgeschaltet ist, die interne Topologie kennen. Dies ist das Prinzip, das sowohl hinter der „Portweiterleitung“ bei Heimroutern als auch hinter DMZ-Konzepten in Unternehmen steht, und es lässt sich auf Carrier-Grade-NAT-Implementierungen skalieren, die vielen Diensten aus einem begrenzten Adresspool eine öffentliche Präsenz ermöglichen.

Was ist DNAT?

Ein DNAT-Gerät fängt eingehende Pakete ab, die an eine öffentliche IP-Adresse und einen Port adressiert sind, und schreibt die Zielfelder auf die private IP-Adresse und den Port des eigentlichen Servers um, bevor es das Paket weiterleitet. Der Status wird pro Datenfluss verwaltet, sodass Antwortpakete – deren Absenderadresse die private Adresse ist – die umgekehrte Übersetzung erhalten, bevor sie den Client erreichen. Aus Sicht des Clients scheint die Verbindung an der öffentlichen Adresse zu enden; der Server sieht lediglich die übersetzten Header.

Der veröffentlichte Port und der Port, auf dem der Server lauscht, müssen nicht übereinstimmen – DNAT kann einen nicht standardmäßigen externen Port einem standardmäßigen internen Port zuordnen, was für mehr Flexibilität und eine gewisse Verschleierung nützlich ist. DNAT ist das Gegenteil von Source-NAT (SNAT), bei dem die Quelladresse ausgehender Pakete umgeschrieben wird, sodass sich viele Hosts einen kleineren Pool öffentlicher Adressen teilen; beide Verfahren werden oft in einer Regel kombiniert („doppeltes NAT“), wenn in beiden Richtungen eine Übersetzung erforderlich ist.

Arten von DNAT

Statisches DNAT ordnet eine öffentliche IP-Adresse und optional einen Portbereich fest und im Verhältnis 1:1 einer privaten IP-Adresse zu – das Standardverfahren für die Veröffentlichung eines einzelnen Servers. Die Portweiterleitung ist ein vereinfachter Fall desselben Mechanismus, der auf eine WAN-Verbindung, eine Adresse und einen Portbereich beschränkt ist, um einen einzelnen Dienst ohne vollständigen Regelsatz zugänglich zu machen. Dynamisches DNAT weist die Zieladresse aus einem Pool zu, anstatt eine feste Zuordnung zu verwenden; VOS nutzt dies zur Netzwerkverschleierung, bei der die Adresse, die ein DNS-Client verwenden soll, dynamisch an die tatsächliche Adresse des Servers gebunden ist und sich von dieser unterscheidet. „Twice NAT“ führt DNAT und Source-NAT innerhalb einer Regel durch und übersetzt beide Adressen eines Datenflusses gleichzeitig – nützlich, wenn sich der interne und der externe Adressraum andernfalls überschneiden würden.

DNAT & Versa

VOS konfiguriert „Destination NAT“ als Teil von CGNAT unter „Configuration > Services > CGNAT “ in Director oder unter „Configure > Secure SD-WAN > Network Services > CGNAT Policies“ in Concerto – siehe „CGNAT konfigurieren “ und „CGNAT-Richtlinien konfigurieren“. Ein CGNAT-Pool enthält die tatsächlichen privaten Adressen der Hosts hinter der DMZ; eine Regel ordnet eingehenden Datenverkehr zu und wendet „Destination NAT-44“ oder Portweiterleitung (eine vereinfachte Abkürzung) an, während VOS die umgekehrte Übersetzung automatisch übernimmt.

Der Abschnitt „Konfigurieren und Überprüfen von Ziel-NAT“ führt anhand eines Beispiels durch den Vorgang: Ein Benutzer greift über Port 8080 auf die öffentliche IP-Adresse eines Webservers zu, und das VOS-CPE übersetzt die Sitzung in die tatsächliche Adresse des Servers auf Port 80, die in der NAT-Sitzungstabelle der CLI und auf der Registerkarte „Director Monitor“ angezeigt wird. In späteren Versionen wird dynamisches DNAT zur Netzwerkverschleierung hinzugefügt, gepaart mit einem DNS-Proxy, der Client-Abfragen aus dem dynamischen Pool beantwortet.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DNAT und SNAT?

DNAT schreibt die Zieladresse eingehender Pakete um, in der Regel, um einen internen Server öffentlich zugänglich zu machen. SNAT schreibt die Quelladresse ausgehender Pakete um, sodass sich mehrere Hosts einen kleineren Pool öffentlicher Adressen teilen können. Bei beiden Verfahren wird die Übersetzung im Rückverkehr rückgängig gemacht.

Was ist der Unterschied zwischen DNAT und Portweiterleitung?

Portweiterleitung ist eine vereinfachte Konfiguration von DNAT, die auf eine einzelne WAN-Verbindung, eine Adresse und einen Portbereich beschränkt ist und dazu dient, einen Dienst schnell zugänglich zu machen. Vollständige NAT-44-Regeln für das Ziel unterstützen umfassendere Übereinstimmungskriterien, übersetzte Zielpools und die Wiederverwendung über viele Dienste hinweg.

Übersetzt DNAT sowohl den Port als auch die IP-Adresse?

Ja, optional. DNAT kann entweder nur die Ziel-IP-Adresse oder sowohl die IP-Adresse als auch den Port umschreiben. Dadurch kann ein Dienst, der auf einem externen Port veröffentlicht ist, an einen anderen Port weitergeleitet werden, auf dem der interne Server empfangsbereit ist – VOS übernimmt die Weiterleitung automatisch.

Wie überprüft „ Versa “ (VOS) eine DNAT-Übersetzung?

VOS zeigt aktive NAT-Sitzungen über die Befehlszeile an und listet dabei die externe IP-Adresse und den Port auf, mit denen ein Client verbunden ist, sowie die interne IP-Adresse und den Port, auf die diese übersetzt wurden. Dieselben Sitzungen sind auf der Registerkarte „Monitor“ in „ Versa Director“ einsehbar, was nützlich ist, um zu überprüfen, ob eine Regel wie vorgesehen funktioniert.

Wozu wird dynamisches DNAT im CGNAT von „ Versa “ verwendet?

Bei Dynamic DNAT wird die Zieladresse aus einem Pool zugewiesen und nicht über eine feste Zuordnung. „ Versa “ nutzt diese Methode zur Netzwerkverschleierung, wobei sich die Adresse, die ein DNS-Client auflöst, von der tatsächlichen Adresse des Servers für diese Sitzung unterscheidet und dynamisch an diese gebunden ist.

Mehr zu DNAT

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über DNAT informieren, sollten Sie sich als Nächstes diese Artikel ansehen.