Was ist NAT?

Network Address Translation (NAT) ist der Vorgang, bei dem IP-Adressen in Paket-Headern umgeschrieben werden, während der Datenverkehr ein Gerät durchläuft, wobei Adressen aus einem Adressraum in einen anderen abgebildet werden. Dadurch können Netzwerke, die auf privaten, nicht registrierten IP-Adressen basieren, über eine kleine Menge gemeinsam genutzter öffentlicher Adressen auf das öffentliche Internet zugreifen.

Die wichtigsten Erkenntnisse

• NAT schreibt die Quell- oder Ziel-IP-Adressen um, wenn Pakete ein Gerät passieren.
• Bei statischem NAT wird eine private Adresse dauerhaft einer öffentlichen Adresse zugeordnet.
• Bei dynamischem NAT und NAPT wird ein Pool öffentlicher Adressen von vielen Hosts gemeinsam genutzt.
• NAT schont die knappen öffentlichen IPv4-Adressen und verbirgt die interne Topologie.
• Versa konfiguriert jeden NAT-Modus über CGNAT-Pools und -Regeln auf VOS.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · NAT & Versa · Häufig gestellte Fragen

Warum ist NAT wichtig?

NAT hat das Problem der IPv4-Adressknappheit gelöst, lange bevor die Branche die Umstellung auf IPv6 abgeschlossen hatte, und dies ist ein wesentlicher Grund dafür, dass diese Umstellung noch immer nicht abgeschlossen ist. Anstatt jedem Gerät eine der knappen öffentlichen IPv4-Adressen zuzuweisen, vergibt eine Organisation interne Hosts aus privaten Adressbereichen und führt die Übersetzung erst am Netzwerkrand durch, wodurch eine Handvoll öffentlicher Adressen für ein ganzes Büro oder einen gesamten Kundenstamm gemeinsam genutzt werden.

Der Sicherheitsvorteil ist untrennbar mit dem Adressierungsvorteil verbunden: Interne Adressen tauchen im öffentlichen Internet niemals auf, sodass NAT auch die Topologie eines Netzwerks vor externen Beobachtern verbirgt und dabei als rudimentärer Filter fungiert, da eine unaufgeforderte eingehende Verbindung keine bestehende Zuordnung hat, über die sie hergestellt werden könnte. Aus diesem Grund ist NAT heute an fast jedem Netzwerkrand zu finden, vom Heimrouter bis zum Kernnetz eines Netzbetreibers.

Was ist NAT?

Ein NAT-fähiges Gerät – ein Router, eine Firewall oder ein SD-WAN-Gerät – schreibt die Quell- oder Ziel-IP-Adresse und häufig auch den Port im Header eines Pakets um, während dieses das Gerät durchläuft, und speichert diese Zuordnung, damit der Rückverkehr den Weg zurückfindet. Das Gerät greift dabei auf Regeln zurück, die festlegen, welcher Datenverkehr umgewandelt werden soll, sowie auf einen Pool von Adressen, in die die Umwandlung erfolgen soll.

Die meisten Implementierungen lassen sich anhand zweier Merkmale beschreiben: Welche Adresse wird umgeschrieben (Quelle, Ziel oder beides) und wie viele private Adressen teilen sich jeweils eine öffentliche Adresse (statische Eins-zu-Eins-Zuordnung gegenüber dynamischer „Viele-zu-Wenige“-Nutzung). Wenn sich viele Adressen wenige öffentliche Adressen teilen, schreibt das Gerät auch die Quellports um – Netzwerkadress- und Portübersetzung (NAPT) –, um Tausende von gleichzeitigen Sitzungen auf einer Adresse unterscheiden zu können. Timeouts heben die Zuordnungen auf, sobald eine Sitzung inaktiv wird.

Arten von NAT

Vier Kernmodi decken die meisten Einsatzszenarien ab. Statisches (einfaches) NAT ordnet einer privaten Adresse dauerhaft eine öffentliche Adresse zu – dies wird verwendet, wenn ein Host, beispielsweise ein Server, unter einer konstanten externen Adresse erreichbar bleiben muss. Dynamisches NAT zieht bei Bedarf eine öffentliche Adresse aus einem Pool und gibt sie nach Beendigung der Sitzung wieder frei, wobei zu jedem Zeitpunkt weiterhin eine Eins-zu-Eins-Zuordnung besteht. NAPT, auch Port-Adress-Übersetzung genannt, teilt eine öffentliche Adresse unter vielen Hosts auf, indem zusätzlich die Quellports umgeschrieben werden – dieser Modus liegt den meisten Privat- und Büroverbindungen zugrunde. Destination-NAT (DNAT) schreibt statt der Quelle die Zieladresse um und wird häufig für die Portweiterleitung verwendet: Dabei wird ein interner Server unter einer öffentlichen Adresse und einem öffentlichen Port nach außen zugänglich gemacht.

In größerem Maßstab wendet Carrier-Grade-NAT (CGNAT) NAPT auf den gesamten Teilnehmerstamm an, wobei die Adressen aus einem gemeinsamen, vom Anbieter verwalteten Pool stammen – ein Konzept, das so einzigartig ist, dass es einen eigenen Eintrag im Glossar verdient.

NAT & Versa

Versa implementiert jeden der oben genannten NAT-Modi als einen einzigen konfigurierbaren Dienst. Auf VOS-Geräten konfigurieren Administratoren CGNAT-Pools und -Regeln in Director und wählen dabei pro Regel einen NAT-Modus aus – Basic NAT-44, DNAT-44, Dynamic NAT-44, NAPT-44 sowie „Twice-NAT“-Varianten –, unabhängig davon, ob es sich um die Bereitstellung in einer einzelnen Niederlassung oder um eine Einführung im Provider-Maßstab handelt. Dieselbe Regel-Engine verarbeitet NPT-66 für die zustandslose IPv6-Präfixübersetzung sowie NAT64/DNS64 für die Zusammenarbeit zwischen reinen IPv6-Clients und reinen IPv4-Servern.

In Concerto entspricht diese Funktion den in die SD-WAN-Hauptvorlagen integrierten CGNAT-Richtlinien, die einen Port-Forwarding-Modus hinzufügen, der die Bereitstellung eines internen Dienstes ohne vollständige Ziel-NAT-Regel vereinfacht. Da NAT die Adressen einiger Protokolle umschreibt, die in ihrer Nutzlast eingebettet sind – FTP, SIP, TFTP –, kombiniert „ Versa “ NAT-Regeln mit Richtlinien für das Application Layer Gateway, sodass diese Protokolle auch über einen übersetzten Pfad hinweg weiterhin funktionieren. Versaverfolgt in seiner Artikelübersicht Schritt-für-Schritt-Anleitungen zur NAT-Konfiguration und CLI-Überprüfungsbefehle, sobald diese veröffentlicht werden.

Häufig gestellte Fragen

Was ist der Unterschied zwischen NAT und CGNAT?

NAT ist der allgemeine Mechanismus zur Adressübersetzung; CGNAT ist NAT im Netzbetreibermaßstab, bei dem ein öffentlicher IP-Pool mithilfe von groß angelegter NAPT von Tausenden von Teilnehmern gemeinsam genutzt wird. Herkömmliches NAT bedient in der Regel eine Organisation hinter einem Gateway; CGNAT wird vom Anbieter betrieben und von unabhängigen Teilnehmern gemeinsam genutzt.

Was ist der Unterschied zwischen Quell-NAT und Ziel-NAT?

Source-NAT schreibt die Quelladresse eines Pakets um, typischerweise bei ausgehendem Datenverkehr, der ein privates Netzwerk in Richtung Internet verlässt. Destination-NAT schreibt die Zieladresse um, typischerweise bei eingehendem Datenverkehr, der einen internen Server erreicht – dies ist der Mechanismus, der hinter der Portweiterleitung und der externen Bereitstellung interner Dienste steht.

Warum beeinträchtigt NAT manche Anwendungsprotokolle?

Protokolle, die IP-Adressen oder Ports in ihre Nutzdaten einbetten – wie FTP, SIP und TFTP –, funktionieren unter einfachem NAT nicht, da das Gerät lediglich die Paket-Header umschreibt, nicht jedoch den Inhalt der Nutzdaten. Gateways auf Anwendungsebene prüfen und schreiben diese eingebetteten Adressen um und öffnen die entsprechenden Firewall-Pinholes dynamisch.

Bietet NAT allein schon Sicherheit?

NAT bietet eine gewisse Sicherheit: Eine unaufgeforderte eingehende Verbindung verfügt über keine bestehende Übersetzungszuordnung, sodass sie standardmäßig abgelehnt wird. Es ist kein Ersatz für eine Firewall – die gezielte Durchsetzung von Sicherheitsmaßnahmen erfolgt weiterhin durch zustandsorientierte Überprüfung, Zugriffsregeln und Bedrohungsabwehr.

Ist NAT noch notwendig, jetzt, wo es IPv6 gibt?

Ja, auf absehbare Zeit. Die meisten Netzwerke arbeiten mit Dual-Stack oder nutzen weiterhin ausschließlich IPv4, und NAT verbindet nach wie vor private IPv4-Netzwerke mit dem öffentlichen Internet. NAT64 ermöglicht es darüber hinaus reinen IPv6-Clients, die verbleibenden reinen IPv4-Dienste während einer Übergangsphase zu erreichen, deren Abschluss wahrscheinlich noch Jahre dauern wird.

Mehr zum Thema NAT

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit NAT beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.