Was ist Port-Weiterleitung?

Portweiterleitung (auch als Port-Mapping bezeichnet) ist eine NAT-Technik (Network Address Translation), die eingehende Pakete, die an eine bestimmte externe IP-Adresse und einen bestimmten Port adressiert sind, an eine interne Adresse und einen internen Port umleitet, sodass Geräte außerhalb des Netzwerks auf einen Dienst zugreifen können, der auf einem bestimmten Host innerhalb des LAN gehostet wird.

Die wichtigsten Erkenntnisse

• Bei der Portweiterleitung wird ein externes Adress-Port-Paar einem internen zugeordnet.
• Es handelt sich um eine Form von NAT, die am WAN-Rand des Routers oder Gateways angewendet wird.
• Regeln sind standardmäßig nicht aktiv; jede muss explizit angelegt werden.
• Gängige Regeltypen: Ziel-NAT, Quell-NAT, statisches NAT, kein NAT.
• Macht einen internen Server, eine Kamera oder ein Gerät für das öffentliche Internet zugänglich.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Portweiterleitung & Versa · Häufig gestellte Fragen

Warum ist die Portweiterleitung wichtig?

Private LAN-Adressierung und NAT verbergen interne Hosts standardmäßig vor dem Internet – das ist gut für die Sicherheit, blockiert aber auch legitime Anwendungen. Eine selbst gehostete Web-App, ein Spieleserver, die Fernüberwachungs-App einer Überwachungskamera oder eine Remote-Desktop-Sitzung benötigen etwas außerhalb des Netzwerks, um eine Verbindung nach innen herzustellen, und gewöhnliches Outbound-NAT hat keine Regel für dieses Paket. Portweiterleitung schließt diese Lücke, ohne auf den Schutz durch NAT zu verzichten: Sie öffnet eine Adress-Port-Kombination über die Netzwerkgrenze hinweg zu einem Host, während alle anderen Ports unerreichbar bleiben.

Genau diese Präzision ist der springende Punkt: Anstelle einer öffentlichen IP-Adresse pro Gerät oder eines vollständigen VPN für einen Dienst leitet ein Betreiber nur das erforderliche Protokoll und den erforderlichen Port weiter. Jeder weitergeleitete Port wird zudem zu einem Einstiegspunkt aus dem Internet, sodass eine zu weit gefasste Regel den Bereich erweitert, den ein Angreifer erreichen kann.

Was ist Portweiterleitung?

Ein Router oder Gateway befindet sich an der Grenze zwischen einem privaten LAN und einer öffentlichen WAN-Adresse. Durch die Portweiterleitung wird dieses Gerät so konfiguriert, dass es das Ziel eingehender Pakete umschreibt: Bei einem Paket, das an einem bestimmten Port der WAN-Adresse eintrifft, werden die Zieladresse und der Zielport in die private IP-Adresse und den Port eines internen Hosts umgewandelt, und das Gerät verfolgt den Datenfluss, damit der Rückverkehr korrekt zurückübersetzt wird. Diese Umschreibung eingehender Daten ist „Destination NAT“ – die Richtung, nach der die Portweiterleitung benannt ist, im Unterschied zu „Outbound Source NAT“, das internen Hosts den Zugriff auf das Internet ermöglicht.

Eine Regel legt in der Regel die externe Schnittstelle und den Port, die interne Adresse und den Port sowie ein Protokoll fest, zusammen mit einem Prioritätswert zur Auflösung von Regelkonflikten.

Arten der Portweiterleitung

Die statische (manuelle) Portweiterleitung ist eine dauerhafte Regel, die ein Administrator explizit konfiguriert und bei der ein fester externer Port einem festen internen Host und Port zugeordnet wird, bis die Regel entfernt wird – der Standardfall für einen Server oder eine Kamera, die stets erreichbar sein müssen. Die dynamische Portweiterleitung wird automatisch und vorübergehend von einer Anwendung geöffnet, typischerweise über UPnP oder NAT-PMP/PCP; dies ist zwar bequem, geht jedoch zu Lasten der Transparenz für den Administrator darüber, welche Ports gerade offen sind. Port-Triggering ist noch enger gefasst: Das Gateway überwacht einen Trigger-Port und öffnet erst dann einen passenden eingehenden Port, bis die Sitzung endet. In Taxonomien wird zudem zwischen Portweiterleitung – Ziel-NAT mit Portübersetzung – und statischem NAT unterschieden, bei dem eine gesamte Adresse zugeordnet wird, ohne dass Ports übersetzt werden.

Portweiterleitung & Versa

VersaDas „Titan “-Portal – die Cloud-Konsole für die von „ Titan “ verwalteten CSG-Zweigstellen-Appliances – bietet auf dem Bildschirm „Netzwerk > LAN > Portweiterleitung“ die Möglichkeit zur Portweiterleitung. Zunächst müssen die WAN-Schnittstellen konfiguriert werden, da nur konfigurierte Schnittstellen als Auswahlmöglichkeiten angezeigt werden. Die Portweiterleitung ist standardmäßig nicht aktiviert: Jede Regel muss explizit hinzugefügt werden.

Eine „ Titan “-Regel besteht aus einem Namen, einem Adressübersetzungstyp – „Destination NAT“, „Source NAT“, „Static NAT“ oder „No NAT“ –, einer WAN-Schnittstelle, einem Prioritätswert sowie, je nach Typ, internen und externen Adressen, Ports und einem Protokoll. Beim Erstellen der Regel wird zudem ein entsprechender Eintrag in die Firewall-Regelliste eingefügt, der mit einem _frd Suffix; dieser Eintrag kann weder bearbeitet noch gelöscht, sondern lediglich deaktiviert oder in der Reihenfolge verschoben werden. Auf demselben Bildschirm lässt sich auch die IP-Adresse eines Geräts reservieren, wodurch eine DHCP-Adresse fest zugewiesen wird, damit das interne Ziel einer Regel nicht wechselt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Portweiterleitung und NAT?

Die Portweiterleitung ist ein Sonderfall von NAT. Bei der allgemeinen NAT-Übersetzung werden Adressen für Datenverkehr übersetzt, der eine Grenze überschreitet – in der Regel ausgehender Datenverkehr, der ein privates Netzwerk verlässt. Die Portweiterleitung ist der Fall für eingehenden Datenverkehr: Dabei wird ein externes Adress-Port-Paar einem internen Host zugeordnet, damit unaufgeforderter Datenverkehr diesen erreichen kann.

Stellt die Portweiterleitung ein Sicherheitsrisiko dar?

Das kann sein. Jeder weitergeleitete Port ist ein definierter, vom Internet aus erreichbarer Zugangspunkt. Daher vergrößert eine Regel, die weiter gefasst ist als nötig, oder eine, die auf einen nicht gepatchten Dienst abzielt, die Angriffsfläche. Die Beschränkung der Regeln auf bestimmte Ports, Protokolle und Quelladressen verringert dieses Risiko.

Was ist der Unterschied zwischen statischer und dynamischer Portweiterleitung?

Die statische Portweiterleitung ist eine Regel, die ein Administrator manuell konfiguriert und die so lange bestehen bleibt, bis sie entfernt wird. Die dynamische Portweiterleitung wird automatisch von einer Anwendung – in der Regel über UPnP oder NAT-PMP – für die Dauer einer Sitzung geöffnet und schließt sich wieder, sobald die Sitzung beendet ist oder eine Zeitüberschreitung eintritt.

Spielt die Portweiterleitung bei IPv6 noch eine Rolle?

Seltener. IPv6 weist jedem Gerät in der Regel eine global routbare Adresse zu, wodurch die Lücke bei der privaten Adressvergabe geschlossen wird, die unter IPv4 durch Portweiterleitung gelöst wird. In einigen Implementierungen werden für die Firewall-Segmentierung zwar weiterhin NAT-ähnliche Regeln auf IPv6 angewendet, doch die reine Portweiterleitung ist hauptsächlich ein Konzept aus der IPv4-Ära.

Kann eine Port-Forwarding-Regel einen Portbereich abdecken?

Ja. Die meisten Implementierungen, darunter auch das „ Titan “-Portal von Versa, akzeptieren sowohl auf der externen als auch auf der internen Seite einer Regel einen entsprechenden Portbereich – zum Beispiel 200 bis 300 –, wodurch ein zusammenhängender Portblock zugeordnet wird, anstatt jeden Port einzeln zu konfigurieren.

Mehr zum Thema Portweiterleitung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über Portweiterleitung informieren, sollten Sie sich als Nächstes diese Artikel ansehen.