WikiDer > Netzwerkadressübersetzung

Netzwerkadressübersetzung (NASS, ebenfalls Netzwerk-Masquerading oder IP-Masquerading) ist eine Sammelbezeichnung für Techniken, die in Computernetzwerken verwendet werden, bei denen die Adressinformationen in den Datenpaketen geändert werden. Auf diese Weise können verschiedene Netzwerke miteinander verbunden werden. Die Technik wird hauptsächlich in Router eingesetzt.

technisch werden IP-Adressen in den Header einer IP-Nachricht geändert, die a . enthält Router geht vorbei. Oft ist es auch TCP/UDPPortnummer geändert, damit Sie die vorgenommenen Änderungen verfolgen können. Eine gängige Anwendung ist es, mehreren Benutzern eines Heimnetzwerks den Zugriff auf die Internet über eine einzige IP-Adresse.

Zielsetzung

Netzwerkadressübersetzung lässt verschiedene Computer an einem arbeiten LAN können dieselbe Internetverbindung und damit dieselbe Internetadresse verwenden, ohne ihre interne Netzwerkadresse veröffentlichen zu müssen. Die angeschlossenen Computer können dann eine Adresse in einem der reservierten Adressbereiche haben, die IPv4 für private Netzwerke zur Verfügung stellt,^[1] was im Internet nicht erlaubt ist.

Dies hat eine Reihe von Vorteilen:

• Rechner im lokalen Netzwerk sind aus dem Internet nicht erreichbar, da die interne Adresse nicht bekannt gegeben wird.
• Verkehr von verschiedenen Computern im lokalen Netzwerk kann nicht (extern) voneinander unterschieden werden ohne Deep Packet Inspection.
• Da sich mehrere Computer eine öffentliche IP-Adresse teilen, ist die Knappheit IPv4-Adressen etwas temperiert.

Layout

Funktionalität

Portübersetzung der Netzwerkadresse

Alle Computer auf dem lokalen Computernetzwerk, einschließlich der Router, haben eine eindeutige lokale IP-Adresse und einen lokalen Port. Der Router hat mindestens eine globale IP-Adresse. Optional können dies mehrere sein, so dass mehrere Computer gleichzeitig Ressourcen im Internet/globalen Netzwerk konsultieren können. Im lokalen Netzwerk befinden sich jedoch oft mehr Computer, als dem Router globale IP-Adressen zur Verfügung gestellt werden. Um noch mehr Verbindungen zu ermöglichen, ist es erforderlich, dass Sie Portübersetzung der Netzwerkadresse, oder kurz NAPT.

NAPT bietet eine Erweiterung zu Adressübersetzung durch Bereitstellen mehrerer Verbindungen für eine globale Adresse. Wenn alle globalen IP-Adressen aufgebraucht sind, wird der NAPT-Treiber Port-Mapping machen. Die Ports im TCP- und UDP-Protokoll sind beide 16 Bits long und erlaubt zweimal 65.535 Verbindungen (Port 0 ist für TCP und UDP reserviert).

Dynamische Zuordnung

Dynamische Zuordnung ist oben beschrieben und wird somit mit dem Aufbau einer Verbindung zum lokalen Netzwerk eines Computers definiert. In diesem Fall nimmt der NAT-Router einen 5-Wege-Eintrag in seine Tabelle vor: (Protokoll (TCP/UDP), Quelladresse, Quellport, Zieladresse, Zielport). Die Anzahl der Verbindungen wird durch 16-Bit-Ports der TCP/UDP-Protokolle und die Hardwarebeschränkungen des Routers begrenzt. Dadurch werden regelmäßig Verbindungen aus der NAT-Tabelle entfernt. Dies wird häufig vom Netzwerkadministrator festgelegt.

Statische Zuordnung

Dynamische Zuordnung ausreichend, solange die Verbindung von einem Computer im lokalen Netzwerk hergestellt wird. Wenn ein Computer versucht, eine Verbindung aus dem globalen Netzwerk herzustellen, sucht der NAT-Treiber in seiner Tabelle. Da jedoch keine Verbindung geöffnet ist, wird die Anfrage von diesem Computer abgelehnt.

Wenn es jedoch erforderlich ist, dass ein Computer von einer globalen Adresse aus eine Verbindung herstellen kann, wird man statische Zuordnung machen. Dies bedeutet, dass ein Netzwerkadministrator einen Port für eingehende Verbindungen öffnet, ohne dass diese bereits in der NAT-Tabelle vorhanden sein müssen. Aufgrund der Vielzahl möglicher Kombinationen ist der Nutzen jedoch begrenzt. Im Kontrast zu dynamisches Mapping eine Verbindung bleibt bestehen, bis der Netzwerkadministrator sie entfernt.

Beide Methoden erfordern, dass der NAT-Treiber TCP oder UDP unterstütztPrüfsummen überprüfen und erneut einstellen.

Basis-NAT

Wenn sich ein Computer irgendwo auf der Welt mit einem Computer im lokalen Netzwerk verbinden möchte, gibt es eine weitere Alternative zu NAPT, die darin besteht, eine lokale IP direkt mit einer globalen IP zu verknüpfen: Basis-NAT (BNAT) genannt oder manchmal einfach Adressübersetzung. Für diesen Computer besteht also eher eine offene Verbindung zwischen dem privaten Netzwerk und dem Internet.

BNAT ist wirklich nur dann sinnvoll (es sei denn, der Benutzer kann nicht auf die zusätzlichen Vorteile von NAT verzichten), wenn der Benutzer über mehrere globale IP-Adressen verfügt. Wenn im Netzwerk mehr Benutzer als IP-Adressen vorhanden sind, können sich nicht alle Benutzer mit dem externen Netzwerk verbinden. Es ist daher ratsam, NAPT über BNAT zu wählen, da ersteres mehr einzigartige Kombinationen bietet, da es auch die UDP/TCP-Ports verwendet. Im Gegensatz dazu ist BNAT für Protokolle nützlich, die nicht immer oder gar nicht dieselben TCP/UDP-Ports verwenden.

Wenn ein Computer im lokalen Netzwerk, an den a Adressübersetzung verbunden ist, eine Verbindung zu einem Computer des globalen Netzwerks herstellen möchte, wird NAPT nicht verwendet.

Der Inhalt einer BNAT-Tabelle besteht aus zwei Adressen: lokale Adresse und globale Adresse.

Dynamisch und statische Zuordnung sind strenger als BNAT, da bei beiden Mapping-Methoden 5 Teile aus der NAT-Tabelle erfüllt werden müssen, während es bei BNAT nur 2 Teile sind.

Bei diesen Methoden gibt es jedoch eine Einschränkung: Das Netzwerk kann nur einen NAT-Router haben, der der Endpunkt für das Netzwerk ist; genauer gesagt sollte nur eine einzige NAT-Tabelle vorhanden sein. Wenn also mehrere Router verwendet werden, muss eine Methode bereitgestellt werden, mit der sie ihre NAT-Tabellen synchronisieren können. Ist dies nicht der Fall, ist einer der Router nicht mehr erreichbar, geht die Adressierung verloren. Dadurch könnten die externen Benutzer nicht mehr mit den internen Benutzern kommunizieren, die zuvor eine Verbindung mit dem nicht mehr verfügbaren Router aufgebaut haben.

Richtung

Biene Quell-NAT die Quelladresse wird geändert (d. h. die IPv4-Adresse und/oder der TCP/UDP-Port). Mit anderen Worten, der Benutzer ändert hier, woher das Paket stammt. Zumindest scheint es für die anderen Netzwerke so zu sein. Quell-NAT wird somit für ausgehende Pakete verwendet.

Im Falle von Ziel-NAT die Zieladresse wird geändert. Dieser Typ wird für eingehende Pakete verwendet. Ziel-NAT erfolgt, sobald das Paket das Netzwerk betritt; also für die leitung.

Beispiel

Die Funktionsweise eines NAT-Routers wird hier an einem kurzen Beispiel beschrieben: Es gibt eine begrenzte Anzahl von lokalen Rechnern, die an einen NAT-Router angeschlossen sind, der wiederum mit dem Internet verbunden ist. Diese lokalen Computer und Router haben eine lokale IP-Adresse, die für die Außenwelt nicht sichtbar ist. Im Beispiel eines Heimnetzwerks ist dies oft eine Adresse der Klasse C, die mit 192.168 beginnt.Wenn einer dieser lokalen Computer versucht, eine Verbindung herzustellen, übersetzt der NAT-Router die lokale Adresse in die globale Adresse. Daher wird hier häufig die TCP/UDP-Nummer geändert, dies muss jedoch nicht explizit sein. Wir reden darüber Adressübersetzung, wurde noch keine Portübersetzung besprochen.

Wird eine weitere Verbindung aufgebaut (von einem anderen Quellrechner oder zu einem anderen Zielrechner) wird eine neue Zeile in die NAT-Router-Tabelle eingefügt, falls noch eine globale Adresse vorhanden ist, wird diese verwendet. Wenn nicht, wird die Portübersetzung verwendet. In diesem Beispiel haben wir nur eine globale IP-Adresse, daher muss diese verwendet werden Hafenübersetzung.

Leistungen

Administrative Vorteile

NAT hat über die Auflösung von IP-Adressen hinaus eine Reihe von Vorteilen. Es bietet die Möglichkeit, ein großes Netzwerk in mehrere, kleinere Netzwerke aufzuteilen. Durch die Aufteilung des Netzes kann man Änderungen am Netz vornehmen, ohne den Rest des Netzes zu gefährden. NAT vereinfacht die Verwaltung des Netzwerks, da es in logische und funktionale Einheiten unterteilt werden kann.

Viele NAT-fähige Router bieten zusätzliche Optionen wie:

• Filtern des Netzwerkverkehrs
• Netzwerkverkehr protokollieren

Firewall

NAT bietet eine Grundlage Firewall-Funktionalität, Pakete können nur eingehen, wenn ein Benutzer eines Netzwerks dies zuerst angefordert hat, daher sind grundsätzlich nur Antworten möglich. Eine Ausnahme ist natürlich IP-Reservierung wo eine bestimmte IP für alle eingehenden Pakete geöffnet wird. Die Firewall-Funktionalität hat ihre Grenzen, es ist beispielsweise nicht möglich, ausgehende Pakete zu überprüfen, ob sie aus dem eigenen Netzwerk kommen oder nicht. Darüber hinaus bietet NAT Schutz vor Angriffen auf niedriger Ebene wie z SYN-Flut oder Ping-des-Todes.

Nachteile

• Es begrenzt die Ende zu EndeKonnektivität, die so zentral für die gesamte Internet-Philosophie ist. Es gibt auch eine Reihe von Protokollen, mit denen NAT nicht gut zusammenarbeitet.
• Es hat die Akzeptanz und den Bedarf an IPv6 verlangsamt, was eine bessere Lösung für die aktuellen Probleme darstellt.
• Die Inkompatibilität mit einigen Protokollen kann zu Fehlfunktionen führen.
• Abschirmung des lokalen Netzwerks vom globalen Netzwerk; dies kann natürlich auch als Vorteil gewertet werden.
• Die Firewall-Funktionalität kann missbraucht werden: Wenn ein Benutzer im lokalen Teil des NAT-Routers einen entfernten Benutzer angreift, wird es auch schwieriger herauszufinden, um welchen Benutzer es sich handelt, da die IP-Adresse vom Router verborgen wird.
• Intensiv auf die Rechenfähigkeiten des Routers, wie es gibt Prüfsummen muss pro Datenpaket angepasst werden.
• Allerdings weist NAT auch einige Sicherheitslücken auf, da TCP-Header nicht kodiert werden sollten, damit der NAT-Router seine Funktionalität behalten kann.

Probleme mit Protokollen

Somit übersetzt NAT die IP-Adressen und UDP/TCP-Portnummern eines privaten Netzwerks in die des globalen Netzwerks. Ein Problem entsteht, wenn Informationen aus diesen Feldern auch in den Daten eines anderen Protokolls enthalten sind, oft oberhalb der Netzwerkschicht. Üblicherweise muss auch die Prüfsumme eines Protokolls berücksichtigt werden. Das Ändern der IP-Adresse und/oder der TCP/UDP-Portnummern erfordert eine Neuberechnung der Prüfsumme. Dies geschieht mit dem TCP- und UDP-Protokoll. All diese Berechnungen machen NAT rechenintensiv.

NAT ist protokollunabhängig ausgelegt und bietet daher keine Lösung für dieses Problem. Um dieses Problem ablehnen zu können, verwenden wir Anwendungsschicht-Gateways (ALG). Das Nutzlast eines solchen Protokolls sollte daher nicht verschlüsselt werden, es sei denn, das ALG hat den Entschlüsselungsschlüssel.

ICS

Internetverbindung teilen (ICS) ist ein Protokoll, das die Netzwerkübersetzung durchführt und daher NAT ähnelt. ICS wird normalerweise auf einem Windows XPArbeitsplatz oder auf einem Windows Server 2003-Server. Aufgrund der gemeinsamen Funktionalität ist es nicht möglich, dass ICS und NAT im selben Netzwerk koexistieren. ICS ist einfacher zu installieren, aber auch eingeschränkter in seinen Fähigkeiten und wird daher häufiger in Heimnetzwerken verwendet, um einer kleinen Gruppe von Computern den Internetzugang bereitzustellen.

Siehe auch

• asymmetrische digitale Teilnehmer Verbindung (ADSL)

Externe Links

• technet2.microsoft.com