7. Частные адреса и система nat

Другое временное решение проблемы сокращающегося адресного пространства про­ токола IPv4 заключается в использовании частных областей IP-адресов, описанных в документе RFC1918. Частные адреса используются только внутри сайта и никогда не демонстрируются в Интернете (по крайней мере, непреднамеренно). Преобразование частных адресов в адреса, выделенные интернет-провайдером, осуществляется погра­ ничным маршрутизатором.

Документ RFC1918 определяет, что одна сеть класса А, 16 сетей класса В и 256 сетей класса С резервируются для частного использования и никогда не выделяются глобаль­ но. В табл. 14.5 показаны диапазоны частных адресов (каждый диапазон представлен в более короткой нотации протокола CIDR). Из перечисленных диапазонов организа­ ции могут выбирать для себя сети нужного размера.

Таблица 14.5. IP-адреса, зарезервированные для частного использования

Класс

А В

Начало Конец Диапазон CIDR

10.0.0.0 10.255.255.255 10.0.0.0/8

172.16.0.0 172.31.255.255 172.16.0.0/12

С

192.168.0.0 192.168.255.255 192.168.0.0/16

Изначально идея состояла в том, чтобы узлы могли самостоятельно выбирать класс адресов из указанных возможностей, чтобы правильно определить свой размер. Однако в настоящее время протокол CIDR и подсети стали универсальным инструментом, по­ этому для всех новых частных сетей целесообразнее всего использовать адреса класса А (разумеется, с подсетями).

Для того чтобы узлы, использующие частные адреса, могли получать доступ в Ин­ тернет, на пограничном маршрутизаторе организации должна выполняться система NAT (Network Address Translation — трансляция сетевых адресов). Эта система перехватыва­ ет пакеты и заменяет в них адрес отправителя реальным внешним IP-адресом. Может также происходить замена номера исходного порта. Система хранит таблицу преобразо­ ваний между внутренними и внешними адресами/портами, чтобы ответные пакеты до­ ставлялись нужному адресату.

Благодаря нумерации портов, появляется возможность подключить несколько исхо­ дящих соединений к общему IP-адресу, чтобы внутренние узлы совместно использовали одинаковый внешний IP-адрес. Иногда в организации достаточно иметь один “настоя­ щий” внешний адрес. Например, эта конфигурация по умолчанию установлена в боль­ шинстве популярных маршрутизаторов, использующих кабель и модемы DSL.

Узел, использующий систему NAT, запрашивает адреса у провайдера, но большин­ ство адресов теперь используется для внутрисистемных привязок и не назначается от­ дельным компьютерам. Если узел позднее захочет сменить провайдера, потребуется лишь изменить конфигурацию пограничного маршрутизатора и его системы NAT, но не самих компьютеров.

Существует возможность заставить операционные системы UNIX или Linux выпол­ нять функции NAT, хотя во многих организациях предпочитают делегировать эти обязанности маршрутизаторам или устройствам подключения к сети.8 Вопросы, связанные с конкретными поставщиками, мы обсудим в этой главе позднее.

Неправильная конфигурация системы NAT может привести к тому, что пакеты с част­ ными адресами начнут проникать в Интернет. Они могут достичь узла назначения, но ответные пакеты не будут получены. Организация CAIDA9, замеряющая трафик маги­ стральных сетей, сообщает о том, что 0,1—0,2% пакетов, проходящих по магистрали, имеют либо частные адреса, либо неправильные контрольные суммы. На первый взгляд показатель кажется незначительным, но на самом деле это приводит к тому, что каж­ дую минуту в сети циркулируют тысячи пакетов. Информацию по статистике Интернета и средствам измерения производительности глобальной сети можно получить на веб­ узле www.caida.org.

Одной из особенностей системы NAT является то, что узел Интернета не может на­ прямую подключиться к внутренним машинам организации. Для того чтобы преодолеть это ограничение, в некоторых реализациях системы NAT разрешается создавать тунне­ ли, которые поддерживают прямые соединения с выбранными узлами.10

Еще одна проблема заключается в том, что некоторые приложения встраивают IP-адреса в информационную часть пакетов. Такие приложения не могут нормально ра­ ботать совместно с NAT. К ним относятся определенные протоколы маршрутизации, программы потоковой доставки данных и ряд FTP-команд. Система NAT иногда также отключает виртуальные частные сети (VPN — virtual private network).

Система NAT скрывает внутреннюю структуру сети. Это может показаться преиму­ ществом с точки зрения безопасности, но специалисты считают, что на самом деле си­ стема NAT не обеспечивает должную безопасность и уж во всяком случае не устраняет потребность в брандмауэре. Кроме того, она препятствует попыткам оценить размеры и топологиюИнтернета.См.документRFC4864, Local Network Protection for IPv6, содер­ жащий полезную информацию о реальных и мнимых преимуществах системы NAT и протокола IPv4.