Динамическая трансляция адресов (Dynamic nat)

Определение: Динамическая трансляция — это отображение группы частных адресов на группу (пул) публичных адресов, где отображение может меняться и переиспользоваться.interlir+2​

Характеристики:interlir+1​

• Создаётся пул (диапазон) публичных адресов

• Каждому внутреннему компьютеру, который инициирует соединение, динамически выделяется свободный адрес из пула

• После завершения соединения адрес возвращается в пул для переиспользования

• Отображение существует только на время соединения

Процесс динамической трансляции:interlir​

text

Конфигурация маршрутизатора:

ip nat pool POOL1 203.0.113.1 203.0.113.5

ip nat inside source list 1 pool POOL1

access-list 1 permit 192.168.1.0 0.0.0.255

Пул адресов: 203.0.113.1 — 203.0.113.5 (5 адресов)

Таблица трансляции (динамическая):

Inside Local Inside Global Время жизни

192.168.1.10 ←→ 203.0.113.1 10:24:35 - 10:25:00

192.168.1.20 ←→ 203.0.113.2 10:24:40 - 10:26:15

192.168.1.30 ←→ 203.0.113.3 10:24:45 - (активно)

(остальные адреса пула свободны)

Сценарий использования:interlir​

text

Офис с 50 компьютерами

Пул публичных адресов: 203.0.113.0/29 (6 адресов, из них 4 для хостов)

Время 10:00:

- Компьютер A начинает загружать файл

→ Получает адрес 203.0.113.1 из пула

- Компьютер B открывает браузер

→ Получает адрес 203.0.113.2 из пула

- Компьютер C отправляет email

→ Получает адрес 203.0.113.3 из пула

Время 10:15:

- Компьютер A завершил загрузку

→ Адрес 203.0.113.1 возвращается в пул

- Компьютер D хочет открыть сайт

→ Получает освобождённый адрес 203.0.113.1 из пула

Преимущества динамической NAT:interlir​

• Экономия адресов: 50 компьютеров могут работать с 4 публичными адресами (не все одновременно)

• Масштабируемость: может обслуживать больше внутренних адресов, чем внешних

• Гибкость: адреса переиспользуются

Недостатки динамической NAT:interlir​

• Сложность: нужно управлять пулом адресов

• Проблемы с входящими соединениями: сложно предсказать, какой адрес будет использован

• Недостаточно: если количество внутренних пользователей превышает размер пула

Применение:interlir​

• Малые и средние предприятия

• Провайдеры с ограниченным количеством адресов

• Сети, где не требуется постоянная доступность с внешней стороны

Трансляция порт-адрес (pat — Port Address Translation)

Определение: PAT (также называется Overloaded NAT или Dynamic PAT) — это технология, позволяющая множеству внутренних адресов совместно использовать один публичный адрес путём трансляции портов.wikipedia+2​

Основной принцип:habr+1​

С точки зрения удалённого сервера, абсолютно неважно, осуществляют ли соединения три разных компьютера с разными адресами или один компьютер на разных портах — результат одинаков!

PAT использует номера портов для различия пакетов от разных внутренних узлов, отправляемых через один публичный адрес.

Процесс PAT:prohoster+1​

text

Конфигурация маршрутизатора:

ip nat inside source list 1 interface eth1 overload

access-list 1 permit 192.168.1.0 0.0.0.255

Пакет от Компьютера A (192.168.1.10:6001) → Сервер (8.8.8.8:53)

↓

Маршрутизатор перехватывает

Создаёт запись в таблице трансляции:

Inside Local Inside Global

192.168.1.10:6001 ←→ 203.0.113.1:44001

↓

Пакет отправляется: 203.0.113.1:44001 → 8.8.8.8:53

Ответный пакет: 8.8.8.8:53 → 203.0.113.1:44001

↓

Маршрутизатор смотрит в таблицу:

203.0.113.1:44001 → 192.168.1.10:6001

↓

Пакет доставляется: 192.168.1.10:6001 ← 8.8.8.8:53

Таблица трансляции PAT:

text

Inside Local Inside Global Outside Global

192.168.1.10:6001 ←→ 203.0.113.1:44001 ←→ 8.8.8.8:53

192.168.1.20:7002 ←→ 203.0.113.1:44002 ←→ 8.8.8.8:53

192.168.1.30:8003 ←→ 203.0.113.1:44003 ←→ 8.8.8.8:53

Заметьте:

- Несколько Inside Local адресов

- ОДН Inside Global адрес (203.0.113.1)

- Разные номера портов для различия пакетов

Замечание о портах в PAT:

• Исходящие соединения: маршрутизатор часто использует эфемерные порты (ephemeral ports, диапазон 49152-65535) для трансляции

• Входящие соединения: сложнее — нужно предварительно настроить пробросы портов (port forwarding)

Преимущества PAT:habr+1​

• Максимальная экономия адресов: все внутренние пользователи могут совместно использовать один публичный адрес

• Простота: управлять одним адресом проще, чем пулом

• Практический стандарт: это то, что использует большинство домашних маршрутизаторов

Недостатки PAT:wikipedia+1​

• Проблемы с входящими соединениями: сложно открыть входящий доступ (требует специальной настройки пробросов портов)

• Сложность отладки: сложнее найти проблему, когда всё маршрутизируется через один адрес

• Ограничение 65535 портов: теоретически можно обслуживать максимум 65535 одновременных соединений (но на практике меньше)

Применение PAT:prohoster+2​

• Домашние маршрутизаторы: 50-100 устройств дома используют один публичный IP

• Офисные сети: стандартный способ выхода в Интернет

• Мобильные сети: способ экономить публичные адреса при миллионах подписчиков

• Провайдеры с ограниченным адресным пространством