Dein Router und NAT

Sieh dir deine eigene öffentliche IP-Adresse an, und jedes Gerät in deinem Heimnetzwerk – Telefon, Laptop, smarter Lautsprecher – zeigt dieselbe Nummer. Sieh dir an, was jedes Gerät als seine eigene Adresse ansieht, und du findest etwas anderes: eine private Adresse wie 192.168.1.12, aus den Bereichen, die RFC 1918 für lokale Netzwerke reserviert, behandelt in der ersten Lektion dieses Kurses. Das Gerät, das beide verbindet, ist dein Router, mit einer Technik namens Network Address Translation, oder NAT.

Was NAT tatsächlich tut

Das Glossar von MDN definiert es schlicht: NAT „ist eine Technik, um mehreren Computern zu erlauben, sich eine IP-Adresse zu teilen“, indem es „jedem Computer im lokalen Netzwerk eindeutige Adressen zuweist und den Netzwerkverkehr anpasst, um Daten an den richtigen Ort zu senden.“ Konkret: Wenn dein Laptop eine Verbindung zu einer Website öffnet, schreibt der Router das ausgehende Paket so um, dass es scheint, als käme es von der eigenen öffentlichen Adresse des Routers, und führt eine Tabelle, die diese Verbindung mit der privaten Adresse und dem Port deines Laptops verknüpft. Wenn die Antwort ankommt, schlägt der Router sie in dieser Tabelle nach und leitet sie an das richtige Gerät weiter.

Genau deshalb gibt es NAT überhaupt: Die etwa 4,3 Milliarden Adressen von IPv4 würden nie ausreichen, um jedem Telefon, Laptop und smarten Gerät in jedem Haushalt eine öffentliche Adresse zu geben, und Internetanbieter geben einem Haushalt in der Regel nur eine einzige öffentliche Adresse. NAT erlaubt es einem Haushalt mit einem Dutzend Geräten, sich diese eine Adresse zu teilen, ohne dass jedes eine eigene braucht.

Was NAT nebenbei für dich tut

NAT wurde gebaut, um einen Adressmangel zu lösen, nicht um dein Netzwerk abzusichern, hat aber einen nützlichen Nebeneffekt. Weil Geräte dahinter nur private Adressen haben, kann ein Computer im offenen Internet nicht einfach eine neue, unaufgeforderte Verbindung zu deinem Laptop öffnen, wie er es könnte, wenn dein Laptop direkt eine öffentliche Adresse hätte: Es gibt keine öffentliche Adresse, die er erreichen könnte, und der Router hat keinen passenden Eintrag in seiner Übersetzungstabelle, um diese Verbindung weiterzuleiten. Datenverkehr, den dein eigenes Gerät angefordert hat, wird wieder hereingelassen, weil der Router sich die Anfrage merkt; Datenverkehr, um den niemand gebeten hat, hat in der Regel nirgendwo hin.

Was NAT nicht tut

Diese beiläufige Filterung ist nicht dasselbe wie Sicherheit, und es lohnt sich, den Unterschied genau zu benennen:

• NAT unternimmt nichts gegen Verbindungen, die deine eigenen Geräte nach außen öffnen. Wenn eine App auf deinem Laptop sich mit einem Server verbindet, lässt NAT die Antwort bereitwillig wieder herein; es hat keine Meinung dazu, ob diese App überhaupt mit diesem Server sprechen sollte.
• NAT prüft oder verschlüsselt keine Inhalte. Alles, was unverschlüsselt gesendet wird, ist für die Websites und Netzwerke dazwischen genauso lesbar, wie es ohne NAT wäre.
• NAT ist kein Ersatz für eine Firewall. Viele Router betreiben neben NAT eine zustandsbehaftete Firewall, und es ist diese Firewall, die den in der vorherigen Lektion beschriebenen Handshake verfolgt und die eigentliche Arbeit übernimmt, zu entscheiden, was erlaubt wird.
• Geräte, die sich eine öffentliche Adresse teilen, lassen sich trotzdem einzeln unterscheiden, etwa durch Konten, Cookies oder Geräte-Kennungen, die die besuchten Websites verwenden.

Kurz gesagt: NAT ist der Grund, warum sich dein ganzer Haushalt eine Adresse teilt, und als Nebeneffekt der Grund, warum zufällige eingehende Verbindungen in der Regel nicht ungebeten ein bestimmtes Gerät in deinem Zuhause erreichen können. Es sagt nichts darüber aus, was deine eigenen Geräte selbst nach außen senden, oder über irgendjemanden, der deinen eigenen ausgehenden Verbindungen nachgeschaltet ist.