Din ruter og NAT

Slå opp din egen offentlige IP-adresse, og hver enhet på hjemmenettverket, telefonen, bærbar PC, smarthøyttaler, vil vise det samme nummeret. Se på hva hver enhet tror sin egen adresse er, og du vil finne noe annet: en privat adresse som 192.168.1.12, fra rekkeviddene RFC 1918 reserver for lokale nettverk, dekket i den første leksjonen av dette kurset. Enheten som bygger bro mellom de to er ruteren din, ved å bruke en teknikk som kalles Network Address Translation, eller NAT.

Hva NAT faktisk gjør

MDNs ordliste definerer det tydelig: NAT "er en teknikk for å la flere datamaskiner dele en IP-adresse", ved å "tildele unike adresser til hver datamaskin på det lokale nettverket og justere nettverkstrafikken for å sende data til rett sted." Konkret, når den bærbare datamaskinen åpner en tilkobling til et nettsted, omskriver ruteren den utgående pakken slik at den ser ut til å komme fra ruterens egen offentlige adresse, og holder en tabell som kobler den tilkoblingen tilbake til den bærbare datamaskinens private adresse og port. Når svaret kommer, ser ruteren det opp i den tabellen og videresender det til riktig enhet.

Dette er grunnen til at NAT i det hele tatt eksisterer: IPv4s omtrent 4,3 milliarder adresser kom aldri til å strekke seg til en offentlig adresse for hver telefon, bærbar PC og smartenhet i hver husholdning, og internettleverandører gir vanligvis bare én offentlig adresse til et hjem. NAT lar en husstand på et dusin enheter dele den enkeltadressen uten at hver enkelt trenger sin egen.

Hva NAT gjør for deg, forresten

NAT ble bygget for å løse en adressemangel, ikke for å sikre nettverket ditt, men det har en nyttig bieffekt. Fordi enhetene bak den bare har private adresser, kan ikke en datamaskin på det åpne internett bare åpne en ny, uønsket tilkobling til den bærbare datamaskinen slik den kunne hvis den bærbare datamaskinen hadde en offentlig adresse direkte: det er ingen offentlig adresse den kan nå, og ruteren har ingen samsvarende oppføring i oversettelsestabellen å videresende forbindelsen til. Trafikk din egen enhet forespurte slippes inn igjen fordi ruteren husker forespørselen; trafikk ingen har bedt om har generelt ingen steder å gå.

Hva NAT ikke gjør

At tilfeldig filtrering er ikke det samme som sikkerhet, og det er verdt å være presis om forskjellen:

• NAT gjør ingenting med tilkoblingene dine egne enheter åpner utover. Hvis en app på den bærbare datamaskinen kobles til en server, slipper NAT gjerne svaret inn igjen; den har ingen mening om hvorvidt den appen burde ha snakket med den serveren i utgangspunktet.
• NAT inspiserer eller krypterer ikke innhold. Alt som sendes i klartekst er like lesbart for nettstedene og nettverkene i mellom som det ville vært uten NAT.
• NAT er ikke en erstatning for en brannmur. Mange rutere kjører en stateful brannmur sammen med NAT, og det er den brannmuren, som sporer håndtrykket beskrevet i forrige leksjon, og gjør jobben med å bestemme hva som skal tillates.
• Enheter som deler én offentlig adresse kan fortsatt skilles fra hverandre på andre måter, for eksempel kontoer, informasjonskapsler eller enhetsidentifikatorer som brukes av nettstedene de besøker.

Kort sagt: NAT er grunnen til at hele husstanden din deler én adresse, og, som en bieffekt, hvorfor tilfeldige innkommende tilkoblinger vanligvis ikke kan nå en bestemt enhet i hjemmet ditt uoppfordret. Den sier ingenting om hva dine egne enheter velger å sende ut, eller om noen nedstrøms for dine egne utgående forbindelser.