Twój router i NAT

Sprawdź swój własny publiczny adres IP, a każde urządzenie w twojej sieci domowej — telefon, laptop, inteligentny głośnik — pokaże tę samą liczbę. Sprawdź, jaki adres każde urządzenie uważa za swój własny, a znajdziesz coś innego: adres prywatny, taki jak 192.168.1.12, z zakresów zarezerwowanych przez RFC 1918 dla sieci lokalnych, omówionych w pierwszej lekcji tego kursu. Urządzeniem łączącym oba te światy jest twój router, wykorzystujący technikę zwaną translacją adresów sieciowych, czyli NAT.

Co faktycznie robi NAT

Słownik MDN definiuje to wprost: NAT „to technika pozwalająca wielu komputerom współdzielić jeden adres IP”, poprzez „przydzielanie unikalnych adresów każdemu komputerowi w sieci lokalnej i dostosowywanie ruchu sieciowego, by wysyłać dane we właściwe miejsce”. Konkretnie, gdy twój laptop otwiera połączenie ze stroną internetową, router przepisuje wychodzący pakiet tak, by wyglądał, jakby pochodził z własnego, publicznego adresu routera, i prowadzi tabelę wiążącą to połączenie z powrotem z prywatnym adresem i portem twojego laptopa. Gdy przychodzi odpowiedź, router sprawdza ją w tej tabeli i przekazuje do właściwego urządzenia.

Dlatego NAT w ogóle istnieje: około 4,3 miliarda adresów IPv4 nigdy nie starczyłoby na publiczny adres dla każdego telefonu, laptopa i inteligentnego urządzenia w każdym gospodarstwie domowym, a dostawcy internetu zwykle przydzielają domowi tylko jeden publiczny adres. NAT pozwala gospodarstwu domowemu z tuzinem urządzeń współdzielić ten jeden adres, bez potrzeby posiadania własnego przez każde z nich.

Co NAT robi dla ciebie przy okazji

NAT zbudowano, by rozwiązać niedobór adresów, a nie by zabezpieczyć twoją sieć, ale ma użyteczny efekt uboczny. Ponieważ urządzenia za nim mają tylko adresy prywatne, komputer w otwartym internecie nie może po prostu otworzyć nowego, niechcianego połączenia z twoim laptopem, tak jak mógłby, gdyby twój laptop posiadał publiczny adres bezpośrednio: nie ma dla niego publicznego adresu, do którego mógłby dotrzeć, a router nie ma pasującego wpisu w swojej tabeli translacji, by przekazać to połączenie. Ruch, o który poprosiło twoje własne urządzenie, jest wpuszczany z powrotem, bo router pamięta to żądanie; ruch, o który nikt nie prosił, zwykle nie ma dokąd trafić.

Czego NAT nie robi

To przypadkowe filtrowanie to nie to samo co bezpieczeństwo i warto być precyzyjnym co do tej różnicy:

• NAT nic nie robi z połączeniami, które twoje własne urządzenia otwierają na zewnątrz. Jeśli aplikacja na twoim laptopie łączy się z serwerem, NAT chętnie wpuszcza odpowiedź z powrotem; nie ma zdania, czy ta aplikacja w ogóle powinna rozmawiać z tym serwerem.
• NAT nie sprawdza ani nie szyfruje treści. Wszystko wysłane jawnym tekstem jest tak samo czytelne dla stron i sieci pomiędzy, jak byłoby bez NAT.
• NAT nie jest zamiennikiem firewalla. Wiele routerów prowadzi firewall stanowy obok NAT, i to ten firewall, śledząc uzgadnianie opisane w poprzedniej lekcji, faktycznie decyduje, co przepuścić.
• Urządzenia współdzielące jeden publiczny adres wciąż można rozróżnić indywidualnie innymi sposobami, takimi jak konta, pliki cookie czy identyfikatory urządzeń używane przez odwiedzane strony.

Krótko mówiąc: NAT to powód, dla którego całe twoje gospodarstwo domowe współdzieli jeden adres, i, jako efekt uboczny, powód, dla którego przypadkowe połączenia przychodzące zwykle nie mogą dotrzeć niezaproszone do konkretnego urządzenia w twoim domu. Nic nie mówi o tym, co twoje własne urządzenia decydują się wysłać na zewnątrz, ani o nikim znajdującym się dalej na trasie twoich własnych połączeń wychodzących.