Ваш роутер и NAT

Узнайте свой публичный IP-адрес — и каждое устройство в вашей домашней сети: телефон, ноутбук, умная колонка — покажет одно и то же число. Посмотрите же, каким каждое устройство считает свой собственный адрес, и вы увидите нечто другое: приватный адрес вроде 192.168.1.12, из диапазонов, которые RFC 1918 резервирует для локальных сетей и которые рассматривались в первом уроке этого курса. Устройство, соединяющее эти два мира, — ваш роутер, использующий технологию под названием трансляция сетевых адресов, или NAT.

Что NAT делает на самом деле

Глоссарий MDN определяет это прямо: NAT — «это техника, позволяющая нескольким компьютерам совместно использовать один IP-адрес» (is a technique for letting multiple computers share an IP address), путём «назначения уникальных адресов каждому компьютеру в локальной сети и корректировки сетевого трафика для отправки данных в нужное место» (assigning unique addresses to each computer on the local network and adjusting network traffic to send data to the right place). Конкретно: когда ваш ноутбук открывает соединение с сайтом, роутер переписывает исходящий пакет так, чтобы он выглядел исходящим от собственного публичного адреса роутера, и хранит таблицу, связывающую это соединение с приватным адресом и портом вашего ноутбука. Когда приходит ответ, роутер ищет запись в этой таблице и пересылает его на нужное устройство.

Именно поэтому NAT вообще существует: примерно 4,3 миллиарда адресов IPv4 никогда не смогли бы растянуться на публичный адрес для каждого телефона, ноутбука и умного устройства в каждом доме, а интернет-провайдеры обычно выделяют дому только один публичный адрес. NAT позволяет дюжине устройств в доме совместно использовать этот единственный адрес, не требуя собственного для каждого.

Что NAT попутно даёт вам

NAT создавался, чтобы решить проблему нехватки адресов, а не для защиты вашей сети, но у него есть полезный побочный эффект. Поскольку устройства за ним имеют только приватные адреса, компьютер из открытого интернета не может просто открыть новое, незапрошенное соединение с вашим ноутбуком, как мог бы, если бы ваш ноутбук напрямую имел публичный адрес: обращаться попросту не к чему, а у роутера нет соответствующей записи в таблице трансляции, чтобы переслать такое соединение куда-либо. Трафик, который запросило само ваше устройство, пропускается обратно, потому что роутер помнит запрос; трафику, который никто не запрашивал, обычно некуда идти.

Чего NAT не делает

Эта побочная фильтрация — не то же самое, что безопасность, и стоит чётко понимать разницу:

• NAT никак не влияет на соединения, которые ваши собственные устройства открывают наружу. Если приложение на вашем ноутбуке подключается к серверу, NAT спокойно пропускает ответ обратно; у него нет никакого мнения о том, должно ли было это приложение вообще общаться с этим сервером.
• NAT не проверяет и не шифрует содержимое. Всё, что отправлено в открытом виде, так же читаемо для сайтов и промежуточных сетей, как и без NAT.
• NAT не заменяет файрвол. Многие роутеры запускают файрвол с отслеживанием состояния параллельно с NAT, и именно этот файрвол, отслеживая рукопожатие, описанное в предыдущем уроке, реально решает, что пропускать.
• Устройства, использующие один общий публичный адрес, всё равно можно различить по отдельности другими способами — например, по учётным записям, файлам cookie или идентификаторам устройств, которые используют посещаемые ими сайты.

Коротко: именно из-за NAT весь ваш дом использует один адрес, и, как побочный эффект, случайные входящие подключения обычно не могут незвано добраться до конкретного устройства у вас дома. Но это ничего не говорит о том, что решают отправлять наружу ваши собственные устройства, или о ком-либо на другом конце ваших исходящих соединений.