Ваш маршрутизатор і NAT

Знайдіть свою загальнодоступну IP-адресу, і кожен пристрій у вашій домашній мережі, телефон, ноутбук, розумний динамік, покаже той самий номер. Подивіться, якою на думку кожного пристрою є власна адреса, і ви знайдете щось інше: приватну адресу, наприклад 192.168.1.12, із діапазонів, які RFC 1918 резервує для локальних мереж, розглянутих у першому уроці цього курсу. Пристроєм, який з’єднує ці два зв’язки, є ваш маршрутизатор, який використовує техніку під назвою «Трансляція мережевих адрес» або NAT.

Що насправді робить NAT

У глосарії MDN це чітко визначено: NAT «це техніка, яка дозволяє кільком комп’ютерам спільно використовувати одну IP-адресу», шляхом «призначення унікальних адрес кожному комп’ютеру в локальній мережі та налаштування мережевого трафіку для надсилання даних у потрібне місце». Конкретно, коли ваш ноутбук відкриває з’єднання з веб-сайтом, маршрутизатор переписує вихідний пакет, щоб він виглядав як такий, що надходить із власної загальнодоступної адреси маршрутизатора, і зберігає таблицю, що зв’язує це з’єднання з приватною адресою та портом вашого ноутбука. Коли приходить відповідь, маршрутизатор шукає її в цій таблиці та пересилає на потрібний пристрій.

Ось чому взагалі існує NAT: приблизно 4,3 мільярда адрес IPv4 ніколи не збиралися поширюватися на публічну адресу для кожного телефону, ноутбука та смарт-пристрою в кожній родині, а інтернет-провайдери зазвичай надають дому лише одну публічну адресу. NAT дозволяє родині з дюжини пристроїв спільно використовувати одну адресу, не потребуючи для кожного окремої адреси.

До речі, що NAT робить для вас

NAT було створено, щоб вирішити проблему нестачі адреси, а не для захисту вашої мережі, але він має корисний побічний ефект. Оскільки пристрої, що стоять за ним, мають лише приватні адреси, комп’ютер у відкритому Інтернеті не може просто відкрити нове небажане з’єднання з вашим ноутбуком так, як це було б, якби ваш ноутбук мав публічну адресу напряму: немає загальнодоступної адреси, до якої він міг би отримати доступ, і маршрутизатор не має відповідного запису в таблиці перекладу, щоб переслати це з’єднання. Трафік, який запитує ваш власний пристрій, пропускається назад, оскільки маршрутизатор запам’ятовує запит; трафіку ніхто не просив взагалі нема куди їхати.

Що не робить NAT

Ця випадкова фільтрація не те саме, що безпека, і варто бути точним щодо різниці:

• NAT нічого не робить щодо з’єднань, які ваші власні пристрої відкривають назовні. Якщо програма на вашому ноутбуці підключається до сервера, NAT із задоволенням пропускає відповідь; він не має думки про те, чи мала ця програма спілкуватися з цим сервером у першу чергу.
• NAT не перевіряє та не шифрує вміст. Усе, що надіслано у відкритому вигляді, так само читається для сайтів і мереж між ними, як і без NAT.
• NAT не замінює брандмауер. Багато маршрутизаторів запускають брандмауер із визначенням стану разом із NAT, і саме цей брандмауер, відстежуючи рукостискання, описане в попередньому уроці, вирішує, що дозволити.
• Пристрої, які мають одну загальнодоступну адресу, все ще можна розрізнити окремо за допомогою інших засобів, таких як облікові записи, файли cookie або ідентифікатори пристроїв, які використовуються на сайтах, які вони відвідують.

Коротко кажучи: через NAT уся ваша родина має одну адресу, і, як побічний ефект, чому випадкові вхідні з’єднання зазвичай не можуть без запрошення досягти певного пристрою у вашому домі. У ньому нічого не сказано про те, що ваші власні пристрої вирішують надсилати, або про будь-кого нижче за вашими вихідними з’єднаннями.