☰

Como funciona um NAT atrás de um NAT (NAT do roteador e NAT do ISP)?

tag-icon • tag-icon networking router port-forwarding nat modem
Como funciona um NAT atrás de um NAT (NAT do roteador e NAT do ISP)?

Estou usando um modem-roteador e, em certos casos, também estou atrás de um ISP NAT. Como funciona um NAT (o NAT do roteador) atrás de um NAT (o NAT do ISP)?

Pelo que eu sei, um NAT funciona assim: os computadores A e B obtêm IPs internos internal1e internal2. Em seguida, o NAT fornece a eles portas no mesmo IP, para que eles fiquem atrás someIP:1e voltados para o público someIP:2.

Mas se o roteador fizer isso e o ISP fizer novamente, os IPs ficarão no formato someIP:1:100, someIP:2:101o que é impossível porque as portas não possuem portas de segundo nível.

Então, como isso funciona?

Responder1

Vamos tentar um exemplo simples.

Em uma rede doméstica com NAT "normal", 192.168.1.2:11223é mapeado para o par endereço:porta "público" 203.0.113.5:22334. Portanto, o host de destino final pensa que recebeu um pacote 203.0.113.5:22334e não tem conhecimento da rede "privada" por trás dele.

Agora, vamos expandir isso para uma rede NAT dupla, com dois níveis de NAT.

No roteador mais próximo do host, 192.168.1.2:11223é mapeado para o par endereço:porta "público" 10.0.0.8:22334. Agora, 10.0.0.8ainda é um endereço privado, apenas em uma rede diferente. No que diz respeito a este roteador, seu trabalho está concluído.

No próximo roteador, que serve como gateway para a LAN em que o primeiro roteador está, 10.0.0.8:22334é mapeado para outro par endereço:porta em sua própria interface pública, 203.0.113.5:12345.

O host de destino final pensa que recebeu um pacote de 203.0.113.5:12345. Ela, e a Internet pública como um todo, não tem conhecimento de nenhuma das 10.0.0.0/8sub 192.168.0.0/16-redes envolvidas aqui. Ele enviará uma resposta de volta para esse endereço, que deverá ser traduzida de volta por cada roteador.

                              Different address:port pairs for
                              thesame endpoint in one connection!
+------------------------+    -----------------------------------
|Host                    |
|192.168.1.2             |
+------------------------+    192.168.1.2:11223 <--- Host sees
                                                     this pair

+------------------------+    192.168.1.2:11223 <--- Router 1 sees
|Router 1                |                           req from this
|internal 192.168.1.1/24 |
|external 10.0.0.8       |
+------------------------+    10.0.0.8:22334 <------ Router 1 sends
                                                     req from this

+------------------------+    10.0.0.8:22334 <------ Router 2 sees
|Router 2                |                           req from this
|internal 10.0.0.1/24    |
|external 203.0.113.5    |
+------------------------+    203.0.113.5:12345 <--- Router 2 sends
                                                     req from this

+------------------------+    203.0.113.5:12345 <--- Public internet
|Public internet         |                           sees this pair
+------------------------+

CGN ("ISP NAT") funciona da mesma maneira. A única diferença é que ele não fornece aos seus hosts internos um endereço privado RFC1918, pois isso pode entrar em conflito com as redes comerciais. Em vez disso, um endereço do 100.64.0.0/10intervalo (RFC6598) é distribuído pelo “Roteador 2” no diagrama acima. Tanto quanto o próprio roteador do cliente vê, seu endereço "público" está nesse intervalo - mas não é realmente acessível na Internet pública!

Responder2

Pelo que eu sei, um NAT funciona assim: os computadores A e B obtêm IPs internos internal1 e internal2. Em seguida, o NAT fornece portas no mesmo IP, para que o público fique atrás de someIP:1 e someIP:2.

Não. Portasnão sãoparte do endereço do host – não existem portas na camada IP, seja NAT usado ou não. O endereço IP de um host é sempreapenaso endereço; não possui portas de "segundo nível" e também não possui portas de "primeiro nível". [1]

Em vez disso, as portas pertencem a cada TCP/UDP individualconexãoque o host faz em cima do IP. (Bem, estritamente falando, eles fazem parte de cada pacote e todos os pacotes na mesma conexão usam as mesmas portas.)

Então, quando você vê um endereço escrito como 12.34.56.78:123, a coisa toda énãoo endereço IP do host – esse é um ponto final de conexão TCP para a porta 123noum host cujo endereço IP ainda é simplesmente 12.34.56.78.

Essas portasnão são adicionadospelo NAT – eles sempre estiveram lá; cada pacote TCP ou UDP possui exatamente duas portas (uma porta de 'origem' e uma porta de 'destino'). Um roteador que executa NAT apenas os traduz para valores diferentes. Não importa quantos níveis de NAT você tenha, esse pacote ainda terá duas portas.

[1] Isso significa que quando você tem dois hosts com NAT atrás de um único endereço público, eles são na verdade indistinguíveis para a camada IP – quando um pacote IP de fora é enviado para someIPele, não há como especificar qual host deseja; o roteador NAT precisa inferir isso da camada TCP. É por isso que você precisa configurar regras de “encaminhamento de porta” para receber conexões de entrada.

informação relacionada