Apa itu NAT? Penghala rumah dan pemajuan port

NAT, atau Network Address Translation, mengubah alamat paket di sempadan rangkaian. Dalam rangkaian rumah, penghala lazimnya membenarkan beberapa peranti IPv4 beralamat persendirian menggunakan satu alamat IPv4 luaran. Penghala juga sering mengubah nombor port supaya dapat membezakan beberapa sambungan serentak.

Menjejak permintaan keluar

Bayangkan komputer riba di 192.168.1.20 membuka laman web melalui penghalanya. Penghala merekodkan pemetaan antara alamat dan port dalaman komputer riba itu dengan alamat luaran penghala dan port yang dipilih. Laman web melihat alamat luaran dan membalas kepadanya. Penghala menggunakan pemetaannya untuk menghantar balasan kepada komputer riba yang betul, walaupun ada telefon lain yang menghubungi laman yang sama pada masa yang sama. Ini contoh ringkas penterjemahan alamat dan port yang biasa; tingkah laku sebenar bergantung pada penghala. RFC 3022 menerangkan model asas NAT.

Mengapa sambungan masuk mungkin gagal

Permintaan yang tidak diminta dari luar tiada entri sepadan yang dicipta oleh sambungan keluar. Untuk mengehos perkhidmatan, pentadbir boleh mengonfigurasikan peraturan yang memajukan port luaran ke peranti dan port setempat. Contohnya, port TCP luaran 8443 boleh dihalakan ke aplikasi web dalaman tertentu. Peraturan itu mesti menyatakan protokol pengangkutan yang betul: port TCP dan UDP adalah berasingan. Sebelum membukanya, pastikan perkhidmatan itu diselenggara, dilindungi pengesahan dan benar-benar perlu dicapai secara awam. Port yang kelihatan terbuka tidak membuktikan bahawa aplikasi itu sendiri berfungsi dengan betul.

NAT bukan dasar tembok api

Penterjemahan menerangkan cara alamat diubah dan cara balasan dikaitkan dengan sambungan. Dasar tembok api pula menentukan trafik mana yang dibenarkan. Penghala rumah sering menggabungkan kedua-dua fungsi ini, jadi mudah untuk mengelirukan kedua-duanya. Jangan bergantung pada NAT sebagai satu-satunya sempadan keselamatan: peraturan pemajuan, ciri pemetaan automatik atau kesilapan konfigurasi boleh mengubah tahap pendedahan. Uji perkhidmatan sebenar selepas mengonfigurasikannya, bukan sekadar nombor port. Semakan port terbuka 2IP boleh memberikan isyarat dari luar, tetapi tidak dapat mengesahkan bahawa perkhidmatan menggunakan pengesahan yang kukuh.

Menyemak peraturan pemajuan yang gagal

Mula-mula, semak alamat setempat pelayan dan sama ada ia membalas dari LAN yang sama. Kemudian sahkan peraturan port dan protokol pengangkutan pada penghala serta tembok api pelayan itu sendiri. Bandingkan alamat luaran penghala dengan alamat yang diperhatikan oleh laman Internet. Jika ada penghala lain atau NAT gred pembawa penyedia di bahagian huluan, peraturan di rumah sahaja mungkin tidak mencukupi. Jangan matikan keseluruhan tembok api semata-mata untuk mendiagnosis masalah; sebaliknya, periksa peraturan yang khusus itu dan log aplikasi.