6.6 NAT, PAT und private IP-Adressen NAT gehört zum Umfeld von OSI-Schicht 3. NAT steht für: Network Address Translation Auf Deutsch sinngemäß: Netzwerkadressübersetzung NAT wird verwendet, um IP-Adressen beim Übergang zwischen Netzwerken zu ändern. Typisches Beispiel: Ein privates Heim- oder Firmennetz nutzt interne IPv4-Adressen. Beim Zugriff ins Internet werden diese in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT = Übersetzung von IP-Adressen. Warum braucht man NAT? IPv4-Adressen sind knapp. Deshalb verwenden viele lokale Netzwerke private IPv4-Adressen. Private IPv4-Adressen sind im öffentlichen Internet nicht direkt erreichbar. Damit Geräte mit privaten Adressen trotzdem ins Internet können, wird NAT verwendet. Beispiel: PC intern: 192.168.10.20 öffentliche Adresse des Routers: 93.184.100.10 Nach außen sieht die Verbindung so aus, als käme sie von der öffentlichen Adresse des Routers. Merksatz: NAT ermöglicht Internetzugang für private IPv4-Adressen. Private IPv4-Adressen Private IPv4-Adressen sind für interne Netzwerke reserviert. Wichtige private Bereiche: Bereich CIDR 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Diese Adressen werden im Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen sind für interne Netze gedacht. Öffentliche IPv4-Adressen Öffentliche IPv4-Adressen sind im Internet eindeutig erreichbar und routbar. Sie werden zum Beispiel verwendet für: - Internetanschlüsse - Webserver - Mailserver - öffentliche DNS-Server - Cloud-Systeme - VPN-Gateways Ein Gerät mit privater IPv4-Adresse braucht für direkte Internetkommunikation normalerweise NAT über ein Gerät mit öffentlicher Adresse. Merksatz: Öffentliche IPv4-Adressen sind im Internet routbar. Private und öffentliche IP-Adressen unterscheiden Merkmal private IPv4-Adresse öffentliche IPv4-Adresse Einsatz internes Netz Internet direkt im Internet routbar nein ja Beispiel 192.168.10.20 93.184.216.34 häufig mit NAT ja nein weltweit eindeutig nur im eigenen Netz ja Merksatz: Privat = intern. Öffentlich = im Internet routbar. Grundprinzip von NAT Ein internes Gerät sendet ein Paket ins Internet. Beispiel: Quell-IP intern: 192.168.10.20 Ziel-IP: 8.8.8.8 Der Router übersetzt die Quell-IP. Nach außen sieht das Paket zum Beispiel so aus: Quell-IP öffentlich: 93.184.100.10 Ziel-IP: 8.8.8.8 Die Antwort aus dem Internet geht zurück an die öffentliche IP des Routers. Der Router ordnet die Antwort wieder dem internen Gerät zu. Merksatz: NAT ersetzt private Adressen durch öffentliche Adressen. NAT-Tabelle Ein NAT-Gerät merkt sich, welche interne Verbindung zu welcher externen Verbindung gehört. Dafür nutzt es eine NAT-Tabelle. Vereinfacht: Intern Extern 192.168.10.20 93.184.100.10 192.168.10.30 93.184.100.10 Bei PAT kommen zusätzlich Ports dazu. Merksatz: NAT-Tabelle merkt sich Übersetzungen. PAT PAT steht für: Port Address Translation PAT ist eine besondere Form von NAT. Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse. Die Unterscheidung erfolgt über Port-Zuordnungen. Typisches Heimnetz: viele interne Geräte eine öffentliche IPv4-Adresse Merksatz: PAT = viele interne Geräte über eine öffentliche IP mit Port-Zuordnung. Warum braucht man PAT? Ohne PAT könnte ein Router bei vielen internen Geräten schwer unterscheiden, zu welchem Gerät eine Antwort gehört. PAT nutzt deshalb zusätzlich Ports. Beispiel: Internes Gerät interner Port öffentliche IP externer Port 192.168.10.20 51520 93.184.100.10 40001 192.168.10.30 51520 93.184.100.10 40002 192.168.10.40 51520 93.184.100.10 40003 Nach außen nutzen alle dieselbe öffentliche IP. Die Ports unterscheiden die Verbindungen. Merksatz: PAT unterscheidet Verbindungen über Ports. NAT und PAT im Vergleich Begriff Bedeutung Typischer Einsatz NAT Übersetzung von IP-Adressen private IP zu öffentlicher IP PAT Übersetzung mit Port-Zuordnung viele Geräte teilen eine öffentliche IP In der Praxis meint man mit „NAT im Heimrouter“ oft PAT. Merksatz: NAT übersetzt Adressen. PAT nutzt zusätzlich Ports. Source NAT Source NAT verändert die Quelladresse eines Pakets. Typischer Fall: internes Gerät → Internet Beispiel vorher: Quell-IP: 192.168.10.20 Nach NAT: Quell-IP: 93.184.100.10 Ziel: Das Paket kann mit einer öffentlichen Adresse ins Internet gesendet werden. Merksatz: Source NAT verändert die Quell-IP. Destination NAT Destination NAT verändert die Zieladresse eines Pakets. Typischer Fall: Zugriff von außen auf internen Server Beispiel: öffentlich: 93.184.100.10:443 wird weitergeleitet an: intern: 192.168.10.50:443 Das wird häufig bei Portweiterleitungen verwendet. Merksatz: Destination NAT verändert die Ziel-IP. Portweiterleitung Portweiterleitung bedeutet: Ein bestimmter Port an der öffentlichen IP wird an ein internes Gerät weitergeleitet. Beispiel: öffentliche IP: 93.184.100.10 öffentlicher Port: 443 interner Server: 192.168.10.50 interner Port: 443 Anfragen von außen an 93.184.100.10:443 werden zum internen Server weitergeleitet. Merksatz: Portweiterleitung macht einen internen Dienst von außen erreichbar. Portweiterleitung und Sicherheit Portweiterleitungen müssen vorsichtig geplant werden. Warum? Ein interner Dienst wird von außen erreichbar. Mögliche Risiken: - Angriffe aus dem Internet - unsichere Dienste - schwache Passwörter - veraltete Software - falsche Firewall-Regeln - versehentlich freigegebene Systeme Sinnvolle Schutzmaßnahmen: - nur notwendige Ports freigeben - Dienste aktuell halten - starke Authentifizierung nutzen - Firewall-Regeln einschränken - VPN bevorzugen - Logs und Monitoring prüfen Merksatz: Jeder freigegebene Port ist eine Angriffsfläche. NAT und Firewall unterscheiden NAT und Firewall werden oft verwechselt. NAT macht: Adressen übersetzen. Firewall macht: Verkehr erlauben oder blockieren. Beide Funktionen können im gleichen Gerät sitzen. Beispiel: Ein Internet-Router macht NAT und filtert gleichzeitig eingehende Verbindungen. Merksatz: NAT ist Übersetzung. Firewall ist Filterung. NAT und Routing unterscheiden Routing entscheidet: Wohin wird ein Paket weitergeleitet? NAT verändert: Welche IP-Adresse im Paket steht? Beispiel: Routing: Paket wird Richtung Internet geschickt. NAT: private Quell-IP wird zur öffentlichen Quell-IP. Merksatz: Routing findet den Weg. NAT ändert Adressen. NAT und Schichtenmodell NAT wird meistens Schicht 3 zugeordnet, weil IP-Adressen verändert werden. PAT hat zusätzlich Bezug zu Schicht 4, weil Ports verwendet werden. Technik Bezug NAT Schicht 3 PAT Schicht 3 mit Schicht-4-Bezug Firewall nach IP Schicht 3 Firewall nach TCP-/UDP-Port Schicht 4 Anwendungsschutz Schicht 7 Merksatz: NAT = Schicht 3. PAT = Schicht 3 mit Ports aus Schicht 4. Beispiel: Heimnetz mit PAT Ein Heimnetz hat mehrere Geräte: Gerät private IP Notebook 192.168.0.10 Smartphone 192.168.0.20 Smart-TV 192.168.0.30 NAS 192.168.0.40 Der Router hat nach außen eine öffentliche IPv4-Adresse: 93.184.100.10 Alle Geräte gehen über diese eine öffentliche Adresse ins Internet. Der Router unterscheidet die Verbindungen über PAT. Merksatz: PAT ist typisch für Heimrouter und kleine Firmennetze. Beispiel: Zugriff von innen nach außen Ein PC öffnet eine Webseite. Intern: PC: 192.168.10.20 Ziel: 93.184.216.34:443 Am Router passiert: Quell-IP wird übersetzt. Quell-Port wird zugeordnet. Verbindung wird in NAT-Tabelle gespeichert. Nach außen: öffentliche IP des Routers mit einem zugeordneten Port Antworten kommen zurück zum Router. Der Router ordnet sie dem PC zu. Merksatz: Von innen nach außen funktioniert NAT meist automatisch. Beispiel: Zugriff von außen nach innen Ein externer Client möchte auf einen internen Server zugreifen. Problem: Der interne Server hat eine private IP-Adresse. Diese ist aus dem Internet nicht direkt erreichbar. Lösung: Portweiterleitung oder VPN. Beispiel Portweiterleitung: Extern: 93.184.100.10:443 Intern: 192.168.10.50:443 Merksatz: Von außen nach innen braucht man gezielte Freigabe oder VPN. Statisches NAT Statisches NAT bedeutet: Eine interne IP-Adresse wird fest einer externen IP-Adresse zugeordnet. Beispiel: intern: 192.168.10.50 extern: 93.184.100.50 Diese Zuordnung bleibt gleich. Typischer Einsatz: Server, die dauerhaft von außen erreichbar sein sollen. Merksatz: Statisches NAT = feste 1:1-Adressübersetzung. Dynamisches NAT Dynamisches NAT bedeutet: Interne Geräte bekommen bei Bedarf eine externe Adresse aus einem Pool. Beispiel: interner Adressbereich: 192.168.10.0/24 öffentlicher Pool: 93.184.100.10 bis 93.184.100.20 Die Zuordnung kann sich ändern. Merksatz: Dynamisches NAT nutzt einen Adresspool. NAT Overload NAT Overload ist ein anderer Begriff für PAT. Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse. Die Unterscheidung erfolgt über Ports. Typischer Einsatz: Internetzugang für viele Clients über eine öffentliche IPv4-Adresse. Merksatz: NAT Overload = PAT. CGNAT CGNAT steht für: Carrier-Grade NAT Dabei verwendet der Internetanbieter selbst NAT. Das bedeutet: Der Kunde bekommt keine eigene öffentliche IPv4-Adresse direkt am Router, sondern eine Adresse hinter dem NAT des Providers. Mögliche Folge: Eingehende Verbindungen von außen sind schwer oder nicht direkt möglich. Typische Probleme: - Portweiterleitung funktioniert nicht wie erwartet - eigener Server von außen nicht erreichbar - VPN von außen schwieriger - Online-Dienste können Einschränkungen haben Merksatz: CGNAT bedeutet: NAT findet schon beim Provider statt. CGNAT erkennen Hinweise auf CGNAT: WAN-IP am Router ist nicht die gleiche wie die öffentliche IP, die Webseiten anzeigen. Oder: WAN-IP liegt in einem privaten oder speziellen Provider-NAT-Bereich. Ein häufiger CGNAT-Bereich ist: 100.64.0.0/10 Wichtig: CGNAT hängt vom Anbieter und Anschluss ab. Merksatz: Bei CGNAT hat der Router oft keine eigene echte öffentliche IPv4-Adresse. 100.64.0.0/10 Der Bereich: 100.64.0.0/10 wird häufig für Carrier-Grade NAT verwendet. Er ist nicht normaler privater RFC1918-Bereich wie: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 Er ist speziell für Provider-NAT vorgesehen. Merksatz: 100.64.0.0/10 weist oft auf CGNAT hin. NAT und Serverbetrieb Wenn ein interner Server von außen erreichbar sein soll, müssen mehrere Dinge passen. Prüfpunkte: - öffentliche IP vorhanden? - kein CGNAT? - Portweiterleitung korrekt? - Firewall-Regel erlaubt? - Server hört auf richtigem Port? - Ziel-IP intern korrekt? - DNS zeigt auf richtige öffentliche IP? - Zertifikat korrekt? - Dienst sicher konfiguriert? Merksatz: Server hinter NAT braucht Portweiterleitung, Firewall-Regel und erreichbare öffentliche Adresse. NAT und VPN VPN kann helfen, interne Dienste sicher erreichbar zu machen. Statt einzelne Ports ins Internet zu öffnen, baut man eine verschlüsselte Verbindung ins interne Netz auf. Vorteile: - weniger offene Ports - Zugriff nur für berechtigte Benutzer - bessere Kontrolle - interne Dienste bleiben geschützt Beispiele: - Standort-VPN - Remote-Access-VPN - WireGuard - IPsec - OpenVPN Merksatz: VPN ist oft sicherer als viele Portweiterleitungen. NAT und IPv6 Bei IPv6 ist NAT normalerweise nicht notwendig. Warum? IPv6 hat einen sehr großen Adressraum. Geräte können global eindeutige IPv6-Adressen haben. Aber: Das bedeutet nicht, dass sie ungeschützt sein sollen. Statt NAT braucht man bei IPv6: - Firewall-Regeln - Netztrennung - saubere Adressplanung - Zugriffskontrolle Merksatz: IPv6 braucht normalerweise kein NAT, aber trotzdem Firewall-Schutz. NAT ist kein vollständiges Sicherheitskonzept NAT wird manchmal als Sicherheitsfunktion verstanden. Das ist nur teilweise richtig. NAT verhindert oft unbeabsichtigte direkte eingehende Verbindungen, weil keine Zuordnung existiert. Aber: NAT ersetzt keine Firewall. NAT prüft keine Anwendungssicherheit. NAT erkennt keine Angriffe zuverlässig. NAT schützt nicht vor unsicheren ausgehenden Verbindungen. Merksatz: NAT kann abschirmen, ist aber keine vollständige Sicherheitslösung. NAT und Protokollprobleme Manche Protokolle kommen mit NAT schlechter zurecht. Warum? NAT verändert Adressen und manchmal Ports. Probleme können entstehen bei: - VoIP - SIP - bestimmten VPNs - Peer-to-Peer-Anwendungen - Spielen - Protokollen mit IP-Adressen in den Nutzdaten Mögliche Lösungen: - spezielle NAT-Hilfsfunktionen - STUN / TURN - VPN - Portweiterleitung - Protokollanpassung Merksatz: NAT kann Protokolle stören, wenn Adressen oder Ports wichtig sind. Hairpin NAT Hairpin NAT bedeutet: Ein internes Gerät greift über die öffentliche Adresse auf einen internen Dienst zu. Beispiel: Internes Notebook öffnet: https://meinedomain.de DNS zeigt auf: öffentliche IP des Routers Der Dienst liegt aber intern auf: 192.168.10.50 Damit das funktioniert, muss der Router Hairpin NAT unterstützen. Merksatz: Hairpin NAT erlaubt internen Zugriff über die öffentliche Adresse auf interne Dienste. Split DNS als Alternative Split DNS bedeutet: Interne Clients bekommen für einen Namen eine interne IP-Adresse. Externe Clients bekommen für denselben Namen eine öffentliche IP-Adresse. Beispiel: intern: wiki.firma.de → 192.168.10.50 extern: wiki.firma.de → 93.184.100.10 Vorteil: Interne Clients müssen nicht über Hairpin NAT gehen. Merksatz: Split DNS gibt intern und extern unterschiedliche Antworten. NAT und Logs Bei NAT ist Logging wichtig. Warum? Viele interne Geräte können nach außen dieselbe öffentliche IP-Adresse nutzen. Ohne Logs ist später schwer nachvollziehbar: welches interne Gerät zu welcher Zeit welche externe Verbindung genutzt hat. Wichtige Informationen: - interne IP - interner Port - öffentliche IP - externer Port - Zieladresse - Zeitstempel Merksatz: Bei NAT braucht man Logs, um Verbindungen nachvollziehen zu können. Typische NAT-Fehler Typische Fehler sind: - NAT-Regel fehlt - falsche interne Ziel-IP - falscher Port - Firewall blockiert - Dienst läuft nicht - CGNAT beim Provider - DNS zeigt auf falsche IP - doppelte Portweiterleitung - falsches Interface - NAT-Regel in falscher Reihenfolge - Rückroute fehlt - Hairpin NAT fehlt Merksatz: NAT-Fehler können wie Routing-, Firewall- oder DNS-Probleme aussehen. Fehlerbild: Internet geht nicht Mögliche NAT-bezogene Ursachen: - Source NAT fehlt - PAT falsch konfiguriert - Default Route fehlt - Firewall blockiert ausgehend - Provider-Verbindung gestört - DNS-Problem - falsches Gateway - Rückweg fehlt Prüfung: Client-IP prüfen. Gateway prüfen. Ping auf externe IP testen. NAT-Regel prüfen. Firewall prüfen. DNS prüfen. Merksatz: Internetproblem kann Routing, NAT, Firewall oder DNS sein. Fehlerbild: Portweiterleitung funktioniert nicht Mögliche Ursachen: - keine öffentliche IPv4-Adresse - CGNAT - falscher externer Port - falsche interne IP - interner Dienst läuft nicht - Firewall blockiert am Router - Firewall blockiert am Server - DNS zeigt falsch - Test aus internem Netz ohne Hairpin NAT - ISP blockiert Ports Merksatz: Portweiterleitung braucht öffentliche Erreichbarkeit, NAT-Regel, Firewall-Freigabe und laufenden Dienst. Fehlerbild: Von innen geht es, von außen nicht Wenn ein Dienst intern funktioniert, aber extern nicht, prüft man: - öffentliche IP vorhanden? - CGNAT? - DNS zeigt auf richtige IP? - Portweiterleitung korrekt? - Firewall-Regeln korrekt? - Dienst hört auf richtiger Schnittstelle? - Zertifikat oder Reverse Proxy korrekt? - Provider blockiert Port? Merksatz: Intern erreichbar heißt nicht automatisch extern erreichbar. NAT und Rückweg NAT funktioniert nur, wenn Antworten zurück zum NAT-Gerät gelangen. Wenn der Rückweg falsch ist, kann die Verbindung scheitern. Beispiel: Paket geht über Router A hinaus. Antwort kommt über Router B zurück. Wenn Router B die NAT-Zuordnung nicht kennt, kann er die Antwort nicht korrekt zuordnen. Merksatz: NAT braucht passenden Hin- und Rückweg über dasselbe NAT-Gerät. Asymmetrisches Routing und NAT Asymmetrisches Routing bedeutet: Hinweg und Rückweg nehmen unterschiedliche Pfade. Bei NAT kann das problematisch sein. Warum? Das NAT-Gerät muss die Verbindung kennen, um Antworten zurückübersetzen zu können. Wenn die Antwort an einem anderen Gerät ankommt, fehlt dort die passende NAT-Tabelle. Merksatz: NAT und asymmetrisches Routing passen oft schlecht zusammen. Einordnung in das OSI-Modell Thema Schicht MAC-Adresse 2 VLAN 2 IP-Adresse 3 Routing 3 NAT 3 PAT 3 / 4 TCP-Port 4 UDP-Port 4 Firewall nach IP 3 Firewall nach Port 4 DNS 7 Merksatz: NAT verändert IP-Adressen. PAT nutzt zusätzlich Ports. Was NAT nicht macht NAT macht nicht: - DNS-Namen auflösen - Dienste starten - Benutzer authentifizieren - Verschlüsselung bereitstellen - automatisch Firewall-Regeln sicher machen - Schwachstellen beseitigen - Routing ersetzen - VLANs trennen NAT hat eine klare Aufgabe: Adressen übersetzen. Merksatz: NAT ist Adressübersetzung, keine komplette Sicherheits- oder Netzwerklösung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet NAT? - Warum wird NAT bei IPv4 häufig verwendet? - Was sind private IPv4-Adressen? - Was ist der Unterschied zwischen privater und öffentlicher IP-Adresse? - Was bedeutet PAT? - Warum können viele interne Geräte eine öffentliche IP-Adresse nutzen? - Was ist Source NAT? - Was ist Destination NAT? - Was ist eine Portweiterleitung? - Was ist CGNAT? - Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht? - Was ist der Unterschied zwischen NAT und Firewall? - Was ist der Unterschied zwischen NAT und Routing? - Warum braucht IPv6 normalerweise kein NAT? Typische Prüfungsfallen NAT = Network Address Translation. PAT = Port Address Translation. NAT übersetzt IP-Adressen. PAT nutzt zusätzlich Ports. Private IPv4-Adressen sind im Internet nicht direkt geroutet. Öffentliche IPv4-Adressen sind im Internet routbar. 10.0.0.0/8 ist privat. 172.16.0.0/12 ist privat. 192.168.0.0/16 ist privat. 100.64.0.0/10 weist oft auf CGNAT hin. Source NAT verändert die Quell-IP. Destination NAT verändert die Ziel-IP. Portweiterleitung macht interne Dienste von außen erreichbar. NAT ist nicht dasselbe wie Firewall. NAT ist nicht dasselbe wie Routing. NAT ersetzt keine Sicherheitsplanung. IPv6 braucht normalerweise kein NAT. NAT kann Protokolle stören. NAT braucht passenden Rückweg. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung NAT Network Address Translation PAT Port Address Translation Source NAT Übersetzung der Quelladresse Destination NAT Übersetzung der Zieladresse Portweiterleitung Weiterleitung eines externen Ports an internes Ziel private IPv4-Adresse interne IPv4-Adresse, nicht öffentlich geroutet öffentliche IPv4-Adresse im Internet routbare IPv4-Adresse NAT-Tabelle Zuordnung übersetzter Verbindungen NAT Overload anderer Begriff für PAT CGNAT Provider-NAT beim Internetanbieter 100.64.0.0/10 häufiger Bereich für CGNAT Hairpin NAT interner Zugriff über öffentliche Adresse auf internen Dienst Split DNS interne und externe DNS-Antworten unterscheiden sich Rückroute Weg zurück zum Absendernetz asymmetrisches Routing Hin- und Rückweg sind unterschiedlich IHK-sichere Kurzformulierung NAT steht für Network Address Translation und bezeichnet die Übersetzung von IP-Adressen beim Übergang zwischen Netzwerken. Es wird bei IPv4 häufig verwendet, damit Geräte mit privaten IP-Adressen über eine öffentliche IPv4-Adresse ins Internet kommunizieren können. PAT ist eine Form von NAT, bei der zusätzlich Ports verwendet werden, damit viele interne Geräte dieselbe öffentliche IP-Adresse nutzen können. Source NAT verändert die Quelladresse, Destination NAT verändert die Zieladresse und wird häufig bei Portweiterleitungen genutzt. NAT ist nicht dasselbe wie Routing oder Firewall und ersetzt keine Sicherheitsplanung. Merksätze NAT = Network Address Translation. NAT = IP-Adressen übersetzen. PAT = Port Address Translation. PAT = NAT mit Port-Zuordnung. Private IPv4-Adressen sind intern. Öffentliche IPv4-Adressen sind im Internet routbar. NAT ermöglicht privaten IPv4-Geräten Internetzugang. Source NAT verändert die Quell-IP. Destination NAT verändert die Ziel-IP. Portweiterleitung macht interne Dienste von außen erreichbar. NAT-Tabelle merkt sich Übersetzungen. Heimrouter nutzen meist PAT. NAT Overload = PAT. CGNAT = NAT beim Provider. 100.64.0.0/10 weist oft auf CGNAT hin. NAT ist nicht Firewall. NAT ist nicht Routing. Routing findet den Weg. Firewall erlaubt oder blockiert. NAT übersetzt Adressen. IPv6 braucht normalerweise kein NAT. IPv6 braucht trotzdem Firewall-Regeln. NAT kann Protokolle stören. NAT braucht passenden Rückweg. Portweiterleitung braucht öffentliche Erreichbarkeit, NAT-Regel, Firewall-Freigabe und laufenden Dienst.