NAT traversal

Zařízení NAT narušují end-to-end konektivitu, se kterou počítal původní návrh Internetu. NAT se začalo používat kvůli Vyčerpání IPv4 adres, resp. pro zmírnění následků nedostatku IPv4 adres. NAT umožňuje používat privátní IP adresu v soukromých sítích, které jsou umístěny za směrovači a pro komunikaci se zbytkem Internetu využívat byť jedinou veřejnou IP adresu. Zařízení ve vnitřní síti komunikují se zařízeními ve vnější síti pomocí změny zdrojové IP adresy (a portu) v odchozích IP datagramech, které procházejí skrze zařízení provádějící NAT. Při obdržení odpovědi přepíše zařízení provádějící NAT zpět původní privátní IP adresu a port tak, aby byla odpověď doručena původnímu zařízení.

Překlad síťových adres je nevhodný pro umisťování serverů do vnitřní sítě, protože zařízení provádějící NAT nemá bez vnější pomoci možnost, jak určit, pro jaké zařízení ve vnitřní síti jsou přicházející datagramy určeny. Tento problém nevzniká při přístupu z vnitřního počítače k webovým stránkám a e-mailovým službám umístěných ve veřejném Internetu. Ale peer-to-peer sdílení souborů, VoIP služby a herní konzole vyžadují, aby klienti byli dosažitelní z Internetu podobně jako veřejné servery. Příchozí datagramy nemohou být jednoduše předány správnému vnitřnímu zařízení. Kromě toho mnoho podobných služeb přenáší informace o IP adrese a čísle portu uvnitř datagramů, což potenciálně vyžaduje nasazení technologií deep packet inspection.

Technologie překladu síťových adres nejsou standardizovány. Tím pádem jsou metody, využívané pro průchod NAT branou často proprietární a špatně zdokumentované. Mnoho technik průchodu vyžaduje asistenci od serverů umístěných vně maškarádované sítě. Některé metody využívá server pouze při navazování připojení. Jiné metody jsou založeny na přeposílání všech dat skrze takový veřejný server, což eskaluje požadavky na šířku pásma (tj. kvalitní konektivitu veřejně umístěného serveru), zvyšuje latenci (zpoždění), a jsou tak nevhodné pro hlasovou a obrazovou komunikaci v reálném čase.

Techniky průchodu NAT branou obvykle obchází zabezpečení používané v příslušné síti. Podnikoví bezpečností experti upřednostňují techniky, které výslovně spolupracují s NAT branou a firewally povolujících průchod NAT branou, a tím umožňují kontrolu a vynucování bezpečnostních politik v NAT bráně. Mezi IETF standardy, které používají takový bezpečnostním model, jsou Realm-Specific IP (RSIP) a middlebox komunikace (MIDCOM).

Dostupné techniky průchodu branou NAT jsou následující:

• Socket Secure (SOCKS) je technologie vytvořená na začátku devadesátých let, která používá proxy servery k přeposílání provozu mezi sítěmi nebo systémy.
• Traversal Using Relays around NAT (TURN) je protokol posílání navržený speciálně k průchodu branou NAT.
• NAT hole punching je obecná technika, která využívá vlastnosti bran NAT, jak zacházejí s některými protokoly (například, UDP, TCP, nebo ICMP), k propuštění dříve zablokovaných paketů v branou NAT.
• Session Traversal Utilities for NAT (STUN) je standardizovaná množina metod a síťových protokolů pro NAT hole punching. Tato množina byla navržená pro UDP, ale byla rozšířena také pro TCP.
• Interactive Connectivity Establishment (ICE) je kompletní protokol pro používání STUN a/nebo TURN k průchodu branou NAT, zatímco vybírá nejlepší dostupnou trasu. Vyplňuje některé chybějící informace a nedostatky, které nebyly zmíněny ve specifikaci STUN.
• UPnP Internet Gateway Device Protocol (IGDP) je podporován mnoha malými bránami NAT v menších kancelářích. Umožňuje zařízení v síti zeptat se směrovače na otevření portu.
• NAT-PMP je protokol představený společností Apple jako alternativa k IGDP.
• PCP je následovník NAT-PMP.
• Application-level gateway (ALG) je část firewallu nebo brány NAT, která umožňuje nastavení filtrů průchodu branou NAT.[2] Mnoho lidí tvrdí, že tato technika vytváří více problémů, než řeší.[3]

Klienti IPsec VPN používají průchod branou NAT k umožnění Encapsulating Security Payload paketů projít branou NAT. IPsec používá ke svému provozu několik protokolů, které musí být povoleny, aby bylo možné projít firewally a překladači sítových adres (NAT):

• Internet Key Exchange (IKE) – User Datagram Protocol (UDP) port 500
• Encapsulating Security Payload (ESP) – číslo IP protokolu 50
• Authentication Header (AH) – číslo IP protokolu 51
• IPsec průchod branou NAT – UDP port 4500, když se používá průchod branou NAT

Mnoho směrovačů poskytuje rozšíření často nazývané IPsec Passthrough.

V systému Windows XP je ve výchozím stavu průchod NAT branou povolen, ale v systému Windows XP s balíčkem Service Pack 2 je tato funkce ve výchozím nastavení vypnuta pro případ, kdy je VPN server také za zařízením NAT, kvůli vzácné a kontroverzní bezpečnostní chybě.[6] Záplaty pro IPsec NAT-T jsou dostupné také pro systémy Windows 2000, Windows NT 4.0 a Windows 98.

Průchod NAT branou pro IPsec může být použit k umožnění oportunistického šifrování mezi systémy. Průchod NAT branou umožňuje systémům za NAT branou na požádání přijímat a navazovat bezpečné spojení.

Hosted NAT traversal (HNT) je množina mechanismů používaná zprostředkovateli, které obsahují prostředky pro přeposílání a blokování.^[zdroj?] IETF radí nepoužívat metodu blokování přes Internet a doporučuje ICE kvůli bezpečnostním důvodům.[7]

• RFC 1579 – FTP dobře použitelné s firewally
• RFC 2663 – Termíny a úvahy k Network Address Translator (NAT)
• RFC 2709 – Bezpečnostní model s IPsec v módu Tunnel pro domény NAT
• RFC 2993 – Architektonické dopady brány NAT
• RFC 3022 – Tradiční Network Address Translator (Tradiční NAT)
• RFC 3027 – Komplikace protokolů s Network Address Translator (NAT)
• RFC 3235 – Network Address Translator (NAT) – Pokyny k návrhu aplikací splupracující s NAT
• RFC 3715 – IPsec – Kompatibilita s Network Address Translation (NAT)
• RFC 3947 – Jednání NAT-T v IKE
• RFC 5128 – Stav Peer-to-Peer (P2P) komunikace napříč Network Address Translators (NATs)
• RFC 5245 – Interactive Connectivity Establishment (ICE): Protokol pro NAT-T k protokolům Offer/Answer