Każdego dnia z domowej sieci korzysta jednocześnie wiele urządzeń – komputer, telefon, telewizor czy konsola. Mimo to wszystkie mogą bez przeszkód łączyć się z internetem, korzystając z jednego publicznego adresu IP. To możliwe dzięki technologii NAT (Network Address Translation), czyli translacji adresów sieciowych. Choć działa całkowicie w tle, jest jednym z najważniejszych mechanizmów współczesnych sieci komputerowych.
Zgodnie z danymi APNIC i IANA, protokół IPv4 udostępnia zaledwie około 4,3 miliarda unikalnych adresów. Może i dla Ciebie to dużo, dopóki nie policzysz, że na świecie jest ponad 15 miliardów urządzeń podłączonych do sieci – od smartfonów po lodówki, które wysyłają do producenta raport o stanie urządzenia. Bez NAT dawno skończyłyby się nam numery, a internet zamiast się rozwijać, musiałby wprowadzić kolejkę.
Co to jest NAT i skąd się wziął
NAT to technika stosowana w sieciach komputerowych, która pozwala zamienić adres prywatny komputera w sieci lokalnej na jeden, wspólny adres publiczny widoczny w internecie. Rozwiązanie opisano formalnie już w latach 90-tych, gdy stało się jasne, że adresów IPv4 nie wystarczy dla wszystkich urządzeń na świecie. Router wykonujący translację działa jak recepcjonista w hotelu – gość ma swój numer pokoju, ale na zewnątrz wszystkie połączenia wychodzą z jednego adresu recepcji.
Ile adresów IP właściwie mamy do dyspozycji
Zanim przejdziemy do działania NAT, musimy wyjaśnić, z jakiego powodu wprowadzono ten mechanizm. IETF w dokumencie RFC 1918 zarezerwował trzy zakresy adresów prywatnych do użytku wewnątrz sieci lokalnych, niedostępne bezpośrednio z internetu.
- 10.0.0.0 do 10.255.255.255 – ponad 16 milionów adresów, klasa A
- 172.16.0.0 do 172.31.255.255 – niespełna 1,05 miliona adresów, klasa B
- 192.168.0.0 do 192.168.255.255 – 65 536 adresów, klasa C, najczęściej spotykana w routerach domowych
Dla porównania IPv6 oferuje liczbę adresów szacowaną na 340 undecylionów, czyli tyle, że każde ziarnko piasku na plaży mogłoby dostać swój własny numer i jeszcze zostałoby zapasu na kilka pokoleń. Mimo to IPv4 wciąż dominuje w większości sieci domowych i firmowych, a NAT pozostaje głównym sposobem na oszczędne gospodarowanie adresami publicznymi.
Jak przebiega translacja adresów krok po kroku
Mechanika NAT w praktyce sprowadza się do kilku prostych operacji na nagłówkach pakietów. Twój komputer w sieci lokalnej wysyła żądanie z adresem źródłowym w postaci prywatnego IP, na przykład 192.168.1.10, i portem źródłowym przypisanym losowo przez system.
Router na styku sieci lokalnej i internetu przechwytuje ten pakiet i zamienia adres źródłowy na swój adres IP routera, czyli publiczny adres przypisany przez dostawcę usług internetowych. Jednocześnie zapisuje w swojej tabeli NAT informację, który port lokalny odpowiada któremu urządzeniu, żeby wiedzieć, dokąd odesłać odpowiedź. Gdy serwer docelowy w internecie odsyła dane, router sprawdza numer portu docelowego, odnajduje właściwy wpis w tabeli i przekazuje pakiet z powrotem do konkretnego komputera w sieci wewnętrznej. Całość dzieje się w milisekundach i obejmuje zarówno protokół TCP, jak i UDP, więc dotyka praktycznie każdej usługi internetowej, z której korzystasz.
Rodzaje NAT – od statycznego do maskarady
Nie każdy NAT działa identycznie, a wybór odmiany zależy od tego, ile adresów publicznych masz do dyspozycji i co chcesz osiągnąć. Static NAT przypisuje jeden adres prywatny do jednego adresu publicznego na trwałe, co bywa przydatne w serwerach firmowych wymagających stałej widoczności z zewnątrz.
Dynamic NAT korzysta z puli adresów publicznych i przydziela je urządzeniom w miarę potrzeb, co ma sens w większych organizacjach z ograniczoną liczbą wykupionych adresów. Najpopularniejszy w domowych routerach jest PAT, znany też jako NAT overload albo maskarada – pozwala wielu urządzeniom korzystać z jednego publicznego adresu IP jednocześnie, rozróżniając je numerem portu. Właśnie dzięki PAT twój laptop, telefon i konsola mogą surfować w internecie w tym samym czasie, mając w domu tylko jeden adres publiczny od operatora.
NAT a bezpieczeństwo i firewall
Może i NAT nie został zaprojektowany jako mechanizm ochronny, w praktyce działa jak dodatkowa warstwa utrudniająca życie intruzom. Urządzenia w sieci wewnętrznej nie mają własnego adresu widocznego z internetu, więc atakujący nie może po prostu wpisać numeru IP twojego laptopa i się z nim połączyć bez pośrednictwa routera.
Wielu administratorów traktuje to jako uzupełnienie firewalla, nie jako jego zamiennik, i mają rację – NAT blokuje przypadkowe połączenia przychodzące, ale nie analizuje treści pakietów i nie zatrzyma złośliwego oprogramowania, które trafi do sieci przez zainfekowaną stronę czy załącznik. Dobrze jest traktować go jako element układanki bezpieczeństwa, obok osobnego firewalla, aktualizacji systemu i rozsądku przy klikaniu w linki od nieznanych nadawców.
Problemy i ograniczenia NAT
NAT rozwiązuje problem wyczerpania adresów, ale generuje własny zestaw utrudnień, z którymi każdy administrator sieci prędzej czy później się zderzy. Niektóre aplikacje, zwłaszcza te oparte na połączeniach peer-to-peer, gry sieciowe czy protokoły VoIP, mają problem z nawiązaniem komunikacji, bo obie strony znajdują się za NAT i nie widzą się nawzajem bez dodatkowej konfiguracji przekierowania portów.
Protokół ARP też komplikuje sprawę na styku sieci lokalnej, bo tłumaczy adresy IP na adresy MAC tylko wewnątrz jednego segmentu, a NAT musi to uwzględnić przy przekazywaniu ruchu dalej. Do tego dochodzi obciążenie routera – im więcej urządzeń w sieci LAN, tym większa tabela translacji i większe zapotrzebowanie na moc obliczeniową sprzętu. W sieciach firmowych z tysiącami hostów administratorzy czasem muszą sięgnąć po specjalizowane urządzenia albo przemyśleć maskę podsieci, żeby uniknąć spowolnień.
Jak sprawdzić i skonfigurować NAT u siebie
Sprawdzenie, czy twój komputer działa za NAT jest proste. Wystarczy porównać adres IP przypisany w systemie z adresem, który widzi świat zewnętrzny.
Adres lokalny w systemie Windows sprawdzisz komendą:
ipconfig
W Linuksie i na Ubuntu użyj:
ip addr show
Adres publiczny, jaki widzi internet, możesz sprawdzić wpisując w przeglądarce zapytanie „jaki jest mój adres IP” albo odwiedzając stronę typu pokapoka.pl. Jeśli oba adresy się różnią, gratulacje – działa u ciebie klasyczny NAT i twój ruch sieciowy przechodzi przez translację na routerze. Konfiguracja bardziej zaawansowanych opcji, jak przekierowanie portów dla serwera gry czy kamery IP, odbywa się w panelu administracyjnym routera, zwykle pod adresem 192.168.1.1 albo 192.168.0.1, w zależności od producenta.
Dla większości użytkowników NAT pozostaje niewidoczny, ponieważ działa automatycznie. Warto jednak wiedzieć, jak funkcjonuje, ponieważ od niego zależy poprawna komunikacja wielu urządzeń z internetem. Taka wiedza przydaje się nie tylko podczas konfiguracji sieci, ale również przy rozwiązywaniu problemów z połączeniem czy przekierowaniem portów.
FAQ – najczęstsze pytania o NAT
Widać, że temat translacji adresów budzi wiele wątpliwości, dlatego zebrałem pytania, które najczęściej krążą po forach i grupach dla administratorów sieci.
Czy NAT jest tym samym co firewall?
Nie, to dwa różne mechanizmy, które czasem współpracują. NAT tłumaczy adresy, firewall filtruje ruch według reguł bezpieczeństwa, i żaden z nich nie zastąpi drugiego w pełni.
Czy mogę mieć w domu więcej niż jeden adres publiczny?
Tak, jeśli twój dostawca internetu na to pozwala i jesteś gotowy dopłacić za taką usługę. W typowej umowie domowej otrzymujesz jednak jeden adres publiczny, dzielony między wszystkie urządzenia przez PAT.
Dlaczego niektóre gry online mają problem z połączeniem mimo działającego internetu?
Winny bywa NAT typu strict albo symmetric, który utrudnia nawiązanie połączenia peer-to-peer między dwoma graczami za różnymi routerami. Pomaga wtedy przekierowanie portów albo włączenie UPnP w ustawieniach routera.
Czym różni się NAT od PAT?
NAT to ogólna nazwa mechanizmu translacji adresów, a PAT to jego konkretna odmiana wykorzystująca numery portów do rozróżnienia wielu urządzeń na jednym adresie publicznym. Praktycznie każdy domowy router korzysta właśnie z PAT.
Czy IPv6 sprawi, że NAT przestanie być potrzebny?
W teorii tak, bo liczba adresów w IPv6 jest gigantyczna i eliminuje pierwotny powód powstania NAT. W praktyce migracja trwa latami, a wiele sieci wciąż działa równolegle na IPv4 z NAT i IPv6 bez niego.
Jak sprawdzić tabelę NAT na własnym routerze?
Zależy od producenta sprzętu, ale zwykle znajdziesz ją w panelu administracyjnym w zakładce dotyczącej sieci albo statusu połączeń. Niektóre routery domowe nie udostępniają tego widoku wprost i pokazują tylko podsumowanie aktywnych urządzeń.
Czy NAT wpływa na prędkość internetu?
Sam proces translacji zajmuje routerowi minimalne zasoby i przy typowym ruchu domowym nie zauważysz różnicy. Problem pojawia się przy starszym, słabszym sprzęcie obciążonym setkami połączeń jednocześnie.
Co to jest reverse NAT?
Reverse NAT, czasem nazywany DNAT, tłumaczy adres docelowy przychodzącego pakietu na adres prywatny konkretnego serwera w sieci wewnętrznej. Stosuje się go przy udostępnianiu usług, na przykład serwera WWW, spoza sieci lokalnej.
Czy urządzenia w sieci lokalnej widzą się nawzajem bez udziału NAT?
Tak, komunikacja wewnątrz jednej sieci LAN odbywa się bez translacji, bezpośrednio na adresach prywatnych za pomocą ARP i przełącznika. NAT wchodzi do gry tylko przy wychodzeniu poza sieć lokalną, do internetu.
Czy VPN i NAT mogą działać jednocześnie?
Owszem, i to bardzo często się zdarza w praktyce firmowej oraz domowej. Ruch VPN jest najpierw szyfrowany, a router i tak wykonuje translację adresu na potrzeby dostępu do internetu, więc oba mechanizmy nie kolidują ze sobą.
