Трансляция сетевых адресов и портов

Пусть некоторая организация имеет частную IP-сеть и глобальную связь с по­ставщиком услуг Интернета. Внешнему интерфейсу пограничного маршрути­затора R2 назначен глобальный адрес, а остальным узлам сети организации назначены частные адреса. NAPT позволяет всем узлам внутренней сети одно­временно взаимодействовать с внешними сетями, используя единственный заре­гистрированный IP-адрес. Возникает законный вопрос, каким образом внешние пакеты, поступающие в ответ на запросы из частной сети, находят узел-отпра­витель, ведь в поле адреса источника всех пакетов, отправляющихся во внеш­нюю сеть, помещается один и тот же адрес — адрес внешнего интерфейса погра­ничного маршрутизатора?

Для однозначной идентификации узла отправителя привлекается дополнитель­ная информация. Если в IP-пакете находятся данные протокола UDP или TCP, то в качестве такой информации выступает номер UDP- или TCP-порта соот­ветственно. Но и это не вносит полной ясности, поскольку из внутренней сети может исходить несколько запросов с совпадающими номерами портов отправи­теля, а значит, опять возникает вопрос об однозначности отображения единст­венного глобального адреса на набор внутренних адресов. Решение состоит в том, что при прохождении пакета из внутренней во внешнюю сеть каждой паре {внутренний частный адрес; номер TCP- или UDP-порта отправителя} ставится в соответствие пара {глобальный IP-адрес внешнего интерфейса; назначенный номер TCP- или UDP-порта}. Назначенный номер порта выбирается произволь­но, однако должно быть выполнено условие его уникальности в пределах всех узлов, получающих выход во внешнюю сеть. Соответствие фиксируется в таб­лице.

Эта модель при наличии единственного зарегистрированного IP-адреса, полу­ченного от поставщика услуг, удовлетворяет требованиям по доступу к внешним сетям большинства сетей средних размеров.

На рис. 20.9 приведен пример, когда в тупиковой сети А используются внутрен­ние адреса из блока 10.0.0.0. Внешнему интерфейсу маршрутизатора этой сети поставщиком услуг назначен адрес 181.230.25.1.

Когда хост 10.0.1.4 внутренней сети посылает во внешнюю сеть пакет серверу telnet, то он в качестве адреса назначения использует его глобальный адрес 136.56.28.8. Пакет поступает маршрутизатору R1, который знает, что путь к сети 136.56.0.0/16 идет через пограничный маршрутизатор R2. Модуль NAPT маршру­тизатора R2 транслирует адрес 10.0.1.4 и порт TCP 1245 источника в глобально уникальный адрес 181.230.25.1 и уникально назначенный TCP-порт, в приведен­ном примере — 3451. В таком виде пакет отправляется во внешнюю сеть и дости­гает сервера telnet. Когда получатель генерирует ответное сообщение, то он в качестве адреса назначения указывает единственный зарегистрированный гло­бальный адрес внутренней сети, являющийся адресом внешнего интерфейса NAPT- устройства. В качестве номера порта получателя сервер помещает назначенный номер TCP-порта, взятый из поля порта отправителя пришедшего пакета. При поступлении ответного пакета на NAPT-устройство внутренней сети именно по номеру порта в таблице трансляции выбирается нужная строка. По ней опреде­ляется внутренний IP-адрес соответствующего узла и действительный номер порта. Эта процедура трансляции полностью прозрачна для конечных узлов.

ВНИМАНИЕ-----------------------------------------------------------------------------------------------------------------------------------------------

Заметьте, что в таблице имеется еще одна запись с номером порта 1245, такая ситуация вполне возможна: операционные системы на разных компьютерах независимо присваива­ют номера портов клиентским программам. Именно для разрешения такой неоднозначно­сти и привлекаются уникальные назначенные номера портов.

В технологии NAPT разрешаются только исходящие из частной сети TCP- и UDP- сеансы. Однако возникают ситуации, когда нужно обеспечить доступ к некото­рому узлу внутренней сети извне. В простейшем случае, когда служба зарегист­рирована, то есть ей присвоен хорошо известный номер порта (например, WWW или DNS), и, кроме того, эта служба представлена во внутренней сети в единст­венном экземпляре, задача решается достаточно просто. Служба и узел, на котором она работает, однозначно определяются хорошо известным зарегистрированным номером порта службы.

Завершая рассмотрение технологии NAT, заметим, что помимо традиционной технологии NAT существуют и другие ее варианты, например двойной трансля­ции сетевых адресов, при которой модифицируются оба адреса — и источника, и приемника (в отличие от традиционной технологии NAT, когда модифициру­ется только один адрес). Двойная трансляция сетевых адресов необходима, ко­гда частные и внешние адресные пространства имеют коллизии. Наиболее час­то это происходит, когда внутренний домен имеет некорректно назначенные публичные адреса, которые принадлежат другой организации. Подобная ситуа­ция может возникнуть из-за того, что сеть организации была изначально изо­лированной и адреса назначались произвольно, причем из глобального про­странства. Или же такая коллизия может быть следствием смены поставщика услуг, причем организация хотела бы сохранить старые адреса для узлов внут­ренней сети.