Трансляция сетевых адресов

Еще немного про порты и другие нюансы

Многие программы (не только лишь все) имеют вшитые порты без возможности перенастройки, либо, к примеру, у вас есть два Веб-сервера на винде (так называемый IIS), которые работают на 80 порту каждый и вам нужно дать доступ из интернета на оба сервера.

Здесь вы откроете на роутере одному серверу порт 80, а оставшемуся вам придется выбрать другой порт (например 8080).

Итого, на роутере мы настраиваем порты таким образом:

Где * — стандартный порт, который использует программа (т.е. вы ее установили и ничего не настраивали);

** — стандартный порт, который использует сервис и который нельзя сменить.

Наглядная схемка ниже:

Теперь я постараюсь объяснить почему я написал именно эти порты.

Способы изменения типа NAT на ПК

Вот простые методы изменения типа NAT на устройстве ПК:

Метод 1 — переадресация порта

Это самый распространенный способ изменить тип NAT без дополнительных хлопот. Вам необходимо проверить модель вашего маршрутизатора и порты игры, в которую вы хотите играть.

• Вам нужно перейти на домашнюю страницу вашего маршрутизатора и найти порт Вариант пересылки из списка.
• Введите порты игры в первом разделе и введите свой IP-адрес в следующем столбце.
• Вам будет предложено выбрать устройство, на которое вы хотите указать. После этого выберите UDP и TCP .
• Теперь вы можете сохранить настройки и перезагрузите его для немедленных результатов.

Метод 2 — Использование VPN

Использование VPN — лучший способ обойти NAT-соединение как в VPN нет ограничений на передачу данных. ЕСЛИ вы используете VPN, все данные, передаваемые через ваш компьютер, зашифрованы . Это поможет вам защитить вашу онлайн-личность от физической сети, и вы сможете получить доступ к ней без каких-либо проблем.

Самым большим преимуществом использования VPN является то, что он может ограничить мониторинг вашего интернет-провайдера ваши данные и наложить на них какие-либо ограничения, избавив вас от удушения интернет-провайдером.

Обходите брандмауэры NAT через VPN

Чтобы зашифровать ваш интернет-трафик и личные данные, а также обойти интернет-брандмауэры, используйте надежный сервис, такой как PureVPN, всего за 1,99 доллара в месяц.

Получить PureVPN | СКИДКА 82%

Метод 3 — Через обнаружение сети

Если вы являетесь пользователем Windows, вы можете включить Сетевое обнаружение в своей операционной системе.

Выполните следующие действия, чтобы включить обнаружение сети:

1. Откройте меню «Пуск» .
2. Найдите <sizessettings.</sizes
3. Найдите Сеть и Интернет
4. Найдите « Параметры общего доступа » в разделе «Сеть и настройки».
5. Включите параметр обнаружения сети и также установите флажок для подключенных устройств.

Теперь вы можете сохранить настройки, и вы сможете включить обнаружение сети на вашем устройстве Windows.

Что такое NAT?

Преобразование сетевых адресов — это процесс это включает в себя сопоставление IP-адреса с другим адресом путем изменения информации сетевого адреса. Было бы полезно, если бы вы изменили их в сетевых пакетах при прохождении через устройство маршрутизации трафика.

Это похоже на простой процесс, но вы можете столкнуться со многими сложными проблемами при изменении NAT . Это происходит из-за того, что производители накладывают некоторые ограничения на NAT, и вы должны сами решать их.

Типы NAT

Вы можете установить различные типы настроек для вашего NAT. Однако это наиболее предпочтительные настройки NAT для оптимальной работы в сети:

Как следует из названия, это NAT открытого типа , который позволяет всем устройствам, подключенным через сеть, отправлять и получать данные. Все общие данные не ограничены, и нет конфигураций брандмауэра .

Хотя это поможет вам получить лучший опыт, он действительно привлекает много риски. Любой хакер может легко проникнуть в вашу локальную сеть, когда ваши порты открыты.

Это более безопасный , чем открытый NAT, и имеет только один или два открытых порта для передачи данных. В этой настройке NAT будет действовать как брандмауэр и ограничивать соединения от вмешательства в вашу сеть. Тем не мение. У вас может возникнуть небольшая задержка в онлайн-играх при умеренной настройке NAT.

Это самый безопасный тип NAT, который не позволяет данным передаваться через локальную сеть. Он может защитить вас от большинства типов атак, но вы можете столкнуться с трудностями при подключении к другим сетям, поскольку большая часть данных ограничена в этой сети.

Вы также можете столкнуться с некоторыми задержками в вашем игровой опыт при подключении через строгий NAT .

Types

There are 4 types of NAT that can be used to address different kinds of situations and scenarios. Below are the description and samples for reference:

Overloading or Port Address Translation (PAT)

Port Address Translation is one of the most common NAT systems in use. Multiple connections from a various internal hosts are multiplexed to create a single public IP address that makes use of different source port numbers. A maximum of 65,536 internal connections can be be translated into a single public IP. This makes it very efficient for situations where a service provider has assigned only a single public IP address.

Dynamic NAT

A Dynamic NAT relies on a pool of different public IP addresses that are used for specific private networks. These are assigned by the local internet service provider. For this type of NAT, any internal host that wants to access the internet will have its private IP address translated by the NAT router to the first available public IP in the public pool.

NAT и шлюзы приложений

К сожалению, не у всех сетевых протоколов взаимодействие с NAT протекает безболезненно. Наиболее часто встречающийся пример — это FTP. Здесь возможны два случая.

Первый случай. Пользователь, находящийся в локальной сети за NAT, использует FTP-клиент для того, чтобы получить доступ к FTP-серверу с публичным IP-адресом

Проблема здесь возникает, когда клиент пытается использовать активный режим FTP. Сессия протекает при этом следующим образом. В некоторый момент по управляющему соединению серверу передается команда FTP-клиента: PORT 192,16,0,101,4,211.

Дальнейший диалог выглядит примерно так:

Server: 200 PORT command successful. Consider using PASV.Client: RETR file.zipServer: 150 Opening BINARY mode data connection for file.zip (1334109 bytes).

Наибольший интерес здесь представляет первая команда от клиента, которая информирует сервер о том, что хост с адресом 192.168.0.101 открыл для приема соединения данных порт номер (4*256) + 211 = 1235. В ответ на это сервер должен установить соединение данных со своего порта номер 20 на указанный порт хоста 192.168.0.101. Поскольку этот адрес является приватным, такое соединение не может быть установлено. В результате наблюдается знакомый многим системным администраторам эффект, когда клиент вроде бы успешно подключается к FTP-серверу, но не может скачивать с него файлы или даже просматривать содержимое текущего каталога (это происходит потому, что передача листинга файлов с сервера на клиент также осуществляется по соединению данных).

ля борьбы с описанной проблемой может использоваться переключение сервера в так называемый пассивный режим. Поскольку в этом режиме инициатором соединения данных выступает клиент, проблема исчезает. Именно поэтому в Microsoft Internet Explorer, как и консольный FTP-клиент, встроенный в Windows, используют по умолчанию пассивный режим (они автоматически вставляют перед командами RETR и NLST команду PASV, переключающую сервер в пассивный режим).

Второй случай. Пользователь, находящийся в локальной сети за NAT, использует FTP-клиент для того, чтобы получить доступ к FTP-серверу, который также находится за NAT. В этом случае, очевидно, не поможет и пассивный режим, так как в команде PORT независимо от того, клиент или сервер ее отдает, всегда будет указан приватный IP-адрес, и соединение данных никогда не будет установлено.

Для разрешения этой проблемы в некоторых реализациях NAT существует специальная функция — трансляция адресов на уровне приложений, называемая также NAT ALG (Application Level Gateways). При задействованной функции ALG маршрутизатор отслеживает и модифицирует данные уровня приложений некоторых сетевых протоколов.

Так, в приведенном выше примере, если предположить, что публичный IP-адрес маршрутизатора с NAT 1.2.3.4 и что он сохраняет номер порта источника неизменным, команда PORT 192,16,0,101,4,211 была бы изменена маршрутизатором на PORT 1,2,3,4,4,211. Благодаря этому в обоих указанных выше случаях соединение данных будет успешно установлено.

Функция ALG в маршрутизаторах Cisco позволяет осуществлять трансляцию адресов уровня приложений не только для протокола FTP, но также и для протоколов SIP, H.323, Skinny и некоторых других (благодаря этому можно, например, размещать в локальной сети серверы DNS). Для большего удобства функция ALG в маршрутизаторах Cisco включена по умолчанию.

Аналогичную ALG функциональность в маршрутизаторах на основе ОС Linux обеспечивают дополнительные загружаемые модули и патчи к ядру (такие, как ip_masq_ftp, ip_masq_irc и т. п.).

Преимущества и недостатки

Несколько приложений, использующих одну систему NAT

В некоторых сценариях требуется, чтобы несколько приложений или служб использовали одну систему NAT. В этом случае необходимо придерживаться описанной ниже процедуры, чтобы несколько приложений или служб могли использовать больший внутренний префикс подсети NAT.

В качестве примера мы рассмотрим сосуществование Docker 4 Windows — Docker Beta — Linux VM и компонента контейнеров Windows на одном узле. Эта процедура может быть изменена.

1. C:> net stop docker

2. Stop Docker4Windows MobyLinux VM

3. PS C:> Get-ContainerNetwork | Remove-ContainerNetwork -force.

4. PS C:> Get-NetNat | Remove-NetNat.Позволяет удалить все ранее существовавшие сети контейнера (т. е. удаляется vSwitch, NetNat и выполняется очистка).

5. New-ContainerNetwork -Name nat -Mode NAT –subnetprefix 10.0.76.0/24 (эта подсеть используется для компонента контейнеров Windows) Создает внутренний vSwitch с именем nat.Позволяет создать сеть NAT с именем «nat» и префиксом IP-адреса 10.0.76.0/24.

6. Remove-NetNATПозволяет удалить сети NAT с именами nat и DockerNAT (сохраняя внутренние коммутаторы Vswitch).

7. New-NetNat -Name DockerNAT -InternalIPInterfaceAddressPrefix 10.0.0.0/17 (создает более крупную сеть NAT для совместного использования D4W и контейнерами)Позволяет создать сеть NAT с именем DockerNAT и увеличенным префиксом 10.0.0.0/17.

8. Run Docker4Windows (MobyLinux.ps1)Позволяет создать внутренний vSwitch DockerNAT.Позволяет создать сеть NAT с именем DockerNAT и префиксом 10.0.75.0/24.

9. Net start dockerDocker использует пользовательскую сеть NAT по умолчанию для подключения к контейнерам Windows.

В конце вы должны получить два внутренних коммутатора vSwitch — один с именем DockerNAT, другой с именем nat. При выполнении Get-NetNat выводится только одна подтвержденная сеть NAT (10.0.0.0/17). IP-адреса для контейнеров Windows назначаются сетевой службой узлов Windows (HNS) (HNS) из подсети 10.0.76.0/24. В соответствии с имеющимся сценарием MobyLinux.ps1 IP-адреса для Docker 4 Windows назначаются из подсети 10.0.75.0/24.

Американский актер Нэт Занг вырос с двумя братьями

Нат Занг родился 4thМарт 1996 года в Сиэтле, Вашингтон. Занг — Рыбы, что определяет его личность как нежную и мудрую. Он американец по национальности и принадлежит к бело-американской национальности. Его родители воспитывали его вместе с двумя братьями и сестрами: старшим и младшим. Он средний сын троих детей своих родителей.

В раннем возрасте Занг обнаружил свой интерес к актерскому мастерству. В молодости он вместе со своими друзьями ставил спектакли в дедушкином гараже и в местных парках.

В 11 лет он впервые выступил на сцене в School House Rock Live !. Во время учебы в старшей школе он подписал контракт с Big Fish NW Talent Agency.

Работа NAT

Как работает nat в режиме masquerading? Предположим, что первый компьютер решил зайти на сайт. Он отправляет пакет, в ip адресе указывается ip адрес компьютера из внутренней сети (192.168.1.2), в поле порт указывается динамический порт, выданный браузеру операционной системой (57160). И пакет предназначен для 80 порта адреса Веб-сайта. 

Но, так как адреса из внутренней сети не могут использоваться в интернет, то устройству nat нужно заменить ip адрес из внутренней сети в заголовке пакета в адресе отправителя (192.168.1.1), на ip адрес из внешней сети (184.86.48.128). 

Как это делает устройство nat? После того, как устройство nat получило пакет, оно записывает внутренний ip адрес и внутренний порт в таблицу и генерирует пару внешний адрес и внешний порт для замены в пакете. Так как у нас всего лишь один внешний адрес, то именно он записывается в поле внешний ip. Внешний порт генерируется случайным образом. Устройство нат сгенерировало адрес пота 48202. 

На следующем этапе происходит трансляция, т.е. замена ip адреса и порта. IP адрес и порт отправителя удаляются из пакета и на их место записываются новые данные из таблицы nat. Внешний ip адрес устройства nat и внешний порт, которое устройство nat сгенерировало случайным образом. 

В таком виде пакет передается на веб сервер. Когда приходит ответ от веб-сервера, там в качестве получателя, указывается ip адрес устройства nat и порт на этом устройстве. 

Но в реальности эти данные предназначены не для устройства nat, а для компьютера внутренней сети. Поэтому устройство нат должно понять к какому компьютеру во внутренней сети предназначены данные. Затем изменить ip адрес и порт, передать данные нужному компьютеру. Это делается, с помощью таблицы nat. 

В таблице nat ищется запись в которой внешний ip адрес и внешний порт, такие же как в поступившем пакете. Пока у нас в таблице одна запись, поэтому устройство nat берет из этой записи внутренний ip адрес интересующего нас компьютера и его порт. Устройство nat сново производит замену ip адреса и порта в пакете и в в таком виде передает пакет во внутреннюю сеть. 

Что происходит если в интернет захочет зайти какой-нибудь другой компьютер, предположим, что компьютер 4 тоже хочет зайти на веб-сайт zvondozvon.ru. Устройство nat работает аналогично, извлекает ip адрес и порт, записывает их в таблицу nat. В качестве внешнего ip адреса указывается единственный внешний ip адрес устройства nat и номер внешнего порта снова генерируется случайным образом. 

Адрес и порт из внутренней сети меняются на адрес и порт из внешней сети. И в таком виде пакет передается в интернет. 

Когда приходит ответ от веб-сервера, снова выполняется поиск пары внешний ip адрес и внешний порт. В таблице nat ищется соответствующие им внутренний ip адрес и внутренний порт. Производится замена в заголовке пакета и пакет передается во внутреннюю сеть. Можете посмотреть видео, если что-то было не ясно. 

Зачем вам нужен открытый тип NAT на Xbox One

Существует 3 типа NAT, и каждый из них имеет разную совместимость. Вы можете обратиться к таблице на сайте support.xbox.com, в которой показаны типы NAT и проблемы совместимости с разными типами NAT.

• Открытый тип NAT : Это должен быть оптимальный вариант. Если вы выберете открытый NAT, вы сможете легко подключаться к другим игрокам, а также общаться с другими игроками. Кроме того, вы также можете организовать многопользовательскую игру с другими людьми любого типа NAT.
• Умеренный тип NAT : Обычно этот тип может быть доступен в большинстве ситуаций, но иногда это не может быть идеальным вариантом NAT. При умеренном типе NAT вы можете столкнуться с более медленным подключением устройства и большим количеством задержек в игре. Вы не можете организовать многопользовательскую игру.
• Строгий тип NAT : Это должен быть худший вариант NAT. Со строгим типом NAT вы сможете подключиться только к тем, кто использует тип NAT. Кроме того, могут возникнуть проблемы с подключением к чату и игре. У вас может быть неудовлетворительный игровой процесс, потому что вы часто будете отключаться от своего устройства во время игры.

Прямо сейчас я считаю, что вы должны знать, что тип Open NAT — лучший выбор. Тогда как изменить тип NAT на Xbox One? Давайте двигаться вперед.

Эффекты

Хотя NAT считается полезной во многих ситуациях, она все еще имеет свои ограничения и недостатки. Некоторые из следующих «за» и «против» перечислены ниже:

Профессионалы

• Она помогает смягчить последствия истощения глобального публичного пространства IP-адресов.
• Теперь сети могут использовать частное адресное пространство RFC 1918 изнутри, сохраняя при этом доступ к Интернету.
• Это повышает уровень безопасности, скрывая схему адресации и топологию внутренней сети.

Против

• Протоколы туннелирования усложняются по мере того, как NAT изменяет значения в заголовках пакетов, что влияет на проверку целостности этих протоколов.
• Поскольку внутренние адреса скрыты за одним общедоступным адресом, внешний узел не сможет инициировать связь с внутренним узлом без специальной настройки брандмауэра для разрешения этого.
• Приложения, использующие VoIP (VoIP), видеоконференции и другие пиринговые функции, должны использовать NAT-обратный путь, чтобы они функционировали.

С течением времени, технология NAT сформировала различные производные и инновации из своей первой эволюции. Он предлагает две функции: сохранение адресов и безопасность, которые обычно реализуются в средах удаленного доступа. Перевод сетевых адресов является очень важным аспектом безопасности брандмауэра. Он ограничивает количество публичных адресов, используемых в организации, что позволяет более строго контролировать доступ к ресурсам по обе стороны брандмауэра.

Какие проблемы может вызвать двойной NAT

Когда в вашей сети есть двойной NAT, вы можете столкнуться с проблемами с услугами, для которых требуется поддержка UPnP (Universal Plug-and-Play) или ручная переадресация портов. Это будет включать онлайн-игры на компьютерах или консолях, удаленный рабочий стол на компьютеры, подключение к VPN-серверу или доступ к каналам камеры безопасности. Такие службы иногда требуют, чтобы определенные порты открывались в брандмауэре маршрутизатора и направлялись на определенный компьютер или устройство в сети.

На этом снимке экрана показано, как я настроил свой маршрутизатор для перенаправления портов, чтобы я мог использовать удаленный SSH (Secure Shell) на сервере в локальной сети. Я не могу этого сделать, если мой шлюз также выполняет NAT (преобразование сетевых адресов).

Проблема с двойным NAT заключается в том, что если первый маршрутизатор в вашей сети не настроен для переадресации портов, входящий трафик прекратится там, даже если на втором маршрутизаторе настроен порт вперед. Даже если первый маршрутизатор имеет порт вперед, он не может перенаправить трафик на устройство, подключенное ко второму маршрутизатору. Он может перенаправлять только трафик на компьютеры и устройства, напрямую подключенные к этому первому маршрутизатору, который может быть либо беспроводным, либо проводным.

Двойной NAT также может усложнить любые ручные или автоматические элементы управления качеством обслуживания (QoS), которые определяют приоритетность трафика в вашей внутренней сети, чтобы обеспечить чувствительный к задержкам трафик (игра, голос или видео), которому присваивается более высокий приоритет, чем данные, связанные с файловыми передачами

Это особенно важно, если у вас есть устройства, подключенные к обоим маршрутизаторам, оба из которых имеют разные элементы управления QoS

На этом снимке экрана отображаются параметры QoS (Quality of Service) моего маршрутизатора, которые я настроил для назначения приоритета VoIP (Voice over Internet Protocol).

Пример: Использование NAT во время сетевых переходов

Развертывание NAT может потребоваться для переадресования устройств сети или при замене одного устройства другим. Например, если все устройства в сети используют определенный сервер и этот сервер необходимо заменить новым сервером с новым IP-адресом, то перенастройка всех сетевых устройств, использующих новый адрес сервера, займет определенное время. Однако можно использовать NAT для настройки устройств, использующих старые адреса, чтобы транслировать их пакеты для связи с новым сервером.

После определения интерфейсов NAT, как показано выше, NAT может транслировать внешние пакеты, направленные на адреса старого сервера (172.16.10.8), и направлять их на новый адрес сервера

Обратите внимание, что новый сервер относится к другой сети LAN и устройства, находящиеся в этой сети или достижимые через нее (устройства из внутренней части сети), следует настроить на (по возможности) IP-адрес нового сервера

Для этого можно использовать статическое преобразование сетевых адресов (NAT). Пример конфигурации приведен ниже.

Настройка NAT для использования при сетевых переходах

interface ethernet 0
 ip address 172.16.10.1 255.255.255.0
 ip nat outside


interface ethernet 1
 ip address 172.16.10.64 255.255.255.0
 ip nat inside


interface serial 0
 ip address 200.200.200.5 255.255.255.252


ip nat inside source static 172.16.50.8 172.16.10.8

Обратите внимание на то, что команда внутреннего источника NAT в данном примере также подразумевает, что адрес назначения пакетов, полученных на внешнем интерфейсе, 172.16.10.8, будет преобразован в адрес 172.16.50.8. Последним действием является

Последним действием является .

Находитесь ли вы за NAT[править]

IP-адрес компьютераправить

Windows

Выберите команду главного меню Пуск > Выполнить… и наберите команду

В появившемся командном окне выполните команду

Windows IP Configuration

Ethernet adapter Local Area Connection:

        IP        . . . . . . . . . . . . : 192.168.0.73
        Subnet Mask . . . . . . . . . . . : 255.255.224.0
        Default Gateway . . . . . . . . . : 192.168.0.1

Первый из этих адресов — это IP-адрес вашего компьютера.

Default Gateway — адрес шлюза, он же маршрутизатор (роутер).

Subnet Mask определяет, какие адреса являются локальными (к ним компьютер будет обращаться напрямую), а какие нет (к ним обращение будет идти через маршрутизатор).

Linux

Выполните в терминале команду:

ifconfig

Локальный ли?править

Три специальных диапазона IP-адресов зарезервированы для локальных сетей и в Интернете не используются:

 10.   0.  0.  0 -  10.255.255.255
 172.  Х.  0.  0 - 172.  Х.255.255 (где X - от 16 до 31)
 192.168.  X.  0 - 192.168.  Х.255 (где X - от 0 до 255, обычно 0 или 1)

 169.254.  0.  0 - 169.254.255.255

Если IP-адрес вашего компьютера находится в одном из этих диапазонов, то есть начинается с 10. или с 192.168. или с 172.nn. (где nn — от 16 до 31), то это локальный (внутренний) адрес и вы точно находитесь за NAT.

Внешний ли?править

Эти сайты покажут вам адрес, под которым вас видят другие компьютеры в Интернете. Если он совпадает с IP-адресом вашего компьютера, то вы точно подключены к Интернету напрямую (то есть не за NAT) и дальше вам читать не нужно.

Остальные вариантыправить

В остальных случаях возможны такие варианты:

• вы находитесь за NAT, но ваш сетевой администратор зачем-то выбрал нестандартные внутренние адреса для вашей локальной сети
• вы выходите в Интернет через прокси-сервер. Его надо настраивать в каждой программе, без этого выход в Интернет невозможен.

Подключение через прокси в этом руководстве пока не рассматривается.