NAT (Network Address Translation)

NAT (Network Address Translation) er en teknik, der oversætter IP-adresser i datapakker, når de passerer gennem en router eller firewall mellem et privat netværk og internettet. Formålet er typisk at lade flere enheder på et lokalt netværk dele én offentlig IP-adresse, når de kommunikerer udadtil. Teknikken kører i baggrunden på routeren og er normalt usynlig for den, der bruger enheden.

Et hverdagseksempel er et hjemmenetværk, hvor computeren, mobilen og streamingboksen alle har deres egen private IP-adresse internt, men deler den samme offentlige IP-adresse, som internetudbyderen har tildelt routeren. Når en af enhederne sender en forespørgsel ud på internettet, erstatter routeren afsenderens private adresse med den offentlige, og når svaret kommer retur, sørger NAT for at sende det tilbage til den rigtige enhed.

Hvordan fungerer NAT?

NAT implementeres typisk i en router eller gateway, som sidder mellem det private netværk og den offentlige side af forbindelsen. Når en enhed på netværket sender data ud, opfanger routeren pakken og udskifter den private afsenderadresse med sin egen offentlige IP-adresse, før pakken sendes videre. Routeren fører samtidig en oversigt over, hvilken intern enhed der har sendt hvad, så den kan sende svaret det rigtige sted hen, når det kommer tilbage fra internettet.

Denne proces hænger sammen med, hvordan enheder får tildelt deres private IP-adresser i første omgang, hvilket ofte sker automatisk via DHCP (Dynamic Host Configuration Protocol). På selve det lokale netværk identificeres enhederne desuden ud fra deres MAC-adresse, mens NAT tager sig af oversættelsen, når trafikken skal videre til den offentlige del af internettet, ofte betegnet som WAN (Wide Area Network).

Typer af NAT

Der findes flere varianter af NAT, som bruges til forskellige formål afhængigt af, om enheder skal kunne kontaktes udefra eller blot have adgang ud til internettet.

Statisk NAT

Ved statisk NAT knyttes én bestemt privat IP-adresse fast til én bestemt offentlig IP-adresse, en såkaldt en-til-en-oversættelse. Denne type bruges ofte til servere eller tjenester, der skal kunne tilgås udefra med en fast og forudsigelig adresse, fx en webserver eller mailserver.

Dynamisk NAT

Dynamisk NAT tildeler en offentlig IP-adresse fra en pulje af ledige adresser, når en enhed på det private netværk har brug for at komme på internettet. Mappingen er derfor ikke fast, men kan skifte fra session til session, hvilket kræver adgang til flere offentlige adresser end statisk NAT.

PAT (Port Address Translation)

PAT, også kaldet NAT overloading, er den mest udbredte form for NAT i praksis. Her deler mange enheder én enkelt offentlig IP-adresse, mens de holdes adskilt fra hinanden ved hjælp af unikke portnumre for hver forbindelse. Det er typisk denne metode, der ligger bag, når et helt hjemmenetværk eller kontor kører internet gennem én offentlig adresse.

Carrier-Grade NAT (CGNAT)

I nogle tilfælde udfører selve internetudbyderen en ekstra lag NAT, kendt som Carrier-Grade NAT, hvor flere kunder deler en fælles pulje af offentlige adresser. Det kan gøre det sværere at benytte fx port-forwarding eller hoste tjenester hjemmefra, fordi den offentlige adresse ikke er dedikeret til én enkelt kunde.

Fordele ved NAT

NAT bidrager til at spare på antallet af offentlige IPv4-adresser, som er en begrænset ressource, ved at lade mange enheder dele én adresse i stedet for at kræve en unik adresse til hver enhed. Samtidig kan NAT bidrage til en vis grad af sikkerhed, fordi interne IP-adresser ikke er direkte synlige eller adresserbare fra internettet, hvilket kan gøre det sværere for udefrakommende at målrette angreb mod bestemte enheder på netværket. Derudover giver NAT fleksibilitet, da interne netværksstrukturer kan ændres eller udvides uden at det påvirker, hvordan netværket ser ud udefra.

Begrænsninger og sikkerhedsmæssige forhold

Selvom NAT kan gøre det vanskeligere at nå enheder direkte udefra, er det vigtigt at holde sig for øje, at NAT ikke er det samme som en firewall og ikke i sig selv sikrer netværket mod trusler. NAT løser først og fremmest et adresseringsproblem, mens beskyttelse mod fx malware eller uautoriseret adgang typisk kræver dedikerede sikkerhedsløsninger ved siden af. NAT kan desuden gøre visse ting mere komplicerede, som at hoste servere fra et hjemmenetværk eller sætte visse typer VPN-forbindelser op, fordi indgående trafik skal håndteres eksplicit gennem port-forwarding eller lignende opsætning.

NAT og IPv6

NAT blev oprindeligt indført som en løsning på, at der ikke findes nok unikke IPv4-adresser til alle enheder i verden. Med IPv6 er adressepuljen langt større, hvilket i teorien reducerer behovet for at dele adresser via NAT. I praksis bruges NAT dog stadig meget udbredt, både fordi IPv4 fortsat er den dominerende adresseringsstandard i mange netværk, og fordi teknologien samtidig giver den nævnte adskillelse mellem interne og eksterne adresser.