Erarbeiten Sie zuerst die Idee, und nutzen Sie dann die nächste Aktivität, um sie zu überprüfen.
Nach außen übersetzen, nach innen veröffentlichen
Der Unterschied zwischen vielen Hosts, die sich eine öffentliche Adresse teilen, und einem internen Dienst, der von außen erreichbar ist - und warum Letzteres eine Regel braucht, die Ersteres nie benötigt.
Was Sie können werden
- Statisches NAT, Pooled NAT und PAT danach unterscheiden, was jedes abbildet
- Erklären, warum ausgehendes Sharing keine eingehende Regel braucht
- Beschreiben, was eine Portweiterleitung hinzufügt und wo sie angewendet wird
Zuvor: Sie benötigen "NAT und PAT" für die grundlegende Übersetzungsidee sowie TCP/UDP-Ports, da PAT und Portweiterleitung beide darauf aufbauen.
Warum es wichtig ist: Ausgehendes NAT ist unsichtbar, wenn es funktioniert, daher denken die meisten Ingenieure erstmals darüber nach, wenn etwas Internes von außen erreichbar sein muss - ein Portal, ein Mailserver, ein Monitoring-Endpunkt. Das ist eine andere Regel in eine andere Richtung, und die beiden zu verwechseln ist meist der Grund, warum ein veröffentlichter Dienst unerreichbar bleibt.
Adressübersetzung gibt es in mehreren Formen. Sie unterscheiden sich darin, was worauf abgebildet wird. Die richtige Form zu bestimmen ist der wichtigste Schritt; die Syntax ergibt sich daraus.
| Art | Abbildung | Verwendung |
|---|---|---|
| Statisches NAT | Eine interne auf eine externe Adresse | Ein Server der immer unter derselben öffentlichen Adresse erscheinen muss |
| Pooled NAT | Viele interne Adressen auf einen Pool externer Adressen | Mehr Hosts als öffentliche Adressen aber nicht wesentlich mehr |
| PAT (overload) | Viele interne Adressen auf EINE externe Adresse mit Unterscheidung nach Port | Fast jede Internetverbindung die Sie je verwendet haben |
Warum ausgehend keine eingehende Regel nötig ist
Wenn ein interner Host eine Verbindung nach außen öffnet, speichert der Router die vorgenommene Übersetzung. Die Antwort geht an die externe Adresse und den Port; der Router findet den passenden Eintrag und schreibt sie zurück auf die interne Adresse um. Für diese konkrete Antwort musste nichts konfiguriert werden, weil das ausgehende Paket den Eintrag selbst erzeugt hat.
Einen Dienst nach innen veröffentlichen
Eine Portweiterleitung ist diese Regel. Sie legt fest, dass Verkehr an dieser externen Adresse und diesem Port auf jene interne Adresse und jenen Port umgeschrieben wird. Sie wird beim Eingang angewendet, bevor das Routing den Weg des Pakets bestimmt.
Ein Portal auf 8080
Der Portalserver befindet sich unter 10.20.30.10 und lauscht auf 8080. Die externe Adresse des Routers ist 198.51.100.7. Eine Weiterleitung bildet 198.51.100.7:8080 auf 10.20.30.10:8080 ab. Ein externer Client verbindet sich mit der öffentlichen Adresse, als stünde der Server dort.
- Die Weiterleitung muss auf der Schnittstelle gelten, auf der der Verkehr eintrifft. Ausgehend angewendet bewirkt sie nichts.
- Der interne Host braucht weiterhin eine Route nach außen; sonst kommt die Antwort nicht zurück.
- Eine Firewall-Regel, die den Port erlaubt, ist von der Übersetzung getrennt. Beide sind nötig.
Wichtigste Erkenntnisse
- Statisches NAT bildet eins zu eins ab, Pooled NAT viele auf wenige und PAT viele auf eine Adresse mithilfe von Ports.
- Ausgehende Übersetzung schafft ihren eigenen Rückweg; eingehender Verkehr braucht eine ausdrückliche Regel.
- Die Portweiterleitung gilt am Eingang und benötigt eine Rückroute sowie eine erlaubende Firewall-Regel.
- Prüfen Sie einen veröffentlichten Dienst mit einer Verbindung, statt nur die Konfiguration erneut zu lesen.
Bereit weiterzumachen?
Erstellen Sie ein kostenloses Konto, um Ihren Fortschritt zu speichern und den Wissenscheck zu absolvieren.