Construa a ideia primeiro, depois use a próxima atividade para verificá-la.
Traduzindo para fora, publicando para dentro
A diferença entre muitos hosts compartilhando um endereço público e um serviço interno único ficando alcançável de fora - e por que o segundo precisa de uma regra que o primeiro nunca precisa.
O que você será capaz de fazer
- Distinguir NAT estático, NAT em pool e PAT pelo que cada um mapeia
- Explicar por que o compartilhamento de saída não precisa de regra de entrada
- Descrever o que um encaminhamento de porta acrescenta e onde é aplicado
Antes disso: Você precisa de "NAT e PAT" para a ideia básica de tradução, e de portas TCP/UDP, já que o PAT e o encaminhamento de porta são ambos construídos sobre elas.
Por que isso importa: O NAT de saída é invisível quando funciona, então a primeira vez que a maioria dos engenheiros pensa sobre ele é quando algo interno precisa ficar alcançável de fora - um portal, um servidor de e-mail, um endpoint de monitoramento. Essa é uma regra diferente em uma direção diferente, e confundir as duas é o motivo usual de um serviço publicado ficar inalcançável.
A tradução de endereços tem diferentes formas, que variam conforme o que é mapeado para o quê. Escolher a forma certa é a maior parte do trabalho; a sintaxe vem depois.
| Tipo | Mapeamento | Uso |
|---|---|---|
| NAT estático | Um endereço interno para um endereço externo | Servidor que deve sempre aparecer no mesmo endereço público |
| NAT em pool | Muitos endereços internos para um pool de endereços externos | Mais hosts que endereços públicos, mas sem grande diferença |
| PAT (overload) | Muitos endereços internos para UM endereço externo, separados por porta | Quase toda conexão à internet que você já usou |
Por que a saída não precisa de uma regra de entrada
Quando um host interno abre uma conexão para fora, o roteador registra a tradução feita. A resposta chega endereçada ao endereço e à porta externos; o roteador encontra a entrada correspondente e reescreve o destino para o endereço interno. Nenhuma configuração específica foi necessária para essa resposta, pois o próprio pacote de saída criou a entrada.
Publicando um serviço interno
O encaminhamento de porta é essa regra. Ele determina que o tráfego recebido em certo endereço e porta externos seja reescrito para outro endereço e porta internos. A regra é aplicada na entrada, antes de o roteamento decidir para onde enviar o pacote.
Um portal na porta 8080
O servidor do portal está em 10.20.30.10 e escuta na porta 8080. O endereço externo do roteador é 198.51.100.7. Um encaminhamento mapeia 198.51.100.7:8080 para 10.20.30.10:8080, e um cliente externo se conecta ao endereço público como se o servidor estivesse nele.
- O encaminhamento deve ser aplicado na interface pela qual o tráfego chega - aplicá-lo na saída não resolve.
- O host interno ainda precisa de uma rota de saída, ou a resposta não retorna.
- Uma regra de firewall que permita a porta é separada da tradução, e ambas são necessárias.
Principais pontos
- NAT estático mapeia um para um; NAT em pool mapeia muitos para alguns; PAT mapeia muitos para um por meio das portas.
- A tradução de saída cria seu próprio caminho de retorno; a entrada não tem entrada anterior e exige uma regra explícita.
- O encaminhamento de porta é aplicado onde o tráfego chega e precisa de rota de retorno e de uma regra permissiva no firewall.
- Verifique um serviço publicado conectando-se a ele, em vez de apenas reler a configuração.
Pronto para continuar?
Crie uma conta gratuita para salvar seu progresso e fazer a verificação de conhecimento.