NAT: Wie Adressumsetzung funktioniert und warum eingehende Verbindungen scheitern

Worum es geht

RFC 3022 beschreibt traditionelles NAT: Ein Router mit einer oder wenigen öffentlichen Adressen schreibt bei Paketen, die ein privates Netzwerk verlassen, die Quelladresse (Basic NAT) oder Quelladresse und -port (NAPT) um und hält die Zuordnung in einer Sitzungstabelle fest; passende Antworten werden zurückgeschrieben und nach innen weitergeleitet. Der Tabelleneintrag entsteht durch das erste ausgehende Paket. Für ein eingehendes Paket ohne passenden Eintrag gibt es kein privates Ziel, an das es weitergeleitet werden könnte, und es wird verworfen. RFC 4787 klassifiziert das NAT-Verhalten: das Zuordnungsverhalten (ob derselbe interne Port für jedes Ziel denselben externen Port erhält, „Endpoint-Independent Mapping") und das Filterverhalten (welche externen Absender eine bestehende Zuordnung nutzen dürfen). Ausserdem verlangt es, dass UDP-Zuordnungen mindestens zwei Minuten Inaktivität überstehen; RFC 5382 verlangt für bestehende TCP-Verbindungen mindestens 2 Stunden 4 Minuten. RFC 6598 reserviert 100.64.0.0/10 für Carrier-Grade-NAT, eine zweite Umsetzung innerhalb des Netzwerks des Anbieters.

Warum es wichtig ist

Jede Frage der Art «der Server erreicht meinen Rechner nicht» beruht auf diesem Mechanismus. Webhooks, Peer-to-Peer-Verbindungen, Fernwartung und das Betreiben eines Dienstes zu Hause benötigen alle einen eingehenden Pfad, den das NAT nicht von selbst schafft. Der Verfall inaktiver Zuordnungen erklärt, warum langlebige Verbindungen über Nacht abbrechen, und adressabhängiges Filtern erklärt, warum eine Technik hinter dem einen Router funktioniert und hinter einem anderen nicht.

So wird es angewendet

• Für einen Dienst, der erreichbar sein muss, eine statische Zuordnung (Port-Weiterleitung) auf dem NAT einrichten oder IPv6 verwenden, das keine Umsetzung braucht, vorbehaltlich der Firewall.
• Hinter einem NAT, das sich nicht konfigurieren lässt (Carrier-Grade, Firmennetz, Mobilfunk), eine ausgehende Verbindung zu einem Relay nutzen: einen Reverse-Tunnel (ssh -R), einen TURN-Server (RFC 8656) oder einen Broker, den der Dienst abfragt.
• Für Peer-to-Peer-Verkehr Hole Punching einsetzen (RFC 5128 gibt einen Überblick über die Technik) mit einem Relay als Rückfalloption, weil es vom Zuordnungs- und Filterverhalten beider NATs abhängt.
• Keep-Alive-Verkehr häufiger senden als das kürzeste Inaktivitäts-Timeout auf dem Pfad; es wird häufig berichtet, dass Geräte UDP-Zuordnungen früher verfallen lassen als das RFC-Minimum vorsieht, daher messen statt annehmen.

Stolpersteine

Ein NAT ohne Unterstützung für Hairpinning (RFC 4787) verhindert, dass zwei Hosts im selben privaten Netzwerk einander über die öffentliche Adresse erreichen. Protokolle, die Adressen in ihrer Nutzlast tragen (SIP, FTP), benötigen Application-Level-Gateways oder eine Aushandlung nach ICE-Art. Doppeltes NAT bricht die Port-Weiterleitung auf dem inneren Router, weil der äussere Router keine Zuordnung besitzt.