Início / computer / Perguntas / 1419608
Accepted
ispiro
Asked: 2019-04-01 05:41:46 +0800 CST

Como funciona um NAT atrás de um NAT (NAT do roteador e NAT do ISP)?

  • 772

Estou usando um modem-roteador e, em certos casos, também estou atrás de um ISP NAT. Como funciona um NAT (o NAT do roteador) atrás de um NAT (o NAT do ISP)?

Pelo que sei, um NAT funciona assim: os computadores A e B obtêm IPs internos internal1e internal2. Em seguida, o NAT fornece a eles portas no mesmo IP, para que eles fiquem voltados para o público someIP:1e someIP:2.

Mas se o roteador fizer isso e o ISP fizer de novo, os IPs seriam da forma someIP:1:100, o someIP:2:101que é impossível porque as portas não possuem portas de segundo nível.

Então, como isso funciona?

networking router port-forwarding

2 respostas

  1. Best Answer

    Vamos tentar um exemplo simples.

    Em uma rede doméstica com NAT "normal", 192.168.1.2:11223é mapeado para o endereço "público": par de portas 203.0.113.5:22334. Portanto, o host de destino final pensa que recebeu um pacote 203.0.113.5:22334e não tem conhecimento da rede "privada" por trás dele.

    Agora, vamos expandir isso para uma rede NAT dupla, com dois níveis de NAT.

    No roteador mais próximo do host, 192.168.1.2:11223é mapeado para o endereço "público": par de portas 10.0.0.8:22334. Agora, 10.0.0.8ainda é um endereço privado, apenas em uma rede diferente. No que diz respeito a este roteador, seu trabalho está feito.

    No próximo roteador, que serve como gateway para a LAN em que o primeiro roteador está ligado, 10.0.0.8:22334é mapeado para outro endereço: par de portas em sua própria interface pública, 203.0.113.5:12345.

    O host de destino final acha que recebeu um pacote de 203.0.113.5:12345. Ele e a Internet pública como um todo não têm conhecimento de nenhuma das 10.0.0.0/8ou 192.168.0.0/16sub-redes envolvidas aqui. Ele enviará uma resposta de volta para esse endereço, que deve ser traduzido de volta por cada roteador.

                                  Different address:port pairs for
                              thesame endpoint in one connection!
+------------------------+    -----------------------------------
|Host                    |
|192.168.1.2             |
+------------------------+    192.168.1.2:11223 <--- Host sees
                                                     this pair

+------------------------+    192.168.1.2:11223 <--- Router 1 sees
|Router 1                |                           req from this
|internal 192.168.1.1/24 |
|external 10.0.0.8       |
+------------------------+    10.0.0.8:22334 <------ Router 1 sends
                                                     req from this

+------------------------+    10.0.0.8:22334 <------ Router 2 sees
|Router 2                |                           req from this
|internal 10.0.0.1/24    |
|external 203.0.113.5    |
+------------------------+    203.0.113.5:12345 <--- Router 2 sends
                                                     req from this

+------------------------+    203.0.113.5:12345 <--- Public internet
|Public internet         |                           sees this pair
+------------------------+

    CGN ("ISP NAT") funciona da mesma maneira. A única diferença é que ele não fornece a seus hosts internos um endereço privado RFC1918, pois isso pode entrar em conflito com as redes comerciais. Em vez disso, um endereço do 100.64.0.0/10intervalo (RFC6598) é distribuído pelo "Roteador 2" no diagrama acima. Tanto quanto o próprio roteador do cliente vê, seu endereço "público" é desse intervalo - mas não pode ser acessado na Internet pública!

    • 7

  2. Pelo que eu sei, um NAT funciona assim: os computadores A e B obtêm IPs internos internal1 e internal2. Em seguida, o NAT fornece a eles portas no mesmo IP, de modo que, voltados para o público, eles fiquem atrás de someIP:1 e someIP:2.

    Não. As portas não fazem parte do endereço do host – não existem portas na camada IP, quer o NAT seja usado ou não. O endereço IP de um host é sempre apenas o endereço; ele não possui portas de "segundo nível" e também não possui portas de "primeiro nível". [1]

    Em vez disso, as portas pertencem a cada conexão TCP/UDP individual que o host faz sobre o IP. (Bem, estritamente falando, eles fazem parte de cada pacote e todos os pacotes na mesma conexão usam as mesmas portas.)

    Portanto, quando você vê um endereço escrito como 12.34.56.78:123, a coisa toda não é o endereço IP do host - é um ponto de extremidade de conexão TCP para a porta 123 em um host cujo endereço IP ainda é simplesmente 12.34.56.78.

    Essas portas não são adicionadas pelo NAT – elas sempre estiveram lá; cada pacote TCP ou UDP tem exatamente duas portas (uma porta 'origem' e uma porta 'destino'). Um roteador que executa NAT apenas os traduz para valores diferentes. Não importa quantos níveis de NAT você tenha, esse pacote ainda terá duas portas.

    [1] Isso significa que quando você tem dois hosts com NAT por trás de um único endereço público, eles são indistinguíveis para a camada IP – quando um pacote IP de fora é enviado para someIPele, não há como especificar qual host deseja; o roteador NAT precisa inferir isso da camada TCP. É por isso que você precisa configurar regras de "encaminhamento de porta" para receber conexões de entrada.

    • 3

relate perguntas