Информационная безопасность и компьютерные сети

Лекция 5

Network Address Translation

Пономаренко Роман
@rerand0m
rerandom@ispras.ru

Протокол IPv4

Исчерпание IPv4 адресов

• Протокол IPv4 на момент создания:
  • Год публикации 1981
  • Количество ЭВМ измеряется тысячами единиц в мире
• IP-адрес размером 4 байта - 2³² = 4 294 967 296 уникальных
• Исчерпание пула IPv4 адресов:
  • Январь 2011: IANA выделил последний блок \8
  • Март 2017: RIR исчерпали доступные блоки \8
  • Октябрь 2019: RIPE NCC выделил последний блок \22
  • Ноябрь 2019: RIPE NCC не осталось подсетей (\24) для выделения

NAT - трансляция сетевого адреса

Локальные вычислительные сети

Статический NAT

Динамический NAT

NAPT - трансляция сетевых адресов и портов

• Отображение глобальных адресов к локальным 1:*
• В заголовке IP-пакета нет свободного места для локального адреса отправителя
  • Изменять формат заголовка нельзя для сохранения обратной совместимости
• Большая часть полезной нагрузки IP-пакетов - TCP и UDP
  • Сетевое соединение определяется четверкой:
    〈IP_host , Port_host , IP_serv , Port_serv 〉
• NAPT транслирует не только IP-адрес отправителя, но и порт отправителя
  • Идентификаторы соединения сохраняются в таблице трансляции
  • Один публичный адрес может быть использован для 2¹⁶ сетевых соединения (фактически меньше)

NAPT - схема

Таблица трансляции

NAPT - особенности

Преимущества:

• Один публичный адрес для нескольких машин в локальной сети
• Не требуется поддержка NAPT на машине

Недостатки:

• Нарушается ключевой принцип протокола IP - уникальный адрес для каждой машины
• Нарушается ключевой принцип стека протоколов - независимость уровней друг от друга
• Сетевое соединение может быть инициировано только из локальной сети
• При сбое в NAPT-блоке разрушаются все активные соединения
• Транспортные протоколы ограничены TCP или UDP
• Машина в локальной сети не знает свой публичный адрес

NAT в домашнем роутере

Таблица трансляции в домашнем роутере

*реклама МГТС отключена за неуплату

Типы трансляции

• Исходящие из локальной сети пакеты
  • В таблицу трансляции добавляется запись ассоциации локального и публичного адреса отправителя:
    〈IP^Priv_host , Port^Priv_host , IP_serv , Port_serv 〉 → 〈 IP^Pub_host , Port^Pub_host , IP_serv , Port_serv 〉
  • Разрешаются ответные пакеты от получателя (обмен адресов отправителя и получателя):
    〈IP_serv , Port_serv , IP^Pub_host , Port^Pub_host 〉 → 〈 IP_serv , Port_serv , IP^Priv_host , Port^Priv_host 〉
• Входящие из глобальной сети пакеты
  • Зависит от реализации NAT ( RFC3489, RFC5389)

Full Cone NAT

Фильтр входящих пакетов

Address-Restricted Cone NAT

Фильтр входящих пакетов

Port-Restricted Cone NAT

Фильтр входящих пакетов

Symmetric NAT

Фильтр входящих пакетов

¹ - возможны различные типы

Различия Cone и Symmetric NAT

Различия обусловлены особенностями отображения портов и адресов

Для множества соединений

〈IP^Priv_host , Port^Priv_host , IP_serv , Port_serv 〉

может использоваться один

〈IP^Pub_host , Port^Pub_host 〉

Для каждого соединения

〈IP^Priv_host , Port^Priv_host , IP_serv , Port_serv 〉

генерируется уникальный

〈IP^Pub_host , Port^Pub_host 〉

Отображение адресов и портов

• Endpoint-Independent Mapping
  B : y = B : v при любом C : z и D : w
• Address-Dependent Mapping
  B : y = B : v , если C = D
• Address and Port-Dependent Mapping
  B : y = B : v , если C : z = D : w

RFC4787

Проброс портов

• Проброс портов (port forwarding ) или PAT (Port Address Translation) - поддержание постоянного отображения 〈IP^Priv_host , Port^Priv_host 〉↔〈 IP^Pub_host , Port^Pub_host 〉 для прохождения сетевого трафика через шлюз (роутер, межсетевой экран и прочее)
• Функция проброса портов используется для предоставления доступа к сервисам в локальной сети извне:
  • Запуск публичного HTTP или игрового сервера
  • Предоставление SSH или FTP доступа
• Данный функционал реализуется не только сетевыми устройствами, но и такими приложениями как SSH
  • Local TCP forwarding
  • Remote TCP forwarding

Трансляция TCP соединений

Наблюдаемые состояния TCP соединения

Трансляция UDP соединений

• Протокол UDP не имеет состояний
  • Следовательно, NAT не имеет возможности определять инициацию и завершение состояния
• NAT поддерживает таблицу таймаутов для каждого соединения
  • При каждой трансляции пакета NAT обновляет время последней трансляции для данного соединения
  • При обнаружении записи, с момента последней трансляции которой прошло более заданного таймаута, отображение адресов удаляется из таблицы трансляции
• Отсутствует общепризнанный стандарт, регулирующий поведение NAT-устройства, возможны различные стратегии поведения как для различных производителей, так и для различных моделей одного производителя
  • IETF рекомендует 600 секунд для UDP
  • IETF рекомендует 124 минуты для TCP

Таймауты

Значения таймаутов NAT в домашних устройствах

• Минимальный выявленный таймаут для двухстороннего UDP-трафика 54 секунды
• Половина устройств закрывают отображение для TCP-соединения через 1 час

Hätönen S. et al. An experimental study of home gateway characteristics // Proceedings of the 10th ACM SIGCOMM conference on Internet measurement. – 2010. – С. 260-266.

NAT Traversal

Возможные схемы NAT при P2P

Один за NAT

Оба за NAT

Каскад NAT

Реверсирование соединения

Только один клиент за NAT

Hole Punching

• Метод пробития дырки (hole punching) - метод создания соединения между двумя компьютерами, находящимися за NAT (RFC3027, статья)
  • Методы для TCP и UDP немного различаются ввиду особенностей протоколов
• Клиенты A и B поддерживают постоянное соединение с посредником - сервером рандеву S
  • Клиент при подключении к серверу передает публичный 〈IP^Pub_host , Port^Pub_host 〉и локальный〈 IP^Priv_host , Port^Priv_host 〉адрес

Процесс создания P2P UDP-соединения

1. Клиент A запрашивает помощь у S в установлении соединения с B
2. S отвечает A сообщением с публичным и локальным адресом B, также S отправляет B запрос на установление соединения от A (включая публичный и локальный адрес)
3. A и B начинают отправлять друг-другу пакеты с заданной периодичностью одновременно на публичный и локальный адрес
   • Первый пакет "пробьет дырку" в NAT отправителя
   • Если получатель успел сделать "дырку" в NAT своим исходящим пакетом, то пакет пройдет через NAT получателя и достигнет получателя
   • Если получатель не успел пробить "дырку" в NAT своим исходящим пакетом, то соединение будет установлено пакетом другой стороны, который создаст "дырку" в своем NAT и пройдет через созданную ранее "дырку" в другом NAT

Клиенты за общим NAT

Создание UDP-соединения между машинами, находящимися за одним NAT

Клиенты за разными NAT

Создание UDP-соединения между машинами, находящимися за разными NAT

Клиенты за каскадом NAT

Создание UDP-соединения между машинами, находящимися за несколькими уровнями NAT¹

¹ - В данном случае задействован NAT Hairpin

Особенности реализации TCP Hole Punching

Особенности реализации TCP Hole Punching

• Возможность устанавливать множественные соединения через одно отображение
  • Через отображение 〈IP^Priv_host , Port^Priv_host 〉 ↔ 〈 IP^Pub_host , Port^Pub_host 〉 требуется обеспечить возможность соединения с несколькими сторонними адресами 〈IPⁱ_serv , Portⁱ_serv 〉 (трансляция типа Cone NAT )
  • Создание соединения через трансляцию типа Symmetric NAT возможно только если определен механизм выбора номера внешнего порта для отображения
• Сброс непредвиденных TCP SYN-пакетов без отправки TCP RST или ICMP пакетов
  • Явное уведомление об ошибке через отправку соответствующего пакета может помешать процессу установления P2P TCP-соединения
• Поддержка NAT Hairpin (loopback) - обработки пакетов, полученных из локальной сети и направляющихся в локальную сеть с использованием публичных адресов

NAT Traversal

Session Traversal Utilities for NAT (RFC5389)

Алгоритм определения типа NAT протокола STUN

Traversal Using Relays around NAT (RFC5766)

• Клиент-серверная архитектура - узел за симметричным NAT подключается к TURN-серверу и настраивает ретрансляцию
  • Узел использует адрес TURN-сервера как свой публичный адрес при P2P соединении
• Транспортный протокол:
  • От TURN-клиента к TURN-серверу: UDP, TCP, TLS-over-TCP
  • От TURN-сервера к узлу: UDP

Лучшие практики P2P

Для организации надежного и гарантированного P2P соединения используется оптимальный способ связи (ICE):

1. Прямое соединение между узлами
   • Наиболее простая и эффективная схема
   • Требуются публичные адреса
2. Прямое соединение через NAT при помощи hole punching (с использованием STUN)
   • Подходит не для всех типов NAT
3. Соединение через посредника - TURN-сервер
   • Универсальная схема, работоспособность гарантирована
   • Нагрузка на TURN-сервер, увеличивается задержка передачи

Протоколы управления отображением в сетевых шлюзах

UPnP IGD и NAT-PMP

NAT в домашнем маршрутизаторе

UPnP и PMP в домашнем роутере

*реклама МГТС отключена за неуплату

Каскадный NAT

GPON, МГТС

$ tracepath -n ispras.ru
1: 192.168.1.254           1.587ms
2: 10.144.0.1              6.856ms
3: 212.188.1.106           7.896ms
4: 212.188.1.105           8.973ms
5: 212.188.28.150          8.725ms
6: 195.34.53.204           5.808ms
7: 212.188.33.181          8.416ms
8: 194.190.255.46          7.557ms
9: 83.149.192.43           8.340ms

Carrier-grade NAT

Cisco ASR1009-X

IPv6

IPv6

IPv6

IPv6

IPv6

IPv6

Краткие итоги

• NAT позволил замедлить исчерпание пулов IPv4 адресов
• Под NAT, чаще всего имеется ввиду NAPT
• I NAT различается по своим свойствам
  • 4 базовых типа: 3 вида Cone, Symmetric
  • Основные параметры: фильтр, отображение
• Обход NAT требуется для P2P соединений
  • Метод hole punching работает не для всех типов NAT
  • STUN позволяет получить публичный IP-адрес
  • TURN позволяет ретранслировать сообщения при проблемных типах NAT
  • На практике используется гибридный подход
• Операторский NAT сложный и многообразный
• IPv6 спасет нас от NAT, но не сейчас