[ Pobierz całość w formacie PDF ]
.Mechanizm NAT jest dobrym sposobem rozwiazania problemów z wyczerpaniem adresówi skalowaniem, poniewaz jego implementacja wymaga bardzo niewielu zmian i mozeodbywac sie etapami.Mechanizm ten posiada jednak wiele cech negatywnych, przez którenie nadaje sie do roli rozwiazania dlugoterminowego.NAT musi byc zainstalowany na styku pomiedzy siecia prywatna i reszta swiata.Takimpunktem styku jest ruter.Kazde urzadzenie zdolne do obslugi NAT posiada tablicetranslacji, która sluzy do tlumaczenia prywatnych adresów IP na adresy IP unikatoweglobalnie.Jesli siec ma kilka wyjsc, bardzo wazne jest, aby wszystkie rutery obslugujaceNAT posiadaly identyczne tablice translacji.Rysunek 11.6 przedstawia konfiguracje NAT.Rysunek 11.6.Konfiguracja NAT Rozdzial 11.Dostep do Internetu 243Mechanizm NAT jest zasadniczo uzywany przez rutery, lecz moze tez byc stosowany przezzapory firewall.Rutery uzywajace NAT nazywane sa czasami ruterami NAT lubtranslatorami adresów sieciowych.Przez zaimplementowanie NAT automatycznie tworzymy zapore firewall pomiedzysiecia prywatna i swiatem zewnetrznym.Urzadzenie uzywajace mechanizmu NAT grarole agenta pomiedzy siecia prywatna i reszta swiata.Inaczej mówiac, pojedynczy adresIP moze posluzyc do reprezentowania calej sieci, co dodatkowo zwieksza jej bezpie-czenstwo przez ukrycie wewnetrznych adresów IP przed swiatem zewnetrznym.W NAT jedynie polaczenia zainicjowane wewnatrz sieci maja prawo przejsc przez ru-ter.Dzieki temu komputer wewnatrz moze z powodzeniem laczyc sie z komputerem po-lozonym na zewnatrz swojej sieci.Jednakze zewnetrzny komputer nie bedzie w staniepolaczyc sie z wewnetrznym, poniewaz musialby zainicjowac polaczenie (na co NATnie pozwala).W wyniku tego uzytkownicy nalezacy do sieci moga przegladac zasobyinternetowe, laczyc sie z komputerami nalezacymi do innych sieci publicznych, a nawetpobierac pliki, lecz kontakt z zewnatrz z wewnetrznymi hostami za pomoca ich adresówIP jest niemozliwy.Mozemy porównac NAT do sekretarki, która przekazuje tylko polaczenia telefoniczne,których sobie zyczymy, natomiast niepozadane polaczenia odrzuca.W razie potrzeby administrator sieci prywatnej moze, w sposób kontrolowany, zezwolicklientom z zewnatrz na dostep do uslug typu FTP lub WWW w okreslonych hostachwewnetrznych.Robi sie to za pomoca przypisania dobrze znanych portów TCP do adre-sów wewnetrznych proces taki nosi nazwe odwzorowania wejsciowego (inboundmapping).Istnieja dwie formy mechanizmu NAT: statyczny i dynamiczny oraz dwa typy dyna-micznego NAT: przeciazony (overloaded) i nakladany (overlapped).Statyczny NAT nie zarejestrowane adresy IP sa kojarzone z zarejestrowanymijeden do jednego, jak na rysunku 11.7.Na przyklad, adres 160.111.7.8 bedziezawsze tlumaczony na 192.1.1.5.Ta forma jest stosowana, gdy trzeba laczyc siez wewnetrznym hostem spoza danej sieci.Rysunek 11.7.Statyczny NAT 244 Czesc III Popularne aplikacje TCP/IPDynamiczny NAT nie zarejestrowany adres IP moze zostac odwzorowany nadowolny pierwszy dostepny adres z bloku zarejestrowanych adresów IP, jak narysunku 11.8.Na przyklad, 160.111.7.8 bedzie tlumaczony na pierwszy dostepnyadres z zakresu od 192.1.1.1 do 192.1.1.120.Ta forma NAT jest stosowana,gdy wewnetrzny host musi miec dostep do zewnetrznego.Rysunek 11.8.Dynamiczny NATPrzeciazony NAT dynamiczny wiele nie zarejestrowanych adresów IPodwzorowuje sie na pojedynczy zarejestrowany adres IP za pomoca róznychportów, jak na rysunku 11.9.Na przyklad, adres 160.111.7.8 bedzie tlumaczonyna 192.1.1.5:209, zas 160.111.7.10 na 192.1.1.5:210.Przeciazony NAT dynamicznynazywany jest równiez tlumaczeniem adresów portów (PAT Port AddressTranslation), NAT multipleksowanym na poziomie portów (port-level multiplexedNAT) oraz NAT jednoadresowym (single address NAT).Rysunek 11.9.Przeciazony NATdynamicznyNakladany NAT dynamiczny jesli w prywatnej sieci uzywany jest blok adresówIP legalnie zarejestrowanych dla innej sieci, rutery NAT musza przechwycic jei zastapic zarejestrowanymi adresami unikatowymi.W przeciwnymrazie pakietydanych moglyby zostac utracone z powodu obecnosci w Internecie dwóch hostówo identycznym adresie IP.Zalózmy na przyklad, ze siec prywatna uzywa blokuadresów 162.111.xxx.xxx.Ten sam blok zostal jednak przydzielony przezinternetowa agencje rejestrujaca innej sieci.Aby uniknac mozliwosci kolizjiadresów, ruter NAT powinien przetlumaczyc nie zarejestrowany adres IP nazarejestrowany, gdy wewnetrzny host bedzie musial komunikowac sie z hostemnalezacym do innej sieci.Analogicznie, ruter NAT musi przetlumaczyc tezzarejestrowane globalnie adresy IP na nie zarejestrowane adresy IP uzywanew sieci prywatnej, gdy zewnetrzny host wysle informacje do wewnetrznego.Nakladany NAT dynamiczny zostal przedstawiony na rysunku 11.10. Rozdzial 11.Dostep do Internetu 245Rysunek 11.10.Nakladany NATdynamicznyKorzysci ze stosowania NATNAT znaczaco upraszcza zadania zwiazane z zarzadzaniem adresami IP.W sieciTCP/IP kazdy komputer musi miec odrebnie skonfigurowane: poprawny adres IP, ma-ske podsieci, nazwe domeny, ruter domyslny i adres serwera DNS.Im wieksza jest siec,tym trudniej skoordynowac dystrybucje adresów.Co wiecej, niewlasciwa konfiguracjachocby pojedynczego komputera moze prowadzic do zatrzymania funkcjonowania cze-sci sieci.NAT moze znaczaco zmniejszyc naklady pracy administratorów.Inne korzy-sci ze stosowania tego mechanizmu sa nastepujace:NAT moze posluzyc do podzialu duzej sieci na wiele mniejszych.Komputerymozna dodawac, usuwac i zmieniac im adresy bez wplywu na inne jednostki.NAT jest zadaniem ruterów, wobec czego jedynie rutery w punktach wyjsciowychsieci wymagaja modyfikacji
[ Pobierz całość w formacie PDF ]