10-4 NAT:n ylikuormitus eli porttiosoitteiden kääntäminen (PAT)

NAT:n ylikuormitus eli porttiosoitteiden kääntäminen (PAT) on dynaamisen NAT:n muunneltu muoto, jossa sisäisten paikallisten osoitteiden määrä on suurempi kuin sisäisten globaalien osoitteiden määrä. Useimmiten on vain yksi sisäinen globaali IP-osoite, joka tarjoaa Internet-yhteyden kaikille sisäisille isännille. NAT-ylikuormitus on ainoa NAT-muoto, joka todella säästää IP-osoitteita, ja se on myös suosituin NAT-muoto.

Kuva 10-4 Porttiosoitekäännös (PAT)

PAT sallii ylikuormituksen eli useamman kuin yhden sisäisen paikallisen osoitteen yhdistämisen samaan sisäiseen maailmanlaajuiseen osoitteeseen. Tämä tarkoittaa kuitenkin myös sitä, että paluupaketeilla olisi kaikilla sama kohdeosoite, kun ne saapuvat NAT-reitittimeen. Mistä reititin tietäisi, mihin sisäiseen paikalliseen osoitteeseen kukin paluupaketti kuuluu? Tämän skenaarion ratkaisemiseksi NAT-kirjaukset käännöstaulukossa ovat laajennettuja merkintöjä; merkinnät eivät seuraa ainoastaan asianomaisia IP-osoitteita, vaan myös protokollatyyppejä ja portteja. Kääntämällä sekä paketin IP-osoite että porttinumero voitaisiin teoriassa jopa 65535 sisäistä paikallista osoitetta yhdistää yhteen sisäiseen globaaliin osoitteeseen (16-bittisen porttinumeron perusteella).

Mutta pitää muistaa, että yksi NAT-merkintä käyttää noin 160 tavua reitittimen muistia, joten 65535 merkintää veisi yli 10 megatavua muistia ja myös suuria määriä suorittimen tehoa. Käytännön PAT-konfiguraatioissa ei kartoiteta läheskään tällaista määrää osoitteita, mutta se on ehdottomasti teoreettinen raja.

Tässä on esimerkkikonfiguraatio NAT-ylikuormitusta tai PAT:ia varten kuvan 10-4 mukaisesti.

Ylläoleva konfiguraatio saattaa vaikuttaa hyvin samankaltaiselta kuin dynaamisen NAT:n konfiguraatio, mutta siinä on kuitenkin tärkeitä eroja. Ensinnäkin IP-osoitepooli on supistettu yhteen IP-osoitteeseen, joka on määritetty reitittimen R1 ulkorajapinnalle.

Toiseksi, pääsylista 1 vastaa koko C-luokan verkkoa 192.168.1.0/24, mikä tarkoittaa, että kaikki sisäpuoliset paikalliset osoitteet tästä verkosta käännetään. Jos haluat, että jotakin tiettyä isäntää tästä verkosta ei käännetä, sinun on määritettävä se nimenomaisesti lisäämällä pääsylistaan deny-lauseke. Oletetaan, että haluamme kieltää käännöksen yhdeltä isännältä 192.168.1.2 ja sallia kaikki muut isännät:

Käskyyn ip nat inside source list 1 pool MyPool lisätään myös overload-avainsana. ip nat inside source list 1 pool MyPool.

Aloitetaan tavanomainen tarkistuksemme komennolla show ip nat translations:

Ei ole olemassa mitään staattisia kartoituksia ja siksi tyhjä ulostulo yllä. Tuotetaan hieman liikennettä sisäisiltä isänniltä palvelimelle ja annetaan komento show ip nat translations uudelleen:

Kuten yllä olevasta ulostulosta näkyy, kaikki sisäpuoliset paikalliset osoitteet käännetään samaksi sisäpuoliseksi globaaliksi osoitteeksi, mikä on NAT-ylitehostuksen eli PAT:n ydin. Olet ehkä huomannut, että reititin on säilyttänyt lähdeporttien numerot, kun sisäiset paikalliset osoitteet on käännetty sisäisiksi globaaleiksi osoitteiksi. Tämä on tavallista käyttäytymistä, mutta kun reititin luo uuden käännösmerkinnän siten, että lähdeporttinumero on jo käytössä, myös porttinumero käännetään eri numeroksi. Esiintyminen, jossa kaksi sisäpuolen isäntäkonetta valitsee saman lähdeporttinumeron, ei ole kovin yleistä, mutta sitä voi silti tapahtua varsinkin silloin, kun sisäpuolelta ulospäin suuntautuvien yhteyksien määrä on merkittävä.

Käytetään myös komentoa show ip nat statistics:

Tulee pitää mielessä kaksi asiaa. Ensinnäkin NAT-ylikuormitus on hyödyllinen kaikissa tilanteissa, joissa sisäisten isäntien määrä on suurempi kuin sinulla on julkisia osoitteita. Monissa tilanteissa sinulla on vain yksi julkinen IP-osoite, joka on määritetty Internetiin päin olevan reitittimesi ulkorajapintaan. Tällöin poolisi koostuisi yhdestä IP-osoitteesta, kuten yllä oleva kokoonpano osoittaa. Käytettävissäsi voi kuitenkin olla useampia julkisia IP-osoitteita, joista yksi voidaan määrittää reitittimesi Internet-liitännälle. Tällaisessa tapauksessa NAT-poolisi voi koostua useammasta kuin yhdestä IP-osoitteesta, mutta käytät silti NAT-ylikuormitusta, jotta useammat sisäiset isännät, jotka haluavat muodostaa yhteyden Internetiin, mahtuisivat siihen. Lyhyesti sanottuna sinulla voi olla yksi ylikuormitettu julkinen osoite tai sinulla voi olla useampia ylikuormitettuja julkisia osoitteita.

NAT-ylikuormitus tai PAT on yleisin NAT-konfiguraatio siitä ilmeisestä syystä, että se on se NAT-muoto, joka todella säilyttää globaalit IP-osoitteet, mikä on NAT:n käytön ensisijainen syy.