1. Network Address Translation
(NAT) tradizionale
Nel NAT tradizionale vi sono 2 meccanismi:
Basic NAT: traduce un gruppo di indirizzi IP in un altro
gruppo di inidirizzi IP, senza che l’utente se ne accorga
NAPT: traduce un gruppo di indirizzi IP e porte
TCP/UDP in un altro gruppo di indirizzi IP e porte
TCP/UDP senza che l’utente se ne accorga
Motivi per usare NAT:
Conservare una certa riservatezza circa gli indirizzi
interni di un gruppo di reti
Gli indirizzi di un gruppo di reti è non valido su Internet
(ad es. si usano indirizzi privati, quali 10.x.x.x)
Reti pensate per comunicazione interna, in cui l’accesso
NAT -1

2. Possibile configurazione
Pacchetto da
130.192.7.123
Pacchetto da
Internet 10.76.18.201
ROUTER
NAT
Rete privata
Pacchetto per
130.192.7.123 Pacchetto per
10.76.18.201
NAT -2

3. Limitazioni
È obbligatorio che tutti i pacchetti della stessa
sessione passino attraverso lo stesso router NAT
Queto può essere realizzato in vari modi:
Esiste un solo router NAT (reti stub)
Ne esiste più di uno, ma i NAT si tengono in contatto fra
di loro per scambiarsi informazioni sulle traduzioni fatte
Il valore universale degli indirizzi IP scompare
Alcuni meccanismi di sicurezza dell’IP (IPsec) non
valgono più
Le sessioni possono solo essere fatte iniziare da un
macchina nella rete stub
NAT -3

4. Traduzione degli indirizzi nel
Basic NAT
I router dotati di NAT associano un indirizzo IP di una
macchina interna ad uno degli indirizzi esterni disponibili
Se il numero degli indirizzi interni è uguale o inferiore a
quelli esterni, esiste sempre la possibilità di accedere
all’esterno
L’associazione fra numeri interni ed esterni può essere:
Statica: la macchine con indirizzo interno associato a questi
numeri potranno sempre accedere all’esterno
Dinamica: le macchine che non hanno indirizzi a sé riservati,
possono cercare di ottenerne uno quando serve, ma non è
garantito che lo ottengano
La stessa macchina può iniziare più sessioni
simultanee usando lo stesso indirizzo
NAT -4

5. Esempio
Router regionale
S:198.97.19.187
D:198.97.18.38
Router+ Router+
NAT NAT
S:10.33.95.6 S:198.97.19.187
D:198.97.18.38 D:10.33.95.6
10.33.95.6 10.33.95.6
Rete stub A Rete stub B
NAT -5

6. Esempio con NAPT
Provider
S:198.97.19.187, Sport: S:198.97.19.187, Sport: 1328
1327 D:135.89.15.37, Dport: 23
D:198.97.18.38, Dport:80
Router+
NAT
S:10.33.95.6, Sport:2178 S:10.0.3.78, Sport: 3628
D:198.97.18.38, Dport: D:135.89.15.37, Dport:
80 23
10.33.95.6 10.0.3.78
NAT -6

7. Altre caratteristiche
Nel NAPT si possono ricevere delle sessioni
iniziate dall’esterno, se la porta indirizzata
è assegnata ad una macchina interna
Alcuni servizi (ad es. DNS e ICMP query)
richiedono l’apertura di queste sessioni
dall’esterno
NAT -7

8. Fasi della traduzione
1. Associazione degli indirizzi
• Basic NAT: quando appare il primo pacchetto di una sessione, il NAT
cerca un indirizzo esterno libero e lo associa all’indirizzo IP del
mittente
• NAPT: quando arriva il primo pacchetto di una sessione, si associa la
coppia (IP privato, porta privata ad una coppia libera (IP pubblico, porta
pubblica)
2. Traduzione
• Una volta stabilita una associazione, il NAT utilizza questa associazione
per la traduzione in entrambi i sensi
3. Fine dell’associazione
• Avviene quando il NAT vede l’ultimo pacchetto della sessione oppure
scade un timeout
• L’indirizzo pubblico e la porta pubblica sono riutilizzabili
NAT -8

9. Routing e switch-over
Routing con NAT
Il NAT non deve pubblicizzare all’esterno la rete privata
(solo indirizzi globali possono essere riconosciuti)
Il NAT può pubblicizzare all’interno della rete privata le
informazioni ricevute dall’esterno
Switch-over
Con il basic NAT, un a volta finiti gli indirizzi pubblici,
l’accesso alla rete esterna viene bloccato, finché non si
liberi un indirizzo
Per evitare questo si può commutare da basic NAT a
NAPT, quando si esauriscono gli inidirizzi esterni
Non fa parte dello standard, ma può essere realizzato
NAT -9

10. Problemi
Sicurezza
Il NAT dà una forma di protezione delle macchine interne contro
attacchi esterni (sono parzialmente irrangiungibili)
Impedisce di monitorare macchine che effettuino operazioni
dannose (perchè l’indirizzo del mittente è uno di quelli del NAT)
Può rendere difficile il debugging
Frammentazione
L’invio di datagram frammentati su NAPT può fallire
Solo il primo frammento contiene le informazioni sulla porta
L’IP destinatario non riesce a distinguere il caso di 2 frammenti
dallo stesso mittente, rispetto a quello di 2 macchine interne che
hanno scelto lo stesso id. di datagram per lo stesso destinatario
NAT -10

11. Altri problemi
No connessioni rete privata – altra rete privata
Problemi con protocolli che cifrano il carico (ad
es. IPSec) perché non si legge piú il n. di porta
Non lavora a livello applicativo
• Se un applicazione include indirizzi all’interno della
busta applicativa, la traduzione non va a buon fine
• Es. payload DNS, SIP, FTP
NAT -11

12. Spazi di indirizzamento
sovrapposti e DNS
La problematica viene spesso risolta con
una configurazione ad hoc del DNS
DNS per i client di az1 DNS per i client di az2
www.az1.com 10.1.1.1 www.az1.com 20.3.3.3
www.az2.com 20.4.4.4 www.az2.com 10.1.1.1
DNS Rete privata
Rete privata
Da 20.3.3.3 Da 20.3.3.3
Da 10.1.1.1
a 20.4.4.4 a 10.1.1.1
a 20.4.4.4
10.1.1.1 10.3.3.3 20.3.3.3 20.4.4.4 10.3.3.3 10.1.1.1
NAT -12

13. NAT: controversie
Il NAT è criticato da alcuni perché:
I routers debbono occuparsi di protocolli solo
fino al livello 3
Viola il principio di comunicazione end-to-end
• I NAT debbono essere tenuti in conto dai progettisti
di applicazioni, ad es. P2P e VoIP
La crisi degli indirizzi può essere risolta con
IPv6
NAT -13