NAT: netwerkadressen in de router vertalen

Sinds juni 2012 biedt de zesde versie van het internetprotocol IPv6 een oplossing voor de schaarste aan IP-adressen. Maar de overstap naar het nieuwe protocol duurt lang.

Volgens statistieken van Google gebruikte in oktober 2016 wereldwijd meer dan 85 procent van de internetgebruikers nog steeds het verouderde protocol IPv4. Maar de 4,3 miljard beschikbare adressen zijn niet toereikend voor alle apparaten en toestellen die verbinding met het internet kunnen maken. Niet alleen computers, tablets en smartphones hebben toegang tot het internet nodig. Als onderdeel van het Internet of Things (IoT) worden zelfs koelkasten, weegschalen en koffiezetapparaten slimme netwerkapparatuur.

IPv4 compenseerde de schaarste al aan het begin van de jaren negentig door onderscheid te maken tussen privé- en openbare adresruimtes. Op lokale netwerken (LAN’s) worden apparaten met toegang tot het internet met een privé-IP-adres lokaal geadresseerd en door een gemeenschappelijk openbaar IP-adres met het internet verbonden. De belangrijkste poort tussen een openbaar en privé-adresgedeelte is de router. Hier vindt de Network Address Translation – oftewel NAT – plaats.

Privé-gebruikers hebben meestal te maken met Source NAT. Deze techniek wordt bij thuis- en bedrijfsnetwerken gebruikt, als netwerkapparatuur met een privé-IPv4-adres via een openbaar IP-adres toegang tot het internet krijgt. Maar in normaal taalgebruik wordt de term NAT niet altijd op de juiste manier gebruikt.

NAT in de router wordt, vanwege de strikte scheiding van LAN en internet, soms beschouwd als teken van veiligheid. De vermeende beveiligingsfunctie is echter slechts een neveneffect. NAT en PAT werden ontwikkeld om de schaarste van IPv4-adressen tegen te gaan. Deze methode kan niet fungeren als een firewall of een pakketfilter.

Toch bieden NAT en PAT gebruikers van privé-netwerken een zekere mate van privacy. Omdat alle lokale apparaten van een IPv4-LAN via hetzelfde openbare IP-adres toegang tot het internet hebben, kunnen gebruikers min of meer anoniem surfen. De afzonderlijke host achter een NAT-router kan via het internet niet direct worden geadresseerd – tenzij hiervoor een Port Forwarding is opgezet. Voor externe observeerders lijkt het alsof alle aanvragen vanuit het LAN van de router afkomstig zijn.

Bovendien beschikt de techniek over een beveiligingsfunctie, die ervoor zorgt dat alle van buiten afkomstige verbindingspogingen automatisch worden afgewezen, tenzij dit in de poortinstellingen anders is ingesteld. Antwoordpakketten die afkomstig zijn van het internet, worden alleen doorgegeven als een bepaalde poort van de router serverantwoorden verwacht. Welke webserver reageert, wordt echter niet door NAT of PAT gecontroleerd. Als een routerpoort vanwege een zelf verstuurde aanvraag is geopend, vormt deze een veiligheidsrisico. Daarom wordt aanbevolen om aanvullende veiligheidsopties te installeren, zoals firewalls en pakketfilters.

Een ander nadeel van Network Address Translation via NAT of PAT is de strikte scheiding van privé- en openbare adresruimtes. Dit beperkt de end-to-end-connectiviteit waar binnen het internetdesign naar wordt gestreefd. NAT is dus een probleem bij internetapplicaties die op basis van dit principe zijn opgebouwd.

Protocollen als FTP zijn gebaseerd op de aanname dat hosts op het internet rechtstreeks met elkaar communiceren, zonder een tussenliggend knooppunt dat IP-adressen of poortnummers wijzigt. In NAT-gebaseerde IPv4-netwerken kunnen deze alleen worden gebruikt met behulp van bypass-technologieën. Elk gewenst extra mechanisme verhoogt echter de complexiteit en het foutenpercentage van een IT-systeem. De consistente implementatie van het end-to-end-principe is daarom een centraal ontwerpdoel van de nieuwe webstandaard IPv6.