Что такое NAT и как он работает

NAT встречается почти в каждом доме, хотя большинство людей никогда не настраивали его специально. Именно благодаря NAT ноутбук, телевизор, телефон и игровая приставка могут одновременно выходить в интернет через один внешний IPv4-адрес.

Само слово звучит сложно — Network Address Translation, «преобразование сетевых адресов». Но идея довольно простая: внутри вашей сети устройства имеют свои локальные адреса, а наружу их трафик выходит через другой адрес.

Как NAT выглядит дома

Допустим, дома работают три устройства:

Ноутбук     192.168.1.10
Телефон     192.168.1.11
Телевизор   192.168.1.12

Это частные адреса. Обычный сайт в интернете их не видит. Снаружи все три устройства могут выглядеть как один адрес, например:

203.0.113.25

Что делает роутер

Когда ноутбук открывает сайт, роутер запоминает соединение и подменяет внутренний адрес публичным. Когда ответ возвращается, роутер понимает, какому устройству его передать.

Упрощённо:

192.168.1.10:53142
        ↓
домашний роутер
        ↓ NAT
203.0.113.25:42001
        ↓
Интернет

Зачем вообще появился NAT

Главная практическая причина — нехватка IPv4-адресов. Адресов IPv4 намного меньше, чем устройств, подключённых к интернету.

Благодаря частным диапазонам одна и та же сеть 192.168.1.0/24 может использоваться одновременно в миллионах квартир и офисов.

NAT и частный IP — не одно и то же

Частный IP — это адрес устройства во внутренней сети. NAT — механизм, который преобразует адреса при прохождении трафика между сетями.

Почему сайты видят не тот IP, который написан в настройках компьютера

Компьютер может показывать:

192.168.1.10

а NexIP или другой внешний сервис:

203.0.113.25

Это нормально. Первый адрес существует внутри вашей локальной сети, второй видит интернет.

Что такое порт в NAT

Одного внешнего IP для множества соединений было бы недостаточно без портов. Роутер различает соединения не только по адресу, но и по номерам портов.

Поэтому два устройства могут одновременно открыть один и тот же сайт через один публичный IP.

Почему входящее соединение сложнее

Когда соединение начинается из вашей домашней сети, роутер знает, кто его создал. А если кто-то из интернета неожиданно пытается подключиться к вашему внешнему IP, роутеру нужно понять, какому внутреннему устройству отправлять этот трафик.

Именно поэтому для домашнего сервера иногда нужен port forwarding — проброс порта.

Пример проброса порта

203.0.113.25:8080
        ↓
роутер
        ↓
192.168.1.50:80

Но открывать порты нужно осознанно: доступный из интернета сервис необходимо нормально защищать.

NAT не является полноценным firewall

Иногда говорят: «Я за NAT, значит я защищён». Это слишком сильное упрощение.

NAT действительно затрудняет незапрошенные входящие соединения, но безопасность должна обеспечиваться отдельными правилами firewall, обновлениями и настройкой сервисов.

Что такое двойной NAT

Иногда один роутер находится за другим:

Компьютер
↓
Ваш роутер
↓
Роутер провайдера или второй домашний роутер
↓
Интернет

Это называется double NAT. Он может мешать некоторым играм, VPN, видеосвязи и входящим соединениям.

NAT и CGNAT

Если NAT выполняет не только ваш домашний роутер, но ещё и оборудование интернет-провайдера, речь часто идёт о CGNAT.

Тогда даже настройка port forwarding на домашнем роутере может не дать доступа из интернета.

Как понять, что используется NAT

Сравните WAN-адрес роутера с адресом, который показывает внешний сервис.

Если роутер имеет частный адрес, а интернет видит другой — между вами и интернетом есть ещё один уровень преобразования.

NAT в IPv6

IPv6 создавался в том числе для решения проблемы нехватки адресов. В IPv6 NAT в привычной массовой роли IPv4 обычно не нужен: глобальных адресов достаточно.

Это, однако, не означает отсутствие firewall — фильтрация входящих соединений всё равно необходима.

Как NexIP помогает

Проверка «Мой IP» показывает адрес, который NexIP реально видит у вашего соединения. Сравнив его с WAN-адресом роутера, можно быстрее понять устройство сети.

Что запомнить

• NAT преобразует сетевые адреса.
• Несколько домашних устройств могут использовать один внешний IPv4.
• Локальный и внешний IP поэтому отличаются.
• Для входящих соединений может понадобиться port forwarding.
• CGNAT создаёт ещё один NAT уже на стороне провайдера.
• NAT не заменяет firewall.

FAQ

NAT меняет мой IP?

Он заменяет адрес в проходящем через него сетевом трафике. Именно поэтому внешний сервис видит адрес роутера или провайдера, а не частный адрес компьютера.

Можно отключить NAT?

Технически — в определённых сетевых схемах да, но в обычной домашней IPv4-сети он часто необходим для работы нескольких устройств через один публичный адрес.

Почему после проброса порта сервер всё равно недоступен?

Проверьте firewall, правильность внутреннего IP и наличие CGNAT у провайдера.

По теме: Что такое CGNAT и как понять, что вы за ним.