Cuprins 7 secțiuni
NAT-ul (Network Address Translation, adică traducerea adreselor de rețea) este mecanismul prin care routerul tău lasă telefonul, laptopul, televizorul și restul dispozitivelor din casă să iasă pe internet folosind o singură adresă IP publică. Fără NAT, fiecare obiect conectat ar avea nevoie de propria adresă unică în toată lumea, iar adresele de tip IPv4 s-ar fi terminat cu mult timp în urmă. Varianta mai nouă a ideii, CGNAT-ul, mută traducerea la furnizorul de internet, așa că și vecinii tăi pot împărți aceeași adresă publică cu tine.
Aceste detalii par abstracte până în ziua în care vrei să te conectezi de la distanță la camerele de supraveghere sau la un server de acasă și nu merge nimic. Mai jos vezi ce face NAT-ul, ce diferență există între adresele private și cele publice, cum recunoști CGNAT-ul și ce soluții ai.
Ce este NAT-ul și de ce există?
NAT-ul este o funcție a routerului care înlocuiește adresa privată a unui dispozitiv cu adresa publică a rețelei atunci când datele pleacă spre internet. A apărut ca soluție la o problemă simplă: sistemul de adrese IPv4 are puțin peste patru miliarde de combinații, iar numărul de dispozitive conectate le-a depășit demult. Detaliile despre cele două generații de adrese le găsești în articolul despre IPv4 și IPv6.
Soluția a fost să se rezerve anumite intervale de adrese pentru uz intern, care nu sunt rutate pe internet. Cele mai cunoscute încep cu 192.168, cu 10 sau cu 172.16. Oricine poate folosi aceleași adrese private în propria casă, pentru că ele nu ies niciodată din rețeaua locală în forma aceea.
Adresă privată și adresă publică
Adresa privată identifică un dispozitiv doar în interiorul rețelei tale, cum ar fi un număr de apartament într-un bloc. Adresa publică identifică întreaga rețea în fața internetului, ca adresa blocului. Poștașul nu are nevoie să știe numărul fiecărui apartament, ci doar adresa blocului, iar portarul, adică routerul, duce scrisoarea mai departe.
Cum traduce routerul adresele?
Routerul ține un tabel în care notează fiecare conexiune deschisă din interior, apoi folosește tabelul ca să trimită răspunsurile la dispozitivul potrivit. Pașii sunt aceștia:
- Laptopul tău, cu adresa privată 192.168.1.20, cere o pagină de pe un server.
- Routerul schimbă adresa de sursă cu adresa lui publică și alege un port de ieșire liber, de exemplu 51234.
- Notează în tabel că portul 51234 aparține laptopului, apoi trimite cererea mai departe.
- Când serverul răspunde către adresa publică, la portul 51234, routerul caută în tabel și predă datele laptopului.
Varianta aceasta, în care se schimbă și porturile, se numește tehnic PAT (Port Address Translation) și este cea folosită de aproape toate routerele de acasă. Despre rolul porturilor, vezi și articolul despre porturi și firewall.
Sfat: Dacă vrei să vezi diferența, caută în setările routerului adresa de pe partea WAN (cea publică) și compară-o cu cea afișată de un site care îți arată adresa IP. Dacă sunt diferite, ești în spatele unui NAT al furnizorului.
Un efect secundar util: protecția implicită
Pentru că routerul trimite înăuntru doar răspunsurile la conexiuni pornite din interior, o cerere venită din exterior fără nicio legătură cu tabelul este aruncată. NAT-ul nu este un firewall adevărat și nu trebuie tratat ca atare, dar în practică blochează o mare parte din încercările întâmplătoare de conectare la dispozitivele din casă.
Ce este CGNAT-ul și cum îl recunoști?
CGNAT-ul (Carrier-Grade NAT) este un NAT făcut de furnizorul de internet, deasupra celui din routerul tău, astfel încât mai mulți abonați să împartă aceeași adresă publică. Furnizorii îl folosesc fiindcă nu mai au suficiente adrese IPv4 de împărțit fiecărui client, mai ales în rețelele mobile, unde aproape toți abonații sunt în spatele CGNAT.
Există o adresă rezervată special pentru acest scop: intervalul 100.64.0.0 până la 100.127.255.255. Dacă adresa WAN din router se încadrează aici, ești aproape sigur în spatele CGNAT.
| Situație | Adresa WAN din router | Ce înseamnă |
|---|---|---|
| Adresă publică proprie | Aceeași cu cea afișată de un site de verificare | NAT simplu, poți primi conexiuni cu redirecționare de porturi |
| CGNAT | Începe cu 100.64 până la 100.127 | Furnizorul traduce încă o dată, accesul din exterior este blocat |
| Altă adresă privată | Începe cu 10 sau 192.168 | Tot CGNAT sau un al doilea router înaintea celui tău |
Ce nu mai funcționează în spatele CGNAT?
În spatele CGNAT, orice serviciu care cere conexiuni venite din exterior spre casa ta nu mai poate fi accesat direct. Exemple tipice sunt accesul de la distanță la camere video sau la un NAS (un dispozitiv de stocare în rețea), serverele de jocuri găzduite acasă, conexiunile VPN către propriul router și anumite aplicații de apeluri care încearcă conexiuni directe între doi utilizatori.
Pentru apeluri video și jocuri, aplicațiile folosesc tehnici de ocolire, de obicei servere intermediare, motiv pentru care ele merg totuși. Problemele apar mai ales la ce găzduiești tu.
Alte neplăceri frecvente:
- mai mulți abonați apar pe internet cu aceeași adresă, deci un site poate bloca temporar adresa din cauza comportamentului altcuiva;
- listele de blocare pentru spam sau abuz pot afecta, rar, și utilizatori inocenți;
- identificarea precisă a unui abonat după adresă depinde de jurnalele furnizorului.
Ce poți face dacă ai CGNAT?
Ai trei variante practice, în ordinea simplității.
Cere o adresă publică proprie. Mulți furnizori oferă, la cerere sau contra unui mic cost lunar, o adresă IPv4 publică dedicată. Merită întrebat înainte de orice alt demers.
Folosește IPv6. Dacă furnizorul oferă IPv6 nativ, fiecare dispozitiv poate avea o adresă publică proprie, iar CGNAT-ul nu mai este o barieră. Atenție însă: și clientul care se conectează la tine trebuie să aibă IPv6, altfel conexiunea nu ajunge.
Folosește un tunel sau un serviciu intermediar. Un VPN care permite conexiuni către rețeaua ta sau un serviciu de tip tunel inversat creează o ieșire dinspre casa ta către un server public, iar accesul se face prin acel server. Fiind o conexiune pornită din interior, trece prin orice NAT. Pentru ce face și ce nu face un VPN în general, citește ghidul despre VPN.
Ce este port forwarding-ul?
Redirecționarea de porturi este regula prin care îi spui routerului că tot ce vine la un anumit port public trebuie trimis unui anumit dispozitiv din casă. Regula funcționează doar dacă adresa ta publică este într-adevăr a ta. În spatele CGNAT, regula există în router, dar cererile nu ajung niciodată la el.
Atenție: Deschide doar porturile de care ai nevoie și ține dispozitivul din spatele lor actualizat. Un port deschis spre internet este scanat de roboți în câteva minute. Despre importanța actualizărilor vezi articolul dedicat.
Cum se leagă NAT-ul de restul internetului?
NAT-ul este una dintre piesele care explică de ce internetul a continuat să crească fără ca adresele să se epuizeze definitiv. Pentru imaginea de ansamblu, de la cablu până la browser, poți citi ghidul despre cum funcționează internetul. Dacă te interesează partea de nume și adrese, vezi și explicația despre DNS.
Pe aceeași temă, citește și Standardele Wi-Fi 4, 5, 6 și 7: ce se schimbă între ele.
Întrebări frecvente
NAT-ul îmi ascunde adresa IP reală?
Doar parțial. Site-urile văd adresa publică a routerului, nu adresa privată a dispozitivului tău, dar adresa publică tot te identifică la nivel de abonament.
Cum aflu dacă am CGNAT?
Compară adresa WAN din router cu adresa afișată de un site de verificare a IP-ului. Dacă diferă sau dacă începe cu 100.64 până la 100.127, ești în spatele CGNAT.
Pot juca online în spatele CGNAT?
De cele mai multe ori da, pentru că jocurile se conectează la servere publice. Problemele apar când trebuie să găzduiești tu sesiunea sau să primești conexiuni directe de la alți jucători.
Dispare problema dacă trec pe IPv6?
Pentru dispozitivele tale, în mare parte da, fiindcă fiecare primește adresă proprie. Cealaltă parte a conexiunii trebuie însă să accepte și ea IPv6.
Un router mai scump rezolvă CGNAT-ul?
Nu. CGNAT-ul este făcut la furnizor, deci nu poate fi dezactivat din echipamentul tău. Singurele soluții sunt adresa publică dedicată, IPv6 sau un tunel.
