Definition og idéen bag NAT-firewalls
En NAT-firewall kombinerer typisk to funktioner: NAT (Network Address Translation) og en firewall-logik. NAT omsætter interne IP-adresser og ofte også portnumre til en eller flere offentlige adresser, så mange enheder i et privat net kan dele en mindre mængde offentlige adresser.
Samtidig indbygger NAT-firewallen som regel en kontrol af, hvilken indgående trafik der må slippes igennem. I praksis sker det ofte ved at holde styr på forbindelsestilstand: når dit net initierer en udgående forbindelse, opretter firewallen et “spor” for den session. Når der senere kommer svarpakker retur, matcher den dem til sporet og lader dem passere.
Det simple model: udgående forbindelser skaber “spor”
Tænk på NAT-firewallen som en portvagt, der først åbner døren, når du selv har bedt om at få adgang.
-
Dit udstyr i det private net sender en pakke ud (fx et svar på en hjemmesideforespørgsel). NAT oversætter afsenderens interne IP (og typisk en port) til den offentlige adresse/port på gatewayen.
-
Firewallen registrerer, at en forbindelse er på vej, og gemmer de nødvendige oplysninger til at genkende returtrafik.
-
Når serveren svarer, kommer pakkerne tilbage til den offentlige adresse. NAT bruger de gemte oplysninger til at oversætte dem tilbage til den interne enhed og den korrekte interne port.
Uden et eksisterende spor vil mange NAT-firewals droppe indgående pakker, fordi de ikke kan knyttes til en etableret eller tilladt sammenhæng. Det er en af grundene til, at NAT i mange hjemmenet opleves som “beskyttende”.
Hvad er forskellen mellem NAT og en firewallregel?
NAT er grundlæggende en adresse-/port-oversættelse. Firewall-delen er den beslutningslogik, der afgør, hvilke pakker der må passere.
I simple NAT-scenarier kan beslutningen lyde sådan: “Lad returtrafik komme ind, hvis den matcher en tidligere udgående forbindelse.” Det er dog ikke det samme som en generel regel om, at alt indgående er sikkert. Mange NAT-firewalls er stadig begrænset af deres tilstand og konfigurerede politikker.
Derudover kan NAT inkludere funktioner som port mapping (ofte omtalt som viderestilling). Når du konfigurerer en sådan mapping, kan bestemte offentlige porte blive dirigeret til en intern enhed. Sådanne regler gør det muligt for udefrakommende at ramme specifikke tjenester, og sikkerheden afhænger af, hvilke porte der åbnes, samt firewallen (eller tjenestens) øvrige beskyttelser.
Undtagelser og grænser: hvornår NAT-firewalls ikke er nok
En vigtig begrænsning er, at NAT-firewalls primært kontrollerer trafik ud fra tilstand og oversættelsesbehov. Det betyder:
- NAT alene er ikke en garanti mod alle typer angreb. Hvis en tjeneste er gjort tilgængelig udefra via port mapping, skal du stadig beskytte selve tjenesten.
- Nogle typer trafik kan have svært ved at passe til “returtrafik til en eksisterende session” og kan derfor blive blokeret, selvom den er legitim.
- Konkrete opførsler afhænger af den konkrete implementering (fx hvordan længe tilstand gemmes, og hvilke matchkriterier der bruges). Derfor kan to systemer give forskellig effekt for samme nettrafik.
Der findes også scenarier, hvor NAT kan påvirke applikationer: protokoller, der forventer bestemte indgående forbindelser eller bærer indbygget adresse-/portinformation, kan kræve ekstra håndtering. Præcis hvilke protokoller og den nødvendige håndtering kan variere, så det er ofte nødvendigt at teste i det konkrete setup.
Praktisk måde at kontrollere hvad der sker i dit net
Du kan typisk kontrollere NAT-firewallens funktion uden at gætte på begreber ved at se efter tre ting i dit eget setup:
- Om indgående forbindelser uden forudgående udgående trafik bliver droppet
- Prøv at forstå, om der overhovedet opstår svar eller sessioner, når der forsøges adgang udefra uden at du først har startet en forbindelse indefra.
- Om returtrafik fra udgående forbindelser faktisk bliver oversat korrekt
- Start en almindelig udgående forbindelse (fx browsing eller en anden protokol du ved virker) og se, om svarpakker når den rigtige interne enhed.
- Om port mapping er aktiveret, og hvilke interne tjenester den peger på
- Hvis du har konfigureret viderestilling/portåbninger, så afklar hvilke porte der er eksponeret. Her er NAT ofte ikke “beskyttelse”, men snarere en mekanisme til at gøre adgang mulig.
Hvis din firewallenhed viser en tilstandstabel eller sessioner, kan du bruge den til at se, hvornår spor oprettes og hvornår de udløber. Det giver den mest konkrete forståelse af “hvordan den fungerer” i din konfiguration.