NAT: как одна публичная точка обслуживает всю домашнюю сеть

Представьте многоквартирный дом с единственным почтовым адресом и консьержем у входа. Жильцы отправляют письма от своего имени, но консьерж записывает, кто и кому написал, и когда приходит ответ, относит его нужной квартире. Именно так работает NAT, Network Address Translation, на вашем роутере.

Устройства дома имеют частные адреса, которые не существуют в интернете. При выходе наружу роутер заменяет частный адрес отправителя на свой публичный и запоминает соответствие. Ответ возвращается на публичный адрес, роутер смотрит в таблицу и передаёт пакет внутрь сети.

Эта схема появилась как временное решение проблемы нехватки адресов IPv4, но закрепилась настолько, что стала частью почти каждой домашней сети. Без неё десяткам миллионов домов понадобились бы собственные публичные адреса, которых просто нет.

Одного адреса недостаточно, чтобы различить разные соединения от разных устройств, поэтому роутер использует ещё и номера портов. Ноутбук и телефон могут одновременно обращаться к одному и тому же сайту, но наружу их запросы уйдут с разными исходящими портами. Запись в таблице выглядит примерно так: внутренний адрес и порт, внешний порт, адрес назначения.

Такой вариант называют трансляцией с перегрузкой портов, PAT, и именно он используется в домашних сетях. Записи живут ограниченное время: если по соединению долго нет трафика, роутер удаляет строку из таблицы, и дальнейшие пакеты отбрасываются.

Важное следствие: пакет, пришедший снаружи без предшествующего исходящего запроса, роутер не знает, кому отдать, и отбрасывает. Из-за этого NAT часто воспринимают как защиту. Она действительно получается, но случайная, это не фаервол и не замена ему.

Устройства за NAT не доступны из интернета напрямую, что удобно для безопасности, но неудобно для всего, где нужно входящее подключение: игровой сервер, домашняя камера, удалённый рабочий стол. Для таких задач в роутере настраивают проброс портов, то есть запись, по которой входящие соединения на определённый порт отправляются на конкретное устройство.

Проблемы возникают в протоколах, которые передают адреса внутри самих данных или требуют прямого соединения между двумя пользователями. Голосовые звонки, видеосвязь и онлайн-игры используют специальные приёмы: вспомогательные серверы и техники «пробивки» соединения, чтобы два устройства за разными NAT смогли найти друг друга.

Если игра пишет «тип NAT: строгий», это означает, что прямые входящие соединения от других игроков затруднены. Обычно помогают включение UPnP на роутере, проброс нужных портов или размещение устройства в особой зоне. Если у вас двойной NAT, например когда за роутером провайдера стоит ваш собственный, ситуация ухудшается.

Ещё один нюанс касается долгоживущих соединений. Если приложение долго молчит, запись в таблице устаревает, и следующий пакет теряется. Поэтому программы для удалённой работы и звонков периодически отправляют пустые служебные пакеты, поддерживающие запись в таблице NAT.

Сравните адрес устройства и адрес, который показывает сервис проверки IP. Если на компьютере вы видите что-то вроде 192.168.x.x, а в интернете совсем другой адрес, перед вами NAT. Это нормальная картина для любого домашнего подключения.

Чтобы понять, есть ли двойной NAT, откройте страницу состояния роутера и найдите внешний (WAN) адрес. Если он тоже из частного диапазона либо из диапазона 100.64.0.0/10, между вами и интернетом ещё одна трансляция, чаще всего на стороне провайдера. Об этом отдельный материал про провайдерский NAT.

Миф первый: NAT скрывает вас в интернете. Сайты видят публичный адрес, а он однозначно связан с вашим подключением. Миф второй: NAT ускоряет соединение. Он, наоборот, добавляет небольшую нагрузку на роутер, хотя современные устройства справляются незаметно. Миф третий: IPv6 сделает NAT ненужным, а значит, небезопасным. Для IPv6 трансляция обычно не применяется, но защиту обеспечивает фаервол с правилами по умолчанию, а не подмена адресов.