Escolar Documentos
Profissional Documentos
Cultura Documentos
Introdução:
O NAT surgiu como uma alternativa real para o problema de falta de endereços IP v4 na
Internet. Cada computador que acessa a Internet deve ter o protocolo TCP/IP corretamente
instalado e configurado. Para isso, cada computador da rede interna, precisaria de um
endereço IP válido na Internet. Não haveria endereços IP v4 suficientes. A criação do NAT
veio para solucionar esta questão.(ou pelo menos fornecer uma alternativa até que o IP v6
esteja em uso na maioria dos sistemas da Internet). Com o uso do NAT, os computadores da
rede Interna, utilizam os chamados endereços Privados. Os endereços privados não são
válidos na Internet, isto é, pacotes que tenham como origem ou como destino, um endereço
na faixa dos endereços privados, não serão encaminhados, serão descartados pelos
roteadores. O software dos roteadores está configurado para descartar pacotes com origem
ou destino dentro das faixas de endereços IP privados. As faixas de endereços privados são
definidas na RFC 1597 e estão indicados a seguir:
Pelo fato de os endereços privados não poderem ser utilizados diretamente na Internet, isso
permite que várias empresas utilizem a mesma faixa de endereços privados, como esquema
de endereçamento da sua rede interna. Ou seja, qualquer empresa pode utilizar endereços
na faixa 10.0.0.0 -> 10.255.255.255 ou na faixa 172.16.0.0 -> 172.31.255.255 ou na
faixa 192.168.0.0 -> 192.168.255.255.
“Com o uso do NAT, a empresa fornece acesso à Internet para um grande número de
computadores da rede interna, usando um número bem menor de endereços IP, válidos na
Internet.”
Por exemplo, uma rede com 100 computadores, usando um esquema de endereçamento
10.10.0.0/255.255.0.0, poderá ter acesso à Internet, usando o NAT, usando um único
endereço IP válido: o endereço IP da interface externa do NAT. Observe que com isso temos
uma grande economia de endereços IP: No nosso exemplo temos 100 computadores
acessando a Internet (configurados com endereços IP privados), os quais utilizam um único
endereço IP válido, que é o endereço IP da interface externa do servidor configurado como
NAT.
2. Quando a resposta retorna, como o NAT sabe para qual cliente da rede interna ela se
destina, se houver mais de um cliente acessando a Internet?
• 10.10.0.10
• 10.10.0.11
• 10.10.0.12
• 10.10.0.13
• 10.10.0.14
Quando um cliente acessa a Internet, no pacote de informações enviado por este cliente,
está registrado o endereço IP da rede interna, por exemplo: 10.10.0.10. Porém este pacote
não pode ser enviado pelo NAT para a Internet, com este endereço IP como endereço de
origem, se não no primeiro roteador este pacote será descartado, já que o endereço
10.10.0.10 não é um endereço válido na Internet (pois é um endereço que pertence a uma
das faixas de endereços privados, conforme descrito anteriormente). Para que este pacote
possa ser enviado para a Internet, o NAT substitui o endereço IP de origem por um dos
endereços IP da interface externa do NAT (endereço fornecido pelo provedor de Internet e,
portanto, válido na Internet). Este processo que é chamado de tradução de endereços, ou
seja, traduzir de um endereço IP interno, não válido na Internet, para um endereço IP
externo, válido na Internet. Quando a resposta retorna, o NAT repassa a resposta para o
cliente que originou o pedido.
Mas ainda fica a questão de como o NAT sabe para qual cliente interno é a resposta, se os
pacotes de dois ou mais clientes podem ter sido traduzidos para o mesmo endereço IP
externo. A resposta para estas questão é a mesma. O NAT ao executar a função de tradução
de endereços, associa um número de porta, que é único, com cada um dos computadores da
rede interna. A tradução de endereços funciona assim:
• 144.72.3.21:6555 10.10.0.10
• 144.72.3.21:6556 10.10.0.11
• 144.72.3.21:6557 10.10.0.12
• 144.72.3.21:6558 10.10.0.13
• 144.72.3.21:6559 10.10.0.14
Observe que todos os endereços da rede interna são “traduzidos” para o mesmo endereço
externo, porém com um número diferente de porta para cada cliente da rede interna.
2. Quando a resposta retorna, o NAT consulta a sua tabela interna e, pela identificação
da porta, ele sabe para qual computador da rede interna deve ser enviado o pacote de
informações, uma vez que a porta de identificação está associada com um endereço IP da
rede interna. Por exemplo, se chegar um pacote endereçado a 144.72.3.21:6557, ele sabe
que este pacote deve ser enviado para o seguinte computador da rede interna: 10.10.0.12,
conforme exemplo da tabela anterior. O NAT obtém esta informação a partir da tabela
interna, descrita anteriormente.
Com isso, vários computadores da rede interna, podem acessar a Internet, ao mesmo
tempo, usando um único endereço IP ou um número de endereços IP bem menor do que o
número de computadores da rede interna. A diferenciação é feita através de uma atribuição
de porta de comunicação diferente, associada com cada IP da rede interna. Este é o princípio
básico do NAT – Network Address Translation (Tradução de Endereços IP).
Os componentes do NAT
• Não poderá executar o servidor DHCP ou o DHCP Relay Agent no servidor NAT.
Nota: É também possível configurar a rede interna com uma faixa de endereços IP válidos,
porém não alocados diretamente para a sua empresa. Ou seja, você estaria utilizando na
rede interna, um esquema de endereçamento que foi reservado para uso de outra empresa.
Esta não é uma configuração recomendada e é conhecida como: “illegal or overlapping IP
addressing”. O resultado prático é que, mesmo assim, é possível usar o NAT para acessar a
Internet, porém não é possível acessar os recursos da rede para o qual o esquema de
endereçamento foi oficialmente alocado. Por exemplo, se usar o esquema de endereçamento
1.0.0.0/255.0.0.0, sem se preocupar em saber para quem esta faixa de endereços foi
reservada. Mesmo assim é possível acessar a Internet usando o NAT, não é possível acessar
os recursos e servidores da empresa que usa, oficialmente, o esquema de endereçamento
1.0.0.0/255.0.0.0, que foi utilizado para a rede interna da sua empresa.
Ao configurar o NAT, o administrador poderá excluir faixas de endereços que não devem ser
fornecidas para os clientes. Por exemplo, se você tiver alguns equipamentos da rede interna
(impressoras, hubs, switchs, etc) que devam ter um número IP fixo, você pode excluir uma
faixa de endereços IP no servidor NAT e utilizar estes endereços para configurar os
equipamentos que, por algum motivo, precisam de um IP fixo.
Se estiver utilizando um único endereço IP, fornecido pelo provedor de Internet, não serão
necessárias configurações adicionais no NAT. Porém se é obtido dois ou mais endereços IP
públicos, terá que configurar a interface externa do NAT (interface ligada a Internet), com a
faixa de endereços públicos, fornecidos pelo provedor de Internet. A faixa é informada no
formato padrão: Número IP/Máscara de sub-rede. Pode existir situações em que nem todos
os números fornecidos pelo provedor possam ser informados usando esta representação.
Nestas situações pode acontecer de não poder utilizar todos os endereços disponibilizados
pelo provedor de Internet, a não ser que se utilize a representação por faixas, conforme
descrito mais adiante.
Se o número de endereços fornecido for uma potência de 2 (2, 4, 8, 16, 32, 64 e assim por
diante), é mais provável que você consiga representar a faixa de endereços no formato
Número IP/Máscara de sub-rede. Por exemplo, se você recebeu quatro endereços IP
públicos: 206.73.118.212, 206.73.118.213, 206.73.118.214 e 206.73.118.215. Esta faixa
pode ser representada da seguinte maneira: 206.73.118.212/255.255.255.252.
Caso não seja possível fazer a representação no formato Número IP/Máscara de sub-rede,
você pode informar os endereços públicos como uma série de faixas de endereços, conforme
exemplo a seguir:
O funcionamento normal do NAT, permite que sejam feitas conexões da rede privada para
recursos na Internet. Por exemplo, um cliente da rede acessando um servidor de ftp na
Internet. Neste caso, o cliente executando um programa cliente de ftp, faz a conexão com
um servidor ftp da Internet. Quando os pacotes de resposta chegam no NAT, eles podem ser
repassados ao cliente, pois representam a resposta a uma conexão iniciada internamente e
não uma tentativa de acesso vinda da Internet.
Pode-se querer fornecer acesso a um servidor da rede interna, para usuários da Internet. Por
exemplo, é possível configurar um servidor da rede interna com o IIS e instalar neste
servidor o site da empresa. Em seguida terá que configurar o NAT, para que os usuários da
Internet possam acessar este servidor da rede interna. Observe que nesta situação,
chegarão pacotes da Internet, os quais não representarão respostas a requisições dos
clientes da rede interna, mas sim requisições de acesso dos usuários da Internet, a um
servidor da rede interna. Por padrão este tráfego será bloqueado no NAT. Porém o
administrador pode configurar o NAT para aceitar requisições vindas de clientes da Internet,
para um servidor da rede interna. Para fazer estas configurações deve-se seguir os seguintes
passos:
Para permitir que usuários da Internet, acessem recursos na sua rede interna, siga os passos
indicados a seguir:
• O servidor da rede interna, que deverá ser acessado através da Internet, deve ser
configurado com um número IP fixo (número que faça parte da faixa de endereços
fornecidos pelo NAT, para uso da rede interna) e com o número IP do default
gateway e do servidor DNS (o número IP da interface interna do computador com o
NAT habilitado).
• Excluir o endereço IP utilizado pelo servidor da rede Interna (servidor que estará
acessível para clientes da Internet) da faixa de endereços fornecidos pelo NAT, para
que este endereço não seja alocado dinamicamente para um outro computador da
rede, o que iria gerar um conflito de endereços IP na rede interna.
No Windows 2000 Server não é possível criar conexões VPN L2TP/IPSec, a partir de uma
rede que utilize o NAT. Esta limitação foi superada no Windows Server 2003.