NAT и PAT: как домашний роутер выпускает устройства в интернет

Что такое NAT

NAT, Network Address Translation, изменяет IP-адреса при прохождении пакета между разными адресными областями. Классический домашний сценарий - трансляция частных IPv4-адресов локальной сети во внешний IPv4-адрес роутера.

RFC 2663 определяет NAT как механизм сопоставления IP-адресов из одной address realm с адресами другой realm. RFC 3022 описывает Traditional NAT и две его основные разновидности: Basic NAT и NAPT.

Как пакет вообще выбирает следующий hop до того, как попадает под NAT, разобрано в статье про таблицу маршрутизации, default gateway и static route.

Почему дома используются частные IPv4-адреса

Для частных сетей RFC 1918 выделяет три широко используемых диапазона:

Такие адреса могут повторяться в миллионах независимых сетей и не являются глобально уникальными IPv4-адресами интернета. Поэтому домашний адрес вроде 192.168.1.50 сам по себе не может быть глобально маршрутизируемым endpoint в публичном IPv4-интернете.

Домашний роутер обычно получает отдельный WAN-адрес и выполняет трансляцию между LAN и WAN.

Почему домашний NAT на практике чаще является PAT/NAPT

Если бы роутер менял только адрес один к одному, одному публичному IPv4 было бы трудно одновременно представлять десятки внутренних устройств. Поэтому типичный домашний роутер использует NAPT, Network Address Port Translation. В бытовой терминологии часто говорят PAT, Port Address Translation.

Три разных внутренних endpoint могут использовать один внешний IPv4, потому что NAT хранит разные mappings. RFC 2663 прямо описывает NAPT как расширение NAT, которое переводит не только адрес, но и transport identifier, например TCP/UDP port или ICMP query identifier.

Как NAT создаёт соответствие для исходящего соединения

Пусть ноутбук 192.168.1.50 открывает HTTPS-соединение к серверу 198.51.100.20:443.

Именно наличие такого state объясняет, почему ответ на исходящее соединение возвращается правильному внутреннему устройству.

NAT state и таймауты

NAT mapping не обязан существовать вечно. Роутер хранит состояние ограниченное время и освобождает записи, которые больше не нужны. Поведение отличается для TCP, UDP, ICMP и конкретной реализации.

Для TCP требования к NAT behavior стандартизованы RFC 5382, а обновления к UDP/TCP/ICMP behavior собраны в RFC 7857.

SNAT и DNAT простыми словами

Названия SNAT и DNAT особенно распространены в Linux/netfilter и сетевой практике. На домашних роутерах те же идеи часто скрыты за интерфейсами «NAT», «Port Forwarding», «Virtual Server» или «Переадресация портов».

Что такое port forwarding

Port forwarding создаёт правило, по которому входящий трафик на определённый внешний адрес/порт перенаправляется конкретному внутреннему host и port.

Без заранее известного mapping или правила NAT обычно не знает, какому из десятков внутренних устройств передать произвольный новый входящий поток.

Что нужно для работоспособного проброса

• входящий пакет должен реально доходить до вашего роутера;
• WAN-адрес и архитектура провайдера должны позволять входящие соединения;
• правило DNAT/port forwarding должно указывать правильный внутренний IP и порт;
• внутренний сервис должен слушать этот порт;
• firewall роутера и хоста должен разрешать соединение;
• обратная маршрутизация должна быть корректной;
• сервис не должен быть случайно опубликован без аутентификации и обновлений.

Внешний и внутренний порт могут различаться

Смена внешнего порта сама по себе не является серьёзной защитой. Автоматическое сканирование интернета не ограничивается только стандартными портами.

NAT и firewall - разные механизмы

На домашнем роутере все эти функции находятся в одном устройстве, поэтому пользователю кажется, что NAT «защищает сеть». На практике непрошенный входящий трафик может не иметь подходящего mapping и одновременно блокироваться firewall. Но архитектурно это разные причины.

NAT и connection tracking

Современный stateful роутер обычно ведёт таблицу соединений или flows. NAT translation и firewall state могут использовать общую информацию о соединении, но это не делает NAT и firewall одним механизмом.

Для диагностики важно понимать всю комбинацию, а не только внешний порт.

Что такое двойной NAT

Double NAT возникает, когда пакет проходит через два последовательных NAT-устройства, которыми вы управляете или которые находятся внутри вашей локальной схемы.

Типичный пример: роутер провайдера работает как router/NAT, а за ним пользователь устанавливает свой Keenetic, ASUS или Mesh-систему тоже в режиме router.

Что может работать

Обычный исходящий интернет обычно работает нормально, потому что каждый NAT создаёт собственный mapping.

Что усложняется

• проброс портов приходится согласовывать на обоих устройствах;
• UPnP может управлять только ближайшим NAT;
• некоторые P2P и игровые сценарии становятся сложнее;
• диагностика WAN IP становится менее очевидной;
• Hairpin NAT может работать по-разному на разных уровнях;
• VPN server за двумя NAT требует корректного входящего пути на обоих.

Если первый роутер можно перевести в bridge/ONT mode или второе устройство использовать как access point, архитектуру иногда удаётся упростить. Но решение зависит от оборудования, IPTV, телефонии и требований провайдера.

CGNAT: когда NAT находится уже у провайдера

Carrier-Grade NAT позволяет провайдеру разделять публичные IPv4-адреса между многими абонентами. В таком случае ваш домашний роутер сам находится за ещё одним NAT, который вы не контролируете.

RFC 6598 выделяет Shared Address Space 100.64.0.0/10 специально для подобных операторских сценариев. Это не RFC1918-сеть, хотя такой адрес также не является обычным глобальным публичным IPv4 абонента.

Отдельная диагностика серого адреса, CGNAT и удалённого доступа уже есть в материале Серый IP и CGNAT: камеры, NAS и умный дом.

Двойной NAT и CGNAT - не одно и то же

В обоих случаях простой port forwarding может не работать, но причины и варианты решения различаются.

Почему внешний адрес может работать снаружи, но не из дома

Допустим, NAS опубликован как 203.0.113.7:443 → 192.168.1.100:443. Телефон через мобильную сеть открывает его нормально, а ноутбук внутри той же LAN обращается к публичному адресу и не получает соединения.

Такой сценарий связан с Hairpin NAT / NAT Loopback / NAT Reflection. NAT должен корректно обработать внутреннего клиента, который обращается к внешнему mapping другого внутреннего узла.

Эта тема уже раскрыта отдельно, включая альтернативу через Split DNS: NAT Loopback и Hairpin NAT.

UPnP IGD, NAT-PMP и PCP

Ручной port forwarding - не единственный способ создать inbound mapping. Приложение может попросить gateway открыть mapping автоматически.

RFC 6886 указывает, что NAT-PMP был superseded протоколом PCP, а клиентам, поддерживающим оба варианта, рекомендуется сначала пробовать PCP.

Почему PCP важнее, чем кажется

PCP задуман не только для маленького домашнего NAT. RFC 6887 описывает работу с NAT44, NAT64, CGN и firewall devices, а также возможность создавать внешние mappings для приложений, которым нужен входящий трафик.

Современная задача port control шире классического «открыть порт на своём Wi-Fi-роутере».

Почему P2P, игры и звонки не любят непредсказуемый NAT

Peer-to-peer приложения пытаются установить связь между двумя конечными устройствами. NAT усложняет задачу, потому что внешний endpoint создаётся транслятором, mappings имеют lifetime, а входящие пакеты могут фильтроваться по-разному.

IETF стандартизовал NAT behavioral requirements для UDP и TCP. RFC 4787 определяет требования к NAT для unicast UDP, RFC 5382 - для TCP, а RFC 7857 уточняет и обновляет ряд этих требований.

Какие механизмы могут использовать приложения

• STUN для определения внешнего endpoint и свойств NAT;
• ICE для выбора реально работающего пути между peers;
• TURN relay, если прямой путь установить не удаётся;
• UPnP/NAT-PMP/PCP для запроса mapping;
• постоянные исходящие соединения к облачному relay/service;
• overlay VPN, например Tailscale, где traversal скрыт от пользователя.

Почему UDP mapping особенно зависит от таймеров

У UDP нет TCP handshake, FIN и состояния соединения на транспортном уровне. NAT видит datagrams и поддерживает mapping по собственной логике и таймерам.

Поэтому голосовые приложения, игры, WireGuard и другие UDP-сценарии часто используют периодические keepalive, если нужно сохранить mapping в сетях с NAT/firewall.

Основы различий TCP и UDP разобраны в отдельной статье про TCP, UDP, порты и сокеты.

Что происходит с ICMP через NAT

NAT приходится корректно обрабатывать не только TCP и UDP. ICMP может содержать информацию о пакетах, адреса которых были уже переведены NAT, а ICMP Echo использует identifier вместо TCP/UDP port.

RFC 5508 и обновляющий его RFC 7857 описывают NAT behavior для ICMP. Для пользователя практический вывод простой: неправильная обработка ICMP способна ломать диагностику и Path MTU даже при работающих TCP/UDP mappings.

ICMP, TTL и Path MTU подробно разобраны в статье ICMP, ping, traceroute и MTU.

Нужен ли NAT в IPv6

Одна из причин массового NAT44 - дефицит публичных IPv4-адресов. В обычной IPv6-архитектуре каждому интерфейсу можно дать глобально уникальный IPv6-адрес, поэтому NAT44-подобное мультиплексирование множества клиентов за одним публичным адресом для экономии адресов не требуется.

Существуют механизмы IPv6 translation, включая экспериментальный NPTv6 по RFC 6296, а NAT64 решает задачу взаимодействия IPv6-only клиентов с IPv4-сервисами. Но это другие сценарии, и переносить привычную модель домашнего NAPT44 на IPv6 автоматически не нужно.

Как домашний клиент получает IPv6, default router и prefix, разобрано в статье IPv6 дома: SLAAC, DHCPv6, RA и Prefix Delegation.

Как DNS связан с NAT

DNS и NAT решают разные задачи. DNS возвращает данные по имени, а NAT меняет адреса/порты при прохождении пакета.

• DDNS публикует текущий внешний IP домашнего подключения;
• Split DNS позволяет внутри дома вернуть локальный IP вместо внешнего;
• Hairpin NAT позволяет использовать внешнее имя/адрес даже из LAN;
• при CGNAT правильный DNS не создаст отсутствующий inbound mapping у провайдера.

Базовая архитектура resolver, TTL, DNSSEC и Split DNS разобрана в материале Как работает DNS.

Почему не стоит открывать административные интерфейсы напрямую

Технически DNAT может направить внешний порт прямо на NAS, камеру, NVR, Home Assistant или web-интерфейс роутера. Но такое решение увеличивает поверхность атаки.

Особенно опасно

• публиковать web-admin роутера;
• открывать NAS с устаревшей прошивкой;
• публиковать камеры и регистраторы с простыми паролями;
• оставлять UPnP включённым без понимания, какие приложения создают mappings;
• использовать один и тот же пароль на внутренних и внешних сервисах;
• забывать удалить временный port forwarding после теста.

Для доступа к своим устройствам безопаснее рассмотреть Tailscale, WireGuard или другой VPN по задаче.

Как понять, где именно находится NAT

Пошаговая диагностика неработающего проброса портов

Что можно проверить с Windows-клиента

Эти команды не показывают NAT table домашнего роутера, но помогают подтвердить локальный IP, gateway, маршрутизацию и TCP-доступность удалённого endpoint.

Для понимания выбранного пути используйте также материал про route print, Get-NetRoute и Find-NetRoute.

NAT в Linux: где смотреть

На Linux-router NAT часто реализован через netfilter/nftables. Конкретные команды зависят от системы, версии и того, кто управляет правилами: nftables, iptables compatibility, firewalld, OpenWrt, Docker, Kubernetes или другой слой.

ip route показывает маршрутизацию, nft list ruleset - правила nftables, а ss помогает понять, слушает ли локальный сервис нужный port. Не стоит удалять неизвестные NAT/firewall rules на рабочем сервере без понимания их владельца.

Что чаще всего путают с NAT

• Считать NAT и firewall одним механизмом.
• Считать любой серый WAN-адрес именно CGNAT.
• Считать double NAT и CGNAT одним и тем же.
• Думать, что port forwarding работает через CGNAT автоматически.
• Считать смену внешнего port полноценной защитой сервиса.
• Публиковать административную панель только потому, что это технически возможно.
• Включать UPnP без понимания доверия к LAN-клиентам.
• Забывать про firewall на самом сервере.
• Проверять внешний адрес из LAN и путать Hairpin NAT с внешней доступностью.
• Игнорировать обратный маршрут.
• Пытаться исправить routing добавлением NAT rules.
• Считать, что IPv6 обязательно должен использовать NAT как IPv4.

Симптом и вероятное направление проверки

Как NAT связан с остальным сетевым стеком

На какие документы опирается материал

Частые вопросы про NAT и PAT