Что такое обход nat
Обход NAT с помощью IPv6 & CloudFlare
Доброго времени суток. Сегодня я бы хотел поделиться с вами интересным способом решения проблемы доступа к вашему серверу/ПК из-за NAT, используя IPv6 Tunnel Broker и бесплатные возможности сервиса CloudFlare.
Предисловие
Как известно, многим пользователям предоставляется доступ в интернет или с помощью динамического IP-адреса, или с помощью технологии NAT.
Если первые еще могут воспользоваться каким-либо Free DDNS сервисом, то вторым приходится сидеть, сложа руки, или покупать у провайдера заветный статический IP-адрес.
В данной статье вы увидите как с помощью вышеупомянутых сервисов «захостить» блог из компьютера, который находится за NAT. В итоге сайт будет доступен даже там, где IPv6 подключения нет и в помине.
Прежде всего нужно заполучить IPv6-адрес, без которого у нас ничего не получится. Некоторые провайдеры уже начали их предоставлять своим пользователям, но так как мой не выдает IPv6-адреса, воспользуемся каким-либо сервисом, предоставляющим доступ к IPv6 поверх существующего соединения IPv4. Был выбран Freenet6 Tunnel Broker из-за удобного клиента под Windows.
По умолчанию подключение происходит анонимно, это сулит тем, что IPv6 адрес будет меняться после переподключения (у меня по крайней мере так).
Для избежания этого и получения статического IPv6-адреса нужно опять зарегистрироваться, на этот раз на сервере Freenet6. Выбор небольшой — Амстердам или Монреаль. Выбирайте что к вам ближе.
Когда очередная регистрация прошла успешно, можно и подключаться! Вводим наш логин и пароль вместе с выбранным адресом сервера и жмем Connect.
Так как мы за NAT, автоматически будет выбран IPv6-in-UDP-IPv4 Tunnel Mode. Это можно увидеть на закладке Advanced и Status:
IPv6-адрес в «Local Endpoint Adresses» это и есть наш желаемый адрес. Чтобы убедится что наш компьютер доступен извне, пробуем пропинговаться. Если результат негативный, скорее всего в фаерволе придется создать входящее правило для «ICMPv6».
Установка WAMP
Для локального доступа я давно использую WampServer. Впрочем, использоваться может любой другой, или же все компоненты по отдельности.
После установки нужно убедиться, что все сервисы успешно запустились (иконка в трее зелёнего цвета), и localhost вместе с phpMyAdmin доступны.
Также сразу стоит задать пароль для root-пользователя MySQL сервера.
Доменное имя
На этом этапе зацикливаться не будем, в Интернете есть множество статей как это сделать.
CloudFlare
Наверное большинство пользователей Хабрахабра знает или слышали о таком CDN-сервисе, как CloudFlare.
Регистрируемся, добавляем домен в разделе «Websites», ждем минуту пока просканируются DNS-записи парковочных DNS регистратора. После этого кликаем на «Continue Setup», откроется страница настроек DNS-записей, где нужно удалить все A-записи, а AAAA-записям присвоить полученный статический IPv6-адрес.
В итоге должно выглядеть так:
Подтверждаем изменения и получаем список из двух DNS-серверов, которые используем вместо парковочных.
В разделе «Websites» заходим в «CloudFlare Settings» для нашего домена и для настройки «Automatic IPv6» меняем значение на «Full».
Вот и все — осталось дождаться смены DNS-серверов. Если не терпится, с помощью nslookup узнаем якобы IPv4-адрес нашего сайта (в действительности адрес CloudFlare Network) и делаем изменения в файле «hosts».
Можно идти устанавливать WordPress, и в результате воспользоваться каким-либо анонимайзером для проверки доступа извне:
Способы обхода NAT?
Если я правильно понимаю, one-to-many NAT работает следующим образом:
Компьютер пользователя посылает запрос на сокет 8.8.8.8:80 с сокета 192.168.0.10:10000, пакет приходит на роутер, откуда тот извлекает информацию об ip адресе и порте отправителя, выбирает свободный порт(допустим 15000), заменяет ip и порт отправителя и сохраняет у себя в недрах памяти примерно следующую запись:
Если придёт пакет на мой внешний интерфейс с таким-то ip и портом получателя 15000, направить его на адрес 192.168.0.10 внутренней сети и изменить порт получателя на 10000.
Только не совсем понятно, как работает ping, ведь он на уровне ниже, чем tcp и udp, ну да ладно.
Так вот, возможно ли соединить 2 компьютера за NAT следующим образом:
ПК1 устанавливает соединение с адресом 8.8.8.8 порт 80 по исходящему сокету 192.168.0.10:10000, его роутер Р1, имеющий адрес 45.160.10.1 запоминает это и выделяет ему порт 5000 и все пакеты приходящие на сокет 45.160.10.1:5000 Р1 отправляет на ПК1.
В тоже самое время ПК2 устанавливает соединение с тем же сервером 8.8.8.8 по порту 80 с сокета 192.168.0.20:10000, его роутер Р2 с ip адресом 165.123.10.2 выделяет ему порт 10000 и все пакеты приходящие на 165.123.10.2:10000 отправляет на ПК2.
Дальше сервер 8.8.8.8 сообщает ПК1 адрес ПК2(165.123.10.2:10000) и ПК2 адрес ПК1(45.160.10.1:5000) и они начинают общаться отправляя пакеты друг другу, а не серверу 8.8.8.8
Такое возможно или роутеры Р1 и Р2 будут игнорировать пакеты пришедшие не с 8.8.8.8, для общения с которым открывалось соединение, а с другого адреса?
Как реализован обход NAT в bittorrent или там его нет и обмениваются все через клиентов, имеющих «белые адреса»?
NAT: что такое в роутере и как ей пользоваться?
В Интернете встречается много вопросов по поводу NAT, что это такое в роутере, и какие функции выполняет. Простыми словами, это механизм, позволяющий всему оборудованию локальной сети (мобильным устройствам, планшетам, ПК, ноутбукам) использовать только один общедоступный IP адрес для подключения к Интернету. Ниже рассмотрим, в чем особенности этой опции, для чего она необходима, и как правильно ее настроить в маршрутизаторе.
Что такое NAT в роутере
Кратко рассмотрим особенности NAT, и что это в роутере. Расшифровывается как Network Address Translation, а именно «трансляция сетевых адресов». С помощью процесса компьютер или другое оборудование получает доступ к Интернету.
Простыми словами, NAT в роутере (Network Address Translation) — это процесс перевода внутренних (приватных) адресов во внешние. Такая функция применяется всеми маршрутизаторами вне зависимости от установленных настроек и цены.
Многие путают NAT в роутере с фаерволом. Задача Firewall в запрете доступа к ресурсу по конкретному порту, к примеру, UDP или TCP. Он может устанавливаться на любом оборудовании для фильтрации трафика. Что касается NAT, он дает разрешение или запрещает доступ к определенному адресу или диапазону IP внутри сети.
NAT бывает трех видов:
Много вопросов касается еще одного термина — что такое NAT loopback в роутере. Здесь все просто. Если пакет поступает из внутренней сети на IP-адрес, он принимается в качестве внешнего. Это означает, что на него распространяются правила брандмауэра. После прохождения firewall в силу вступает NAT роутера, являющийся неким посредником. В результате удается следующее:
Существует также NAT Traversal, позволяющий сетевым приложениям определить тот факт, что они находятся вне границ устройства. В таких ситуациях NAT применяется для определения IP адреса устройства и сопоставления портов.
Для чего он нужен
Выше мы кратко затронули функции NAT в роутере, что это, и как работает. Но назначение такой технологии заслуживает более глубокого изучения. При проектировании сети подразумевается применение локальных IP-адресов, которые используются внутри компании или площадки для локального взаимодействия. Иными словами, они не маршрутизируются во «всемирной паутине». Для обращения к устройствам вне локальной платформы приватный адрес необходимо перевести в публичный. Для этого и существует NAT.
Благодаря действию такой функции, устройство с персональным адресом IPv4 может подавать запросы вне частной интернет-сети. Дополнительное преимущество механизма состоит в обеспечении конфиденциальности и безопасности. На практике маршрутизаторы NAT могут настраиваться с одним или группой общедоступных адресов (пулом NAT). Как только оборудование вышло во внешнюю интернет-сеть, роутер с поддержкой технологии переводит внутренний адрес в общедоступный. При этом маршрутизатор NAT, как правило, функционирует на границе Stub (тупиковой) сети, имеющей одно соединение (вход/выход).
С помощь NAT все устройства, подключенные к интернет-сети, используют один IP-адрес внешнего интерфейса. Простыми словами, сетевые пакеты корректируются и в них происходит подмена IP-адреса источника и назначения.
Подводя промежуточные итоги, можно выделить следующие особенности NAT в роутере:
С помощью NAT частная сеть подключается к Интернету через общий публичный IP, которые выдается провайдером, а ресурс адресов тратится более экономично. Кроме того, применение опции важно с позиции безопасности. В частности, можно скрыть локалку от пользователей из вне, что исключает несанкционированный доступ.
Как пользоваться функцией NAT
С учетом сказанного возникает вопрос, как открыть NAT для своего роутера. В большинстве случаев опция включена по умолчанию. Если это не так, необходима ее активация и дополнительная настройка. Алгоритм действий следующий:
Для каждого роутера принципы включения NAT могут отличаться. К примеру, в Zyxel необходимо войти в настройки маршрутизатора, перейти в раздел Network — Routing, а там в Policy routing, Здесь будет тумблер, позволяющий включить службу. Далее задаются настройки в группе Criteria. Если необходимо отключить NAT в роутере, проделайте рассмотренные выше шаги и деактивируйте службу. В качестве альтернативы отключению можно перевести маршрутизатор в другой режим работы.
Если возникает необходимость изменения типа NAT, войдите в настройки роутера, посмотрите IP и настройки сетевого подключения. После этого звоните провайдеру для получения помощи в перенастройке на нужный тип.
Плюсы и минусы использования
Перед тем как отключить NAT на роутере или до включения функции обратите внимание на ее плюсы и минусы.
Если говорить в целом, технологию NAT в роутере трудно переоценить. С ее помощью обеспечивается удобство выхода в Интернет, гарантируется безопасность подключения и гибкость настройки. При этом решение о включении и отключении режима необходимо принимать самостоятельно.
Что такое NAT на роутере?
Компьютер подключается к глобальной сети несколькими способами. Это может быть прямое подключение, в этом случае имеется внешний IP адрес (динамический или статический), который виден из интернета. Или же подключение может осуществляться через маршрутизатор. При таком подключении внешний адрес имеет только роутер, а все подключенные к нему пользователи являются клиентами другой сети. Роутер берет на себя распределение входящего и исходящего трафика между клиентами и интернетом. Возникает ряд проблем при подключении через маршрутизатор:
Решить проблему помогает правильная настройка маршрутизатора, а именно сервиса NAT на нем. Для того, чтобы понять, как настроить NAT на роутере, необходимом узнать, что такое трансляция адресов и для чего это используется.
NAT: общие определения
NAT (network address translation) или трансляция сетевых адресов — это процесс перевода внутренних или локальных адресов во внешние. NAT используется абсолютно всеми маршрутизаторами независимо от их конфигурации, назначения и стоимости. По умолчанию роутер запрещает напрямую обращаться к любому устройству, находящимися внутри сети. Он блокирует доступ на любые порты для входящих соединений поступающие из интернета.
Но NAT и Firewall это суть разные понятия. Firewall просто запрещает доступ к ресурсу по определенному TCP или UDP порту, может устанавливаться на локальной машине для ограничения доступа только к ней или же на сервере для фильтрации трафика по всей локальной сети. Перед NAT задача стоит более развернуто. Сервис запрещает или разрешает доступ внутри сети по конкретному IP адресу или диапазону адресов. Таким образом клиент, который обращается к ресурсу не видит действительного IP адреса ресурса. NAT переводит внутренний IP в адрес, который будет виден из интернета.
Чтобы проверить находится ли компьютер за NAT или транслирует в интернет реальный адрес можно следующим образом:
Вывод команды показывает следующие данные:
Как теперь разобрать является ли адрес локальным или же напрямую «смотрит» в интернет. Согласно спецификации, существует четыре диапазона адресов, которые ни при каких обстоятельствах не используются в интернете, а являются исключительно локальными:
В том случае, когда адрес машины попадает в один из этих диапазонов, следует считать, что компьютер находится в локальной сети или «за» NAT. Можно также дополнительно использовать специальные службы, которых есть множество в интернете для определения реального IP адреса. Теперь стало понятнее находится ли компьютер за NAT в роутере что это за сервис, и за то он отвечает.
Проблемы NAT и возможности решения
С момента появления NAT сразу же стали проявляться проблемы. Невозможно было получить доступ по отдельному протоколу или в работе отдельных программ. Данные проблемы так и не удалось полностью устранить, получилось только найти некоторые варианты решения только с использованием трансляции адресов, но ни один вариант решения не является правильным с точки зрения спецификаций администрирования.
В качестве примера можно рассмотреть протокол передачи файлов (FTP), который был саммым распространенным к появлению NAT. Для файловых серверов (FTP) ключевым является реальный IP адрес компьютера, который посылает запрос на доступ. Здесь преобразование адресов не работает, потому что запрос на сервер отправляется с IP, невидимого из интернета. Нет возможности создать сессию клиент-сервер для загрузки файлов. Обойти проблему помогает использование FTP в пассивном режиме. В этом режиме используется другой набор команд, и работа ведется через специальный прокси-сервер, который дополнительно открывает другой порт для соединения и передает его программе клиенту. Проблемой такого решения является то, что необходимо использовать сторонние FTP клиенты.
Полностью избавиться от проблемы доступа получилось только с появлением SOCKS (Socket Secure) протокола. Этот протокол позволяет обмениваться данными через прокси-сервер в «прозрачном» режиме. То есть сервер не будет знать, что происходит подмена адресов с локальных на глобальные и наоборот. Изобретение SOCKS позволило избавиться от ряда проблем и упростить работу администрирования сети:
Использование NAT и SOCKS не всегда оправдано с точки зрения сетевого администрирования. Иногда более целесообразным является использование специализированных прокси, которых существуете множество для любого протокола передачи данных.
Настройка NAT на компьютере
Все современные операционные системы имеют уже встроенный NAT. В Windows эта функция реализована с 1999 года с появлением Windows XP. Управление NAT осуществляется непосредственно через свойства сетевого подключения. Чтобы настроить службу нужно сделать следующее:
Если при выведется сообщение что невозможно запустить службу общего доступа, нужно убедиться, что запущена служба DHCP-клиент. При необходимости можно установить запуск службы принудительно, а не по запросу автоматически.
Настройка NAT на маршрутизаторе
Что такое NAT в роутере, целесообразность его использования и проблемы, которые он может создать было описано выше, теперь можно перейти непосредственно к реализации задачи. Настройка службы на роутере зависит от его модели, используемой прошивки и других параметров. Но достаточно понять механизм, чтобы не возникало сложностей и вопросов по настройке отдельного устройства. Для настройки выполняются следующие действия (в качестве примера настройки выполняются на роутере Zyxel на прошивке v1):
Открывшаяся страница и будет той, которая управляет политиками доступа и маршрутизацией. Здесь необходимо включить службу, активировав переключатель в положение «Enable». Сами настройки выполняются в группе «Criteria». Выбираются параметры NAT по нескольким категориям фильтров:
В качестве объекта перенаправления можно выбрать следующие варианты:
В каждом отдельно взятом роутере настройки и название пунктов меню может отличаться, но принцип построения NAT остается неизменным.
Что такое обход nat
Для компаний, занимающихся восстановлением данных, Интернет является наиболее удобным, экономичным и эффективным способом удаленного обслуживания клиентов. Восстановление данных через Интернет имеет гораздо меньше рисков в плане безопасности и логистики в отличии от отправки дисков клиентами посредством почтовых служб. Неосторожное обращение или критические температуры во время доставки могут привести к большим повреждениям диска и значительно уменьшить шансы успешного восстановления информации. Кроме этого, отправленный по почте диск может быть утерян, или, что хуже, его могут украсть похитители персональных данных, конкуренты или просто иностранные шпионы.
Удаленное восстановление избавляет от необходимости доверять конфиденциальную информацию работникам почтовых служб и отделений. Доступность и повсеместное распространение широкополосного Интернета способствуют все большей популярности удаленного восстановления данных через всемирную сеть.
Профессиональная утилита восстановления данных R-Studio позволяет воспользоваться всеми преимуществами удаленного восстановления данных. Не вставая со своего рабочего места специалист может выполнять через Интернет задачи по восстановлению файлов на компьютере клиента. Более подробно это рассмотрено в статье R-Studio: Восстановление Данных по Сети.
Подключение через IP адрес к клиентскому компьютеру для восстановления данных осложняется тем, что большинство из них имеют доступ в Интернет через публичную сеть, т.е. находятся за корпоративным брандмауэром или NAT (Network Address Translation). Подобные сетевые инфраструктуры позволяют компаниям установить больший контроль за передачей данных через Интернет. Существует два типа сетей: частные сети и публичные сети. Принципиальная разница между ними состоит в доступе к их компьютерам с других компьютеров сети Интернет.
Публичная сеть 
В публичной сети каждое устройство имеет свой уникальный IP адрес, доступный любому компьютеру в Интернете. При помощи брандмауэра можно ограничить определенный тип трафика или трафик от несанкционированных пользователей, но в целом доступ к таким компьютерам возможен для каждого пользователя сети Интернет. Это похоже на прямую телефонную линию организации, когда звонки приходят на телефонный аппарат, минуя оператора или секретаря. У служащего есть свой телефонный номер, и звонки на него каким-либо образом не отслеживаются (т.е. каждый может ему позвонить со своего телефона). То же самое IP адрес компьютера в публичной сети. Поэтому подключиться к одной из таких машин для восстановления данных как правило достаточно просто. Если брандмауэр не настороен таким образом, чтобы блокировать трафик с компьютера специалиста по восстановлению данных, то подключение может быть установлено через публичный IP адрес компьютера. Такое подключение называется подключением в обход брандмауэра (firewall).
Частная сеть 
Если в публичной сети ваш компьютер аналогичен телефону с прямым номером, то в частной сети он аналогичен телефону с добавочным номером. Чтобы до вас дозвониться абонент сначала звонит оператору, который далее перенаправляет его звонок или набирает телефонный номер вашей компании а потом ваш добавочный номер.
Для частной сети используется похожая концепция за тем исключением, что «внешние» компьютеры не будут знать частный IP адрес вашего компьютера, он им не будет нужен. Если в публичной сети каждый компьютер имеет свой укикальный в сети Интернет IP адрес, то в частной сети каждый компьютер имеет IP адрес, уникальной для данной сети, например, 192.168.1.192, 172.16.2.23 или 10.10.10.10.
Единственная машина, у которой есть уникальный публичный IP адрес, это устройство NAT. Чтобы получить доступ к компьютеру частной сети «внешний» компьютер прежде всего должен «связаться» с устройством NAT, которое позволит передать данные на соответствующий компьютер частной сети. Это называется «обход NAT». Доступ к компьютеру частной сети можно получить через IP адрес устройства NAT; у каждого компьютера частной сети будет порт, при помощи которого он сможет получить данные из Интернета (аналог добавочного телефонного номера). Компьютеры из Интернета будут связываться с компьютерами частной сети через IP адрес устройства NAT и номер порта, и им будет неизвестен частный IP адрес каждого компьютера.
Мы видим, что как и в случае со звонками внешним абонентам с телефона с добавочным номером, намного проще получить прямой доступ в Интернет с компьютера частной сети чем обратный.
Доступ в Интернет с компьютера частной сети в чем-то похож на улицу с односторонним движением. Но переадресация портов позволяет создать для любого компьютера частной сети эквивалент прямой телефонной линии. Переадресация портов это назначение устройством NAT определенного порта для компьютера сети. Например, если устройством NAT с IP адресом 184.173.73.182 для определенного компьютера назначен порт 2083, то IP адрес данного компьютера в сети Интернет будет 184.173.73.182:2083. Такая комбинация IP адреса/порта во многом может использоваться как публичный IP адрес при установлении подключения с машиной частной сети. Это называется обход NAT.
Обход NAT и Восстановление Данных через Интернет
В то время как переадресация портов является наиболее распространенным решением обхода NAT при работе в частных сетях, большинство пользователей не будут иметь достаточных прав для этого или им будет неизвестно, как это сделать. Следовательно, входящее подключение с компьютера специалиста по восстановлению данных будет невозможно.
Но R-Studio позволяет выполнять операции по восстановлению файлов через Интернет используя подключение, установленное клиентом. Это идентично тому, как компьютер получает доступ к веб-сайту Интернета, находящемуся в частной сети. Единственное, что нужно сделать, это установить переадресацию портов на устройстве NAT, которое подключено к компьютеру специалиста по восстановлению данных. При этом все дополнительные действия, необходимые для восстановления данных через Интернет, будет выполнять специалист по восстановлению данных, а не клиент.
Ниже приведен пример того, как устанавливается такое подключение. 
Заключение
При выполнении восстановления данных через Интернет технический спецалист прежде всего сталкивается с необходимостью создания надежного подключения, которое бы отвечало имеющимся критериям безопасности. В частных сетях достичь этого позволяет переадресация портов и возможность установить подключение при помощи R-Studio Agent. При этом восстановление данных через Интернет становится намного более эффективным, надежным и рентабельным решением по сравнению с доставкой жестких дисков в компании по восстановлению данных или вызовом специалиста.
Более подробно процесс установления вышеописанного подключения и его наглядный пример можно найти в статье R-Studio Technician: Восстановление Данных через Интернет.