Wie teilen viele Geräte eine Internetadresse?
NAT (Network Address Translation, Adressübersetzung) lässt viele Geräte mit einer einzigen öffentlichen Adresse ins Internet. Der Router bei dir zu Hause macht das jeden Tag.
Ohne NAT bräuchte jedes Handy, jeder Laptop und jeder Fernseher eine eigene Adresse aus einem Vorrat, der längst knapp ist. Heute siehst du, wie die Übersetzung abläuft.
Am Ende dieser Lektion
Notiz
Ich kann erklären, wie ein Büro mit NAT sicher ans Internet kommt.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Private Adresse | eine Adresse, die nur im eigenen Netz gilt | 10.0.0.2 |
| Öffentliche Adresse | eine Adresse, die im Internet erreichbar ist | |
| NAT | das Umschreiben von Adressen, wenn ein Paket ein Netz verlässt | |
| Port | die Nummer eines Dienstes auf einem Gerät | 80 |
| Portweiterleitung | eine Regel, die Anfragen von außen an ein Gerät innen schickt | |
| Firewall | Regeln, die Pakete durchlassen oder verwerfen |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Bevor du anfängst
Notiz
Drück oben in der Leiste auf Lab starten. Das Lab baut ein privates Netz, ein Gateway und einen Server draußen nach. Jede Schaltfläche Ausführen tippt ihren Befehl in das Terminal der Maschine.
Private Adressen gelten nur im eigenen Netz
Drei Bereiche sind für private Netze reserviert. Jeder darf sie benutzen, aber keiner leitet sie im Internet weiter.
Darum kann dein Heimnetz 192.168.1.20 benutzen und das Netz deines Nachbarn auch. Im Internet unterscheidet sie ein Router mit einer öffentlichen Adresse.
Beispiel: die privaten Adressbereiche
| Bereich | Anzahl der Adressen | Wo man ihn oft sieht |
|---|---|---|
| 10.0.0.0 bis 10.255.255.255 | Über 16 Millionen | Große Firmen und Schulen |
| 172.16.0.0 bis 172.31.255.255 | Über 1 Million | Mittlere Firmen |
| 192.168.0.0 bis 192.168.255.255 | 65 536 | Router zu Hause |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Das private Netz und die Außenwelt ansehen
netlab statusHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Der Server draußen kennt das private Netz nicht
sudo ip netns exec srv ip routeHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
NAT schreibt die Absenderadresse um
Ein Gerät im Büro schickt eine Anfrage ins Internet. Das Gateway ersetzt die private Absenderadresse durch seine öffentliche. Dazu wählt es einen freien Port.
Es merkt sich die Zuordnung in einer Tabelle. Kommt die Antwort, schlägt es dort nach und schickt sie zum richtigen Gerät zurück.
Beispiel: eine kleine NAT-Tabelle
| Gerät innen | Port innen | Port außen | Wohin die Antwort geht |
|---|---|---|---|
| 10.0.0.2 | 51000 | 40001 | 10.0.0.2 Port 51000 |
| 10.0.0.3 | 51000 | 40002 | 10.0.0.3 Port 51000 |
| 10.0.0.2 | 51001 | 40003 | 10.0.0.2 Port 51001 |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele denken, NAT sei eine Firewall und schütze das Netz. Das stimmt nicht. NAT versteckt private Adressen nur nebenbei. Schützen können allein Regeln, die Pakete verwerfen.
Eine Portweiterleitung öffnet genau eine Tür
Manchmal soll jemand von außen an ein Gerät im Büro, zum Beispiel an eine Webseite. Dafür gibt es die Portweiterleitung.
Das Gateway nimmt Anfragen auf einem Port entgegen und schickt sie an ein Gerät innen. Alle anderen Ports bleiben zu, denn eine Firewall lässt nur zu, was ausdrücklich erlaubt ist.
Beispiel: Regeln eines Gateways
| Regel | Wirkung |
|---|---|
| Das Büro darf ins Internet | Anfragen von innen gehen hinaus, ihre Antworten kommen zurück |
| Port 8080 geht an 10.0.0.2 Port 80 | Die Webseite im Büro ist von außen erreichbar |
| Alles andere von außen wird verworfen | Kein anderer Dienst im Büro ist sichtbar |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Die Regeln des Gateways im Lab ansehen
sudo ip netns exec gw nft list rulesetHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Weiterführend: warum schützt NAT allein nicht
Eine Portweiterleitung öffnet eine Tür von außen. Überlege, welcher Dienst im Büro niemals von außen erreichbar sein sollte.
Schreibe zwei Beispiele auf und sag, welche Regel sie schützen würde.