Startseite > Datacenter & Verkabelung > Doppelter NAT, doppelter Schmerz

Background: Network-Address-Translation

Doppelter NAT, doppelter Schmerz

26. März 2012, 12:05 Uhr | Mathias Hein, freier Consultant in Neuburg an der Donau

Fortsetzung des Artikels von Teil 1

Fehlersuche bei Doppel-NATs

Um zu überprüfen, ob eventuell ein doppeltes NAT im Netzwerk vorhanden ist, sollte man sich auf dem eigenen Router anmelden und die IP-Adresse des WAN-Ports überprüfen. Verfügt dieser über eine IP-Adresse aus den oben genannten privaten Adressbereichen, ist das ein Hinweis darauf, dass das Gerät, welches den eigenen Router über den WAN-Port verbindet, bereits über eine NAT-Funktion verfügt. Somit hat man es mit einer Doppel-NAT-Funktion zu tun.

Zur Behebung einer doppelten NAT-Situation stehen mehrere Optionen zur Verfügung. Liegt die Ursache in den vom ISP gelieferten Geräte, kann man in der Regel auf das Gerät über einen Browser zugreifen und es so umkonfigurieren, dass es im Bridge-Modus arbeitet. Dadurch wird das NAT auf dem betreffenden Gerät deaktiviert und die Datenströme werden transparent (ohne Adressübersetzung) weitergeleitet. Der Router erhält dadurch eine öffentliche IP-Adresse und führt die NAT-Funktion zum Heimnetzwerk ordnungsgemäß aus. Eine Anleitung zur Umkonfiguration des Zugangsgeräts des ISPs in den Bridge-Modus erhält man in der Regel beim ISP oder auf der Web-Seite des Geräteherstellers.

Hat das doppelte NAT seine Ursache in einer anderen Komponente, welche vor dem Router installiert werden muss (die Hersteller von VoIP-Adaptern empfehlen eine solche Netzkonstellation aus Quality-of-Service-Gründen), dann ist eine Beseitigung des doppelten NATs ausgeschlossen. Die heutige Technik bietet jedoch Mittel und Wege um dieses Problem zu umgehen.

Ein Weg zur Kompensation eines doppelten NATs besteht darin, auf jedem Gerät separate Port-Forwarding Regeln einzurichten. Dadurch wird der eingehende Datenverkehr durch beide NAT-Komponenten geschleust. Hierzu werden beispielsweise auf dem ersten NAT-Gerät (welches sich am nächsten zur Internet-Verbindung befindet) die betreffenden Ports transparent an die IP-Adresse des WAN-Ports des Routers weitergeleitet. Der Router leitet diese Ports anschließend per Adressumsetzung an die entsprechenden IP-Adressen des Endgeräts im privaten Netz weiter.

Arbeiten im lokalen Netz viele Endgeräte, dann ist die dargestellte Adressweiterleitung mit hohem Aufwand verbunden und daher ein bisschen umständlich. Stattdessen kann man auch das erste NAT-Gerät so konfigurieren, dass die IP-Adresse des Routers einer demilitarisierten Zone (DMZ) entspricht. Dadurch wird der eingehende Datenverkehr durch die erste NAT-Schicht problemlos durchgeleitet und im Router entsprechend umgesetzt.