Belangrijkste punten
- Door de uitputting van IPv4-adressen is adresvertaling onmisbaar geworden: private netwerken kunnen zo communiceren met publieke netwerken, ondanks het beperkte aanbod van publieke IP-adressen.
- Network Address Translation (NAT) herschrijft IP-adressen op Layer 3 via een een-op-een-mapping, maar schaalt slecht omdat het veel publieke IP-adressen verbruikt.
- Port Address Translation (PAT) vertaalt zowel IP-adressen als poorten, waardoor meerdere devices één publiek IP-adres kunnen delen.
- Het belangrijkste verschil tussen NAT en PAT zit in het verkeersverloop en het bijhouden van de status: PAT herkent verbindingen aan de hand van IP, poort en protocol in plaats van alleen het IP-adres.
- PAT is de voorkeursmethode voor IPv4-vertaling, omdat het enterprise-omgevingen ondersteunt zonder dat er grote pools publieke IP-adressen nodig zijn.
- Inzicht in het gedrag van NAT en PAT is essentieel voor het ontwerp van firewalls, logcorrelatie, packet inspection en netwerktroubleshooting.
Twee van de meest gebruikte technieken voor adresvertaling zijn Network Address Translation (NAT) en Port Address Translation (PAT). Wie het verschil tussen NAT vs. PAT begrijpt, snapt ook beter hoe verkeer zich binnen het netwerk gedraagt. Dat is cruciaal bij het oplossen van connectiviteitsproblemen.
De belangrijkste verschillen tussen NAT vs. PAT op een rij
Het huidige technologielandschap leunt sterk op IPv4, omdat dit protocol de basis vormt van vrijwel alle bestaande internetinfrastructuur. IPv4 ondersteunt echter maar 4,3 miljard unieke adressen en met wereldwijd miljarden internetverbonden devices wordt schaarste een probleem.
Adresvertaling zorgt er in grote lijnen voor dat devices binnen een privaat netwerk kunnen communiceren met publieke netwerken door hun netwerkidentiteit te herschrijven. NAT en PAT lossen dit probleem elk op hun eigen manier op, met verschillende gevolgen voor schaalbaarheid en verkeersgedrag.
Wat is NAT in netwerken?
Network Address Translation (NAT) herschrijft IP-adressen in de netwerkheader van Layer 3 (L3). Eenvoudig gezegd vertaalt NAT het bron- of bestemmings-IP-adres terwijl het verkeer tussen private en publieke netwerken beweegt.
Wanneer verkeer een privaat netwerk verlaat, wordt het private IP-adres bijvoorbeeld vertaald naar een publiek adres en retourverkeer wordt weer teruggevertaald zodat het het oorspronkelijke systeem bereikt. Omdat NAT alleen IP-adressen vertaalt, maskeert het private netwerken maar verwerkt het verkeer uitsluitend op een-op-een-basis, waardoor publieke IP-adressen snel opraken.
Wat is PAT in netwerken?
Naarmate netwerken groeien, schiet eenvoudige een-op-een-vertaling tekort. Port Address Translation (PAT) lost dit op door zowel de L3- als de L4-header aan te passen. Die laatste bevat poortnummers die verkeer naar specifieke services op een host sturen.
Dankzij het veel-op-een-ontwerp van PAT kunnen meerdere devices binnen een Local Area Network (LAN) één publiek IP-adres gebruiken. Daarmee is PAT geschikt voor enterprise-omgevingen met veel devices maar weinig beschikbare publieke IP-adressen.
Belangrijkste verschillen tussen NAT vs. PAT qua verkeersverloop
Traditionele NAT is eenvoudig: het zet het private IP-adres van een device om naar een extern IP-adres. Bij deze mapping van adres naar adres hoeft geen onderscheid gemaakt te worden tussen gelijktijdige verbindingen vanaf één host, wat het bijhouden eenvoudiger maakt.
PAT gaat een stap verder dan NAT door zowel IP-adressen als poortparen te vertalen en bij te houden. Die combinatie stelt PAT in staat een unieke combinatie te herkennen van:
- Bron-IP-adres en poort
- Bestemmings-IP-adres en poort
- Protocol
Met PAT kunnen meerdere interne systemen één publiek IP-adres delen, omdat elke verbinding wordt herkend aan de poort in plaats van alleen aan het IP-adres. Om verkeer nauwkeurig te kunnen onderscheiden, houdt PAT echter elke actieve sessie bij, wat het resourcegebruik kan verhogen en troubleshooting complexer maakt.
Waarom heeft PAT de voorkeur boven NAT?
IPv4 biedt ruim 4,3 miljard mogelijke adressen, een aantal dat bij de introductie in de jaren zeventig en begin jaren tachtig als ruim voldoende gold. Door de snelle groei van het aantal internetverbonden devices raakte de beperkte adresruimte van IPv4 in de loop der jaren uitgeput. Adresvertaling ontstond als tijdelijke oplossing, wat leidde tot NAT en vervolgens tot PAT.
Zowel NAT als PAT maakten het mogelijk netwerken te laten groeien ondanks het beperkte aanbod van publieke IP-adressen. Toch gaat de voorkeur tegenwoordig uit naar PAT, om de volgende redenen:
Publieke IPv4-adressen zijn schaars
Naarmate internetgebruik gemeengoed werd, slonk de beschikbaarheid van publieke IP-adressen. NAT werd geïntroduceerd om private netwerken toegang te geven tot publieke netwerken en zo het verbruik van publieke IP-adressen te beperken. Door het een-op-een-ontwerp stelde NAT het schaarsteprobleem echter alleen uit zonder het fundamenteel op te lossen.
Omdat een netwerkpoort technisch gezien meer dan 65.000 gelijktijdige verbindingen per protocol aankan, werd poortvertaling een sleutelfactor voor schaalbaarheid. Op dat moment deed PAT zijn intrede, waardoor duizenden devices één publiek IP-adres kunnen delen.
Bedrijven en ISP’s moeten kunnen opschalen
Moderne netwerken moeten honderden, zo niet duizenden devices ondersteunen binnen een vast toegewezen reeks publieke adressen. PAT pakt die beperking aan door meerdere interne systemen via één publiek IP-adres verbinding te laten maken.
PAT gebruikt poorten op de transportlaag, waardoor één IP-adres duizenden verbindingen per protocol kan ondersteunen. Grote netwerken hebben daardoor geen duizenden publieke IP-adressen nodig, waarmee PAT de dominante vertaalmethode is in enterprise- en serviceprovidernetwerken.
Operationele gevolgen van poort- en netwerkadresvertaling
In de praktijk komen beheerders indirect met vertaling in aanraking via firewallregels, logs, packet captures en troubleshootingtools. Zowel adres- als poortvertaling verandert hoe verkeer er op verschillende punten in het netwerk uitziet, wat gevolgen heeft voor zichtbaarheid en troubleshooting.
Ontwerp van firewallregels
In sommige netwerken kan NAT- en PAT-verkeer alleen passeren als firewallregels de doorgifte van vertaald verkeer toestaan. Ook als een adres of poort correct is vertaald, wordt verkeer alsnog geblokkeerd wanneer de firewall het niet toelaat.
Regels kunnen vóór of na de vertaling gelden of in meerdere fasen binnen het verkeerspad. Worden regels opgesteld zonder rekening te houden met NAT en PAT, dan kunnen firewalls onbedoeld verbindingen toestaan of blokkeren, met inconsistente connectiviteit tot gevolg.
Logcorrelatie en toewijzing
Door poort- en netwerkadresvertaling kunnen meerdere systemen in een privaat netwerk zich voordoen als één publiek IP-adres. Om die gegevens terug te herleiden naar een specifiek systeem, moet u weten hoe de adres- en poortmappings zijn toegewezen.
Logging moet daarom zowel de gegevens vóór als na de vertaling van het verkeer vastleggen. Zonder die informatie worden root-cause-analyse en incidentrespons een stuk lastiger.
Packet inspection en tracing
Packet captures die op verschillende punten langs een vertaalpad worden gemaakt, laten verschillende adresgegevens zien. Interne pakketten komen mogelijk niet overeen met externe pakketten, ook al gaat het om hetzelfde verkeer.
Inzicht in de werking van vertaling helpt beheerders verkeer nauwkeurig te volgen over netwerkgrenzen heen en voorkomt verkeerde conclusies tijdens de analyse.
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Onverwachte bronadressen | Beheerders kunnen bronsystemen hierdoor verkeerd identificeren, wat de nauwkeurigheid van troubleshooting aantast. | Bekijk de vertaaltabellen om te bepalen hoe interne IP-adressen of poorten worden gemapt naar externe adressen. |
| Mislukte verbindingen | Haperende verbindingen kunnen leiden tot een inconsistente browse-ervaring en instabiele prestaties van apps of services. | Controleer de PAT-sessielimieten om te bepalen of de vertaalprocessen de poorten uitputten. |
| Onduidelijke logs | Onvolledige logs maken incidentanalyse lastiger voor beheerders en vertragen de incidentrespons. | Correleer interne bronpoorten met externe vertaalde poorten, inclusief tijdstempels |
| Applicatieproblemen | Afgebroken sessies of verbroken verbindingen kunnen de workflows van eindgebruikers vertragen. | Bepaal of de applicatie protocollen gebruikt die gevoelig zijn voor vertaling of firewallregels. |
Gebruik NinjaOne voor netwerkadres- en poortvertaling
Met het netwerkbeheer van NinjaOne kunnen beheerders activiteiten rond netwerkadresvertaling beheren dankzij gedetailleerde monitoring van netwerkdevices en verkeersanalyse.
- Realtime datamonitoring: benut honderden waarschuwingsvoorwaarden om SNMP-devices direct te monitoren, inclusief poortstatus en port map monitoring.
- Aangepaste SNMP-monitoring: krijg volledig inzicht in alle beheerde devices met SNMP via ingebouwde OID-templates of aangepaste OID-monitoring, voor proactief device management.
- NetFlow-implementatie: ontvang gedetailleerde informatie over IP-verkeer van netwerkverbonden devices om probleemsystemen snel op te sporen.
- Network Discovery-tool: ontdek nieuw aangesloten netwerkdevices in uw infrastructuur en stroomlijn zo uw device management-processen.
- Syslog-integratie: monitor de gezondheid van hardware en software op netwerkdevices en stel variabelen af om ruis te beperken of juist uitgebreid te loggen.
Kies tussen NAT vs. PAT voor moderne netwerken
Zowel NAT als PAT helpen private systemen verbinding te maken met het internet en dragen bij aan privacy. Een helder beeld van de verschillen tussen beide vertaalmethoden helpt beheerders te kiezen welke ze inzetten voor moderne netwerkinfrastructuren.
Kennis van de NAT- en PAT-processen helpt beheerders bovendien de juiste statistieken te monitoren en problemen met de juiste context efficiënt op te lossen. Zet NinjaOne in bij het monitoren van IP- en poortvertaling en krijg centraal en op schaal inzicht in al uw beheerde netwerken.
Gerelateerde onderwerpen:
