Wie ein Paket aus einem privaten Netz ins Internet und zurück findet, und wie aus einem Namen eine Adresse wird.

Sprint 2 · InputBrückenstufe 2

Eure Story: Als IT-Leitung HLG will ich, dass die Welt track.hlg.example findet und jeder Standort ins Netz kommt, damit Kunden ihre Sendung rund um die Uhr sehen.

Input. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 7.

Du liest das Gerüst zu Adressen, Übersetzung und Namensauflösung und schaust dir zu jedem Gedanken das Bild an.

0 von 7 AB abgehakt AB-Liste öffnen

Der wichtigste Satz auf dieser Seite: NAT übersetzt Adressen und Ports an der Grenze, DNS übersetzt Namen in Adressen. Beides ist eine Tabelle, und beide Tabellen müssen zusammenpassen.

Was diese Seite ist: die fachsystematische Phase von Teil 2. Hier steht das Gerüst, das über unseren Fall hinaus trägt. Gearbeitet wird danach in den Lernangeboten und in der Storycard.

1. Private, geteilte und öffentliche Adressen

Öffentliche IPv4-Adressen sind weltweit eindeutig und knapp. Für interne Netze sind drei Bereiche reserviert, die im Internet nicht geroutet werden (RFC 1918): 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Anbieter nutzen für Carrier-NAT einen eigenen geteilten Bereich, 100.64.0.0/10 (RFC 6598). Wer eine private oder geteilte Adresse hat, braucht an der Grenze eine Übersetzung.

Für Bücher und Kurse gibt es Dokumentationsbereiche: 192.0.2.0/24, 198.51.100.0/24 und 203.0.113.0/24 für IPv4, 2001:db8::/32 für IPv6. In diesem Kurs stehen sie für echte öffentliche Adressen.

Drei Adressarten: privat, geteilt beim Anbieter, öffentlich, mit den Netzen von HLGprivat (RFC 1918)10/8 · 172.16/12192.168/16geteilt (RFC 6598)100.64.0.0/10nur beim Anbieteröffentlichim Kurs: RFC 5737203.0.113.0/24 u. a.HLG innen: 10.10/16 · 10.20/16 · 10.30/16 · DMZ 172.16.10.0/24
Drei Adressarten und die Netze von HLG. Eigene Darstellung.

2. Übersetzung: NAT und PAT

NAT (Network Address Translation) ersetzt an der Grenze eine Adresse durch eine andere und merkt sich das in einer Übersetzungstabelle. Bei statischem NAT gehört genau eine innere zu genau einer äußeren Adresse (1:1). PAT (Port Address Translation, auch NAT-Überladung) ersetzt zusätzlich den Quellport. So teilen sich viele innere Geräte eine äußere Adresse, unterschieden nur am Port.

Die Portnummer hat 16 Bit, also 65.536 Werte. Ports unter 1024 sind für Dienste reserviert. Wie viele Verbindungen daraus auf einer Adresse werden, rechnest du in Lernangebot 3.

PAT: drei Geräte innen, eine Adresse außen, unterschieden nur am Port10.10.10.25:5151410.10.10.25:51514 ↔ :2051710.10.10.26:5151410.10.10.26:51514 ↔ :2051810.10.20.31:4000210.10.20.31:40002 ↔ :20519Übersetzungstabelle203.0.113.7ein Ausgang
PAT: drei innere Verbindungen, eine äußere Adresse, drei Ports. Eigene Darstellung.

3. Von außen nach innen: Portweiterleitung

Ausgehend legt PAT die Einträge selbst an. Eingehend weiß die Firewall nicht, wohin ein Paket gehört, solange niemand es ihr sagt. Eine Portweiterleitung (Ziel-NAT) ist ein fester Eintrag: Was an 203.0.113.3 Port 443 ankommt, geht an 172.16.10.10 Port 443. Dabei wird das Ziel ersetzt, die Quelle bleibt. Die Antwort wird auf dem Rückweg wieder übersetzt.

Portweiterleitung von 203.0.113.3 Port 443 auf den Verteiler 172.16.10.10 in der DMZKunde198.51.100.200Firewall außen203.0.113.3:443Verteiler (DMZ)172.16.10.10:443Portweiterleitung: Ziel wird ersetzt, Quelle bleibt
Portweiterleitung auf den Verteiler in der DMZ. Eigene Darstellung.

4. Namensauflösung

Ein Client fragt seinen Resolver. Der Resolver arbeitet sich von der Wurzel über den Server der Endung bis zum autoritativen Namensserver der Zone durch und liefert die Antwort zurück. Jede Antwort trägt eine TTL (Time to Live) in Sekunden: So lange darf sie zwischengespeichert werden. Abfragen laufen über Port 53, meist UDP.

Auflösungskette: Client, Resolver, Wurzel, Server für .example, zuständiger NamensserverClientResolverrekursiv1 Wurzelverweist auf .example2 Server für .exampleverweist auf hlg.example3 ns1.anbieter.exampleantwortet: 203.0.113.3fragt der Reihe nachund merkt sich die TTL
Auflösungskette für track.hlg.example. Eigene Darstellung.

5. Zonen und Einträge

Eine Zone ist der Teil des Namensraums, für den ein Server zuständig ist. Sie beginnt mit dem SOA-Eintrag (Seriennummer, Zeiten für Sekundärserver, negative TTL), NS nennt die zuständigen Server. Dann folgen A (IPv4), AAAA (IPv6), MX (Mailserver mit Vorrang), CNAME (Zweitname, darf neben sich keine anderen Einträge haben) und TXT (freier Text, etwa für Absenderprüfung). Split-DNS heißt: Derselbe Name liefert innen eine andere Antwort als außen.

Zone hlg.example mit den Namen track, www, mail, vpn, station und der Unterzone internhlg.exampletrackA, AAAAwwwCNAME trackmailA, MX-ZielvpnAstationA, DDNSinternUnterzoneöffentlich beim Anbieter · intern.hlg.example nur im Hub (10.10.40.53)
Die Zone hlg.example mit Unterzone intern. Eigene Darstellung.

6. Dynamische Einträge

Ändert sich eine Adresse, muss der Eintrag folgen. Bei DDNS (dynamisches DNS) meldet der Router selbst seine neue Adresse an den Namensserver, geschützt durch einen gemeinsamen Schlüssel. Eine kurze TTL sorgt dafür, dass Resolver die alte Adresse nicht lange behalten.

DDNS: der Router des Stationsbüros meldet seine neue Adresse, der Name zeigt danach auf sieRouter Stationneu: 198.51.100.143Namensserverstation.hlg.exampleAbfrageTTL 60 sUpdatemit Schlüsselalt 198.51.100.77, nach Zwangstrennung 198.51.100.143
DDNS für das Stationsbüro. Eigene Darstellung.

Merksatz: Außen eine Adresse, innen viele: PAT unterscheidet sie am Port. Von außen nach innen geht nur, was eine Weiterleitung ausdrücklich erlaubt. Und der Name gilt erst, wenn er von außen und von innen auf das Richtige zeigt.

Zum Nachschlagen
  • RFC 1918 (private Adressen), RFC 6598 (geteilte Adressen für Carrier-NAT), RFC 5737 und RFC 3849 (Dokumentationsadressen), RFC 2606 (Dokumentationsdomänen)
  • RFC 1034 und RFC 1035 (DNS, Zonen und Einträge), RFC 2136 (dynamische Aktualisierung), RFC 2308 (negative TTL)
  • RFC 4787 (Verhalten von NAT bei UDP), RFC 6335 (Portbereiche)

Weiter zu Lernangebot 3 · Adressen übersetzen: Jetzt wendest du das Gerüst auf die drei Standorte von HLG an.

ZurückWeiter