NATは不明なIPからの着信UDPパケットをどのように処理しますか

比較的noobの質問について事前に謝罪し、これがトピックから外れているかどうか（私はわかりません...）

状況としては、UDPクライアントとサーバーが同じポートにバインドされています。

NATについての私の理解では、クライアントから特定のエンドポイントに送信されるUDPパケットは、送信元ポートを宛先エンドポイントにマッピングするNATテーブルへの一時的なエントリになります。（これは正しいですか？）

これは、まだ不明なエンドポイントが、UDPパケットが通過するのと同じポートへのサーバーとのUDP通信を開始した場合にも意味しますか？NATがこれを防ぐ理由はありますか？NATは、これらの着信パケットをブロック/許可することも考慮しますか？

nat udp

— センチネル
ソース

こんにちは、センチネル、NESEへようこそ。答えは、設定されているNATのタイプによって異なります。つまり、あなたが参照しているのは動的PATであるように聞こえます（ただし、ベンダーによっては、異なるものと呼ばれています）。別のQ＆Aに関するこの回答は、動的PATが単方向であり、「まだ不明」のエンドポイントがサーバー（TCPまたはUDP）への接続を開始できない理由の詳細を提供します。特に3番目の図は、あなたの質問に関連しているようです。

— エディ

@Eddie役立つ情報をありがとう。将来ここに来るかもしれない人のために、これを答えとして追加するのは良い考えだと思います。

— Sentinel

投稿された回答よりも適切な回答だと思われる場合は、別の記事を書くことができます。あなたの選択=）。

— Eddie

エディは書いた答えはNATの種類が設定されているに依存しますのNAT @Sentinelいくつかの種類がウィキペディアに記載されています：en.wikipedia.org/wiki/...「フルコーンNATは、」とは異なる反応するであろうことは明らかです「対称NAT」はこちら。

— Martin Rosenau、2018

@MartinRosenauありがとうございます。NATの研究に多くの時間を費やしているようです。私は、BitTorrentのようなプログラムがこのネットワークの策略の地雷原でまったく機能しないことを奇跡的に発見しました。

— Sentinel

回答:

通常のNATは、通信するホストの各ペアの5タプル（プロトコル、内部アドレス、内部ポート、外部アドレス、外部ポート）としてマッピングを作成することで機能します。通常、このエントリは最初の発信パケットによってテーブルに追加されます。

まだ不明な外部ホストがUDPパケットを送信する場合、そのテーブルにはエントリが存在しないため、NATデバイスは通常、その機能と構成に応じてそれを破棄します。

この種類のNATは、通常、「オーバーロードNAT」または「ポートアドレス変換」と呼ばれ、他の種類と区別されます。適切な説明はhttp://www.ciscozine.com/nat-and-pat-a-complete-explanation/です。

サーバーで着信パケットを受け入れる場合は、そのポートのそのサーバーのNATデバイスに静的エントリを設定する必要があります。事実上、これは着信パケットによってエントリをNATテーブルに追加できることを示しています。

詳細はデバイスとソフトウェアに依存します。

— ジョナサンジョ
ソース

わかりましたありがとうございます他の意見があればそれを受け入れるために、後でこれを承認済み回答としてマークする前に、これをしばらくの間賛成しておきます。非常に多くのP2PソフトウェアがUDP検出に依存しているが、UPnPを除いてNAT関連の戦略を採用していないようであることに驚きます

— Sentinel

jonathanjoが指摘しているように、UDP NAPTテーブルエントリは単なるUDPポート番号で構成されます（NAPTでは、UDP、TCP、ICMPに個別のテーブルがあり、UDPポート12345はTCPポート12345とは異なりますが、ICMPはそうですポートを使用しませんが、ポート番号の代わりにクエリIDを使用します）。

NAPTテーブルエントリに特定の外部IPアドレスがない場合、NAPTデバイスは、着信IPアドレスで実際にアドレス指定されるデバイスであるため、パケットが自分宛てであると想定します。NAPTデバイス自体がUDPポートを開いていない場合は、パケットをドロップする必要がありますが、これは実際にはNAPTデバイスのOSとその構成方法次第です。

これがNAPTがセキュリティではない大きな理由です。本当にファイアウォールも必要です。ファイアウォールはデフォルトですべての外部発信接続をブロックし、NAPTデバイス自体を保護します。NAPTデバイスが危険にさらされている場合、そのデバイスは内部ネットワークに完全にアクセスでき、攻撃者はプライベートアドレスのネットワークであっても内部ネットワークに完全にアクセスできます。

— ロン・モーピン
ソース

何かお手伝いできますか？典型的なホームルーターの場合、なぜ「ポート転送」（静的pat、静的napt？）が、そのルールに従って発信開始トラフィックにならないのですか？彼らはルールを無視し、とにかく動的エントリを続行するようです。これは標準ですか？

— Sentinel

ポート転送は、外部ホストが内部で開始されたトラフィックではなく、ルールで指定された内部ホストへの接続を開始できるようにする外部で開始されたトラフィックのルールです。これは基本的に、NAPTを使用できる3つのプロトコル（TCP、UDP、ICMP）の1つのNAPTテーブルの静的エントリです。参照してくださいRFC 2663、IPネットワークアドレス変換（NAT）用語と考慮事項。

— Ron Maupin