NAT là gì? Chức năng và các loại NAT cần biết

NAT là gì là câu hỏi thường gặp khi người dùng muốn hiểu vì sao nhiều thiết bị trong nhà hoặc doanh nghiệp vẫn có thể truy cập Internet dù chỉ có một IP public. NAT giúp dịch địa chỉ IP giữa mạng nội bộ và mạng bên ngoài, đồng thời hỗ trợ chia sẻ kết nối và publish dịch vụ khi cần.

NAT là gì?

NAT là một cơ chế rất phổ biến trên modem, router và firewall. Để hiểu đúng NAT là gì, cần phân biệt giữa địa chỉ IP nội bộ và địa chỉ IP public dùng trên Internet.

Khái niệm NAT

NAT là viết tắt của Network Address Translation, nghĩa là dịch địa chỉ mạng. Đây là kỹ thuật thay đổi địa chỉ IP nguồn hoặc địa chỉ IP đích của gói tin khi gói tin đi qua router, firewall hoặc thiết bị NAT.

Trong mạng gia đình, điện thoại, laptop, camera hoặc smart TV thường dùng IP private như 192.168.1.x. Các địa chỉ này chỉ dùng trong mạng nội bộ. Khi thiết bị truy cập Internet, router sẽ dùng NAT để chuyển IP private thành IP public của đường truyền.

Fortinet mô tả NAT là kỹ thuật thường được ISP và tổ chức dùng để cho nhiều thiết bị chia sẻ một địa chỉ IP public. Cách này giúp thiết bị trong mạng riêng có thể giao tiếp với Internet.

Có thể hiểu đơn giản, NAT giống như bộ phận lễ tân của một tòa nhà. Người bên ngoài chỉ thấy địa chỉ chung của tòa nhà. Bên trong, lễ tân biết yêu cầu đó thuộc phòng nào và chuyển tiếp đúng người.

NAT thường nằm ở đâu trong hệ thống mạng?

NAT thường nằm trên router, modem WiFi, firewall hoặc thiết bị gateway. Trong gia đình, NAT thường được bật sẵn trên modem/router của nhà mạng.

Trong doanh nghiệp, NAT thường nằm trên firewall biên. Thiết bị này đứng giữa mạng LAN nội bộ và Internet. Khi máy tính trong LAN truy cập website, firewall sẽ dịch IP private thành IP public.

Trong môi trường cloud, NAT cũng rất phổ biến. AWS NAT Gateway cho phép máy chủ trong private subnet đi ra ngoài Internet hoặc dịch vụ bên ngoài, nhưng dịch vụ bên ngoài không chủ động mở kết nối vào máy đó.

Điều này cho thấy NAT không chỉ dùng trong mạng gia đình. Nó còn được dùng trong doanh nghiệp, trung tâm dữ liệu và hạ tầng cloud.

NAT khác gì với địa chỉ IP private và IP public?

IP private là địa chỉ dùng trong mạng nội bộ. Các dải thường gặp là 192.168.x.x, 10.x.x.x hoặc 172.16.x.x đến 172.31.x.x. Những địa chỉ này không được định tuyến trực tiếp trên Internet.

IP public là địa chỉ dùng để giao tiếp trên Internet. Đây là địa chỉ mà website, máy chủ hoặc dịch vụ bên ngoài nhìn thấy khi mạng của bạn truy cập ra ngoài.

NAT nằm giữa hai nhóm địa chỉ này. Nó giúp thiết bị dùng IP private vẫn truy cập được Internet thông qua IP public của router hoặc firewall.

Vì vậy, khi hỏi NAT là gì, có thể trả lời ngắn gọn: NAT là cơ chế dịch địa chỉ IP giữa mạng nội bộ và mạng bên ngoài.

NAT hoạt động như thế nào?

NAT hoạt động bằng cách sửa thông tin địa chỉ trong gói tin và lưu lại trạng thái phiên kết nối. Nhờ đó, router biết gói phản hồi từ Internet cần trả về thiết bị nào trong mạng nội bộ.

Dịch địa chỉ IP khi thiết bị đi ra Internet

Ví dụ, laptop có IP 192.168.1.10 truy cập một website. Khi gói tin đi đến router, router sẽ thay địa chỉ nguồn 192.168.1.10 bằng địa chỉ IP public của đường truyền.

Website bên ngoài sẽ phản hồi về IP public đó. Khi gói phản hồi quay lại router, router kiểm tra bảng NAT rồi chuyển tiếp về đúng laptop 192.168.1.10.

Người dùng không cần tự làm thao tác này. Modem, router hoặc firewall xử lý tự động nếu NAT đã được bật đúng cách.

Với nhiều thiết bị cùng truy cập Internet, NAT sẽ phân biệt từng kết nối bằng địa chỉ IP, port nguồn, port đích và giao thức. Đây là nền tảng của PAT hoặc NAT Overload.

NAT lưu bảng phiên kết nối

Khi NAT xử lý lưu lượng, thiết bị NAT tạo một bảng dịch. Bảng này ghi lại IP nội bộ, IP public đã dịch, port và trạng thái phiên.

Nhờ bảng này, router biết phản hồi từ Internet thuộc về thiết bị nào. Nếu không có bảng dịch, router sẽ không biết gói tin từ bên ngoài cần trả về laptop, điện thoại hay camera nào trong LAN.

Bảng NAT thường chỉ tồn tại trong thời gian phiên kết nối hoạt động. Khi phiên kết thúc hoặc hết thời gian chờ, bản ghi sẽ bị xóa.

Nếu router quá yếu hoặc có quá nhiều kết nối cùng lúc, bảng NAT có thể bị quá tải. Khi đó mạng có thể chậm, rớt kết nối hoặc một số ứng dụng hoạt động không ổn định.

NAT có thay thế firewall không?

NAT không thay thế firewall. NAT chủ yếu làm nhiệm vụ dịch địa chỉ. Firewall mới là thành phần kiểm soát luồng truy cập theo chính sách bảo mật.

Nhiều người nghĩ NAT giúp “ẩn” mạng nội bộ nên đã đủ an toàn. Cách hiểu này chưa đúng. NAT có thể làm thiết bị bên ngoài khó chủ động truy cập vào máy nội bộ hơn, nhưng nó không phải cơ chế bảo mật đầy đủ.

Nếu cấu hình port forwarding sai, thiết bị nội bộ vẫn có thể bị mở ra Internet. Vì vậy, NAT nên đi kèm firewall rule, mật khẩu mạnh, cập nhật thiết bị và giới hạn quyền truy cập.

Chức năng của NAT trong mạng

NAT có nhiều chức năng thực tế trong mạng gia đình và doanh nghiệp. Quan trọng nhất là chia sẻ IP public, che địa chỉ IP nội bộ và hỗ trợ public dịch vụ khi cần.

Giúp nhiều thiết bị dùng chung một IP public

Chức năng phổ biến nhất của NAT là giúp nhiều thiết bị nội bộ dùng chung một IP public. Đây là lý do một gia đình có nhiều điện thoại, laptop, TV và camera vẫn có thể truy cập Internet qua một đường truyền.

Trong doanh nghiệp, hàng trăm thiết bị cũng có thể đi Internet qua một hoặc vài IP public. Điều này giúp tiết kiệm địa chỉ IPv4, nhất là khi IPv4 public ngày càng hạn chế.

PAT là dạng NAT thường dùng nhất cho mục đích này. Cisco mô tả PAT hay NAT Overload là cơ chế cho phép nhiều địa chỉ nội bộ dùng chung một địa chỉ bên ngoài bằng cách phân biệt qua port.

Vì vậy, khi nói NAT trong modem gia đình, đa số trường hợp thực tế là PAT.

Che giấu địa chỉ IP nội bộ

NAT cũng giúp che địa chỉ IP private khỏi mạng bên ngoài. Website hoặc dịch vụ Internet thường chỉ thấy IP public của router, không thấy trực tiếp IP nội bộ như 192.168.1.10.

Điều này giúp mạng nội bộ gọn hơn khi giao tiếp ra ngoài. Người quản trị không cần cấp IP public riêng cho từng thiết bị.

Tuy nhiên, cần nhấn mạnh rằng đây không phải ẩn danh tuyệt đối. Website vẫn có thể nhận diện người dùng qua tài khoản, cookie, trình duyệt hoặc hành vi truy cập.

NAT chỉ che địa chỉ IP nội bộ ở mức mạng. Nó không thay thế VPN, firewall, IDS/IPS hoặc các giải pháp bảo mật khác.

Hỗ trợ publish dịch vụ nội bộ ra Internet

Ngoài chiều đi ra Internet, NAT còn hỗ trợ đưa dịch vụ nội bộ ra ngoài. Ví dụ, doanh nghiệp muốn người dùng truy cập web server, camera, NAS, VPN server hoặc hệ thống nội bộ từ Internet.

Trong trường hợp này, người quản trị thường dùng Destination NAT hoặc port forwarding. Lưu lượng từ Internet đến IP public và một port cụ thể sẽ được chuyển về IP private của server bên trong.

Ví dụ, truy cập IP public qua port 443 có thể được chuyển đến web server nội bộ 192.168.10.20. Đây là cách thường dùng khi publish dịch vụ từ mạng LAN hoặc DMZ.

Tuy nhiên, không nên mở port tùy tiện. Mỗi port mở ra Internet đều có thể trở thành điểm bị dò quét hoặc tấn công.

Các loại NAT cần biết

Có nhiều cách phân loại NAT. Với người dùng và kỹ thuật viên mạng, các loại quan trọng nhất gồm Static NAT, Dynamic NAT, PAT, Source NAT và Destination NAT.

Static NAT

Static NAT là kiểu NAT ánh xạ cố định một địa chỉ IP private với một địa chỉ IP public. IBM mô tả Static NAT là ánh xạ một-một giữa địa chỉ private và địa chỉ public.

Ví dụ, server nội bộ 192.168.10.10 luôn được ánh xạ ra IP public 203.0.113.10. Khi bên ngoài truy cập IP public đó, lưu lượng sẽ được chuyển về server đã định.

Static NAT phù hợp khi một thiết bị nội bộ cần được truy cập ổn định từ bên ngoài. Ví dụ, web server, mail server, VPN gateway hoặc thiết bị cần IP public cố định.

Nhược điểm là Static NAT tiêu tốn nhiều IP public. Nếu có 10 server cần ánh xạ riêng, có thể cần 10 IP public tương ứng.

Dynamic NAT

Dynamic NAT dùng một nhóm IP public để dịch cho các thiết bị nội bộ. Khi thiết bị bên trong cần đi ra ngoài, nó sẽ được gán tạm một IP public còn trống trong pool.

Khác với Static NAT, ánh xạ của Dynamic NAT không cố định mãi. Khi phiên kết nối kết thúc, IP public có thể được trả lại pool để thiết bị khác sử dụng.

Dynamic NAT phù hợp khi có nhiều thiết bị nội bộ nhưng không phải tất cả đều cần ra Internet cùng lúc. Tuy nhiên, số thiết bị truy cập đồng thời vẫn bị giới hạn bởi số IP public trong pool.

Trong thực tế, Dynamic NAT ít phổ biến hơn PAT trong mạng gia đình. Lý do là PAT tiết kiệm IP public hơn nhiều.

PAT hoặc NAT Overload

PAT là viết tắt của Port Address Translation. Nó còn được gọi là NAT Overload. Đây là loại NAT rất phổ biến trong modem, router và firewall.

PAT cho phép nhiều thiết bị nội bộ dùng chung một IP public. Thiết bị NAT phân biệt từng phiên bằng port. Ví dụ, laptop, điện thoại và camera cùng đi Internet qua một IP public, nhưng mỗi phiên có port khác nhau.

Fortinet cũng liệt kê PAT là một trong ba loại NAT chính, bên cạnh Static NAT và Dynamic NAT.

PAT là lý do mạng gia đình có thể dùng một IP public cho nhiều thiết bị cùng lúc. Đây cũng là cấu hình thường gặp trên router doanh nghiệp khi cho LAN truy cập Internet.

Source NAT và Destination NAT

Source NAT, thường gọi là SNAT, là NAT thay đổi địa chỉ nguồn của gói tin. Trường hợp phổ biến là máy trong LAN đi Internet. Firewall thay IP nguồn private thành IP public.

Palo Alto mô tả Source NAT gồm các kiểu dịch IP nguồn như dynamic IP và các cơ chế dịch theo phiên.

Destination NAT, thường gọi là DNAT, là NAT thay đổi địa chỉ đích của gói tin. Trường hợp phổ biến là port forwarding từ Internet vào server nội bộ hoặc DMZ.

Ví dụ, người dùng ngoài truy cập IP public của doanh nghiệp. Firewall dùng DNAT để chuyển lưu lượng đó về web server nội bộ. Palo Alto cũng có tài liệu riêng cho Destination NAT trong cấu hình NAT policy.

Có thể hiểu ngắn gọn: SNAT thường dùng cho chiều đi ra ngoài. DNAT thường dùng cho chiều từ ngoài vào trong.

Kết luận

NAT là gì có thể hiểu là cơ chế dịch địa chỉ mạng giữa IP private và IP public. NAT giúp nhiều thiết bị dùng chung một IP public, che địa chỉ IP nội bộ và hỗ trợ publish dịch vụ khi cần. Các loại NAT quan trọng gồm Static NAT, Dynamic NAT, PAT, Source NAT và Destination NAT. Khi cấu hình NAT, cần mở đúng port, đúng dịch vụ và đi kèm firewall rule chặt chẽ.