Network address translator traversal (NAT-T, česky průchod skrze NAT) je v počítačových sítích způsob navázání a správy spojení pomocí IP protokolu přes síťové prvky, které provádějí NAT (překlad síťových adres). Za standardních okolností totiž není možné navázat spojení s počítačem, který je umístěn za dynamickým NAT (tzv. „maškaráda“). Možnost průchodu skrze NAT (bez spolupráce správce NAT zařízení) je výhodná pro mnoho síťových aplikací, jako například peer-to-peer sdílení nebo VoIP,[1] protože vyžaduje spolupráci třetí strany (s veřejnou IP adresou) pouze při vzniku spojení.
Zařízení NAT narušují end-to-end konektivitu, se kterou počítal původní návrh Internetu. NAT se začalo používat kvůli Vyčerpání IPv4 adres, resp. pro zmírnění následků nedostatku IPv4 adres. NAT umožňuje používat privátní IP adresu v soukromých sítích, které jsou umístěny za směrovači a pro komunikaci se zbytkem Internetu využívat byť jedinou veřejnou IP adresu. Zařízení ve vnitřní síti komunikují se zařízeními ve vnější síti pomocí změny zdrojové IP adresy (a portu) v odchozích IP datagramech, které procházejí skrze zařízení provádějící NAT. Při obdržení odpovědi přepíše zařízení provádějící NAT zpět původní privátní IP adresu a port tak, aby byla odpověď doručena původnímu zařízení.
Překlad síťových adres je nevhodný pro umisťování serverů do vnitřní sítě, protože zařízení provádějící NAT nemá bez vnější pomoci možnost, jak určit, pro jaké zařízení ve vnitřní síti jsou přicházející datagramy určeny. Tento problém nevzniká při přístupu z vnitřního počítače k webovým stránkám a e-mailovým službám umístěných ve veřejném Internetu. Ale peer-to-peer sdílení souborů, VoIP služby a herní konzole vyžadují, aby klienti byli dosažitelní z Internetu podobně jako veřejné servery. Příchozí datagramy nemohou být jednoduše předány správnému vnitřnímu zařízení. Kromě toho mnoho podobných služeb přenáší informace o IP adrese a čísle portu uvnitř datagramů, což potenciálně vyžaduje nasazení technologií deep packet inspection.
Technologie překladu síťových adres nejsou standardizovány. Tím pádem jsou metody, využívané pro průchod NAT branou často proprietární a špatně zdokumentované. Mnoho technik průchodu vyžaduje asistenci od serverů umístěných vně maškarádované sítě. Některé metody využívá server pouze při navazování připojení. Jiné metody jsou založeny na přeposílání všech dat skrze takový veřejný server, což eskaluje požadavky na šířku pásma (tj. kvalitní konektivitu veřejně umístěného serveru), zvyšuje latenci (zpoždění), a jsou tak nevhodné pro hlasovou a obrazovou komunikaci v reálném čase.
Techniky průchodu NAT branou obvykle obchází zabezpečení používané v příslušné síti. Podnikoví bezpečností experti upřednostňují techniky, které výslovně spolupracují s NAT branou a firewally povolujících průchod NAT branou, a tím umožňují kontrolu a vynucování bezpečnostních politik v NAT bráně. Mezi IETF standardy, které používají takový bezpečnostním model, jsou Realm-Specific IP (RSIP) a middlebox komunikace (MIDCOM).
Dostupné techniky průchodu branou NAT jsou následující:
Nedávný růst počtu symetrických bran NAT snížil míru úspěšných průchodů branou NAT v mnoha praktických situacích, jako např. mobilní a veřejné WiFi připojení. Techniky Hole punching, jako STUN and ICE, nedokáží procházet symetrickou branou NAT bez pomoci přeposílajícího serveru, jak je ukázáno v TURN. Techniky, které procházejí symetrickou branou NAT pomocí pokusů předpovědět následující port, který bude otevřen zařízením NAT, byly objeveny v roce 2003 Yutakou Takedou v Panasonic Communications Research Laboratory[4] a v roce 2008 výzkumníky z Waseda University.[5] Techniky předpovědi portu jsou efektivní pouze se zařízením NAT, které používá známé deterministické algoritmy pro výběr portu. Toto předvídatelné, ale ne statické, schéma pro alokaci portu je neobvyklé ve velkých branách NAT, které jsou použité např. v 4G LTE sítích, a proto je předpověď portu v těchto mobilních širokopásmových sítích velmi neefektivní.
Klienti IPsec VPN používají průchod branou NAT k umožnění Encapsulating Security Payload paketů projít branou NAT. IPsec používá ke svému provozu několik protokolů, které musí být povoleny, aby bylo možné projít firewally a překladači sítových adres (NAT):
Mnoho směrovačů poskytuje rozšíření často nazývané IPsec Passthrough.
V systému Windows XP je ve výchozím stavu průchod NAT branou povolen, ale v systému Windows XP s balíčkem Service Pack 2 je tato funkce ve výchozím nastavení vypnuta pro případ, kdy je VPN server také za zařízením NAT, kvůli vzácné a kontroverzní bezpečnostní chybě.[6] Záplaty pro IPsec NAT-T jsou dostupné také pro systémy Windows 2000, Windows NT 4.0 a Windows 98.
Průchod NAT branou pro IPsec může být použit k umožnění oportunistického šifrování mezi systémy. Průchod NAT branou umožňuje systémům za NAT branou na požádání přijímat a navazovat bezpečné spojení.
Hosted NAT traversal (HNT) je množina mechanismů používaná zprostředkovateli, které obsahují prostředky pro přeposílání a blokování.[zdroj?] IETF radí nepoužívat metodu blokování přes Internet a doporučuje ICE kvůli bezpečnostním důvodům.[7]
V tomto článku byl použit překlad textu z článku NAT traversal na anglické Wikipedii.