1:1 NAT

Navigation: Konfiguration > Netzwerk > 1:1 NAT

Die Seite 1:1 NAT konfiguriert die bidirektionale Netzwerk-Adressübersetzung zwischen einem öffentlichen (virtuellen) Subnetz und einem privaten (realen) Subnetz je Schnittstelle. Im Gegensatz zu Standard-NAT (Masquerading), bei dem viele interne Adressen auf eine einzige externe Adresse abgebildet werden, führt 1:1 NAT eine Eins-zu-eins-Zuordnung des gesamten Subnetzes durch: Der Netzwerk-Präfix wird ersetzt, während der Host-Anteil jeder Adresse erhalten bleibt. Dies ist besonders nützlich, wenn mehrere LAN-Segmente identische IP-Adressbereiche verwenden — etwa wenn im erweiterten IP-Router-Modus mehrere identische Maschinen an verschiedenen LAN-Ports angeschlossen sind. Jedes Segment kann seine ursprüngliche Adressierung beibehalten und ist dennoch über sein zugewiesenes öffentliches Subnetz eindeutig erreichbar. Das öffentliche Subnetz und die Schnittstellen-IP-Adresse werden auf der Seite IP-Konfiguration festgelegt; diese Seite steuert ausschließlich die Zuordnung privat-zu-öffentlich sowie den Aktivierungszustand je Schnittstelle.

1:1 NAT

Voraussetzungen

Das Gerät muss im IP-Router-Modus betrieben werden. 1:1 NAT ist im Transparent-Bridge-Modus nicht verfügbar. Den Betriebsmodus konfigurieren Sie auf der Seite IP-Konfiguration.
Die öffentliche IP-Adresse und Subnetzmaske jeder Schnittstelle müssen auf der Seite IP-Konfiguration konfiguriert sein, bevor 1:1 NAT aktiviert wird.
Die privaten Subnetze dürfen nicht mit den öffentlichen Subnetzen einer Schnittstelle kollidieren. Zwar dürfen mehrere private Subnetze identische Adressbereiche verwenden, müssen aber jeweils auf ein eindeutiges öffentliches Subnetz abgebildet werden.
Bei Verwendung von 1:1 NAT-übersetzten Adressen in Paketfilter-Regeln oder Weiterleitungs-Regeln sind die öffentlichen (virtuellen) Adressen zu verwenden, da die Übersetzung vor der Filterung erfolgt.

Einstellungen

Die Seite ist in schnittstellenspezifische Abschnitte unterteilt. Jeder Abschnitt bietet dieselben Felder für die jeweilige Schnittstelle. Je nach Gerätemodell und Konfiguration stehen die Abschnitte WAN, LAN und BLX-VPN (Big-LinX VPN) zur Verfügung.

WAN

Aktiviere 1:1 NAT: Aktiviert 1:1 NAT auf der WAN-Schnittstelle. Bei Aktivierung wird der Datenverkehr über diese Schnittstelle zwischen dem öffentlichen Subnetz und dem privaten Subnetz übersetzt. Geräte auf der WAN-Seite können so über das öffentliche Subnetz adressiert werden und behalten gleichzeitig ihre reale private IP-Konfiguration bei.
Öffentliche IP-Adresse/Subnetzmaske: Zeigt die öffentliche IP-Adresse und Subnetzmaske der Schnittstelle an, wie auf der Seite IP-Konfiguration definiert. Wird DHCP auf dieser Schnittstelle verwendet, muss hier ein Netz definiert werden, in welches die via DHCP zugewiesene Adresse abgebildet wird.
Private IP-Adresse/Subnetzmaske: Das private (reale) Subnetz an dieser Schnittstelle, angegeben als Geräte-IP-Adresse mit Subnetzmaske in CIDR-Notation (z. B. 192.168.0.10/24). Das bedeutet, dass das Gerät selbst unter 192.168.0.10 aus dem privaten Subnetz 192.168.0.0/24 erreichbar ist. Bei Verwendung von DHCP wird dieser Wert automatisch aus dem DHCP-Lease abgeleitet.

LAN

Aktiviere 1:1 NAT: Aktiviert 1:1 NAT auf der LAN-Schnittstelle. Bei Aktivierung wird der Datenverkehr über diese Schnittstelle zwischen dem öffentlichen Subnetz und dem nachfolgend definierten privaten Subnetz übersetzt.
Öffentliche IP-Adresse/Subnetzmaske: Zeigt die öffentliche IP-Adresse und Subnetzmaske der Schnittstelle an, wie auf der Seite IP-Konfiguration definiert. Wird DHCP auf dieser Schnittstelle verwendet, muss hier ein Netz definiert werden, in welches die via DHCP zugewiesene Adresse abgebildet wird.
Private IP-Adresse/Subnetzmaske: Das private (reale) Subnetz an dieser Schnittstelle, angegeben als Geräte-IP-Adresse mit Subnetzmaske in CIDR-Notation (z. B. 192.168.0.10/24). Das bedeutet, dass das Gerät selbst unter 192.168.0.10 aus dem privaten Subnetz 192.168.0.0/24 erreichbar ist.

BLX-VPN

Aktiviere 1:1 NAT: Aktiviert 1:1 NAT auf der Big-LinX-VPN-Schnittstelle. Bei Aktivierung wird der über den Big-LinX-VPN-Tunnel eingehende Datenverkehr zwischen dem öffentlichen Subnetz und dem privaten Subnetz übersetzt. Dies ist nützlich, wenn bei der Fernwartung virtuelle Adressen anstelle der realen privaten Adressen der angeschlossenen Maschinen verwendet werden sollen.
Öffentliche IP-Adresse/Subnetzmaske: Zeigt die öffentliche IP-Adresse und Subnetzmaske der Schnittstelle an, wie auf der Seite IP-Konfiguration definiert. Wird DHCP auf dieser Schnittstelle verwendet, muss hier ein Netz definiert werden, in welches die via DHCP zugewiesene Adresse abgebildet wird.
Private IP-Adresse/Subnetzmaske: Das private (reale) Subnetz an dieser Schnittstelle, angegeben als Geräte-IP-Adresse mit Subnetzmaske in CIDR-Notation (z. B. 192.168.0.10/24). Das bedeutet, dass das Gerät selbst unter 192.168.0.10 aus dem privaten Subnetz 192.168.0.0/24 erreichbar ist. Bei Verwendung von DHCP wird dieser Wert automatisch aus dem DHCP-Lease abgeleitet.

ACHTUNG

Die privaten Subnetze dürfen zwar über verschiedene Schnittstellen hinweg identische Adressbereiche verwenden, sie dürfen jedoch nicht mit den öffentlichen Subnetzen kollidieren. Überschneidet sich ein privates Subnetz mit einem öffentlichen Subnetz, kann die Adressübersetzung nicht korrekt funktionieren und die Netzwerkkonnektivität kann gestört werden. Haben das öffentliche und das private Subnetz unterschiedliche Größen, verwendet das Gerät das kleinere Subnetz für den Zuordnungsbereich.

Sicherheit

Bei Verwendung von 1:1 NAT für die Fernwartung über Big-LinX greifen entfernte Benutzer über virtuelle öffentliche Adressen auf Maschinen zu, nicht über deren reale private Adressen. Überprüfen Sie die Paketfilter-Regeln, um sicherzustellen, dass diese die korrekten öffentlichen (virtuellen) Adressen referenzieren, da die NAT-Übersetzung vor der Paketfilterung erfolgt. Beschränken Sie die übersetzten Adressbereiche auf den minimal erforderlichen Umfang, um die Angriffsfläche gemäß den Netzwerksegmentierungsprinzipien der IEC 62443 zu begrenzen.