NAT fornisce sicurezza?

Sto seguendo le discussioni sulla transizione IPv4-> IPv6 e IPv6 non sembra affatto amare il NAT.

Ho sempre pensato che NAT fosse utile in v4 per un po 'di sicurezza, so che non nasconde davvero i computer ma li rende più difficili da raggiungere, certamente rende facile limitare l'accesso alle porte sui computer dietro il NAT gateway.

La tesi di IPv6 è che non fornisce sicurezza, che invece dovrebbero essere utilizzati firewall e router gateway reali. Non mi piace l'idea che tutta la mia rete domestica sia esposta su Internet.

Quindi, è una cosa buona o cattiva?

NAT consente un certo tipo di sicurezza, in quanto le persone al di fuori della rete non possono avviare connessioni all'interno della rete. Ciò riduce i worm e altre classi di malware. Questo aiuta alcuni.

Cose che non aiutano:

• Altro malware dall'esterno. Virus, guidati da browser hijack, trojan.
• Qualsiasi attacco dall'interno. Se un computer viene compromesso internamente, ha libero accesso agli altri computer.

E ' non è un firewall.

• I firewall possono bloccare il traffico in entrambe le direzioni. Questo può aiutare a bloccare la connessione di malware per controllare i computer o scaricare nuovo codice. Ma questo deve essere configurato.
• I firewall possono essere configurati per registrare ciò che bloccano, NAT non blocca nulla, nulla da registrare.
• I firewall possono bloccare specifici indirizzi IP dall'attacco alla rete. NAT è praticamente tutto (si configura il port forwarding su un server nella propria rete interna) o niente.
• Un buon firewall può valutare il limite, mitigando alcuni attacchi DOS. NAT, ancora tutto o niente.
• Probabilmente altre cose interessanti, dal momento che non tengo il passo con le funzioni interessanti del firewall da un po 'di tempo.

Quindi, hai ancora bisogno di firewall su tutti i computer interni, perché se qualcosa è compromesso, può assumere qualsiasi altra cosa nella tua rete. Ricorda che termini come worm, virus, trojan non significano più molto. Qualsiasi malware può scaricare un grosso carico utile e quindi utilizzare più vettori di attacco all'interno della rete. Gli exploit zero day di IE possono compromettere un computer sulla tua rete e distruggere tutto.

Quindi, il punto è che fornisce un sottoinsieme di sicurezza in una direzione specifica, ma non significa che puoi essere meno sicuro di qualsiasi altra cosa. Devi ancora fare le migliori pratiche su tutto il resto, quindi la maggior parte delle persone afferma che non fornisce alcuna sicurezza, il che è fonte di confusione perché ne fornisce alcune.

In primo luogo, NAT è una soluzione per il problema della carenza di IPv4. Come vantaggio secondario limita l'accesso alle macchine interne che fornisce una funzione simile a un firewall.

Tutti i router NAT che ho usato (solo per uso domestico) hanno anche un firewall incorporato. Se decidi di non NAT hai ancora bisogno di un firewall perché tutte le tue macchine interne sono esposte senza uno.

NAT non è una funzione di sicurezza.

Per dimostrarlo a te stesso, visualizza un router NAT senza firewall. Ogni porta esterna utilizzata da una macchina interna viene semplicemente lasciata aperta.

Una configurazione NAT come questa non fornirebbe alcuna sicurezza perché chiunque all'esterno potesse semplicemente connettersi alle porte interne attraverso l'ultima porta esterna che hai usato.

È un dato di fatto, UDP è già implementato in questo modo perché non c'è alcuna connessione per il gateway NAT da tracciare. Ok, ho mentito un po 'perché l'UDP è limitato alla ricezione dall'ultimo IP a cui è stato inviato. Ma per spaventare tutti, quando NAT era nuovo, alcuni venditori non riuscivano a farlo bene e le porte UDP erano aperte al mondo.

Quindi ciò che fornisce la sicurezza effettiva in un gateway NAT non è il NAT ma è il firewall stateful .

I commenti che affermano che mi sbaglio continuano a confondere il firewall con l'operazione NAT. Ovviamente non hanno mai giocato con un router più vecchio (1998) che semplicemente assegnava il mapping delle porte basato su un trigger di pacchetto. Questi router non avevano alcun tracciamento dello stato e nessun firewall, eppure stavano implementando NAT. Senza sicurezza. Qual è il mio punto.

Questo argomento è davvero interessante - grazie per averlo chiesto a Neth.

Ecco il mio pensiero: NAT essendo una funzionalità di sicurezza è davvero un vantaggio tangenziale. Lo scopo principale è quello di condividere un singolo IP su più sistemi. Ci sono situazioni come quando acquisti Internet Comcast più economico, ti danno solo un singolo indirizzo IP statico. Ciò significa che per avere più sistemi online contemporaneamente, il tuo router deve gestirli tramite NAT.

Apprezzo il timore per la sicurezza, ma tutti quelli sopra hanno ragione: la sicurezza si basa sul firewall, non sulla configurazione NAT.

Ci sono opzioni interessanti / interessanti da esaminare se la sicurezza è la tua passione.

1) Esegui prima le basi: controlla le impostazioni del firewall per il tuo router. Se non ha nulla di utile, cercalo su Google e vedi se riesci a lampeggiarlo con DD-WRT (open source e un sistema operativo router non funzionante $$).

2) Estrarre il tuo indirizzo IP attraverso (a) Eseguire qualsiasi cosa privata all'interno di una macchina virtuale sul tuo sistema (b) utilizzando un server proxy o un servizio come il componente aggiuntivo Cocoon per FF (c) Installazione di Tor.

Questo tipo di pensiero può andare avanti per un po ', quindi per ora lo lascerò qui. Godspeed nel proteggerti online.

Questo è praticamente soggettivo;)

I miei due centesimi: Sì, NAT aumenta la sicurezza in quanto agisce come un firewall parziale che viene "gratuitamente". Ma stai già facendo il mio punto: questo rende necessario un vero firewall. Ma ciò non significa che debba essere un firewall desktop : molti router IPv4 di materie prime dispongono già di un firewall su NAT.

Riassumendo: se sul router è presente un firewall funzionale e correttamente configurato, i computer su una rete IPv6 senza NAT avranno comunque tutte le porte aperte al mondo di quanto non lo fosse con IPv4 (nessuna) e invece di inoltrare le porte, stai facendo eccezioni firewall.