Carrier-grade NAT (CGN або CGNAT), також відомий як NAT провайдерського рівня (LSN), — це різновид трансляції мережевих адрес (NAT), провайдерського рівня, що застосовується інтернет-провайдерами (ISP) при проєктуванні IPv4 мереж. При використані CGNAT кінцеві вузли, зокрема домашні мережі, налаштовуються з приватними мережевими адресами, які транслюються на публічні адреси IPv4 проміжними трансляторами мережевих адрес, вбудованих у мережу провайдера. Це дозволяє розподіляти невеликі пули публічних адрес між великою кількістю кінцевих користувачів. По суті, така схема повторює традиційну функцію NAT на стороні клієнтського обладнання, але вже на рівні провайдера.
CGNAT часто застосовується для пом'якшення проблеми вичерпання адрес IPv4.
Один зі сценаріїв використання CGN отримав назву NAT444, оскільки з'єднання клієнтів з інтернет-сервісами у такому разі проходить через три різні домени IPv4-адресації: приватну мережу клієнта, приватну мережу провайдера та публічний інтернет.
Інший сценарій CGN — Dual-Stack Lite, де мережа провайдера використовує IPv6, а отже потрібно лише два домени IPv4-адресації.
Технології CGNAT вперше були застосовані у 2000 році для задоволення нагальної потреби у великій кількості IPv4-адрес під час розгортання мобільних мереж на базі GPRS. За оцінками, кількість розгортань CGNAT зросла з 1 200 у 2014 році до 3 400 у 2016 році, причому 28,85% досліджених випадків припадало на мережі мобільних операторів.
Спільний адресний простір
Якщо провайдер розгортає CGN і використовує адресний простір для нумерації клієнтських шлюзів, виникає ризик колізії адрес і, як наслідок, збоїв маршрутизації — у випадках, коли клієнтська мережа вже використовує адресний простір .
Це спонукало деяких провайдерів розробити в рамках ARIN політику виділення нового приватного адресного простору для CGN. Однак ARIN передала це питання на розгляд IETF, зазначивши, що йдеться не про типове розподілення адрес, а про резервування адрес для технічних потреб (згідно з RFC 2860).
IETF опублікувала , де описано спільний адресний простір для використання в CGN-розгортаннях провайдерів, що підтримує однакові мережеві префікси на вхідному та вихідному інтерфейсах одночасно. ARIN повернула відповідний адресний простір до IANA для цього розподілення. Виділений адресний блок — 100.64.0.0/10, тобто IP-адреси від 100.64.0.0 до 100.127.255.255.
Пристрої, що визначають публічність IPv4-адреси, потребують оновлення для розпізнавання нового адресного простору. Виділення додаткового приватного адресного простору для NAT-пристроїв може відтермінувати необхідність переходу на IPv6.
Переваги Максимально ефективне використання обмеженого публічного адресного простору IPv4.
Недоліки
Критики CGNAT наводять такі аргументи: Як і будь-яка форма NAT, порушує принцип наскрізної передачі. – Assessing the Impact of Carrier-Grade NAT on Network Applications Має суттєві проблеми з безпекою та надійністю через те, що є зі збереженням стану. Не вирішує проблему вичерпання адрес IPv4, коли потрібна публічна IP-адреса — наприклад, для веб-хостингу. Може створювати вузьке місце у продуктивності, що обмежує масштабованість. Як правило, унеможливлює перенаправлення портів для клієнтів провайдера, оскільки NAT реалізується шляхом відображення портів мережевих пристроїв на інші порти зовнішнього інтерфейсу. Це потрібно для того, щоб маршрутизатор міг відповідно спрямовувати відповіді до потрібного пристрою. У мережах з CGNAT, навіть якщо маршрутизатор на боці клієнта налаштований на перенаправлення портів, «головний маршрутизатор» провайдера, що виконує функції CGN, блокуватиме його, оскільки фактичний порт не збігатиметься з тим, що налаштував клієнт. Для вирішення цієї проблеми було стандартизовано протокол керування портами (PCP) у RFC 6887, однак його впровадження провайдерами відбувається повільно. У разі блокування трафіку за IP-адресами система може заблокувати трафік спамера, заборонивши його IP-адресу. Якщо цей користувач перебуває за CGNAT, інші користувачі, що використовують ту саму публічну адресу, також будуть заблоковані — без жодної провини з їхнього боку. Це може ускладнити роботу адміністраторів форумів і вікі, які намагаються протидіяти порушенням з боку одного зловмисника, що ділить IP-адресу з добросовісними користувачами. Сервіси потокового мультимедіа можуть розцінювати активність через CG-NAT як використання VPN або спільного доступу до облікового запису. Такі сервіси нерідко блокують користувачів VPN за порушення умов обслуговування, підозрюючи їх у спробі отримати доступ до контенту з дешевшого регіону, а спільний доступ до облікового запису блокується, щоб унеможливити перегляд контенту кількома домогосподарствами за ціною одного входу. CG-NAT заважає роботі низки механізмів переходу на IPv6. Розгортання CG-NAT відволікає управлінські та технічні ресурси, які доцільніше було б спрямувати на підтримку та розвиток переходу на IPv6.
Див. також
Mapping of Address and Port NAT64 DNS64 464XLAT
Примітки
Зовнішні посилання : Common Requirements for Carrier-Grade NATs (CGNs) A Multi-perspective Analysis of Carrier-Grade NAT Deployment (травень 2016) CGN :: Observations & Recommendations (квітень 2012) Understanding Carrier Grade NAT (вересень 2009)