La traducción de direcciones de red resuelve el problema de IPv4 limitado mediante la asignación de un IPv4 público. Cuando un nodo dentro de la red desea enviar un paquete a Internet, se genera un puerto especial que actúa como un índice NAT para marcar el nodo.
Para escanear una computadora detrás de un NAT, ¿un atacante puede enumerar puertos con la dirección IP pública del nodo que actúa como un NAT (enrutador) para escanear computadoras en la red interna?
Depende del tipo de NAT
NAT de cono completo, también conocido como NAT uno a uno
Una vez que se asigna una dirección interna (iAddr: iPort) a una dirección externa (eAddr: ePort), todos los paquetes de iAddr: iPort se envían a través de eAddr: ePort. Cualquier host externo puede enviar paquetes a iAddr: iPort enviando paquetes a eAddr: ePort.
(Dirección) - NAT de cono restringido
Una vez que se asigna una dirección interna (iAddr: iPort) a una dirección externa (eAddr: ePort), todos los paquetes de iAddr: iPort se envían a través de eAddr: ePort. Un host externo (hAddr: any) puede enviar paquetes a iAddr: iPort enviando paquetes a eAddr: ePort solo si iAddr: iPort ha enviado previamente un paquete a hAddr: any. "Cualquiera" significa que el número de puerto no importa.
Cono con puerto restringido NAT
Como una dirección NAT de cono restringido, pero la restricción incluye números de puerto. Una vez que una dirección interna (iAddr: iPort) se asigna a una dirección externa (eAddr: ePort), los paquetes de iAddr: iPort se envían a través de eAddr: ePort .Un host externo (hAddr: hPort) puede enviar paquetes a iAddr: iPort enviando paquetes a eAddr: ePort solo si iAddr: iPort ha enviado previamente un paquete a hAddr: hPort.
NAT simétrica
Cada solicitud desde la misma dirección IP interna y el puerto a una dirección IP y puerto de destino específicos se asigna a una única dirección IP externa de origen y puerto; Si el mismo host interno envía un paquete incluso con la misma dirección y puerto de origen pero a un destino diferente, se utiliza una asignación diferente. Solo un host externo que recibe un paquete de un host interno puede devolver un paquete.
Por lo tanto, la implementación de NAT es de alguna manera específica del proveedor y depende de la capacidad del dispositivo,
Según el tipo de NAT que esté analizando, se controlará la actividad de escaneo
NAT en el contexto que usted describe (por ejemplo, una dirección IP interna externa y múltiple) funciona reescribiendo la IP y el puerto de origen de una conexión saliente y agregando un estado para que las respuestas a esta conexión reescrita puedan volver a asignarse para reescribir Destino IP y puerto para paquetes entrantes. Esto significa que cualquier intento de conexión desde el exterior debe coincidir con un estado NAT existente porque, de lo contrario, no se pueden encontrar el IP y el puerto de destino. Esto hace que escanear una computadora detrás de un NAT sea imposible, porque prácticamente no habrá estados de NAT que coincidan con el origen y el destino utilizados en el escaneo desde el exterior.