Warum wird NAT in IPv6 nicht benötigt?

IPv6 bietet einen weitaus größeren Adressraum, sodass jedes Gerät eine global eindeutige Adresse haben kann und die Adressknappheit, die zur Einführung von NAT geführt hat, nicht mehr besteht. Die End-to-End-Adressierung wird wiederhergestellt, und die Sicherheit wird durch Firewall-Richtlinien statt durch das Verbergen von Adressen gewährleistet.

Was trifft in Bezug auf NAT für IPv6 zu?

IPv6 wurde aus Gründen der Adressersparnis so konzipiert, dass es ohne NAT funktioniert, und Hosts verwenden normalerweise global routbare Adressen. Eine Übersetzung gibt es dennoch in begrenzter Form, wie beispielsweise die in RFC 6296 beschriebene Präfixübersetzung und NAT64 zum Erreichen von reinen IPv4-Diensten.

Gibt es NAT bei IPv6?

IPv6 erfordert kein NAT, es gibt jedoch Übersetzungsmechanismen für bestimmte Fälle. Bei der Netzwerkpräfixübersetzung wird ein IPv6-Präfix auf ein anderes abgebildet, und NAT64 in Verbindung mit DNS64 ermöglicht es reinen IPv6-Clients, IPv4-Server zu erreichen.

Ist NAT eine Firewall?

Nein, NAT ist eine Funktion zur Adressumschreibung und keine Sicherheitsmaßnahme. Da es in der Regel unerwünschte eingehende Verbindungen ohne Zuordnung blockiert, kann es den Anschein erwecken, als würde es Schutz bieten, doch erst eine zustandsorientierte Firewall mit expliziten Richtlinien sorgt für Sicherheit.

Was ist der Unterschied zwischen NAT und PAT?

PAT ist eine Form von NAT, bei der viele interne Adressen mithilfe unterschiedlicher Portnummern einer öffentlichen Adresse zugeordnet werden. Beim einfachen Eins-zu-Eins-NAT wird jede interne Adresse einer eigenen öffentlichen Adresse zugeordnet, ohne die Ports zu ändern.

Glossar
Was ist NAT (Network Address Translation)?

Sicherheitsglossar

Was ist NAT (Network Address Translation)?

NAT (Network Address Translation) ist ein Adressierungsverfahren, bei dem ein IP-Adressraum in einen anderen umgewandelt wird, indem die Adressinformationen in den Paket-Headern geändert werden, während der Datenverkehr einen Router oder eine Firewall durchläuft. Dadurch können sich viele Hosts mit privaten Adressen eine kleine Anzahl öffentlicher Adressen teilen, was zur Schonung des IPv4-Adressraums beiträgt.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

Network Address Translation (NAT) is an addressing method that remaps IP address spaces by rewriting packet headers as traffic passes through routers or firewalls, enabling many hosts with private addresses to share a small number of public addresses and conserving scarce IPv4 space. NAT operates by maintaining a translation table that maps internal connections to external addresses and ports, with Port Address Translation (PAT) being the most common form, allowing thousands of internal hosts to share a single public address. While NAT became widespread due to IPv4's limited 4.3 billion addresses and delayed address exhaustion, it introduces operational challenges including state management complexities, loss of source attribution in logging, potential protocol failures for embedded addresses, and security considerations that require stateful firewalls rather than relying on NAT alone.

Port Address Translation (PAT), the most common NAT variant, allows thousands of internal hosts to share one public address through dynamic port allocation and translation table entries that expire when connections close or exceed idle timeouts.
NAT is not a security control by itself; while it blocks unsolicited inbound connections as a side effect of lacking mapped entries, actual security policy enforcement requires a stateful firewall separate from address translation.
IPv6 eliminates the need for NAT through its vastly larger 128-bit address space that allows every device a globally unique address, though specialized translation mechanisms like NAT64 still exist for IPv6-only clients reaching IPv4-only services.

NAT auf einen Blick

Attribute	Value
Full name	Network address translation
Category	Addressing method
Defined in	RFC 3022 (traditional IP network address translator) and RFC 2663 (terminology)
OSI layer	Layer 3, with port translation touching layer 4
Primary use	Letting hosts with private IPv4 addresses reach external networks through shared public addresses
Related terms	IPv4, IPv6, Private IP address, Firewall, IP address management, DHCP

So funktioniert NAT

Ein NAT-Gerät befindet sich zwischen zwei Adressbereichen, in der Regel einem privaten internen Netzwerk und dem öffentlichen Internet. Es verwaltet eine Übersetzungstabelle, die interne Verbindungen externen Adressen und Ports zuordnet.

Eingehendes Paket: Ein interner Host sendet ein Paket an ein externes Ziel. Das Paket erreicht das NAT-Gerät mit der privaten Quelladresse und dem Quellport des Hosts.
Übersetzungseintrag erstellt: Das Gerät wählt eine öffentliche Adresse und bei der Port-Adress-Übersetzung einen Quellport aus. Es speichert die Zuordnung zwischen der internen Adresse und dem Port sowie der externen Adresse und dem Port in seiner Übersetzungstabelle.
Header-Umschreibung: Das Gerät ersetzt die Quelladresse und den Port im Paket-Header und berechnet die Prüfsummen neu. Anschließend leitet es das Paket an den Empfänger weiter.
Übersetzte Antwort: Der externe Server antwortet an die öffentliche Adresse und den Port. Das Gerät sucht den Eintrag, stellt das ursprüngliche interne Ziel wieder her und leitet das Paket an den Host weiter.
Eintrag läuft ab: Wenn die Verbindung geschlossen wird oder länger als ein Timeout inaktiv bleibt, entfernt das Gerät den Tabelleneintrag und kann den Port möglicherweise wiederverwenden.

Die Port-Adressübersetzung, auch als NAT-Overload bezeichnet, ist die gängigste Form und ermöglicht es Tausenden von internen Hosts, sich eine öffentliche Adresse zu teilen. Statisches NAT ordnet eine interne Adresse einer externen Adresse zu, was für den eingehenden Zugriff auf Server geeignet ist. Unaufgeforderter eingehender Datenverkehr hat keinen Tabelleneintrag und wird daher verworfen, sofern keine statische Zuordnung oder Portweiterleitung vorliegt. Einige Protokolle betten Adressen in ihre Nutzdaten ein und benötigen einen Helfer auf Anwendungsebene, um durch NAT hindurch zu funktionieren.

Warum NAT in Unternehmensnetzwerken wichtig ist

NAT hat sich weit verbreitet, da IPv4 nur etwa 4,3 Milliarden Adressen bietet – weit weniger als die Anzahl der angeschlossenen Geräte. Die gemeinsame Nutzung einer öffentlichen Adresse durch viele Hosts verzögerte die Erschöpfung des Adressraums und ermöglichte es Unternehmen, ihre internen Netzwerke mit den in RFC 1918 reservierten privaten Adressbereichen zu nummerieren. Der Preis dafür ist der Status: Jede aktive Verbindung belegt einen Tabelleneintrag, sodass stark ausgelastete Geräte Ports oder Speicherplatz erschöpfen und neue Sitzungen abweisen können.

Aus betrieblicher Sicht verbirgt NAT die tatsächliche Quelle des Datenverkehrs. Protokolle am Netzwerkrand des Internets zeigen nur die übersetzte Adresse an, sodass die Rückverfolgung eines Vorfalls zu einem internen Host Übersetzungsprotokolle mit genauen Zeitstempeln erfordert. Sich überschneidende private Adressbereiche nach einer Fusion erzwingen oft eine Übersetzung zwischen Netzwerken, was das Routing, DNS-Antworten und die Fehlerbehebung erschwert. Peer-to-Peer-Anwendungen, VoIP und einige VPN-Konzepte können fehlschlagen oder erfordern Workarounds, wenn NAT im Datenpfad liegt.

NAT ist an sich keine Sicherheitsmaßnahme, obwohl das Fehlen von eingehenden Zuordnungen als Nebeneffekt unerwünschte Verbindungen blockiert. Eine zustandsorientierte Firewall sorgt für die eigentliche Richtlinienumsetzung. IPv6 verfügt über einen 128-Bit-Adressraum, sodass Adressknappheit nicht mehr der Grund für die Übersetzung ist; RFC 4864 beschreibt, wie man die Vorteile, die oft NAT zugeschrieben werden, auch ohne NAT nutzen kann. Eine Adressübersetzung kommt in IPv6 weiterhin in Fällen wie NAT64 vor, das in RFC 6146 definiert ist und ausschließlich IPv6-Clients mit IPv4-Diensten verbindet.

Häufige NAT-Probleme

Eine einzelne öffentliche Adresse verfügt über einen begrenzten Pool an Quellports, sodass ein stark ausgelasteter Client oder Proxy diese alle belegen kann. Neue Verbindungen schlagen dann zeitweise fehl oder stocken, häufig während Spitzenauslastungen, während bestehende Sitzungen weiterhin funktionieren.

Protokolle, die IP-Adressen oder Ports in der Nutzlast transportieren, können fehlschlagen, wenn nur die Header umgeschrieben werden. Einige Sprach-, Video- und Dateiübertragungssitzungen stellen zwar eine Verbindung her, übertragen jedoch keine Medien oder Daten, es sei denn, das NAT-Gerät verfügt über einen Helfer auf Anwendungsebene oder die Endpunkte nutzen Traversal-Techniken.

In Protokollen, die ins Internet gerichtet sind, wird nur die übersetzte Adresse angezeigt, sodass viele Nutzer als ein einziger erscheinen. Ermittler können ein Ereignis nur dann auf einen Host zurückverfolgen, wenn Übersetzungsprotokolle mit Zeitstempeln und Ports geführt und miteinander abgeglichen werden.

Interne Clients, die einen Server über dessen öffentliche Adresse erreichen, können Fehler melden, wenn das NAT-Gerät den Datenverkehr nicht wieder ins interne Netzwerk zurückleiten kann. Zu den Symptomen gehören Dienste, die vom Internet aus funktionieren, im internen Netzwerk jedoch eine Zeitüberschreitung verursachen. Eine gängige Abhilfe ist Split-Horizon-DNS.

Die Zusammenführung von Netzwerken, die beide denselben privaten Adressbereich nutzen – häufig nach einer Übernahme –, führt zu Routing-Konflikten. Teams fügen Double-NAT oder eine Übersetzung zwischen den Bereichen hinzu, was die Fehlerbehebung und die DNS-Einträge verkompliziert.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Kontaktieren Sie uns

Das intelligente Netzwerk

Was ist NAT (Network Address Translation)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

NAT auf einen Blick

So funktioniert NAT

Warum NAT in Unternehmensnetzwerken wichtig ist

Häufige NAT-Probleme

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

NAT-FAQ

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel