Základy NAT v MikroTik RouterOS

Úvod do NAT

NAT (Network Address Translation) je technologie, která umožňuje překlad IP adres mezi soukromými a veřejnými sítěmi. Používá se k umožnění přístupu zařízení v interní síti na internet, přesměrování provozu nebo skrytí vnitřních IP adres před vnější sítí.

MikroTik RouterOS podporuje NAT pro IPv4, ale nepodporuje NAT64 (překlad mezi IPv4 a IPv6).

Typy NAT v RouterOS

NAT v RouterOS se dělí na dva hlavní typy:

Source NAT (src-nat)
- Používá se k překladu zdrojových IP adres.
- Nejčastější použití je masquerade, kdy router skryje interní IP adresy za svou veřejnou IP.
- Příklad konfigurace masquerade:
  /ip firewall nat add chain=srcnat action=masquerade out-interface=WAN
Destination NAT (dst-nat)
- Používá se k překladu cílových IP adres.
- Nejčastější využití je port forwarding, kdy provoz na určitém portu přesměrujeme na jiný server v síti.
- Příklad přesměrování SSH provozu:
  /ip firewall nat add chain=dstnat action=dst-nat dst-address=203.0.113.1 dst-port=22 to-addresses=192.168.1.10 to-ports=22 protocol=tcp

Rozšířené možnosti NAT

3.1 Masquerade vs. Source NAT

Masquerade je speciální verze src-nat, která se používá, když má router dynamickou veřejnou IP adresu (např. u připojení přes PPPoE, DHCP).
Source NAT (src-nat) je lepší pro statické veřejné IP adresy.

3.2 Hairpin NAT

Používá se, pokud zařízení ve vnitřní síti chce komunikovat s jiným zařízením v síti, ale přes veřejnou IP routeru.

Příklad konfigurace:

/ip firewall nat add chain=srcnat action=masquerade dst-address=192.168.1.10 out-interface=LAN

3.3 CGNAT (Carrier Grade NAT)

Používá se u poskytovatelů internetu, kde více zákazníků sdílí stejnou veřejnou IP.

Konfigurace v MikroTik RouterOS:

/ip firewall nat add chain=src-nat action=srcnat src-address=100.64.0.0/10 to-address=203.0.113.1 out-interface=WAN

3.4 Endpoint-Independent NAT

Tento režim umožňuje, aby NAT pravidla zůstala aktivní pro více připojení bez ohledu na zdrojovou IP.

Příklad nastavení:

/ip firewall nat add action=endpoint-independent-nat chain=srcnat out-interface=WAN protocol=udp

3.5 NAT-PMP a UPnP

NAT-PMP (NAT Port Mapping Protocol) a UPnP (Universal Plug and Play) umožňují dynamickou konfiguraci NAT pravidel aplikacemi.
Aktivace NAT-PMP:
```
/ip nat-pmp set enable=yes
```

Přidání rozhraní:

/ip nat-pmp interfaces add interface=ether1 type=external

Monitorování a diagnostika NAT

Pro kontrolu aktivních NAT pravidel a sledování překladu adres:

Zobrazení aktuálních NAT pravidel
```
/ip firewall nat print
```
Zobrazení aktivních spojení přes NAT
```
/ip firewall connection print
```

Logování NAT operací

/system logging add topics=firewall action=memory

Odebrání starých připojení po změně NAT pravidel
```
/ip firewall connection tracking flush
```

Závěr

Správná konfigurace NAT je klíčová pro efektivní správu sítě. MikroTik RouterOS poskytuje flexibilní možnosti překladu adres včetně:

Masquerade pro dynamické IP adresy,
Dst-NAT pro port forwarding,
Hairpin NAT pro interní komunikaci přes veřejnou IP,
CGNAT pro poskytovatele internetu.

Pravidelná kontrola a testování konfigurace zajišťuje správné fungování NAT pravidel a bezproblémový přístup k síťovým službám.

Veškerá dokumentace k tématu je k nalezení zde: https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT

Základy logování v MikroTik RouterOS Základy QoS v MikroTik RouterOS