Sichere Netzwerkadressübersetzung (SNAT)

Was ist SNAT (Secure Network Address Translation)?

SNAT (Secure Network Address Translation) ist eine Funktion, die in F5 BIG-IP Local Traffic Management (LTM) implementiert ist, einem von F5 bereitgestellten Load Balancer. SNAT ändert die Quell-IP-Adresse eingehender Pakete und wandelt sie in eine andere IP-Adresse um. BIG-IP LTM umfasst auch NAT-Funktionalität, die eine Eins-zu-eins-Zuordnung zwischen privaten IP-Adressen und globalen IP-Adressen ermöglicht. Obwohl SNAT NAT stark ähnelt, erweitert es die Funktionalität, indem es die Zuordnung mehrerer Originaladressen zu einer einzigen übersetzten Adresse ermöglicht.

SNAT bietet drei Methoden zur Adressübersetzung:

1. Direktes Zuordnen einer oder mehrerer Originaladressen zu einer bestimmten übersetzten Adresse.
2. Automatische Auswahl einer der BIG-IP-eigenen IP-Adressen für die Adressübersetzung (SNAT Automap).
3. Verwenden von speziell in iRules (Intelligent SNAT) definierten Regeln.

Ein häufiger Anwendungsfall für SNAT ist die Änderung der privaten Quell-IP-Adresse ausgehender Anfragen von internen Netzwerkservern in eine globale IP-Adresse. Seine Hauptfunktion besteht jedoch in der Adressübersetzung für eingehende Anfragen von externen Clients.

Normalerweise empfängt BIG-IP LTM Pakete von externen Clients, wendet vorkonfigurierte Regeln an, um die globale Ziel-IP-Adresse in eine interne private IP-Adresse zu übersetzen, und leitet die Pakete an den Server weiter. Serverantworten werden normalerweise über BIG-IP LTM zurückgeleitet, wo die private Quell-IP-Adresse des Servers vor dem Senden an den Client wieder in eine globale IP-Adresse übersetzt wird.

Bestimmte Netzwerkkonfigurationen stören diese Route jedoch. Zum Beispiel:

• In Einarmkonfigurationen, bei denen sich Client, BIG-IP und Server im selben Netzwerk befinden, umgeht die Serverantwort BIG-IP und wird direkt an den Client gesendet. Dies führt dazu, dass der Client die Antwort ablehnt, da die Quell-IP-Adresse des Servers nicht mit der ursprünglich vom Client angeforderten IP-Adresse übereinstimmt.
• Selbst in komplexeren Konfigurationen, in denen BIG-IP die Client- und Serversegmente trennt, können Probleme auftreten, wenn ein Zwischenrouter anstelle von BIG-IP als Standard-Gateway fungiert, was zu ähnlichen Routing-Problemen führt.

SNAT löst diese Probleme, indem es sicherstellt, dass Serverantworten immer über BIG-IP laufen. Dies wird dadurch erreicht, dass die Quelladresse eingehender Pakete in die eigene IP-Adresse von BIG-IP übersetzt wird, bevor sie an den Server weitergeleitet werden. Dadurch wird sichergestellt, dass die Antworten über BIG-IP zurückgegeben werden.