Sichere Netzwerkadressübersetzung (SNAT)

Was ist SNAT (Secure Network Address Translation)?

SNAT (Secure Network Address Translation) ist eine Funktion, die in F5 BIG-IP Local Traffic Management (LTM), einem von F5 bereitgestellten Load Balancer, implementiert ist. SNAT ändert die Quell-IP-Adresse eingehender Pakete und wandelt sie in eine andere IP-Adresse um. BIG-IP LTM umfasst außerdem NAT-Funktionen, die eine Eins-zu-eins-Zuordnung zwischen privaten und globalen IP-Adressen ermöglichen. SNAT ähnelt zwar stark NAT, erweitert dessen Funktionalität jedoch, indem mehrere ursprüngliche Adressen einer einzigen übersetzten Adresse zugeordnet werden können.

SNAT bietet drei Methoden für die Adressübersetzung:

1. Direkte Zuordnung einer oder mehrerer ursprünglicher Adressen zu einer bestimmten übersetzten Adresse.
2. Automatische Auswahl einer der eigenen IP-Adressen von BIG-IP für die Adressübersetzung (SNAT Automap).
3. Verwendung von Regeln, die speziell in iRules definiert wurden (Intelligent SNAT).

Ein häufiger Anwendungsfall für SNAT besteht darin, die private Quell-IP-Adresse ausgehender Anfragen von Servern im internen Netzwerk in eine globale IP-Adresse umzuwandeln. Die Hauptfunktion von SNAT liegt jedoch in der Adressübersetzung bei eingehenden Anfragen externer Clients.

In der Regel empfängt BIG-IP LTM Pakete von externen Clients, wendet vorkonfigurierte Regeln an, um die globale Ziel-IP-Adresse in eine interne private IP-Adresse zu übersetzen, und leitet die Pakete an den Server weiter. Serverantworten werden üblicherweise über BIG-IP LTM zurückgeleitet. Dort wird die private Quell-IP-Adresse des Servers wieder in eine globale IP-Adresse übersetzt, bevor die Antwort an den Client gesendet wird.

Bestimmte Netzwerkkonfigurationen unterbrechen jedoch diesen Pfad. Zum Beispiel:

• Bei One-Arm-Konfigurationen, bei denen sich Client, BIG-IP und Server im selben Netzwerk befinden, umgeht die Serverantwort BIG-IP und wird direkt an den Client gesendet. Daher weist der Client die Antwort zurück, weil die Quell-IP-Adresse des Servers nicht mit der IP-Adresse übereinstimmt, die der Client ursprünglich angefordert hat.
• Selbst in komplexeren Konfigurationen, in denen BIG-IP die Client- und Serversegmente voneinander trennt, können Probleme auftreten, wenn ein zwischengeschalteter Router anstelle von BIG-IP als Standard-Gateway fungiert, was zu ähnlichen Routing-Problemen führt.

SNAT behebt diese Probleme, indem sichergestellt wird, dass Serverantworten immer über BIG-IP geleitet werden. Dazu wird die Quelladresse eingehender Pakete in die eigene IP-Adresse von BIG-IP übersetzt, bevor sie an den Server weitergeleitet werden. So ist gewährleistet, dass die Antworten über BIG-IP zurückgesendet werden.