Изменения

<big>breakNAT</big> -  — ''как "проломить" «проломить» барьер из двух симметричных NAT''

[[wikipedia:Network Address Translation|NAT]] (от англ. ''Network Address Translation'' —  — «преобразование сетевых адресов») —  — механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Также имеет названия IP Masquerading, Network Masquerading и Native Address Translation.

'''===== Дано:''' два хоста host₁ и host₂, подключённые к сети Internet через маршрутизаторы с публичными IP-адресами nat₁ и nat₂, осуществляющие трансляцию сетевых адресов (NAT). Каждому новому исходящему соединению от первого хоста (host₁) сопоставляется некоторый свободный порт известного IP-адреса маршрутизатора (nat₁), аналогично host₂ и nat₂. Присваиваемый номер порта зависит от порта источника, а также порта и IP-адреса назначения, т.е устройства nat₁ и nat₂ осуществляют симметричную трансляцию сетевых адресов ([[wikipedia:Network_address_translation#Different_types_of_NAT|Symmetric NAT]]) типа queued resource allocation или random port allocation <ref name="stun">Обход некоторых типов Symmetric NAT с помощью STUN: <a href="http://www.cs.cornell.edu/projects/stunt/draft-takeda-symmetric-nat-traversal-00.txt"><i>Symmetric NAT Traversal using STUN [draft-00]</i></a> (<a href="draft-taked-symmetric-nat-traversal-00.txt">зеркало</a>) (автор - Y.Takeda);</ref> (выбор порта из очереди свободных или выбор произвольного свободного порта).==

'''Задача:''' установить прямое IP соединение между Даны два хоста host₁ и host₂ (без пересылки всех пакетов , подключённые к сети Internet через третий хостмаршрутизаторы с публичными IP-адресами nat₁ и nat₂, осуществляющие трансляцию сетевых адресов (NAT). Каждому новому исходящему соединению от первого хоста (host₁) сопоставляется некоторый свободный порт известного IP-адреса маршрутизатора (nat₁), аналогично host₂ и nat₂. Присваиваемый номер порта зависит от порта источника, а также порта и IP-адреса назначения, т.е устройства nat₁ и nat₂ осуществляют симметричную трансляцию сетевых адресов ([[wikipedia:Network_address_translation#Different_types_of_NAT|Symmetric NAT]]) типа queued resource allocation или random port allocation <ref name="stun">Обход некоторых типов Symmetric NAT с помощью STUN: [http://www.cs.cornell.edu/projects/stunt/draft-takeda-symmetric-nat-traversal-00.txt Symmetric NAT Traversal using STUN [draft-00]] (автор — Y.Takeda);</ref> (выбор порта из очереди свободных или выбор произвольного свободного порта).

'''Решение:''' для некоторых случаев, когда возможно какое-либо "предсказание" стратегий выделения портов трансляторами адресов, описаны решения в <ref name="stun" />, <ref>[[wikipedia:Simple traversal of UDP over NATs]]</ref>, и <ref>[http://www.jdrosen.net/papers/draft-rosenberg-midcom-turn-08.txt Traversal Using Relay NAT (TURN) [draft-08]]</ref>, мы же рассматриваем общий случай - очередь или случайное выделение.==== Задача =====

Установить прямое IP соединение между host₁ и host₂ (без пересылки всех пакетов через третий хост). ===== Решение ===== Для некоторых случаев, когда возможно какое-либо «предсказание» стратегий выделения портов трансляторами адресов, описаны решения в <ref name="stun" />, <ref>[[wikipedia:Simple traversal of UDP over NATs]]</ref> и <ref>[http://www.jdrosen.net/papers/draft-rosenberg-midcom-turn-08.txt Traversal Using Relay NAT (TURN) [draft-08]]</ref>, мы же рассматриваем общий случай — очередь или случайное выделение. Итак, '''во-первых,''' очевидно, что в этом случае без "сторонней помощи" «сторонней помощи» хосты host₁ и host₂ с этой задачей справиться не смогут, т.к: (в рассуждениях (i,j) = (1,2) или (2,1)) # host_i не может открыть соединение с host_j напрямую, т.к из-за трансляции адресов во всех пакетах, направленных в Internet от host_j, поле "источник" «источник» подменяется на адрес nat_j и выбранный устройством nat_j порт, назовём этот порт port_j;

# следовательно, чтобы host_i мог отправить пакет host_j, он должен знать port_j, а чтобы знать port_j, ему должен прийти хотя бы один пакет от host_j (оттранслированного в nat_j:port_j), а чтобы ему этот пакет пришёл, host_j должен знать port_i, а чтобы знать port_i, ему должен прийти хотя бы один пакет от host_i... … круг замкнулся;# то есть '''задача не имеет решения''' -  — без "сторонней помощи" «сторонней помощи» host_i и host_j действительно не могут открыть прямое соединение друг с другом.

Итак, мы показали, что без "сторонней помощи" «сторонней помощи» открыть прямое соединение друг с другом host_i и host_j не могут.

'''Во-вторых,''' с использованием некоторой сторонней помощи задача становится разрешима, пусть и не без труда: установление соединения может отнять более получаса времени. Это всё ещё не подходит для размещения за NAT'ом NAT’ом полноценного сервера, но для задач, предполагающих небольшое количество "долгоживущих" «долгоживущих» соединений (например, одного), это уже вполне допустимо. Примером такой задачи может служить установка VPN-соединения между двумя компьютерами, не имеющими прямого доступа к сети Internet.

Во-первых, мы будем предполагать, что всё время работы алгоритмы каждый хост host_i имеет открытое "управляющее" «управляющее» соединение с host₃ и всё согласование работы алгоритма происходит именно через эти "управляющие" «управляющие» соединения.

Первым шагом к решению задачи будет определение "времени «времени жизни соединения" соединения» на каждом из устройств nat_i.

"«''Время жизни соединения''" » life_i на устройстве nat_i есть максимально возможный интервал времени между двумя последовательными пакетами с хоста host_i на один и тот же IP-адрес и порт, при котором port_i не меняется.

Чтобы определить "время «время жизни соединения" соединения» на устройстве nat_i:# Отправляем с хоста host_i пакеты на заранее выбранный порт третьего хоста host₃ с возрастающими интервалами (1 сек, 2 сек, 3 сек, ...…)# На host₃ при приходе первого пакета сохраняем номер порта источника, при приходе каждого последующего сравниваем сохранённый номер порта с портом, записанным в поле "источник" «источник» пришедшего пакета; если они не равны, значит, интервал превышен - превышен — сохраняем предыдущий интервал как life_i и выходим из цикла.

# С host₂ на nat₁:port₁ начинаем отправлять пакеты с заранее известным содержимым и временными интервалами, равными (life₁-1) секунд (или меньше - меньше — всё зависит от скорости канала между host₂ и nat₁);

# Самая долгая стадия процесса: начинаем отправлять пакеты с временным интервалом (life₁+1) с хоста host₁ на адрес nat₂:port₂, "заставляя" «заставляя» устройство nat₁ снова выбрать порт port₁;

Очевидно, в таком виде алгоритм является алгоритмом сложности O(n), где n - n — число возможных портов для перебора (в наихудшем случае это 65536). Посмотрим, можно ли как-нибудь улучшить этот результат:

# Во-первых, можно делать всё то же самое, используя не один выбранный порт port₁, а k > 1 одновременно, при этом в среднем мы ускорим результат в k раз (сложность снизится до O(n/k)); # Во-вторых, можно определить T - T — среднее количество новых соединений, через которое номер порта повторяется, и сразу после выполнения первого пункта алгоритма отправить m пакетов на разные IP-адреса и порты (где m - m — меньшее T, но сопоставимое с T число, например, T/2 или T*3/4), чтобы быстро "прокрутить" «прокрутить» очередь или датчик случайных чисел на устройстве nat₁, не обращая внимания на результат. В этом случае сложность алгоритма снизится в среднем в T/(T-m) раз.

'''===== Заключение:''' Задача "преодоления" барьера в виде двух симметричных NAT разрешима алгоритмом сложности O(n), и хотя в реальных условиях преодоление такого барьера займёт достаточно долгое время, оно всё же возможно. Реализации алгоритма на данный момент не существует, то есть все рассуждения в статье - чисто теоретические, надеюсь, однако, что из-за этого не менее корректные.</p>=====

Задача «преодоления» барьера в виде двух симметричных NAT разрешима алгоритмом сложности O(n), и хотя в реальных условиях преодоление такого барьера займёт достаточно долгое время, оно всё же возможно. Реализации алгоритма на данный момент не существует, то есть все рассуждения в статье — чисто теоретические, надеюсь, однако, что из-за этого не менее корректные. ===== Ссылки =====

(c) [[Участник:VitaliyFilippov|Виталий Филиппов]] aka vitalif, 2007 г2007 г. [[Категория:Статьи]][[Категория:Разработка]][[Категория:Перенесено с vmx.yourcmc.ru]]