Network Address Translation (NAT) für IoT erklärt

Die meisten Geräte mit Internetverbindung haben keine eigene öffentliche IP-Adresse. Stattdessen hängen diese Geräte in einem privaten Netzwerk, teilen sich eine öffentliche IP und verlassen sich auf einen Router, der zwischen beiden übersetzt. Dieser Router nutzt NAT: Network Address Translation. Dieser Artikel erklärt, was NAT macht, warum es überall im Einsatz ist und was es für deine Simbase SIM bedeutet.

Was NAT macht

Ein NAT-Gateway sitzt zwischen einem privaten Netzwerk und dem öffentlichen Internet. Es schreibt die IP-Adressen in Paketen um, damit:

• Ausgehender Traffic eines privaten Geräts so aussieht, als käme er von der öffentlichen IP des Gateways.

• Antwort-Traffic aus dem Internet an das Gateway zum richtigen privaten Gerät weitergeleitet wird.

Vereinfacht läuft das so ab:

1. Dein Laptop (private IP 192.168.1.10) sendet eine Anfrage an einen Webserver.

2. Das Paket verlässt deinen Laptop mit der Quelle 192.168.1.10 und dem Ziel 93.184.216.34 (der Server).

3. Der Router oder das NAT-Gateway fängt das Paket ab und ersetzt die Quelle durch die eigene öffentliche IP (zum Beispiel 203.0.113.5), speichert die Zuordnung (192.168.1.10:55124) ↔ (203.0.113.5:62001) in der NAT-Tabelle und leitet das Paket weiter.

4. Der Server antwortet an 203.0.113.5:62001.

5. Der Router schaut in der NAT-Tabelle nach, sieht, dass dieser Eintrag zu 192.168.1.10:55124 gehört, schreibt das Ziel um und leitet die Antwort an deinen Laptop weiter.

Dein Laptop hat nie gemerkt, dass er hinter NAT sitzt. Der Webserver hat nie erfahren, dass es ein privates Netzwerk gibt.

Warum es NAT gibt

Aus drei Gründen:

1. IPv4-Adressen sparen. Es gibt etwa 4,3 Milliarden IPv4-Adressen, aber weit mehr Geräte. Mit NAT teilen sich Tausende Geräte eine Adresse.

2. Schutz als Nebeneffekt. Geräte hinter NAT sind aus dem Internet nicht direkt erreichbar. Pakete, die ohne passenden Eintrag in der NAT-Tabelle am Gateway ankommen, werden verworfen. Das ist ein nützlicher Standard, aber keine Firewall, und du solltest dich nicht darauf verlassen.

3. Unabhängige Netzwerke. Jedes private Netzwerk kann denselben Adressraum (192.168.x.x) nutzen, ohne sich mit anderen abzustimmen.

Nachteile von NAT

• Eingehende Verbindungen sind standardmäßig blockiert. Will etwas im Internet mit deinem Gerät sprechen, kann es die Verbindung nicht selbst aufbauen. Es gibt Workarounds (Port Forwarding, NAT Traversal, Hole Punching), aber die sind komplex und unzuverlässig.

• Manche Protokolle haben Probleme. Alles, was IP-Adressen in den Nutzdaten der Anwendung mitschickt (ältere VoIP-Lösungen, aktives FTP, manche VPN-Protokolle), funktioniert hinter NAT nicht, wenn das Gateway keine passenden Helper hat.

• Connection Tracking hat Grenzen. Geräte mit sehr hohem Durchsatz können die NAT-Tabelle kleiner Gateways ausschöpfen.

• Logging wird schwieriger. Aus Sicht des Internets sehen alle deine Geräte wie eine einzige IP aus. Um Traffic einem bestimmten Gerät zuzuordnen, brauchst du die Logs des NAT-Gateways.

NAT und Simbase SIMs

Standardmäßig sitzt jede Simbase SIM hinter einem NAT-Gateway im Mobilfunk-Core von Simbase. Das bedeutet:

• Die SIM kann ausgehende Verbindungen aufbauen, zu deinen APIs, MQTT-Brokern, Webservern und allem anderen im Internet.

• Die SIM kann keine eingehenden Verbindungen annehmen. Deine Server können keine direkte Verbindung zur SIM öffnen.

• Die SIM bekommt eine private IP, die aus dem Internet nicht sichtbar ist.

Für typische IoT-Anwendungen (ein Gerät, das einen Server abfragt oder Daten per MQTT oder HTTP sendet) ist das genau richtig. Es ist sicher, einfach und kostet nichts extra.

Wann NAT zum Problem wird

NAT steht dir im Weg, wenn du das Gerät von außen erreichen musst:

• Remote-SSH auf einen Router oder ein Gateway

• Remote-Konfigurationsoberfläche auf einem Gerät im Feld

• Vom Server ausgelöster Push an das Gerät (zum Beispiel "aufwachen und melden")

• Einen Dienst hosten auf dem Gerät (Webserver, RTSP-Kamerastream)

• Site-to-site-VPN, das auf dem Gerät endet

In all diesen Fällen musst du NAT für diese SIM umgehen. Simbase macht das, indem der SIM eine öffentliche IP zugewiesen wird. Der Traffic läuft dann über ein dediziertes Gateway mit einer routbaren Adresse.

Die Schritte findest du unter Öffentliche IPs.

NAT vs. CGNAT

In Diskussionen über Mobilfunknetze begegnet dir auch CGNAT (Carrier-Grade NAT). CGNAT ist NAT auf Ebene des Netzbetreibers. Dein Betreiber versteckt dich hinter seiner öffentlichen IP, bevor dein Traffic das Internet erreicht. Die meisten Mobilfunknetze für Privatkunden nutzen CGNAT. Für das Gerät ist das genau dasselbe wie normales NAT.

SIMs ohne öffentliche IP laufen über NAT am Simbase-Gateway. Der Effekt ist derselbe wie bei CGNAT im Mobilfunknetz für Privatkunden: eine private IP auf dem Gerät, eine gemeinsame öffentliche Adresse Richtung Internet und keine eingehenden Verbindungen.

Häufige Fragen

Weiterführende Artikel

• IP-Adressen: der übergeordnete Artikel zu IPv4 und Subnetzen

• Private vs. öffentliche IP-Adresse: was aus dem Internet erreichbar ist

• Öffentliche IPs: einer SIM eine routbare Adresse zuweisen

• VPN: Geräte ohne öffentliche IP erreichen