NAT and PAT: Sharing Public Addressesوەرگێڕانی ناونیشانی ڕایەڵە و وەرگێڕانی ناونیشانی پۆرت: هاوبەشکردنی ناونیشانی گشتی

IPv4 has $2^{32} = 4\,294\,967\,296$ addresses — about 4.3 billion. When IPv4 was designed nobody imagined billions of phones, and today the free addresses are gone (IPv4 ran out). A home has a phone, a laptop and a TV, yet the ISP gives it one public address. Asking for a public address for every device would be expensive and wasteful — and there are simply not enough.

IPv4 $2^{32} = 4\,294\,967\,296$ ناونیشانی هەیە — نزیکەی ⁦4.3⁩ ملیار. کاتێک IPv4 دیزاین کرا، کەس بیری لە ملیارەها مۆبایل نەدەکردەوە و ئەمڕۆ ناونیشانە ئازادەکان تەواو بوون (IPv4 تەواو بوو). ماڵێک مۆبایل، لاپتۆپ (Laptop) و تیڤی هەیە، کەچی دابینکەری ئینتەرنێت (ISP) یەک ناونیشانی IPـی گشتیی (Public IP address) پێ دەدات. داواکردنی ناونیشانێکی IPـی گشتی بۆ هەموو ئامێرێک گران و بەفیڕۆدان دەبێت — و بە سادەیی بەس نییە.

So inside the home the router gives every device a private address (10.x, 172.16–31.x or 192.168.x — RFC 1918), which millions of homes reuse at the same time. Private addresses are never routed on the Internet. To go out, each packet needs the router’s public address instead: that swap is network address translation (NAT). The idea is introduced in IP and MAC addresses.

بۆیە لە ناو ماڵەوە ڕێدۆزەکە (Router) ناونیشانێکی IPـی تایبەت دەداتە هەموو ئامێرێک (⁦10.x⁩، ⁦172.16–31.x⁩ یان ⁦192.168.x⁩ — RFC ⁦1918⁩) کە ملیۆنان ماڵ لە هەمان کاتدا بەکاری دەهێننەوە. ناونیشانەکانی IPـی تایبەت هەرگیز لەسەر ئینتەرنێت (Internet) ڕێگەیان پێ نادرێت. بۆ چوونە دەرەوە، هەر پاکێتێک لە جیاتی ئەوە پێویستی بە ناونیشانە گشتییەکەی ڕێدۆزەکە هەیە: ئەو گۆڕینەوەیە وەرگێڕانی ناونیشانی ڕایەڵەـە. بیرۆکەکە لە ناونیشانی IP و MAC ناسێنراوە.

NAT is a service in the router. When a packet goes out, the router replaces the private source address with its public one and writes the pair in a translation table. When the reply comes back, it looks the pair up and replaces the public destination address with the private one. The two hosts never notice.

وەرگێڕانی ناونیشانی ڕایەڵە خزمەتگوزارییەکی ناو ڕێدۆزە. کاتێک پاکێتێک دەچێتە دەرەوە، ڕێدۆزەکە ناونیشانی سەرچاوەی تایبەت بە ناونیشانە گشتییەکەی خۆی دەگۆڕێت و جووتەکە لە خشتەی وەرگێڕاندا دەنووسێت. کاتێک وەڵامەکە دەگەڕێتەوە، جووتەکە دەدۆزێتەوە و ناونیشانی مەبەستی گشتی بە تایبەتەکە دەگۆڕێت. دوو میوانگرەکە (Host) هەرگیز هەست پێ ناکەن.

Cisco uses four names. Inside and outside are the two sides of the router (ip nat inside and ip nat outside on its interfaces). Local means “as seen from the inside network”, global “as seen from the outside”. So the PC’s private address is its inside local address, and the public address that stands for it is its inside global address.

Cisco چوار ناو بەکار دەهێنێت. ناوەوە و دەرەوە دوو لای ڕێدۆزەکەن (ip nat inside و ip nat outside لەسەر نێوبەستەکانی (Interface (network))). ناوخۆیی واتە «وەک لە ڕایەڵەی (Network) ناوەوە دەبینرێت»، گشتی «وەک لە دەرەوە دەبینرێت». کەواتە ناونیشانە تایبەتەکەی PC ناونیشانی ناوەوەی ناوخۆییـە و ئەو ناونیشانە گشتییەی جێگەی دەگرێتەوە ناونیشانی ناوەوەی گشتیـە.

The server has two names too: its outside global address is its real address; its outside local address is how it looks from inside. In ordinary NAT the router does not change it, so both are the same — here 198.51.100.20.

ڕاژەکارەکەش دوو ناوی هەیە: ناونیشانی دەرەوەی گشتی ناونیشانە ڕاستەقینەکەیەتی؛ ناونیشانی دەرەوەی ناوخۆیی ئەوەیە کە لە ناوەوە چۆن دەبینرێت. لە وەرگێڕانی ناونیشانی ڕایەڵەی ئاساییدا ڕێدۆزەکە نایگۆڕێت، بۆیە هەردووکیان وەک یەکن — لێرەدا ⁦198.51.100.20⁩.

There are three kinds. Static NAT maps one private address to one public address, permanently. Dynamic NAT lends public addresses from a pool, one per active host. PAT (port address translation, also called NAT overload) lets many hosts share one public address by also changing port numbers. PAT is the best fit for most networks, so it is by far the most common.

سێ جۆر هەیە. وەرگێڕانی جێگیری ناونیشانی ڕایەڵە یەک ناونیشانی IPـی تایبەت بە یەک ناونیشانی IPـی گشتی دەبەستێتەوە، بە هەمیشەیی. وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە ناونیشانەکانی IPـی گشتی لە پووڵێکی ناونیشان قەرز دەدات، یەکێک بۆ هەر میوانگرێکی چالاک. وەرگێڕانی ناونیشانی پۆرت (PAT، پێی دەگوترێت NAT overloadیش) ڕێگە دەدات زۆر میوانگر یەک ناونیشانی IPـی گشتی بەهاوبەشی بەکار بهێنن بە گۆڕینی ژمارەی پۆرتەکانیش. وەرگێڕانی ناونیشانی پۆرت بۆ زۆربەی ڕایەڵەکان باشترین گونجاوە، بۆیە زۆر لە هەمووان باوترە.

Static NAT needs one public address for every private address it maps, so it cannot share addresses. That is exactly why it is still used: a fixed pair lets people outside start connections to a server inside — a web server, a mail server, a camera. 192.168.1.10 is always 203.0.113.10, day and night.

وەرگێڕانی جێگیری ناونیشانی ڕایەڵە بۆ هەر ناونیشانێکی IPـی تایبەت کە دەیبەستێتەوە پێویستی بە یەک ناونیشانی IPـی گشتی هەیە، بۆیە ناتوانێت ناونیشان هاوبەش بکات. هەر ئەمەشە هۆی ئەوەی هێشتا بەکار دێت: جووتێکی جێگیر ڕێگە دەدات خەڵکی دەرەوە پەیوەندی بۆ ڕاژەکارێک لە ناوەوە دەست پێ بکەن — ڕاژەکارێکی وێب (Web server)، ڕاژەکارێکی ئیمەیڵ (Mail server)، کامێرایەک. ⁦192.168.1.10⁩ هەمیشە ⁦203.0.113.10⁩ـە، شەو و ڕۆژ.

Dynamic NAT uses a pool. In everyday English a pool is a swimming pool; in networking it means a shared set of resources — here, a limited set of public addresses that several devices use in turn. (DHCP pools are the same idea: a set of addresses to lend.)

وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە پووڵێکی ناونیشان بەکار دەهێنێت. لە ئینگلیزیی ڕۆژانەدا pool واتە حەوزی مەلەکردن؛ لە بواری ڕایەڵەدا واتە کۆمەڵێک سەرچاوەی هاوبەش — لێرەدا کۆمەڵێکی سنووردار لە ناونیشانەکانی IPـی گشتی کە چەند ئامێرێک بە نۆبە بەکاری دەهێنن. (پووڵەکانی ناونیشانی DHCPـیش هەمان بیرۆکەن: کۆمەڵێک ناونیشان بۆ قەرزدان.)

Dynamic NAT lends a whole public address from the pool to the first inside host that needs one, and keeps it in the table until the translation ends. Take five computers and a pool of three public addresses: only three computers can be online at once; the fourth and fifth must wait until an address is free.

وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە ناونیشانێکی IPـی گشتیی تەواو لە پووڵی ناونیشانەکەوە بە قەرز دەداتە یەکەم میوانگری ناوەوە کە پێویستی پێیەتی و تا وەرگێڕانەکە کۆتایی دێت لە خشتەکەدا دەیهێڵێتەوە. پێنج کۆمپیوتەر (Computer) و پووڵێکی ناونیشان بە سێ ناونیشانی IPـی گشتی وەربگرە: تەنیا سێ کۆمپیوتەر دەتوانن لە یەک کاتدا لەسەر هێڵ بن؛ چوارەم و پێنجەم دەبێت چاوەڕێ بکەن تا ناونیشانێک ئازاد دەبێت.

With 100 computers and three public addresses, 97 would be waiting and the network would feel very slow. On a Cisco router a dynamic translation that is not cleared stays for 24 hours by default, so the wait can be long. Dynamic NAT is therefore a poor choice when hosts are many — PAT solves it.

بە ⁦100⁩ کۆمپیوتەر و سێ ناونیشانی IPـی گشتی، ⁦97⁩ چاوەڕێ دەکەن و ڕایەڵەکە زۆر هێواش هەست پێ دەکرێت. لەسەر ڕێدۆزێکی Cisco وەرگێڕانێکی بزۆک کە پاک نەکرێتەوە بە بنەڕەت ⁦24⁩ کاتژمێر دەمێنێتەوە، بۆیە چاوەڕوانییەکە دەکرێت درێژ بێت. کەواتە وەرگێڕانی بزۆکی ناونیشانی ڕایەڵە هەڵبژاردنێکی خراپە کاتێک میوانگرەکان زۆرن — وەرگێڕانی ناونیشانی پۆرت چارەسەری دەکات.

At home your laptop has one IP address on its Wi-Fi interface, yet the browser, WhatsApp, Telegram and a game all talk at the same time and their replies never mix. The reason is the port number of the transport layer (layer 4): every program’s connection has its own port, and the replies come back to that port. Ports are taught in Port numbers and sockets.

لە ماڵەوە لاپتۆپەکەت لەسەر نێوبەستەی وای‌فایەکەی (Wi-Fi) یەک ناونیشانی IPـی (IP address) هەیە، کەچی تۆڕگەڕ (Web browser)، WhatsApp، Telegram و یارییەک هەموویان لە هەمان کاتدا قسە دەکەن و وەڵامەکانیان هەرگیز تێکەڵ نابن. هۆکارەکەی ژمارەی پۆرتـی چینی گواستنەوەیە (Transport layer) (چینی ⁦4⁩): پەیوەندیی هەر بەرنامەیەک پۆرتی خۆی هەیە و وەڵامەکان بۆ ئەو پۆرتە دەگەڕێنەوە. پۆرتەکان لە ژمارەی پۆرت و سۆکێتەکانـدا فێر کراون.

One IP address per interface, to be exact: a laptop with Wi-Fi and Ethernet both connected has two. PAT uses the same port idea one level up — for the whole home instead of one computer.

بە وردی، یەک ناونیشانی IP بۆ هەر نێوبەستەیەک: لاپتۆپێک کە هەم وای‌فای و هەم Ethernetـی بەستراوە دوو ناونیشانی هەیە. وەرگێڕانی ناونیشانی پۆرت هەمان بیرۆکەی پۆرت یەک ئاست بەرزتر بەکار دەهێنێت — بۆ هەموو ماڵەکە لە جیاتی یەک کۆمپیوتەر.

Two computers at home open the same website at the same moment. The ISP gave the router one public address. How does each reply find the right computer? With PAT the router changes the source port as well as the address and keeps both in its table. Each connection gets its own public port, so the replies never mix.

دوو کۆمپیوتەر لە ماڵەوە لە هەمان ساتدا هەمان تۆڕگە (Website) دەکەنەوە. دابینکەری ئینتەرنێت یەک ناونیشانی IPـی گشتیی داوەتە ڕێدۆزەکە. هەر وەڵامێک چۆن کۆمپیوتەرە دروستەکە دەدۆزێتەوە؟ بە وەرگێڕانی ناونیشانی پۆرت ڕێدۆزەکە پۆرتـی سەرچاوەش لەگەڵ ناونیشانەکە دەگۆڕێت و هەردووکیان لە خشتەکەیدا دەهێڵێتەوە. هەر پەیوەندییەک پۆرتی گشتیی خۆی وەردەگرێت، بۆیە وەڵامەکان هەرگیز تێکەڵ نابن.

Cisco keeps the original source port when it is free and picks another free port only when two inside hosts collide — as with port 51000 above. Which free port it takes depends on the IOS release; these lessons show the next one up. A port is 16 bits, so one public address can carry tens of thousands of connections at once (at most 65,535 per protocol). That is why PAT is the best kind and the most common: every home router and almost every company uses it. Its formal name is NAPT, network address port translation (RFC 3022); translating addresses alone is basic NAT.

Cisco پۆرتی سەرچاوەی ڕەسەن دەهێڵێتەوە کاتێک ئازادە و تەنیا کاتێک دوو میوانگری ناوەوە پێکدا دەدەن پۆرتێکی ئازادی تر هەڵدەبژێرێت — وەک پۆرت ⁦51000⁩ لە سەرەوە. کام پۆرتی ئازاد وەردەگرێت بەپێی وەشانی IOS دەگۆڕێت؛ ئەم وانانە پۆرتی دواتر پیشان دەدەن. پۆرت ⁦16⁩ بیتە (Bit)، بۆیە یەک ناونیشانی IPـی گشتی دەتوانێت دەیان هەزار پەیوەندی لە یەک کاتدا هەڵبگرێت (زۆرترین ⁦65,535⁩ بۆ هەر پرۆتۆکۆڵێک (Protocol)). بۆیە وەرگێڕانی ناونیشانی پۆرت باشترین جۆرە و باوترینە: هەموو ڕێدۆزێکی ماڵەوە و نزیکەی هەموو کۆمپانیایەک بەکاری دەهێنن. ناوە فەرمییەکەی NAPTـە، network address port translation (RFC ⁦3022⁩)؛ وەرگێڕانی تەنیا ناونیشان basic NATـە.

The configuration of all three on a Cisco router — ip nat inside, ip nat outside, pools and overload — is the next lesson: Configuring NAT.

ڕێکخستنی هەر سێکیان لەسەر ڕێدۆزێکی Cisco — ip nat inside، ip nat outside، پووڵەکانی ناونیشان و overload — وانەی داهاتووە: ڕێکخستنی وەرگێڕانی ناونیشانی ڕایەڵە.

PAT creates table entries only for connections that start inside. To run a web server at home behind one public address, you add a port-forwarding rule: “whatever arrives on public port 80, send to 192.168.100.2 port 7575”. It is a static PAT entry for incoming traffic. Pictures labelled “PAT” often show exactly this, but it is a different use from the outgoing PAT above.

وەرگێڕانی ناونیشانی پۆرت تەنیا بۆ ئەو پەیوەندییانە تۆمار لە خشتەکەدا دروست دەکات کە لە ناوەوە دەست پێ دەکەن. بۆ کارپێکردنی ڕاژەکارێکی وێب لە ماڵەوە لە پشت یەک ناونیشانی IPـی گشتییەوە، یاسایەکی پێشڕۆکردنی پۆرت زیاد دەکەیت: «هەرچی لەسەر پۆرتی گشتیی ⁦80⁩ دێت، بینێرە بۆ ⁦192.168.100.2⁩ پۆرت ⁦7575⁩». ئەمە تۆمارێکی جێگیری وەرگێڕانی ناونیشانی پۆرتە بۆ هاتوچۆی هاتوو. وێنەکانی بە ناوی «PAT» زۆرجار ڕێک ئەمە پیشان دەدەن، بەڵام بەکارهێنانێکی جیاوازە لە وەرگێڕانی ناونیشانی پۆرتە دەرچووەکەی سەرەوە.

Every forwarded port opens a door from the Internet to one inside device, so forward only what you need, keep that device updated and prefer encrypted services such as HTTPS and SSH. On a Cisco router such a rule is a static entry with ports; static NAT both ways shows how it is configured.

هەر پۆرتێکی پێشڕۆکراو دەرگایەک لە ئینتەرنێتەوە بۆ یەک ئامێری ناوەوە دەکاتەوە، بۆیە تەنیا ئەوەی پێویستە پێشڕۆ بکە، ئەو ئامێرە نوێ بکەرەوە و خزمەتگوزارییە پارێزراوەکانی وەک HTTPS و SSH هەڵبژێرە. لەسەر ڕێدۆزێکی Cisco ئەم یاسایە تۆمارێکی جێگیرە لەگەڵ پۆرتەکان؛ وەرگێڕانی جێگیری ناونیشانی ڕایەڵە لە هەردوو ئاڕاستەدا پیشان دەدات چۆن ڕێک دەخرێت.

Many ISPs, mobile operators above all, no longer have a public address for every customer. They give the customer’s router an address from the shared address space 100.64.0.0/10 (RFC 6598, 2012) and translate a second time in their own network: carrier-grade NAT. Your packet is translated twice — at home and at the ISP. Browsing works; port forwarding at home cannot work, because the ISP’s NAT has no rule for you. The details are in Carrier-grade NAT.

زۆر دابینکەری ئینتەرنێت، بەتایبەتی کۆمپانیاکانی مۆبایل، چیتر ناونیشانێکی IPـی گشتی بۆ هەموو کڕیارێک نییە. ناونیشانێک لە بلۆکی ناونیشانی هاوبەشی ⁦100.64.0.0/10⁩ (RFC ⁦6598⁩، ⁦2012⁩) دەدەنە ڕێدۆزی کڕیارەکە و لە ڕایەڵەی خۆیاندا جارێکی تر وەردەگێڕن: NATـی ئاستی دابینکەر. پاکێتەکەت دوو جار وەردەگێڕدرێت — لە ماڵەوە و لە دابینکەری ئینتەرنێتەکە. گەڕان کار دەکات؛ پێشڕۆکردنی پۆرت لە ماڵەوە ناتوانێت کار بکات، چونکە وەرگێڕانی ناونیشانی ڕایەڵەی دابینکەری ئینتەرنێتەکە هیچ یاسایەکی بۆ تۆ نییە. وردەکارییەکان لە NATـی ئاستی دابینکەرـدان.

Where a phone has only IPv6, the operator may translate between IPv6 and IPv4 instead: NAT64 (tunnels and NAT64).

لە شوێنێکدا مۆبایلێک تەنیا IPv6ـی هەبێت، کۆمپانیاکە لەوانەیە لە جیاتی ئەوە لە نێوان IPv6 و IPv4ـدا وەربگێڕێت: ⁦NAT64⁩ (تونێل و ⁦NAT64⁩).

NAT saves addresses, but it has a price (RFC 3022 lists them). The Internet was designed end to end: every host could reach every other. Behind NAT that is no longer true:

وەرگێڕانی ناونیشانی ڕایەڵە ناونیشان پاشەکەوت دەکات، بەڵام نرخێکی هەیە (RFC ⁦3022⁩ ڕیزیان دەکات). ئینتەرنێت بۆ سەرەوە تا سەر دیزاین کرابوو: هەموو میوانگرێک دەیتوانی بگاتە هەموو ئەوانی تر. لە پشت وەرگێڕانی ناونیشانی ڕایەڵەوە ئەمە چیتر ڕاست نییە:

Because outsiders cannot see the private addresses and unsolicited packets find no table entry, NAT hides the inside network as a side effect. That is not protection: NAT checks nothing, a forwarded port lets anything through, and malware inside can still connect out. Protection comes from a stateful firewall, which home routers run next to NAT — see Firewalls.

چونکە خەڵکی دەرەوە ناتوانن ناونیشانەکانی IPـی تایبەت ببینن و پاکێتەکانی داوانەکراو هیچ تۆمارێک لە خشتەکەدا نادۆزنەوە، وەرگێڕانی ناونیشانی ڕایەڵە وەک ئەنجامێکی ناڕاستەوخۆ ڕایەڵەی ناوەوە دەشارێتەوە. ئەوە پاراستن نییە: وەرگێڕانی ناونیشانی ڕایەڵە هیچ شتێک ناپشکنێت، پۆرتێکی پێشڕۆکراو ڕێگە بە هەموو شتێک دەدات و نەرمەواڵەی زیانبەخش (Malware) لە ناوەوە هێشتا دەتوانێت پەیوەندی بە دەرەوە بکات. پاراستن لە ئاگرەدیوارێکی دۆخدارـەوە دێت کە ڕێدۆزەکانی ماڵەوە لە تەنیشت وەرگێڕانی ناونیشانی ڕایەڵەوە کاری پێ دەکەن — ئاگرەدیوارەکان ببینە.

IPv6 has $2^{128} \approx 3.4 \times 10^{38}$ addresses — about 340 undecillion, 340 followed by 36 digits. Every device can have its own global address, so private addresses and NAT are no longer needed and connections work end to end again. Homes still keep a firewall (No NAT, but still a firewall).

IPv6 $2^{128} \approx 3.4 \times 10^{38}$ ناونیشانی هەیە — نزیکەی ⁦340⁩ ئاندیسیلیۆن، ⁦340⁩ و ⁦36⁩ ژمارەی تر لە دوایدا. هەموو ئامێرێک دەتوانێت ناونیشانێکی جیهانیی خۆی هەبێت، بۆیە چیتر پێویست بە ناونیشانەکانی IPـی تایبەت و وەرگێڕانی ناونیشانی ڕایەڵە ناکات و پەیوەندییەکان جارێکی تر لە سەرەوە تا سەر کار دەکەن. ماڵەکان هێشتا ئاگرەدیوار دەهێڵنەوە (بێ وەرگێڕانی ناونیشانی ڕایەڵە، بەڵام هێشتا ئاگرەدیوار).

Next: configure all three on a Cisco router — Configuring NAT.

دواتر: هەر سێکیان لەسەر ڕێدۆزێکی Cisco ڕێک بخە — ڕێکخستنی وەرگێڕانی ناونیشانی ڕایەڵە.