NAT überflüssig?

Hallo,

wenn du auf der UTM nicht maskierst (NAT), kennt der Router davor, der von Privat auf Öffentlich umsetzt, die Netze hinter der Firewall nicht.

Dadurch benötigst du es dann "doppelt".

Du hast PrivatA - UTM - PrivatB - Router - Öffentlich.

Der Router kennt nur Privat B. Wenn die UTM kein Maskieren macht, kommt sie mit Privat A an, und damit kann der Router nichts anfangen, außer du machst Routing.

Gruß

Danke dafür. Mir ist das mit der Maskierung bewusst. Vielleicht noch ergänzend: Mein Kollege sprach damals von DNAT und eine Regel sah bspw. so aus:

ANY --> DIENSTE... --> UPLINK PRIMARY ADDRESSES        Destination translation: ServerXY

Also müssen auch DNAT-Regeln für das Erreichen eines PRIV.A-Hosts aus dem ÖFFENTL. NETZ erstellt werden? Meinten Sie damit     "Dadurch benötigst du es dann "doppelt". "   ?  

Ihr Aufbau war korrekt:

PRIV. A  --> UTM --> PRIV. B --> ROUTER --> ÖFFENTL. NETZ

Ich dachte ursprünglich, dass das natten am Fritzbox-Router genügt, um einen internen Host von aussen zu erreichen. In diesem Fall in das Netz PRIV.A  .

Hallo,

wenn deine Fritz Box eine Route zum Subnetz hinter der UTM (PRIV.A) hat, muß diese UTM nicht maskieren ... Die Maskierung in Richtung internet macht ja die fritzbox.
... aber das war ja gar nicht die Frage.
das DNAT wird hier nur benötigt, um einen Server hinter der UTM (PRIV.A) aus dem Internet erreichbar zu machen.
Wie der Name sagt DNAT = Dentination NAT , wird hier das Ziel eines Paketes geändert.
Sollte so ein Server tatsächlich existieren, kann die Fritzbox eingehende Verbindungen dort hin auch direkt weiterleiten.

Erfährt die fritzBox aber (evtl. aus Sicherheitsgründen) nichts vom PRIV.A-netz und maskiert man dieses an der UTM (so dass die fritzbox nur eine IP aus PRIV.B für alles sieht), so muß die Fritzbox eingehende Pakete für einen eventuellen Server im PRIV.B-LAN an die UTM leiten und diese per DNAT weiter an den Server.