Gira anropssystem 834 Plus Planlegging, installasjon, igangkjøring ...

Prinsipper for nettverksteknikk
9.13 Portvideresending (Port Forwarding)
En portvideresending (engelsk: Port Forwarding) er videresending av en forbindelse som
ledes videre til en annen datamaskin på en bestemt port via et datamaskinnett. Ettersom den
tilsvarende nettverkstjenesten ikke ytes av selve datamaskinen som sender videre, blir ofte
det villedende begrepet Virtual Server brukt.
De innkommende datapakkene maskeres da med destinasjon-NAT (se også “NAT - Network
Address Translation" på side 171) og de utgående pakkene med kilde-NAT for sending til den
andre datamaskinen eller for å gi inntrykk av at de utgående pakkene kommer fra
datamaskinen som står for portvideresendingen.
9.13.1 Portvideresending via ruter
En ruter, som for eksempel er forbundet med et privat LAN og Internett, venter da på
datapakker ved en bestemt port. Når pakker kommer til denne porten, sendes de videre til en
bestemt datamaskin og eventuelt en annen port i det interne nettverket. Alle datapakkene fra
denne datamaskinen og porten endres med NAT (se også “NAT - Network Address
Translation" på side 171) hvis de hører til en innkommende forbindelse, slik at det i det
eksterne nettet ser ut som om ruteren skal sende pakkene.
Med portvideresendingen er det mulig for datamaskiner i et LAN – som ikke er tilgjengelig
direkte fra et eksternt nett – må fungere som servere også utenfor dette nettet, spesielt på
Internett, ettersom de er entydig adresserbare via en definert port (og med NAT).
For alle datamaskinene i det eksterne nettet ser det ut som om ruteren tilbyr servertjenesten.
At det ikke er slik, kan identifiseres av startetikettlinjer eller pakkeforsinkelsesanalyser.
Eksempel
Et større firma har et lokalt nettverk der flere servere opptrer utad (Internett) via ADSL-ruter
under én IP-adresse (f.eks. 205.0.0.1). En klient fra det eksterne nettet (Internett) ønsker å
benytte en tjeneste (f.eks. HTTP/TCP Port 80) på en av firmaets servere. Klienten kan imidlertid
bare adressere firmaets ADSL-ruter for tjenesten (HTTP/TCP port 80) med IP-adresse
(205.0.0.1) som er kjent. Firmaets ADSL-ruter sender forespørselen om tjenesten (HTTP/TCP
port 80) til den tilsvarende serveren i det lokale nettverket.
9.13.2 Portvideresending for økt sikkerhet
Et annet eksempel på bruk av portvideresending er sikring av en kanal for overføring av
fortrolig informasjon. Port A på datamaskin 1 knyttes da sammen med port B på datamaskin
2 gjennom en forbindelse mellom to andre porter i de to datamaskinene, som er opprettet i
bakgrunnen. Dette kalles også Tunneling.
En usikker POP3 (pålogging/passord i ren tekst), for eksempel, kan dermed sikres ved at den
"pakkes inn" i en SSH-kanal: Brukeren sender port 113 på POP-serveren videre til den lokale
datamaskinens port 113 via SSH. Det lokale e-postprogrammet kommuniserer med
localhost:113 istedenfor pop.example.org:113, og SSH-kanalen overfører dataene kryptert
mellom de to adressene via den parallelle SSH-forbindelsen. Det blir dermed så å si umulig
for en tredjepart som lytter å "stjele" passordet. Riktignok må en, om enn begrenset, SSHtilgang
til pop.example.org være mulig, noe som vanligvis ikke tillates for private brukere.
166
10.2011/V1.0