Podwójny NAT często pojawia się po podłączeniu własnego routera do urządzenia dostarczonego przez operatora. Internet może wtedy działać normalnie, ale problemy wychodzą przy grach online, przekierowaniu portów, zdalnym dostępie albo niektórych usługach sieciowych. Wykrycie takiej konfiguracji jest stosunkowo proste, jeśli wiadomo, gdzie sprawdzić adres WAN i jak rozpoznać prywatny adres IP.
Co to jest podwójny NAT i dlaczego powstaje?
NAT, czyli Network Address Translation, pozwala wielu urządzeniom w sieci lokalnej korzystać z jednego adresu IPv4 widocznego od strony Internetu. Typowy domowy router wykonuje NAT między prywatną siecią LAN a połączeniem WAN.
Problem pojawia się, gdy dwa urządzenia ustawione jedno za drugim pracują jako routery i oba wykonują NAT. Przykładowa konfiguracja może wyglądać tak:
Internet -> router operatora -> własny router -> komputer, konsola, telewizor i inne urządzenia.
Router operatora tworzy pierwszą sieć lokalną, na przykład 192.168.1.0/24. Własny router otrzymuje z niej adres WAN, na przykład 192.168.1.20, a następnie tworzy kolejną sieć, przykładowo 192.168.50.0/24.
Pakiety wychodzące do Internetu przechodzą więc przez dwie kolejne translacje adresów.
Sama obecność dwóch urządzeń sieciowych nie oznacza jednak automatycznie podwójnego NAT. Jeśli pierwsze urządzenie działa wyłącznie jako modem, ONT lub most sieciowy, NAT może być wykonywany tylko przez właściwy router.
Kiedy podwójny NAT może sprawiać problemy?
Wiele zwykłych czynności, takich jak przeglądanie stron, oglądanie filmów czy korzystanie z komunikatorów, może działać bez widocznych problemów. Dlatego podwójny NAT przez długi czas może pozostać niezauważony.
Kłopoty najczęściej pojawiają się wtedy, gdy potrzebne są połączenia przychodzące z Internetu lub precyzyjne zarządzanie portami.
Możliwe objawy to między innymi:
- problemy z przekierowaniem portów,
- komunikaty o restrykcyjnym NAT w grach lub na konsolach,
- problemy z hostowaniem serwera gry,
- utrudniony zdalny dostęp do urządzeń w domu,
- problemy z niektórymi połączeniami peer-to-peer,
- nieprawidłowe działanie UPnP,
- konieczność konfiguracji przekierowania tego samego portu na dwóch routerach.
Problemy mogą również wystąpić pomiędzy urządzeniami znajdującymi się w dwóch różnych sieciach lokalnych. Komputer podłączony do pierwszego routera może mieć utrudniony dostęp do urządzenia znajdującego się za drugim routerem.
Podwójny NAT nie musi natomiast zauważalnie zmniejszać prędkości Wi-Fi czy samego połączenia internetowego. Jego skutki dotyczą przede wszystkim sposobu zestawiania połączeń i komunikacji pomiędzy sieciami.
Podwójny NAT jak wykryć i usunąć krok po kroku
Najłatwiejsza diagnostyka polega na sprawdzeniu, jaki adres WAN otrzymał router oraz porównaniu go z publicznym adresem IPv4 połączenia.
Krok 1. Sprawdź adres WAN routera
Zaloguj się do panelu administracyjnego routera podłączonego bezpośrednio do swoich urządzeń.
Szukaj informacji opisanej jako:
- WAN IP,
- Internet IP,
- IPv4 Address,
- adres internetowy,
- adres WAN.
Nazewnictwo zależy od producenta routera.
Zapisz wyświetlany adres. Interesuje Cię adres WAN, a nie adres LAN routera, taki jak 192.168.1.1.
Krok 2. Sprawdź, czy adres WAN jest prywatny
Prywatne adresy IPv4 używane w sieciach lokalnych obejmują następujące zakresy:
- 10.0.0.0 – 10.255.255.255,
- 172.16.0.0 – 172.31.255.255,
- 192.168.0.0 – 192.168.255.255.
Jeżeli Twój router ma na interfejsie WAN przykładowo adres 192.168.1.20, oznacza to, że znajduje się za innym urządzeniem wykonującym routing.
W typowej domowej konfiguracji z modemem-routerem operatora jest to mocna wskazówka, że występuje podwójny NAT.
Krok 3. Porównaj WAN IP z publicznym adresem IPv4
Sprawdź publiczny adres IPv4 widoczny w Internecie, korzystając z serwisu pokazującego adres IP połączenia.
Następnie porównaj go z adresem WAN routera.
Jeśli router pokazuje:
WAN: 192.168.1.20
a serwis internetowy:
publiczny IPv4: 83.x.x.x
to własny router nie jest bezpośrednio podłączony do publicznego IPv4. Pomiędzy nim a Internetem działa jeszcze co najmniej jedna warstwa translacji.
Teraz trzeba ustalić, czy jest to drugi router w domu, czy NAT wykonywany przez operatora.
Krok 4. Sprawdź fizyczną topologię sieci
Prześledź połączenie od gniazda internetowego do własnego routera.
Typowy przypadek wygląda następująco:
Internet -> urządzenie operatora -> własny router.
Zaloguj się do urządzenia operatora. Jeśli działa w trybie routera, ma własny serwer DHCP i przydziela prywatny adres WAN Twojemu routerowi, przyczyna została znaleziona.
Częsty przykład to instalacja własnego routera lub systemu mesh za urządzeniem dostarczonym przez operatora. Oba urządzenia pozostają wtedy domyślnie w trybie routera.
Krok 5. Sprawdź, które urządzenie ma zarządzać siecią
W prawidłowo uproszczonej sieci domowej najlepiej pozostawić jedno urządzenie odpowiedzialne za NAT, DHCP i routing.
Trzeba więc zdecydować:
- własny router ma być głównym routerem,
- urządzenie operatora ma pozostać głównym routerem.
Od tego wyboru zależy dalsza konfiguracja.
Jak usunąć podwójny NAT przez tryb bridge?
Jeżeli chcesz korzystać z zaawansowanych funkcji własnego routera, dobrym rozwiązaniem jest przełączenie urządzenia operatora w tryb bridge, czyli tryb mostu.
Pierwsze urządzenie przestaje wtedy pełnić funkcję zwykłego routera. Połączenie internetowe jest przekazywane dalej, a NAT, DHCP, firewall i pozostałe funkcje sieciowe obsługuje własny router.
Schemat zmienia się z:
Internet -> router operatora z NAT -> własny router z NAT
na:
Internet -> modem lub bridge -> własny router z NAT.
W ten sposób jedna z warstw NAT zostaje usunięta.
Krok 1. Sprawdź obsługę trybu bridge
Zaloguj się do urządzenia operatora i poszukaj ustawienia:
- Bridge Mode,
- Modem Mode,
- IP Passthrough,
- Bridge Connection.
Dokładna nazwa zależy od producenta i oprogramowania operatora.
W niektórych urządzeniach opcja może być zablokowana. Wtedy konieczny może być kontakt z dostawcą Internetu.
Krok 2. Sprawdź wymagania operatora
Przed zmianą ustawień sprawdź, czy połączenie wymaga dodatkowych danych, takich jak login i hasło PPPoE albo określony VLAN.
Po przełączeniu urządzenia operatora w bridge parametry te mogą wymagać konfiguracji bezpośrednio na własnym routerze.
Krok 3. Włącz bridge i uruchom ponownie urządzenia
Po zmianie trybu uruchom ponownie urządzenie operatora oraz własny router.
Następnie ponownie sprawdź adres WAN własnego routera. Jeżeli otrzymuje publiczny IPv4, lokalny podwójny NAT został usunięty.
Przed włączeniem bridge warto sprawdzić wpływ tej zmiany na usługi operatora. W zależności od konfiguracji mogą być powiązane z nią telefonia, IPTV lub dodatkowe funkcje urządzenia.
Jak usunąć podwójny NAT przez tryb access point?
Nie zawsze trzeba zmieniać ustawienia urządzenia operatora. Jeżeli jego funkcje routera są wystarczające, drugi router można przełączyć w tryb Access Point – AP.
W takim układzie główny router nadal wykonuje NAT oraz przydziela adresy IP, natomiast drugie urządzenie odpowiada przede wszystkim za Wi-Fi i połączenia przewodowe.
W trybie AP funkcje takie jak NAT, routing i DHCP na dodatkowym routerze są zazwyczaj wyłączane lub pomijane.
Krok 1. Znajdź tryb pracy routera
W panelu własnego routera poszukaj sekcji typu:
- Operation Mode,
- Working Mode,
- Tryb pracy,
- Access Point Mode.
Wybierz Access Point zamiast Router Mode.
Krok 2. Zastosuj konfigurację
Po zmianie trybu urządzenie może otrzymać nowy adres IP z głównego routera. Zapisz go, ponieważ będzie potrzebny do późniejszego wejścia do panelu administracyjnego.
Sposób podłączenia przewodu może różnić się pomiędzy modelami. W części urządzeń nadal wykorzystywany jest port WAN, natomiast inne wymagają połączenia LAN-LAN. Najbezpieczniej sprawdzić instrukcję konkretnego modelu.
Krok 3. Sprawdź adresy urządzeń
Po zmianie wszystkie urządzenia powinny znaleźć się w jednej sieci.
Przykładowo:
- router główny – 192.168.1.1,
- komputer – 192.168.1.50,
- telefon – 192.168.1.51,
- access point – 192.168.1.2.
Nie ma już osobnej podsieci tworzonej przez drugi router, a tym samym znika lokalna druga warstwa NAT.
Bridge czy access point – które rozwiązanie wybrać?
Wybór zależy przede wszystkim od tego, które urządzenie ma zarządzać domową siecią.
Jeśli kupiłeś własny, bardziej rozbudowany router i chcesz korzystać z jego firewalla, przekierowania portów, QoS, serwera VPN lub innych funkcji, lepiej pozostawić własny router w trybie routera, a urządzenie operatora przełączyć w bridge.
Jeżeli natomiast router operatora działa poprawnie, a własnego urządzenia potrzebujesz głównie do rozszerzenia Wi-Fi, prostszym rozwiązaniem będzie tryb access point na dodatkowym routerze.
Podobna zasada dotyczy systemów mesh. Jeżeli główna jednostka mesh działa jako router za routerem operatora, może powstać podwójny NAT. Rozwiązaniem może być bridge na urządzeniu operatora albo tryb AP w systemie mesh.
Czy ustawienie DMZ usuwa podwójny NAT?
Nie. Umieszczenie drugiego routera w strefie DMZ pierwszego urządzenia może ułatwić obsługę połączeń przychodzących, ale nie usuwa drugiej translacji NAT.
Pakiety nadal przechodzą przez oba routery.
DMZ może być rozwiązaniem awaryjnym, gdy urządzenie operatora nie obsługuje bridge i jednocześnie potrzebne są określone połączenia przychodzące. Nie jest jednak odpowiednikiem prawdziwego trybu mostu.
Trzeba również pamiętać, że skierowanie ruchu do jednego urządzenia przez DMZ zmienia sposób filtrowania połączeń. Router znajdujący się w DMZ powinien mieć prawidłowo skonfigurowany firewall i aktualne oprogramowanie.
Czy przekierowanie portów na dwóch routerach rozwiązuje problem?
Można skonfigurować przekierowanie portów na obu urządzeniach.
Przykładowo pierwszy router przekazuje port do adresu WAN drugiego routera, a drugi przekazuje go dalej do właściwego komputera lub serwera.
Takie rozwiązanie może zadziałać, ale nie usuwa podwójnego NAT. Jedynie pozwala przeprowadzić wybrane połączenie przez obie jego warstwy.
Konfiguracja jest również bardziej skomplikowana. Każda zmiana adresu lub reguły może wymagać aktualizacji ustawień na dwóch urządzeniach.
Jeśli jest taka możliwość, prostsza architektura z jednym routerem wykonującym NAT będzie łatwiejsza w utrzymaniu.
Podwójny NAT a CGNAT – jaka jest różnica?
Podwójnego NAT nie należy automatycznie utożsamiać z CGNAT.
CGNAT, czyli Carrier-Grade NAT, jest translacją wykonywaną w sieci operatora. Wielu abonentów może wtedy korzystać ze wspólnego publicznego adresu IPv4.
Do komunikacji pomiędzy urządzeniem klienta a infrastrukturą operatora przeznaczono między innymi zakres:
100.64.0.0 – 100.127.255.255.
Jeśli taki adres widzisz jako WAN IP swojego routera, może to oznaczać korzystanie z CGNAT.
Operator może również stosować inne rozwiązania wykorzystujące adresację prywatną. Dlatego rozbieżność pomiędzy WAN IP routera a publicznym adresem IPv4 powinna być analizowana razem z topologią domowej sieci.
Najważniejsza różnica jest praktyczna. Lokalny podwójny NAT możesz zwykle usunąć samodzielnie przez bridge lub AP. CGNAT znajduje się po stronie operatora.
Przełączenie własnego modemu lub routera w bridge nie usunie NAT-u działającego w infrastrukturze dostawcy Internetu.
W takim przypadku można zapytać operatora o:
- publiczny dynamiczny IPv4,
- publiczny statyczny IPv4,
- dostępność pełnego IPv6.
Jeśli problem dotyczy właśnie CGNAT, dalsze zmiany konfiguracji dwóch domowych routerów mogą niczego nie rozwiązać.
Jak sprawdzić, czy podwójny NAT został usunięty?
Po zmianie konfiguracji warto wykonać ponowny test zamiast zakładać, że problem zniknął.
Krok 1. Sprawdź ponownie WAN IP
Jeżeli własny router pozostaje urządzeniem głównym, sprawdź jego adres WAN.
Po prawidłowym włączeniu bridge powinien otrzymywać adres bezpośrednio z sieci operatora. Jeśli operator udostępnia publiczny IPv4, adres WAN powinien być publiczny.
Krok 2. Porównaj adres z publicznym IPv4
Porównaj WAN IP z adresem widocznym w Internecie.
Jeżeli adresy odpowiadają sobie, nie ma dodatkowej warstwy NAT pomiędzy routerem a publicznym IPv4.
Wyjątkiem pozostają konfiguracje operatorskie wykorzystujące inne mechanizmy sieciowe, dlatego przy niejasnym wyniku najlepiej sprawdzić warunki usługi u dostawcy Internetu.
Krok 3. Sprawdź urządzenia w sieci lokalnej
Jeżeli drugi router został ustawiony jako access point, podłączone do niego urządzenia powinny otrzymywać adresy z tej samej sieci co sprzęt podłączony bezpośrednio do routera głównego.
To prosty sposób na sprawdzenie, czy drugi router przestał tworzyć własną podsieć.
Krok 4. Przetestuj usługę, która wcześniej nie działała
Jeżeli problem dotyczył przekierowania portu, gry online lub zdalnego dostępu, wykonaj ponowny test po zmianach.
Nie trzeba przy tym otwierać niepotrzebnych portów tylko w celu sprawdzenia sieci. Każda reguła przekierowania powinna mieć konkretne zastosowanie i obejmować tylko potrzebny ruch.
Która konfiguracja będzie najlepsza w domowej sieci?
Najprostsza zasada brzmi: jeżeli nie potrzebujesz dwóch oddzielnych sieci, pozostaw tylko jeden router odpowiedzialny za NAT i DHCP.
Własny rozbudowany router najlepiej wykorzystać jako urządzenie główne, a modem-router operatora przełączyć w bridge, jeśli dostawca i sprzęt na to pozwalają.
Jeśli sprzęt operatora ma pozostać routerem, dodatkowe urządzenie można ustawić jako access point. Jest to szczególnie sensowne, gdy jego głównym zadaniem jest poprawa zasięgu Wi-Fi.
DMZ i podwójne przekierowanie portów traktuj raczej jako obejścia problemu, a nie pełne usunięcie podwójnego NAT.
Jeżeli natomiast dodatkowa translacja wykonywana jest przez operatora, najpierw sprawdź, czy korzystasz z CGNAT. Wtedy rozwiązania trzeba szukać po stronie usługi internetowej, a nie wyłącznie w ustawieniach domowego routera.
