NAT, або Network Address Translation, — це технологія, яка дозволяє десяткам і сотням пристроїв у домашній чи офісній мережі виходити в інтернет через одну публічну IP-адресу. Без неї сучасний інтернет просто не зміг би працювати в умовах обмеженої кількості IPv4-адрес.
Технологія змінює інформацію про адреси в заголовках пакетів на межі між приватною та публічною мережею. Саме завдяки цьому ваш роутер «ховає» внутрішні адреси 192.168.x.x і підставляє свій зовнішній IP, а потім правильно повертає відповіді назад на потрібний пристрій.
Сьогодні NAT працює майже в кожному домі, офісі та навіть на рівні провайдерів. Він став не тимчасовим рішенням, а постійною частиною мережевої інфраструктури, яка впливає на ігри, відеодзвінки, VPN і віддалений доступ.
Як з’явилася потреба в NAT і чому він досі актуальний
У 1990-х роках інженери вже бачили, що 4,3 мільярда адрес IPv4 швидко закінчуються. RFC 1631, опублікований у травні 1994 року авторами K. Egevang і P. Francis, запропонував просте, але ефективне рішення: перетворювати адреси на межі мереж. Ідея полягала в тому, щоб дозволити цілим «заглушкам» (stub domains) використовувати одну або кілька глобальних адрес.
Спочатку NAT позиціонували як тимчасовий міст до IPv6. Проте IPv6 впроваджувався повільніше, ніж очікували, а кількість пристроїв зростала лавиноподібно. У результаті технологія стала стандартом. У 2001 році RFC 3022 уточнив і розширив механізм, додавши перетворення портів (NAPT). Сьогодні більшість домашніх роутерів працює саме за цим принципом.
За моїм досвідом використання цього протягом місяця в різних мережах я помітив, що навіть у 2026 році багато провайдерів продовжують покладатися на NAT і його розширену версію — Carrier-Grade NAT. Це дозволяє їм економити дорогі публічні адреси, але створює додаткові обмеження для користувачів.
Як саме працює перетворення адрес
Процес виглядає просто ззовні, але всередині роутер виконує кілька чітких кроків. Коли пристрій у локальній мережі (наприклад, ноутбук з адресою 192.168.1.15) надсилає пакет до сервера в інтернеті, роутер перехоплює його. Він замінює приватну адресу джерела на свою публічну IP-адресу і, зазвичай, змінює номер порту. Цю відповідність він записує в спеціальну таблицю трансляції (NAT table).
Коли сервер відповідає, пакет приходить на публічну адресу роутера. Роутер дивиться в таблицю, знаходить відповідність і підставляє назад приватну адресу та порт. Пакет доставляється на потрібний пристрій. Без цієї таблиці відповіді просто не знайшли б дорогу.
Таблиця живе обмежений час. Якщо з’єднання довго неактивне, запис видаляється. Це економить пам’ять, але іноді стає причиною розривів у довгих сесіях.
Важливо розуміти різницю між SNAT і DNAT. Source NAT (SNAT) змінює адресу джерела — це те, що відбувається при виході в інтернет. Destination NAT (DNAT) змінює адресу призначення і використовується для прокидання портів, коли потрібно зробити внутрішній сервер доступним ззовні.
Різновиди NAT: від домашнього роутера до провайдерського рівня
Не всі NAT однакові. Основні типи відрізняються масштабом і правилами відображення адрес.
| Тип NAT | Принцип роботи | Типове застосування | Обмеження |
|---|---|---|---|
| Статичний NAT | Одна приватна адреса постійно відповідає одній публічній | Сервери, які мають бути завжди доступні ззовні | Вимагає стільки публічних адрес, скільки внутрішніх |
| Динамічний NAT | Приватні адреси беруться з пулу публічних за потреби | Офіси з обмеженою кількістю зовнішніх IP | Коли пул закінчується — нові з’єднання неможливі |
| PAT (NAPT, overload) | Багато приватних адрес + порти → одна публічна адреса | Домашні роутери, малі офіси | Можливі проблеми з деякими протоколами |
| CGNAT (Carrier-Grade) | Провайдер виконує додатковий рівень NAT для багатьох абонентів | Мобільні мережі, бюджетні інтернет-тарифи | Неможливість прокидання портів, складнощі з P2P |
Дані в таблиці узагальнені на основі RFC 3022, RFC 6598 та практичних описів від Cisco і Fortinet.
PAT — найпоширеніший варіант у побуті. Він дозволяє тисячам пристроїв ділити одну адресу завдяки портам (теоретично до 65 535 одночасних з’єднань на одну IP). CGNAT іде далі: провайдер дає вашому роутеру адресу з діапазону 100.64.0.0/10, а потім сам перетворює її на спільну публічну. У такій схемі ви опиняєтеся за подвійним NAT, і класичне прокидання портів уже не працює.
NAT у повсякденному житті: ігри, дзвінки та розумні пристрої
Більшість користувачів стикаються з NAT не через теорію, а через практичні незручності. У онлайн-іграх консолі та ПК показують тип NAT — Open (Type 1), Moderate (Type 2) або Strict (Type 3). Ці позначки не є офіційним стандартом, а спрощенням, яке використовують Microsoft, Sony та Nintendo.
Open означає, що вхідні з’єднання майже не обмежені. Moderate дозволяє більшість peer-to-peer сесій. Strict робить прямі з’єднання майже неможливими — гра йде через ретранслятори, зростає пінґ і з’являються проблеми з голосовим чатом.
У нашій практиці ми стикалися з таким випадком, коли користувач із «Strict NAT» не міг грати в кооперативний режим, поки не увімкнув UPnP і не закріпив IP-адресу консолі. Після цього тип змінився на Moderate, і проблеми зникли.
Відеодзвінки через WebRTC, деякі месенджери та torrent-клієнти також чутливі до типу NAT. Технології STUN і TURN допомагають «пробивати» NAT, але при Symmetric NAT навіть вони часто потребують ретрансляції через сервер.
Поширені помилки та як їх уникнути
- Вимкнення UPnP «для безпеки» без альтернативи. UPnP автоматично відкриває порти для додатків. Якщо вимкнути його і не налаштувати ручне прокидання, багато програм почнуть працювати гірше. Краще обмежити UPnP лише довіреними пристроями.
- Подвійний NAT. Коли і роутер провайдера, і ваш власний роутер виконують трансляцію, виникають проблеми з вхідними з’єднаннями. Рішення — перевести обладнання провайдера в режим мосту (bridge) або попросити публічну IP-адресу.
- Ігнорування CGNAT. Якщо публічна IP-адреса, яку показує сайт «what is my ip», не збігається з адресою на WAN-інтерфейсі роутера, ви за CGNAT. У такому випадку прокидання портів не спрацює — потрібна публічна адреса від провайдера або VPN з підтримкою port forwarding.
- Використання DMZ для всього. DMZ повністю відкриває один пристрій для інтернету. Це зручно, але небезпечно. Краще використовувати точкове прокидання портів.
Ці помилки зустрічаються регулярно, бо багато хто налаштовує мережу «раз і назавжди» і не перевіряє її після змін.
Чек-лист самоперевірки мережі
- Порівняйте публічну IP-адресу з сайту whatismyip з адресою на WAN-інтерфейсі роутера. Якщо вони різні — ви за CGNAT.
- Перевірте, чи увімкнено UPnP, і чи не блокує його файрвол.
- Закріпіть статичну локальну IP-адресу за пристроєм, якому потрібне прокидання портів.
- Перегляньте таблицю NAT у веб-інтерфейсі роутера (якщо доступна) під час активного з’єднання.
- Протестуйте тип NAT через вбудовані засоби консолі або онлайн-сервіси на базі STUN.
- Якщо є проблеми з конкретною грою чи програмою — знайдіть список потрібних портів і додайте їх вручну.
Після виконання цих кроків більшість типових проблем зникає без звернення до фахівців.
Коли варто звернутися до фахівця, а коли можна впоратися самому
Самостійно ви можете змінити тип NAT, налаштувати прокидання портів, увімкнути UPnP і перевірити наявність CGNAT. Ці дії вирішують 80–90 % побутових випадків.
До спеціаліста варто звертатися, якщо:
- ви маєте кілька рівнів роутерів і не можете знайти, де саме відбувається трансляція;
- потрібно налаштувати корпоративну мережу з кількома публічними адресами та політиками безпеки;
- після всіх спроб ігри чи VoIP-додатки все одно не працюють стабільно;
- ви підозрюєте конфлікт між NAT і VPN або між кількома VPN-клієнтами.
У таких ситуаціях фахівець може провести глибокий аналіз таблиць трансляції, логів і навіть запропонувати перехід на IPv6, де класичний NAT уже не потрібен.
Питання, які найчастіше задають користувачі
Чи є NAT захистом від хакерів?
Частково так. Він приховує внутрішні адреси, і незапрошені пакети ззовні зазвичай не потрапляють у мережу. Але це не повноцінний файрвол. Сучасні атаки обходять NAT через вразливості в додатках або через відкриті порти.
Чому після зміни роутера тип NAT став Strict?
Новий роутер міг мати інші налаштування UPnP, більш агресивний SPI-файрвол або працювати в режимі, який створює Symmetric NAT. Перевірте прошивку та налаштування безпеки.
Чи потрібен NAT у мережах IPv6?
Класичний NAT для економії адрес — ні. IPv6 має достатньо адрес. Однак іноді використовують NPTv6 (Network Prefix Translation) для інших цілей, наприклад, для спрощення маршрутизації або приховування топології.
Скільки пристроїв може працювати через один NAT?
Теоретично обмеження — кількість доступних портів (близько 65 тисяч). На практиці домашній роутер комфортно обслуговує 50–100 активних пристроїв. При більшій кількості починаються проблеми з вичерпанням таблиці трансляції.
NAT залишається однією з тих технологій, які більшість людей не помічає, поки вона не почне заважати. Розуміння його роботи дає можливість швидко діагностувати проблеми з іграми, віддаленим доступом чи відеозв’язком і вирішувати їх без зайвих витрат часу.
