KIT DLS18

Network Addres Translation (NAT)

NAT (Network Address Translation) adalah adalah sebuah proses pemetaan alamat IP dimana perangkat jaringan komputer akan memberikan alamat IP public ke perangkat jaringan local sehingga banyak IP private yang dapat mengakses IP public.

Network Address Translation (NAT)

1. Pengertian Network Address Translation (NAT)

Class Type	Start Address	End Address
Class A	10.0.0.0	10.255.255.254
Class B	172.16.0.0	172.31.255.254
Class C	192.168.0.0	192.168.255.254

Network Address Translation (NAT) adalah suatu metoda pokok yang memungkinkan
komputer yang mempunyai address yang tidak terdaftar atau komputer yang menggunakan
address private, untuk bisa mengakses Internet. Ingat pada diskusi IP address sebelumnya
bahwa IP address private tidak bisa di route ke internet (non-routed), hanya dipakai pada
jaringan internal yang berada pada range berikut:

       

    

Untuk setiap paket yang dihasilkan oleh client, implementasi Network Address Translation
(NAT) menggantikan IP address yang terdaftar kepada IP address client yang tidak terdaftar.
Ada tiga macam jenis dasar Network Address Translation (NAT):

A.   Ada tiga jenis TIPE dasar Network Address Translation (NAT):

1.Static

    NAT

Network Address Translation (NAT) menterjemahkan sejumlah IP address tidak terdaftar menjadi sejumlah IP address yang terdaftar sehingga setiap client dipetakkan kepada IP address terdaftar yang dengan jumlah yang sama.                                                                                                                                                                      NAT Static Jenis NAT ini merupakan pemborosan IP address terdaftar, karena setiap IP address yang tidak terdaftar (un-registered IP) dipetakan kepada satu IP address terdaftar. Static NAT ini juga tidak seaman jenis NAT lainnya, karena setiap komputer secara permanen diasosiasikan kepada address terdaftar tertentu, sehingga memberikan kesempatan kepada para penyusup dari Internet untuk menuju langsung kepada komputer gtertentu pada jaringan private anda menggunakan address terdaftar tersebut.

2.Dynamic                                                                                                        NAT Dynamic Network Address Translation dimaksudkan untuk suatu keadaan dimana anda mempunyai IP address terdaftar yang lebih sedikit dari jumlah IP address un-registered. Dynamic NAT menterjemahkan setiap komputer dengan IP tak terdaftar kepada salah satu IP address terdaftar untuk connect ke internet. Hal ini agak menyulitkan para penyusup untuk menembus komputer didalam jaringan anda karena IP address terdaftar yang diasosiasikan ke komputer selalu berubah secara dinamis, tidak seperti pada NAT statis yang dipetakan sama. Kekurangan utama dari dynamis NAT ini adalah bahwa jika jumlah IP address terdaftar sudah terpakai semuanya, maka untuk komputer yang berusaha connect ke Internet tidak lagi bisa karena IP address terdaftar sudah terpakai semuanya.                                                                                                    

3.Masquerading NAT

Masquerading NAT ini menterjemahkan semua IP address tak terdaftar pada jaringan anda dipetakan kepada satu IP address terdaftar. Agar banyak client bisa mengakses Internet secara bersamaan, router NAT menggunakan nomor port untuk bisa membedakan antara paket-2 yang dihasilkan oleh atau ditujukan komputer-2 yang berbeda. Solusi Masquerading ini memberikan keamanan paling bagus dari jenis-2 NAT sebelumnya, kenapa? Karena asosiasi antara client dengan IP tak terdaftar dengan kombinasi IP address terdaftar dan nomor port didalam router NAT hanya berlangsung sesaat terjadi satu kesempatan koneksi saja, setelah itu dilepas.

NAT Masquerading
Keamanan NAT Kebanyakan implementasi NAT sekarang ini mengandalkan pada teknik jenis Masquerading NAT karena meminimalkan jumlah kebutuhan akan IP address terdaftar dan memaksimalkan keamanan yang diberikan olen Network Address Translation (NAT). Akan tetapi perlu dicatat bahwa NAT itu sendiri, walau memakai jenis NAT yang paling aman – Masquerading, bukanlah suatu firewall yang sebenarnya dan tidak memberikan suatu perisai besi keamanan untuk suatu situasi yang beresiko tinggi. NAT pada dasarnya hanya memblokir tamu tak diundang (unsolicited request) dan semua usaha penjajagan atau usaha scanning dari internet, yang berarti suatu pencegahan dari usaha para penyusup untuk mencari file share yang tidak di proteksi atau private Web ataupun FTP server. Akan tetapi, NAT tidak bisa mencegah user di Internet untuk meluncurkan suatu usaha serangan DoS (Denial of Services) terhadap komputer yang ada
dijaringan private anda. Ataupun tidak bisa mencegah usaha-2 lain dengan teknik yang lebih
kompleks untuk melakukan kompromi jaringan.

B.Macam-Macam jenis NAT.

1.    Full cone NAT


2.    Restricted cone NAT

3.    Port restricted cone NAT
4.    Symmetric NAT

C.  Alasan menggunakan NAT dalam jaringan :
1.    Menghemat IP legal yang diberikan oleh ISP (Internet service provider)
2.    Mengurangi terjadinya duplikasi IP address pada jaringan
3.    Menghindari proses pengalamatan kembali pada saat jaringan berubah
4.    Meningkatkan fleksibilitas untuk koneksi ke internet

D.  fungsi nat (network address translation)

NAT merupakan perpindahan suatu alamat ip ke alamat ip lain.
ada dua macam NAT yaitu
dnat (destination network address translation)

digunakan untuk meneruskan (redirect) paket dari ip publik melalui firewall ke dalam suatu host misalnya dalam DMZ.
dnat hanya bekerja untuk tabel nat.tabel NAT berisi 3 bagian yang disebut "chain" setiap aturan akan diperiksa secara berurutan sampai ada satu yang tepat. kedua chain disebut PREROUTING dan POSTROUTING dan yang ke 3 OUTPUT atau chain buatan yang di panggil oleh kedua chain tersebut.

snat (source network address translation)
dipergunakan untuk merubah source address dari suatu paket data. target ini berlaku hanya pada kolom postrouting  dan hanya disinilah snat bisa di lakukan sebagai contoh penggunaan snat pada gateway internet.

E.Network Address Translation dan Stateful Packet Inspection

Beberapa implementasi NAT juga melibatkan tambahan keamanan, biasanya secara umum menggunakan teknik yang disebut Stateful Packet Inspection (SPI). Stateful Packet Inspection adalah istilah generic pada proses dimana NAT router memeriksa paket yang datang dari internet dilakukan lebih teliti dan lebih seksama dari biasanya. Pada umumnya implementasi NAT, router hanya konsen pada IP address dan port dari paket yang melewatinya. Suatu router NAT yang mendukung Stateful
packet inspection memeriksa sampai ke header layer network dan layer transport juga, memeriksa pola yang mempunyai tingkah laku berbahaya, seperti IP spoofing, SYN floods, dan serangan teardrop. Banyak produsen router mengimplementasikan stateful packet inspection dalam berbagai bentuk dan cara, jadi tidak semua router NAT dengan kemampuan Stateful packet inspection ini  mempunyai tingkat perlindungan keamanan yang sama.

F.Solusi NAT

Seperti didiskusikan sebelumnya, keputusan untuk design jaringan seharusnya
mempertimbangkan berikut ini:

• Ukuran besarnya jaringan private anda 
• Kebutuhan akan keamanan jaringan dalam organisasi

NAT adalah solusi yang memadai jika:

• Akses ke internet dan akses ke jaringan tidak dibatasi berdasarkan user per user. Tentunya anda tidak memberikan akses internet ke semua user dalam jaringan anda bukan?
• Jaringan private berisi user didalam lingkungan yang tidak bisa di routed.
• Organisasi anda memerlukan address private untuk komputer-2 pada jaringan private.

Suatu server NAT memerlukan paling tidak 2 interface jaringan.

• Setiap interface memerlukan IP address, range IP address yang diberikan haruslah berada dalam subnet yang sama dengan jaringan dimana ia terhubung.
• Subnet mask juga harus sama dengan subnet mask yang diberikan pada segmen jaringan dimana dia terhubung

Suatu server NAT dapat diletakkan pada
jaringan untuk melaksanakan tugas-2 tertentu:

• Mengisolasi traffic jaringan pada segmen jaringan sumber, tujuan, dan segmen jaringan intermediate
• Membuat partisi subnet didalam jaringan private, melindungi data confidential.
• Pertukaran paket jaringan antara jenis segmen jaringan yang berbeda

Didalam design kebanyakan wireless router yang ada dipasaran sekarang ini, sudah banyak yang mengadopsi kemampuan Network Address Translation (NAT) dan Stateful Packet Inspection (SPI) ini kedalam piranti router. Baca juga artikel yang berhubungan dengan NAT pada guideline masalah keamanan firewall. Salam.

NetworkAddressTranslation (NAT)

Dalam FreeBSD, mekanisme Network Address Translation (NAT) dijalankan oleh program Natd yang bekerja sebagai daemon. Network Address Translation Daemon (Natd) menyediakan solusi untuk permasalahan penghematan ini dengan cara menyembunyikan IP address jaringan internal, dengan membuat paket yang di-generate di dalam terlihat seolah-olah dihasilkan dari mesin yang memiliki IP address legal. Natdmemberikan konektivitas ke dunia luar tanpa harus menggunakan IP address legal dalam jaringan internal.

Natd menyediakan fasilitas Network Address Translation untuk digunakan dengan socket divert. Natd mengubah semua paket yang ditujukan ke host lain sedemikian sehingga source IP addressnya berasal dari mesin Natd. Untuk setiap paket yang diubah berdasarkan aturan ini, dibuat tabel translasi untuk mencatat transaksi ini.

Dengan NAT, aturan bahwa untuk berkomunikasi harus menggunakan IP address legal, dilanggar.NAT bekerja dengan jalan mengkonversikan  IP-IP address ke satu atau lebih IP address lain. IP address yang dikonversi adalah IP address yang diberikan untuk tiap mesin dalam jaringan internal (bisa sembarang IP). IP address yang menjadi hasil konversi terletak di luar jaringan internal tersebut dan merupakan IP address legal yang valid/routable.

G.Mekanisme NAT

Sebuah paket TCP terdiri dari header dan data. Header memiliki sejumlah field di dalamnya, salah satu field yang penting di sini adalah MAC (Media Access Control) address asal dan tujuan, IP address asal dan tujuan, dan nomor port asal dan tujuan.

Saat mesin A menghubungi mesin B, header paket berisi IP A sebagai IP address asal dan IP B sebagai IP address tujuan. Header ini juga berisi nomor port asal (biasanya dipilih oleh mesin pengirim dari sekumpulan nomor port) dan nomor port tujuan yang spesifik, misalnya port 80 (untuk web).

Kemudian B menerima paket pada port 80 dan memilih nomor port balasan untuk digunakan sebagai nomor port asal menggantikan port 80 tadi. Mesin B lalu membalik IP address asal & tujuan dan nomor port asal & tujuan dalam header paket. Sehingga keadaan sekarang IP B adalah IP address asal dan IP A adalah IP address tujuan. Kemudian B mengirim paket itu kembali ke A. Selama session terbuka, paket data hilir mudik menggunakan nomor port yang dipilih.

Router (yang biasa – tanpa Natd) memodifikasi field MAC address asal & tujuan dalam header ketika me-route paket yang melewatinya. IP address, nomor port, dan nomor sequence asal & tujuan tidak disentuh sama sekali.

NAT juga bekerja atas dasar ini. Dimulai dengan membuat tabel translasi internal untuk semua IP address jaringan internal yang mengirim paket melewatinya. Lalu men-set tabel nomor port yang akan digunakan oleh IP address yang valid. Ketika paket dari jaringan internal dikirim ke Natd untuk disampaikan keluar, Natdmelakukan hal-hal sebagai berikut:

1. Mencatat IP address dan port asal dalam tabel translasi

2. Menggantikan nomor IP asal paket dengan nomor IP dirinya yang valid

3. Menetapkan nomor port khusus untuk paket yang dikirim keluar, memasukkannya dalam tabel translasi dan menggantikan nomor port asal tersebut dengan nomor port khusus ini.

Ketika paket balasan datang kembali,  Natd mengecek nomor port tujuannya. Jika ini cocok dengan nomor port yang khusus telah ditetapkan sebelumnya, maka dia akan melihat tabel translasi dan mencari mesin mana di jaringan internal yang sesuai. Setelah ditemukan, ia akan menulis kembali nomor port dan  IP address tujuan dengan IP address dan nomor port asal yang asli yang digunakan dulu untuk memulai koneksi. Lalu mengirim paket ini ke mesin di jaringan internal yang dituju. Natd memelihara isi tabel translasi selama koneksi masih terbuka.

Gambar Contoh Mekanisme Natd

H.Perbedaan dengan sistem Proxy

Hampir mirip dengan NAT, suatu jaringan kecil dengan proxy bisa menempatkan beberapa mesin untuk mengakses web dibelakang sebuah mesin yang memiliki IP address valid. Ini juga merupakan langkah penghematan biaya dibanding harus  menyewa beberapa account dari ISP dan memasang modem & sambungan telepon pada tiap mesin.

Namun demikian, proxy server ini tidak sesuai untuk jaringan yang lebih besar. Bagaimanapun, menambah hard disk dan RAM pada server proxy supaya proxy berjalan efisien tidak selalu dapat dilakukan (karena constraint biaya). Lagi pula, persentase web page yang bisa dilayani oleh cache proxy akan makin menurun sejalan dengan semakin menipisnya ruang kosong di hard disk, sehingga penggunaan cache proxy menjadi tidak lebih baik dari pada sambungan langsung. Tambahan lagi, tiap koneksi bersamaan akan  meng-generate proses tambahan dalam proxy. Tiap proses ini harus menggunakan disk I/O channel yang sama, dan saat disk I/O channel jenuh, maka terjadilah bottle neck.

NAT menawarkan solusi yang lebih fleksibel dan scalable. NAT menghilangkan keharusan mengkonfigurasi proxy/sock dalam tiap client. NAT lebih cepat dan mampu menangani trafik network untuk beribu-ribu user secara simultan.

Selain itu, translasi alamat yang diterapkan dalam NAT, membuat para cracker di Internet tidak mungkin menyerang langsung sistem-sistem di dalam jaringan internal. Intruder harus menyerang dan memperoleh akses ke mesin NAT dulu sebelum menyiapkan serangan ke mesin-mesin di jaringan internal. Penting di ketahui bahwa, sementara dengan NAT jaringan internal terproteksi, namun untuk masalah security, tetap saja diperlukan paket filtering dan metoda pengamanan lainnya dalam mesin NAT.

I.Contoh Kasus Installasi Natd

Sebuah perusahaan kecil memiliki sejumlah komputer dan sambungan ke Internet. Komputer-komputer itu saat ini telah membentuk suatu LAN. Sambungan Internet-nya diasumskan berupa dedicated T1 link

Langkah-langkah yang harus dilakukan.

1.    Installasi FreeBSD

      Sediakan satu komputer untuk dijadikan Gateway. Penulis menyarankan penggunaan FreeBSD RELEASE 2.2.6 (Natd hanya jalan di FreeBSD 2.2.1 ke atas), karena selain gratis juga requirement hardware-nya tidak terlalu boros. PC 486 dengan 16 MB memory dan HD 850 MB juga sudah cukup mewah.

      Untuk mengetahui proses installasi FreeBSD, silahkan baca kembali tulisan-tulisan di Infokomputer sebelumnya dan manual FreeBSD sendiri.

2.   Installasi Gateway

      Pasang 2 network interface agar mesin ini menjadi gateway. Network Card (misal NE2000 atau 3COM) satu dihubungkan ke jaringan internal dan satu lagi  untuk koneksi ke ISP. Misalnya dua-duanya NE2000 Compatible. maka nick untuk card yang menghadap ke dalam adalah ed0 dan untuk card yang menghadap keluar adalah ed1.

      Pastikan juga option gateway = ”YES”tertulis dengan benar dalam file rc.conf. Atau bisa juga dengan mengetik perintah: sysctl -w net.inet.ip.forwarding=1

3.      Installasi Firewall

      Pasang IP firewall di mesin FreeBSD ini. Caranya adalah :

a.       Edit kernel source di /usr/src/sys/i386/conf

Tambahkan option-option berikut ini pada file kernel.

     options         IPFIREWALL

options         IPFIREWALL_VERBOSE

options         “IPFIREWALL_VERBOSE_LIMIT=100”

options         IPDIVERT

b.       Compile kernel tersebut

c.       Aktifkan firewall di rc.conf dengan menambahkan

firewall="YES"

firewall_type="OPEN"

3.      Installasi Natd

      Langkah-langkahnya adalah sbb:

a.      Download source nya di ftp://ftp.suutari.iki.fi/pub/natd

b.     Unzip dan untar archive tersebut dengan perintah

gzip -dc natd_1.12.tar.gz | tar -xvf -

c.      Lakukan make dan make install di direktori yang dihasilkan. Ketikkan perintah berikut:

cd natd_1.12

make

make install

d.        Edit startup file supaya Natd berjalan secara otomatis

Buat file natd.sh di /usr/local/etc/rc.d. Isi file tersebut adalah

#!/bin/sh

        /sbin/ipfw -f flush

        /sbin/ipfw add divert 13494 ip from any to any via ed0

        /sbin/ipfw add pass all from 127.0.0.1 to 127.0.0.1

        /sbin/ipfw add pass ip from any to any

        /usr/local/sbin/natd -port 13494  -interface ed0

Arti dari file ini adalah:

v  Hapuskan semua rule firewall

v  Tambahkan feature divert di port 13494 (Anda bisa mengganti ini dengan port yang Anda inginkan) untuk mendiversi paket dari dan ke gateway lewat interface ed0

v  Bolehkan semua paket lewat di atas local host

v  Bolehkan semua paket IP lewat semua interface

v  Jalankan Natd dengan menjadi daemon yang menunggu di port 13494 via interface ed0.

            Reboot mesin FreeBSD-nya supaya setting bisa diaktifkan.

J.KEUNTUNGAN DAN KERUGIAN PENGGUNAAN NAT DALAM ADMINISTRASI JARINGAN

Internet Protocol Address (alamat IP) merupakan suatu komponen vital dalam dunia internet, karena alamat IP dapat dikatakan sebagai identitas dari pemakai internet, sehingga antara satu alamat dengan alamat lainnya tidak boleh sama. Pada awal perkembangan internet digunakan IP versi 4 (IPv4) yang penggunaannya masih dirasakan sampai sekarang.

Sebelum terciptanya internet protokol, jaringan memiliki peralatan dan protokol tersendiri yang digunakan untuk saling berhubungan, sehingga mainframe vendor A tidak dapat berkomunikasi dengan mini computer pada vendor B, begitu pun sebaliknya. Dari permasalahan tersebut, kemudian dibuatlah suatu protokol yang dapat digunakan secara umum untuk menyatukan berbagai perbedaan dalam penggunaan perangkat yang terhubung didalam jaringan. Protokol tersebutlah yang sampai saat ini masih mendominasi dalam pemakaiannya oleh masyarakat banyak, yaitu internet protokol versi 4 atau disingkat IPv4.

Gambar 1  Contoh Pengalamatan IPv4

IPv4 yang kita kenal saat ini, dibagi dalam beberapa kelas. Alasan pembagian kelas tersebut adalah :

• Memudahkan  sistem pengelolaan dan pengaturan alamat-alamat.
• Memanfaatkan jumlah alamat yang ada secara optimum (tidak ada alamat yang terlewat).
• Memudahkan pengorganisasian jaringan di seluruh dunia dengan membedakan jaringan tersebut termasuk kategori besar, menengah, atau kecil.
• Membedakan antara alamat untuk jaringan dan alamat untuk host/router.

Gambar 2  Pembagian Kelas pada IPv4

             

Network Address Translation atau NAT adalah suatu metode untuk menghubungkan lebih dari satu komputer ke jaringan internet dengan menggunakan satu alamat IP. Banyaknya penggunaan metode ini disebabkan karena ketersediaan alamat IP yang terbatas, kebutuhan akan keamanan (security), dan kemudahan serta fleksibilitas dalam administrasi jaringan. Saat ini, protokol IP yang banyak digunakan adalah IP versi 4 (IPv4, memiliki panjang alamat 4 byte berarti terdapat 2 pangkat 32 = 4.294.967.296 alamat IP yang tersedia. Jumlah ini secara teoretis adalah jumlah komputer yang dapat langsung koneksi ke internet.

Keterbatasan alamat pada IPv4 merupakan masalah pada jaringan global atau Internet. Untuk memaksimalkan penggunakan alamat IP yang diberikan oleh Internet Service Provider (ISP), maka dapat digunakan Network Address Translation atau sering disingkat dengan NAT. NAT membuat jaringan yang menggunakan alamat lokal (private), alamat yang tidak boleh ada dalam tabel routing Internet dan dikhususkan untuk jaringan lokal/intranet, agar dapat berkomunikasi ke Internet dengan jalan meminjam alamat IP internet yang dialokasikan oleh ISP.

Gambar 3 Network Address Translation (NAT)

Dengan teknologi NAT maka dimungkinkan alamat IP lokal/ private terhubung ke jaringan publik seperti internet. Sebuah router NAT ditempatkan antara jaringan lokal (inside network) dan jaringan publik (outside network), dan mentranslasikan alamat lokal/internal menjadi alamat IP global yang unik sebelum mengirimkan paket ke jaringan luar seperti Internet. Sehingga dengan NAT, jaringan internal/lokal tidak akan terlihat oleh dunia luar/internet.

K.Keuntungan Dan Kerugian Menggunakan Network Address Translation

Keuntungan penggunaan NAT, antara lain :

• Menghemat alamat IP legal yang ditetapkan oleh NIC atau service provider
• Mengurangi terjadinya duplikat alamat jaringan
• Meningkatkan fleksibilitas untuk koneksi ke internet
• Menghindarkan proses pengalamatan kembali (readdressing) pada saat jaringan berubah
• Meningkatkan keamanan sebuah jaringan.
• Memberikan keluwesan dan performa dibandingkan aplikasi alternatif setingkat proxy.

Kerugian penggunaan NAT, antara lain :

• Translasi menimbulkan delay switching
• Menghilangkan kemampuan trace (traceability) end to end IP
• Aplikasi tertentu tidak dapat berjalan jika menggunakan NAT, khususnya NAT yang menggunakan software