NAT

Wat is Network Address Translation (NAT)?

Network Address Translation (NAT) is een techniek waarbij een Router of Firewall de IP-adressen (en vaak ook poortnummers) in de headers van passerende pakketten herschrijft, zodat apparaten uit het ene netwerk onder een ander adres zichtbaar zijn in een ander netwerk. NAT werd in 1994 beschreven in RFC 1631 als tijdelijke oplossing voor het opraken van IPv4-adressen en is sindsdien overal te vinden, van thuisrouters tot industriële firewalls. In OT-netwerken wordt NAT vooral gebruikt om machines met identieke adressen te koppelen aan het fabrieksnetwerk, zonder het interne IP-schema aan te passen.

NAT lost adresseringsproblemen op, geen beveiligingsproblemen. De bescherming komt van de firewallregels die ernaast staan.

🧠 Hoe werkt NAT?

Een NAT-apparaat staat op de grens tussen twee netwerken en houdt een translatietabel bij. Voor elk pakket dat de grens passeert, gebeurt het volgende:

1. Herschrijven - het bron- of bestemmingsadres (en bij poortvertaling ook het poortnummer) wordt vervangen door het vertaalde adres.
2. Checksums bijwerken - de IP-checksum en de TCP- of UDP-checksum worden opnieuw berekend, anders verwerpt de ontvanger het pakket.
3. Mapping onthouden - de combinatie intern adres/poort ↔ extern adres/poort komt in de tabel, zodat antwoordverkeer bij het juiste interne apparaat terechtkomt.
4. Mapping laten verlopen - na een periode zonder verkeer verdwijnt de regel. RFC 4787 (2007) eist voor UDP minimaal 2 minuten en adviseert 5 minuten of meer; RFC 5382 (2008) eist voor een opgezette TCP-verbinding minimaal 2 uur en 4 minuten.

Vooral dat laatste punt is in de industrie belangrijk: een PLC die maar eens per tien minuten via UDP communiceert, kan zijn mapping kwijtraken, waarna antwoorden niet meer aankomen.

🔄 Welke soorten NAT zijn er?

De terminologie is vastgelegd in RFC 2663 (1999) en RFC 3022 (2001). In de praktijk komt u deze varianten tegen:

Bij NAPT delen honderden apparaten één publiek adres via verschillende bronpoorten; per adres zijn er ruim 64.000 poorten beschikbaar. De privé-adresreeksen 10.0.0.0/8, 172.16.0.0/12 en 192.168.0.0/16 komen uit RFC 1918 (1996). NAT is overigens niet nodig om te routeren: het lost vooral het probleem op van privé- of overlappende adressen.

🏭 Waarom gebruiken OT-netwerken NAT?

• Identieke machines - OEM’s leveren hun machines vaak met hetzelfde standaard-subnet, bijvoorbeeld 192.168.1.0/24. Met 1:1 NAT krijgt elke machine een uniek adres in het OT-netwerk, terwijl de interne configuratie gelijk blijft.
• Geen herprogrammering - IP-adressen zitten in PLC-programma’s, HMI-projecten en O-configuraties. Wijzigen kost engineeringtijd en vaak hertesten; NAT omzeilt dat.
• Overlappende adressen na fusies - twee fabrieken die beide 10.0.0.0/8 gebruiken, kunnen via NAT toch data uitwisselen.
• Koppeling met IT en de DMZ/IDMZ - het machinenetwerk blijft verborgen achter een beperkt aantal vertaalde adressen.
• Remote toegang - een VPN-gateway of jump server bereikt via DNAT precies één PLC of HMI, zonder het hele subnet bloot te stellen.
• Uitgaande verbindingen naar de cloud - een edge-gateway stuurt via NAPT data naar een clouddienst of MQTT-broker. Omdat de verbinding van binnenuit start, is geen inkomende NAT-regel nodig.

Rockwell Automation biedt hiervoor bijvoorbeeld de 1783-NATR, een router met 1:1 NAT voor maximaal 32 vertalingen. Ook industriële security-routers van onder meer Siemens (SCALANCE S) en Phoenix Contact (mGuard) ondersteunen NAT.

🔧 Welke industriële protocollen werken goed of slecht met NAT?

NAT herschrijft alleen headers. Protocollen die IP-adressen in de inhoud meesturen, of die helemaal niet via IP lopen, hebben daarom problemen.

Voor protocollen met adressen in de payload, zoals FTP, bestaan Application Level Gateways (ALG’s) die ook de inhoud aanpassen. Die zijn foutgevoelig en voor industriële protocollen zelden beschikbaar.

🔐 Is NAT een beveiligingsmaatregel?

Nee. NAT maakt interne adressen onzichtbaar, en NAPT blokkeert ongevraagd inkomend verkeer als bijeffect, maar dat is geen bewuste toegangscontrole. Waar u op moet letten:

• Combineer altijd met een stateful Firewall en expliciete regels voor toegangscontrole; een DNAT-regel opent anders een directe route naar een PLC.
• Zones en conduits - NAT past binnen het zone- en conduitmodel van IEC 62443, maar vervangt niet de netwerksegmentatie die IEC 62443-3-3 eist.
• Zichtbaarheid - Logging, audits en netwerkmonitoring zien na NAT alleen het vertaalde adres. Log daarom de NAT-tabel of plaats een IDS aan de binnenkant.
• Documentatie - houd een actuele lijst bij van alle mappings; vergeten port-forwards zijn een bekende oorzaak van onbedoeld bereikbare HMI’s.
• Defense in Depth - NAT is hooguit een extra laag en mag niet als vervanging voor Security worden gezien.

🛠️ Hoe richt u NAT in voor een machinelijn?

Een gangbare aanpak bij het integreren van identieke OEM-machines:

1. Inventariseer per machine het interne subnet, de apparaten die van buiten bereikbaar moeten zijn en de gebruikte protocollen.
2. Kies een adresblok in het fabrieksnetwerk per machine, bijvoorbeeld 10.20.11.0/24 voor machine 1 en 10.20.12.0/24 voor machine 2.
3. Configureer 1:1 NAT alleen voor de apparaten die werkelijk communiceren (PLC, HMI), niet voor het hele subnet.
4. Stel firewallregels in op poortniveau, bijvoorbeeld alleen TCP 4840 van de SCADA-server naar de PLC.
5. Controleer time-outs voor UDP-verkeer en gebruik keep-alives bij verbindingen met weinig verkeer.
6. Test en documenteer de mappings in het netwerkontwerp en neem ze op in het wijzigingsbeheer.

🔍 Wat zijn de voordelen en beperkingen van NAT?

OPC UA en MQTT zijn veel NAT-vriendelijker dan oudere industriële protocollen, omdat ze één vaste poort gebruiken en de verbinding van binnenuit kunnen opzetten.

❓ Veelgestelde vragen

Wat is het verschil tussen NAT en PAT?

Bij klassieke NAT wordt alleen het IP-adres vertaald, vaak één op één. Bij PAT (formeel NAPT) wordt ook het poortnummer vertaald, zodat veel interne apparaten één extern IP-adres kunnen delen.

Beschermt NAT een PLC tegen aanvallen?

NAT verbergt het interne adres van een PLC, maar is geen bewuste toegangscontrole. Een PLC achter NAT is pas beschermd als een stateful firewall alleen het noodzakelijke verkeer toestaat en de NAT-regels goed worden beheerd.

Waarom werkt PROFINET niet via NAT?

PROFINET RT-verkeer loopt rechtstreeks over Ethernet op laag 2 en heeft geen IP-header die NAT kan vertalen. NAT kan daarom alleen de IP-gebaseerde onderdelen van een PROFINET-installatie, zoals engineering- of diagnoseverkeer, tussen netwerken vertalen.

Heeft IPv6 nog NAT nodig?

IPv6 heeft genoeg adressen om NAT voor adresbesparing overbodig te maken. In OT wordt IPv6 nog weinig gebruikt, en varianten zoals NPTv6 en NAT64 bestaan vooral voor overgangssituaties en prefixonafhankelijkheid.

Wanneer gebruikt u 1:1 NAT in een fabriek?

1:1 NAT is de standaardkeuze wanneer meerdere identieke machines hetzelfde interne IP-schema hebben en vanaf het fabrieksnetwerk bereikbaar moeten zijn. Elk intern apparaat krijgt dan een vast, uniek extern adres, terwijl de machineconfiguratie ongewijzigd blijft.

Waarom valt een verbinding via NAT soms weg?

Een NAT-apparaat verwijdert een mapping na een periode zonder verkeer. Bij UDP is die time-out vaak slechts enkele minuten, waardoor zeldzame berichten hun mapping kwijtraken; keep-alives of een langere time-out lossen dat op.

📌 Samengevat

Network Address Translation (NAT) vertaalt IP-adressen tussen netwerken en maakt het mogelijk identieke machines en overlappende adresschema’s te koppelen tussen OT en IT. NAT is nuttig voor remote toegang, netwerkscheiding en IP-beheer, maar is alleen veilig in combinatie met firewallregels, segmentatie en goede documentatie.