De grote access providers zijn de afgelopen jaren massaal overgestapt op Carrier-Grade NAT (CGNAT). Daarbij worden meerdere NAT-lagen gecombineerd om nog meer internetgebruikers via een beperkt aantal publieke IPv4-adressen het net op te laten gaan.

De technische aanduiding NAT444 geeft al aan hoe een en ander in zijn werk gaat: De eindgebruiker krijgt net als bij traditioneel NAT (NAT44) een niet-gerouteerd adres uit de private reeksen gedefinieerd in RFC 1918 toegekend. Maar waar hij eerder aan de uplink-zijde van zijn modem een "echt" publiek IPv4-adres had, komt hij nu eerst op een tussenliggend netwerk van zijn access provider terecht. Speciaal daarvoor heeft IANA het adresblok 100.64.0.0/10 vrijgemaakt (in RFC 6598). Dat kan gebruikt worden door alle access providers en wordt dus ook alleen lokaal gerouteerd. In dit netwerk bevinden zich zowel de routers (CPE's) van de eindgebruikers, die nu aan beide kanten een privaat adres hebben, als de CGNAT gateways die voor die CPE routers als poort naar het echte internet fungeren.

Een voorbeeld van veiligheidsproblemen gelieerd aan CGNAT vinden we in de gaming-wereld. Daar blijken fanatieke spelers soms een DDoS-aanval te bestellen om hun tegenstander uit te schakelen. In opkomende landen zoals Brazilië, waar IPv4-adressen uiterst schaars zijn, kan een blacklisting echter tot gevolg hebben dat een hele ISP niet meer bereikbaar is.

Dergelijke "resolutieproblemen" spelen over de gehele breedte van systemen voor blacklisting/whitelisting en reputatie-management: bij vrijwel al deze tools is het IP-adres de primaire ingang. Dat betekent dat de DDoS-, spam- of scan-actie van een enkel persoon (of een besmet apparaat) kan leiden tot de blokkade van een hele groep mensen die allemaal datzelfde IP-adres delen.

Maar het kan ook andersom: als een groot aantal mensen een online dienst benadert vanaf hetzelfde, gedeelde IP-adres, kunnen al die afzonderlijke verzoeken gezamenlijk gezien worden als een aanval, waarna de toegang voor iedereen wordt geblokkeerd door een anti-spam/abuse-systeem.

Ons laatste voorbeeld betreft de filterdienst van OpenDNS. Hun dashboard laat je filters instellen voor het IP-adres waarvandaan je je DNS queries stuurt. Zit je met andere gebruikers achter een gedeeld IPv4-adres, dan blijken verschillende configuraties echter met elkaar te interfereren. De DNS resolvers hebben immers geen manier om verschillende gebruikers achter dat publieke IPv4-adres van elkaar te onderscheiden. Zo kun je bijvoorbeeld queries van anderen in je dashboard terugvinden en mogelijk ook de dienst voor hen verstoren.

Bron: SIDN.nl