NAT là gì? Network Address Translation trong mạng máy tính

NAT (Network Address Translation) là kỹ thuật mạng cho phép hàng triệu thiết bị trong nhà và văn phòng cùng chia sẻ một địa chỉ IP công cộng duy nhất — giải pháp thực tế cho bài toán cạn kiệt IPv4. Bài viết giải thích NAT là gì, cơ chế PAT, và cách NAT hoạt động trong router gia đình, cloud VPC và Docker.

NAT là gì?

NAT (Network Address Translation) là quá trình router hoặc firewall chuyển đổi địa chỉ IP trong header của packet khi packet đi qua thiết bị đó. Mục tiêu ban đầu: cho phép nhiều thiết bị trong mạng nội bộ dùng chung một địa chỉ IP công cộng.

Năm 1996, IANA dự báo IPv4 sẽ cạn kiệt — và họ đúng (thực tế xảy ra vào năm 2011). NAT là "phao cứu sinh" kéo dài tuổi thọ của IPv4 thêm 15+ năm bằng cách tách biệt không gian địa chỉ riêng khỏi internet công cộng.

Private IP ranges (không route được trên internet):

• 10.0.0.0/8 — Class A, lên đến 16 triệu địa chỉ nội bộ
• 172.16.0.0/12 — Class B, dành cho mạng doanh nghiệp vừa
• 192.168.0.0/16 — Class C, phổ biến trong mạng gia đình (65,536 địa chỉ)

Thiết bị trong mạng nội bộ có thể dùng bất kỳ địa chỉ nào trong các dải này mà không cần đăng ký với IANA, vì chúng không bao giờ xuất hiện trực tiếp trên internet công cộng.

3 Loại NAT phổ biến

Static NAT (NAT tĩnh)

Ánh xạ 1-to-1 cố định: một private IP luôn tương ứng với một public IP cố định. Phù hợp cho web server, mail server cần địa chỉ cố định để người dùng bên ngoài có thể kết nối vào.

Ví dụ: 192.168.1.10 ↔ 203.0.113.10 (cố định, luôn luôn)

Dynamic NAT (NAT động)

Router duy trì một pool nhiều public IP và cấp tạm thời cho thiết bị khi cần. Khi thiết bị ngắt kết nối, IP được trả lại pool. Ít phổ biến hiện nay vì vẫn cần nhiều public IP.

PAT — Port Address Translation (NAT Masquerade)

Đây là loại phổ biến nhất — nhiều private IP dùng chung một public IP, phân biệt nhau bằng port number. Còn gọi là "IP Masquerading" trên Linux hay "NAT Overload" trên Cisco.

99% home router và hầu hết corporate router dùng PAT. Một router gia đình với một public IP có thể phục vụ hàng chục thiết bị đồng thời nhờ cơ chế này.

Cơ chế PAT hoạt động chi tiết

Khi máy tính 192.168.1.10 gửi DNS request đến 8.8.8.8:53:

1. Packet gốc: src=192.168.1.10:52341, dst=8.8.8.8:53
2. Router thay thế: src=203.0.113.1:40001, dst=8.8.8.8:53
3. Router lưu vào NAT table: 192.168.1.10:52341 ↔ 203.0.113.1:40001
4. DNS response về: dst=203.0.113.1:40001
5. Router tra NAT table → forward về 192.168.1.10:52341

NAT table là bộ nhớ trạng thái (stateful) — router theo dõi mọi connection đang hoạt động. Khi connection kết thúc hoặc timeout, entry được xóa.

NAT trên Linux với iptables

Linux có thể hoạt động như một NAT router với iptables. Đây là cấu hình phổ biến cho home lab hoặc cloud instance làm gateway:

 1# Bật IP forwarding (cho phép Linux forward packet giữa các interface)
 2echo 1 > /proc/sys/net/ipv4/ip_forward
 3
 4# Cố định qua sysctl
 5echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
 6sysctl -p
 7
 8# NAT Masquerade: traffic từ mạng nội bộ ra internet qua eth0
 9iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
10
11# Port forwarding (DNAT): chuyển port 8080 bên ngoài vào 192.168.1.10:80
12iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 \
13  -j DNAT --to-destination 192.168.1.10:80
14iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 80 -j ACCEPT
15
16# Lưu rules để tồn tại qua reboot
17iptables-save > /etc/iptables/rules.v4

Để xem NAT table hiện tại:

1# Xem connection tracking table (conntrack)
2conntrack -L
3# hoặc
4cat /proc/net/nf_conntrack
5
6# Xem iptables NAT rules
7iptables -t nat -L -n -v

NAT trong Docker

Docker tự động tạo NAT rules khi khởi động container trong bridge network:

1# Docker bridge network tự động tạo NAT rules
2docker network inspect bridge
3
4# Xem iptables rules Docker tạo ra
5sudo iptables -t nat -L DOCKER -n -v
6
7# Port mapping (-p 8080:80) tạo DNAT rule
8docker run -p 8080:80 nginx
9# Tương đương: iptables DNAT :8080 → 172.17.0.2:80

Container trong bridge network nhận IP từ dải 172.17.0.0/16 theo mặc định. Khi container gửi traffic ra ngoài, Docker host thực hiện MASQUERADE thay IP container bằng IP của host.

NAT trong Cloud (AWS VPC)

AWS VPC sử dụng NAT Gateway để cho private subnet có thể truy cập internet mà không cần public IP:

Luồng traffic: Private subnet EC2 → NAT Gateway (trong public subnet) → Internet Gateway → Internet

Đặc điểm AWS NAT Gateway:

• Có Elastic IP (static public IP) — cần whitelist ở phía đối tác
• Managed service — AWS tự scale, không cần quản lý
• Tính phí theo giờ ($0.045/giờ) + data processed ($0.045/GB)
• High availability trong một AZ — cần tạo NAT Gateway trong mỗi AZ để redundancy

Terraform example:

 1resource "aws_eip" "nat" {
 2  domain = "vpc"
 3}
 4
 5resource "aws_nat_gateway" "main" {
 6  allocation_id = aws_eip.nat.id
 7  subnet_id     = aws_subnet.public.id
 8}
 9
10> [Subnet và CIDR là gì? Chia mạng IP và định tuyến hiện đại](/subnet-cidr-la-gi/)
11
12
13resource "aws_route" "private_internet" {
14  route_table_id         = aws_route_table.private.id
15  destination_cidr_block = "0.0.0.0/0"
16  nat_gateway_id         = aws_nat_gateway.main.id
17}

Vấn đề của NAT: NAT Traversal

NAT chặn inbound connections — thiết bị bên ngoài không thể chủ động kết nối vào thiết bị sau NAT vì không biết private IP là gì. Đây là vấn đề với:

• VoIP & Video call: WebRTC cần kết nối P2P trực tiếp. Giải pháp: STUN (phát hiện public IP/port) + TURN (relay server khi P2P không được) + ICE framework
• P2P gaming: Game console sau NAT cần "hole punching" — cả hai bên cùng gửi packet để mở cổng trong NAT table
• Self-hosted server: Cần port forwarding hoặc VPN reverse tunnel (như Cloudflare Tunnel, ngrok)
• Symmetric NAT: Dạng NAT khắt khe nhất — dùng port khác nhau cho mỗi destination, làm WebRTC khó hoạt động hơn

VPN là gì? Mạng riêng ảo, WireGuard và OpenVPN

NAT64: Cầu nối IPv4 ↔ IPv6

Khi internet dần chuyển sang IPv6, NAT64 cho phép client IPv6 kết nối đến server IPv4:

• Client IPv6 → NAT64 gateway → Server IPv4
• NAT64 gateway dịch IPv6 packet thành IPv4 và ngược lại
• Kết hợp với DNS64 để resolve tên miền IPv4-only thành địa chỉ IPv6 tổng hợp

Kubernetes là gì? Container orchestration và Pod networking