Masquerading mit Linux

Masquerading

Bei Masquerading handelt es sich streng genommen um eine spezielle Art von Adressumsetzung. Diese wird auch SNAT (Source Network Address Translation) genannt. Bei Paketen von intern, die durch die Firewall nach extern gelangen wollen, werden die originale Quelladresse durch die der Firewall und der ursprüngliche Quellport durch einen neuen ersetzt. Diese Daten hinterlegt die Software in einer Tabelle, damit sie die Antwortpakete entsprechend wieder umsetzen kann.

Jeder Tabelleneintrag erhält zusätzlich eine Gültigkeitsdauer, die bei jeder Benutzung des Eintrags auf den Ausgangswert zurückgesetzt wird. Bei TCP-Verbindungen ist das nicht so sehr von Bedeutung, da bei erfolgreichem Verbindungsabbau der Eintrag meist wieder gelöscht wird. Bei UDP oder ICMP dagegen gibt es keine entsprechenden Antwortsignale. Der Zeitzähler soll verhindern, dass die Tabelle im Laufe der Zeit unnötig wächst und die zur Verfügung stehenden Ports nicht zur Neige gehen.