Dubbel NAT; een router achter een router: Waarom niet?

[coolinx]

Een Asus router met NAT achter een ziggo Ubee modem/router zonder bridge mode.
Ik lees overal dat dubbel NAT niet goed zou werken, dat het de boel onnodig complex maakt maar ik lees nergens goeie argumenten om het niet te doen.


Mijn thuisnetwerk ziet er als volgt uit:
Internet abbo van Ziggo met de Ubee EVW321B modem/router met de default ziggo configuratie (192.168.178.x) met als enige aanpassing; 5ghz wireless uit.

Op de Ubee is aangesloten:
1. Eneco Toon draadloos
2. Samsung smart-tv via ethernet kabel
3. Wan poort van Asus AC-RT66U via ethernet kabel

De Asus heeft een vast IP adres op de wan poort 192.168.178.2 (ubee zelf is .1) en gebruikt de Ubee als default gateway. Lokale IP range van de Asus is 192.168.1.x en de Asus is dhcp server. De Ubee heeft ook een dhcp server draaien maar aangezien de Asus met de wan poort aan de Ubee hangt bijten die dhcp servers elkaar niet.
Op de Asus router is de rest van al onze netwerkapparatuur aangesloten zoals 2 smart phones, 2 laptops, imac, ipad en synology nas, Rpi. Ik heb geen poorten geforward en geen vpns open naar het internet.
Ik heb op de Asus alleen 5ghz wifi aan omdat al mijn wifi devices 5 ghz ondersteunen. De 2.4ghz is dus overbodig en staat uit. Ik gebruik de 2.4ghz wifi van de Ubee als gasten netwerk en voor onze Eneco Toon.
Toen ik de Asus router in gebruik nam las ik dat ik aan Ziggo moest vragen om de Ubee in bridge mode te zetten. Dit is er echter nooit van gekomen. Het internet werkt op deze manier voor mij zonder problemen. Ik heb nog geen enkele dienst gevonden die met deze dubbele nat opstelling niet of minder goed werkt. Ook de snelheid is nagenoeg hetzelfde via de Ubee als de Asus.
Nu bijna een jaar verder vraag ik me sterk af of mijn setup met dubbele NAT eigenlijk niet veiliger is dan wanneer in de Ubee in bridge mode staat:
Voordelen van mijn dubbele NAT setup:
1. Ik hoef devices die alleen inet nodig hebben en verder geen verbinding met het interne netwerk (eneco toon en smart tv die ik alleen voor uitzending gemist gebruik) niet in mijn thuis netwerk(asus) te zetten maar ik verbind ze met de Ubee. Voordeel is dat als die apparatuur ooit gehackt zou worden, ze niet op mijn interne netwerk zitten.
2. Ik kan mijn interne netwerk veel strikter beveiligen(met mac adres filter bijv) en toch gasten makkelijk internet toegang geven via de ubee
3. als de Ubee ooit gehackt wordt zit ik achter de Asus veilig (dit voordeel heb je in bridge mode ook)
4. Als ooit vanuit inet Asus routers een hack target zijn is die van mij veilig omdat de Ubee er tussen zit en er geen poorten geforward zijn naar de Asus.

[Bazvv]

https://www.google.nl/#q=why+not+use+double+nat


Voornamelijk latency en UPnP werkt niet. P2P programma's kunnen problemen hebben.
Port forwarding wordt lastiger etc.

[hcQd]

Als je toch geen poorten openzet is NAT-achter-NAT ook geen enkel probleem.

[Cyphax]

hcQd schreef op vrijdag 16 december 2016 @ 17:08:
Als je toch geen poorten openzet is NAT-achter-NAT ook geen enkel probleem.

En als je niet teveel poorten zet hoeft het ook geen probleem te zijn. Mijn OpenVPN-verbinding doet het zonder morren met NAT achter NAT, en daarmee vervalt voor mij ook de noodzaak om nog andere poorten open te zetten. Het is in theorie misschien niet echt efficiënt maar ik denk dat het in de praktijk niet zo heel veel uitmaakt. Mijn praktijkervaring is er maar eentje, maar ik heb er in principe geen problemen mee in de dagelijkse praktijk.

[Ben(V)]

Jouw verhaal toont aan waarom er overal geschreven wordt dat het gecompliceerd wordt en lastig te beheren voor de doorsnee gebruiker.

Als eerste zeg je dat je de ubee als gateway gebruikt, wat in jouw configuratie zou resulteren in het niet kunnen bereiken van het internet als je dat echt zou gedaan hebben.
Al je devices die achter je Asus hangen zien die ubee helemaal niet want die zit in een ander netwerk dus kunnen ze die onmogelijk als gateway gebruiken tenzij je statische routering opgezet hebt.
Maar je zegt dat je DHCP gebruikt dus krijgen de devices achter de asus gewoon de asus als gateway en niet de ubee.

Juist de devices die je noemt zou je sterker willen beveiligen want de security van dingen als toon en smart tv is werkelijk heel bedroevend.

Netwerk strikter beveiligen met mac filtering is onzinnige beveiliging dat is voor een hacker uitermate simpel te omzeilen en bied geen enkele extra security.

Als je iets als een NAS of een printer hebt of je wilt iets op je tv afspelen vanaf je pc of je wilt je toon laten loggen dan kan dat nu allemaal niet over je twee netwerken heen.

En draai het eens om, wat is het nut van twee routers, waarvan de een(de Asus) niet als router gebruikt wordt. Je routeert namelijk niets tussen die twee netwerken.

[shure-fan]

Ik gebruik zelf ook nat achter nat, en zelfs met voip heb ik gewoon geen probleem

[Wim-Bart]

hcQd schreef op vrijdag 16 december 2016 @ 17:08:
Als je toch geen poorten openzet is NAT-achter-NAT ook geen enkel probleem.

behalve als je gaat gamen en UPNP nodig is. Maar over het algemeen kan Dubbel NAT niet zo een kwaad. Toen routers nog traag waren was het een probleem. Maar tegenwoordig is het een minder groot probleem.

Het einge waar je tegen aan kan lopen is de limieten van het UBee modem. Ik weet niet wat deze zijn, maar er zitten limieten op het maximaal aantal connecties per intern IP adres. Of je daar tegen aan gaat lopen is maar de vraag. Met oude ADSL Tombsons was dat wel een issue. Daar werkte dubbel NAT gewoon niet wanneer je meer dan 2 PC's achter de 2e router had.

Edit:
Even wat uitgezocht. Maar de UBee heeft een connectie limiet van 1000 TCP connecties per client IP. Daarna gaat ie connecties met de grootste rimeout disconnecten. (Let op je tweede router is dus 1 client IP voor de UBee,)

Dat wil zeggen dat bij dubbel NAT je issues gaat krijgen wanneer je te veel clients achter je 2e router hebt zitten. Voor standaard web brosxen maakt het niet veel uit, maar wanneer je met torrents aan de gang gaat kan het een issue worden.

[ Voor 76% gewijzigd door Wim-Bart op 16-12-2016 18:46 . Reden: Limieten ]

[RobinF]

Bazvv schreef op vrijdag 16 december 2016 @ 16:48:
https://www.google.nl/#q=why+not+use+double+nat


Voornamelijk latency en UPnP werkt niet. P2P programma's kunnen problemen hebben.
Port forwarding wordt lastiger etc.

Volgensmij is DMZ naar de 2e router + UPnP op de tweede router geen probleem

[hcQd]

Je kunt via UPnP ook het WAN-IP-adres opvragen, alleen klopt dat niet achter een DMZ. (Eigenlijk klopt het wel, maar het is niet het externe adres wat je eigenlijk wilt weten.)

[cannibal]

Dat gebruik ik hier ook, Ziggo router normaal, maar in de DMZ het ip van de PfSense box.

[Paul]

Ben(V) schreef op vrijdag 16 december 2016 @ 17:21:
Als eerste zeg je dat je de ubee als gateway gebruikt, wat in jouw configuratie zou resulteren in het niet kunnen bereiken van het internet als je dat echt zou gedaan hebben.

Misschien lees ik er overheen, maar waar staat dat? Er staat alleen dat de Asus zelf de Ubee als default gateway gebruikt, en dat is precies goed.

Voor de rest ben ik het met je eens; juist TV's en IoT-apparaten zoals Toon blinken nooit uit in veiligheid, die zou ik dus eerder achter nog een firewall (of iets wat al dan niet onbedoeld een soortgelijke functie verricht) zetten, maar zo'n Ubee zit over het algemeen behoorlijk goed dicht. Ziggo heeft er een paar duizend (of zelfs miljoenen, al hebben ze ook een hoop Cisco's en mogelijk nog ander spul) en ik heb nog niet gehoord dat er eentje gehackt is (al let ik er ook niet speciaal op ).

In de huidige setup is de Asus vooral een 5 GHz accesspoint en een soort van eenrichtingsfirewall.

[_JGC_]

NAT achter NAT hoeft geen probleem te zijn, maar het voegt complexiteit toe. Verder is de state tabel van een ziggo modem te beperkt. Een thuisgebruiker zal er niet snel tegenaan lopen, maar zodra je 20+ apparaten achter een ziggo router hangt leeft een SSH of RDP sessie waar je even niks in doet nog geen 10 minuten. Dat is voor mij de reden om modems in bridge te gooien.

[pafdaddy]

Dubbel NAT kan bewust gewenst zijn.

[ Voor 51% gewijzigd door pafdaddy op 16-12-2016 21:36 ]

[Brahiewahiewa]

Oké, dan een argument wat je misschien wel aanspreekt: je download snelheid wordt lager. Weliswaar maar 1 of twee procent, maar voor mensen die het onderste uit de kan willen halen een absolute no-go

[Cyphax]

Brahiewahiewa schreef op vrijdag 16 december 2016 @ 21:36:
Oké, dan een argument wat je misschien wel aanspreekt: je download snelheid wordt lager. Weliswaar maar 1 of twee procent, maar voor mensen die het onderste uit de kan willen halen een absolute no-go

Je moet het een beetje afwegen. Ik heb niet zo veel keus voor NAT achter NAT; mijn provider biedt totaal geen mogelijkheden om het modem zelfs maar een DMZ toe te kennen. Aan de andere kant haal ik de snelheid die bij het abonnement hoort makkelijk, er is eigenlijk niks dat niet werkt met 99mbit tov 100mbit, dus het is de moeite van het overstappen vooralsnog niet waard, aangenomen dat een ander niet goedkoper is.

[mash_man02]

Brahiewahiewa schreef op vrijdag 16 december 2016 @ 21:36:
Oké, dan een argument wat je misschien wel aanspreekt: je download snelheid wordt lager. Weliswaar maar 1 of twee procent, maar voor mensen die het onderste uit de kan willen halen een absolute no-go

En je stroomrekening gaat omhoog, je latency gaat omhoog, je complexiteit gaat omhoog, Je krijgt meer kabeltjes, er kan meer kapot gaan.

Een beetje zoals een kroonsteentje tussen je verlengsnoer, het kan en zal meestal wel werken. Maar niet netjes.

[Brahiewahiewa]

mash_man02 schreef op vrijdag 16 december 2016 @ 22:45:
...Een beetje zoals een kroonsteentje tussen je verlengsnoer, het kan en zal meestal wel werken. Maar niet netjes.

Tussen je verlengsnoer kan geen kwaad
[/miereneukmode]

[dion_b]

RobinF schreef op vrijdag 16 december 2016 @ 18:27:
[...]

Volgensmij is DMZ naar de 2e router + UPnP op de tweede router geen probleem

Nope, maar dan moet je het wel goed instellen. En het voegt uitermate weiing toe.

Overigens snap ik niet dat TS niet gewoon die AC66U in AP-mode gebruikt. Het is een simpele optie in het menu en zorgt ervoor dat hij z'n eigen LAN niet in tweeen hakt.

Ik snap ook niet dat hij de 2.4GHz van de EVW321 gebruikt aangezien de AC66U 3x3 MiMo doet in 2.4GHz en de EVW321 maar 2x2 (verder zijn het vergelijkbare Broadcom chips, dus het is appels met appels vergelijken). Dat levert niet alleen minder throughput maar ook minder ontvangstgevoeligheid.

Het is dus niet alleen onnodig complex zo, maar ook nog inefficient.

[coolinx]

dion_b schreef op zaterdag 17 december 2016 @ 01:16:
[...]
Het is dus niet alleen onnodig complex zo, maar ook nog inefficient.

Dit is niet de conclusie die ik na het lezen van de reacties op mijn vraag zou trekken. Ik zie dat Cyphax, shure-fan en cannibal zelf ook een nat achter nat configuratie gebruiken. Daarnaast verwijst pafdaddy naar een interessante bron (grc.com) waar uitgelegd wordt in welke situaties een nat achter nat wel degelijk zinvol is:

Op de website van Gibson Research Corporation (grc.com/nat/nat.htm) leggen ze uit in welke situaties een nat achter nat zinvol is. Het doel waarvoor ik een dubbel nat heb staat er ook tussen en geven ze weer met de volgende illustratie:



Je brengt hier dus eigenlijk een scheiding aan tussen apparaten met verschillende niveau's beveiliging en betrouwbaarheid.

Bij mij is External NAT de Ubee en Internal NAT de Asus router.

Op het Semi-Secure LAN zitten apparaten waarvan ik denk dat ze minder veilig zijn of apparaten die echt alleen internet nodig hebben. In mijn geval de Eneco Toon, de smart-tv en het gasten wifi. Maar je zou hier ook aan toe kunnen voegen; Die Chinese IP cam waarvan je de beveiliging niet vertrouwt, toekomstige IoT devices of die oude XP machine die je om wat voor reden dan ook nog aan het inet wil hangen.

Op het Super-Secure LAN zit in mijn geval de Synology, een paar laptops, een imac en de iphones en ipad. (alle mobile devices ondersteunen 5ghz dus waarom zou ik de toch al overvolle 2.4ghz band niet gewoon uit zetten? het mindere bereik van 5ghz is hier geen probleem)

Dan hebben we nog het punt dat Wim-Bart maakt (goed punt, had ik zelf over het hoofd gezien); de Ubee kan max 1000 connecties per IP. Normaal gesproken geen probleem maar met torrents (of p2p in het algemeen) kan het problemen geven.
Nou bedenk ik me dat wanneer je een computer hebt die je gebruikt om via torrents of wat dan ook te downloaden, je deze eigenlijk sowieso beter in het Semi-Secure LAN zou moeten zetten. Wanneer je met een van je downloads een virus of andere ongein binnen haalt ben je de sjaak als die ook gezellig de rest van je netwerk (en nas) besmet.

[dion_b]

Qua 'inefficient' heb ik het enkel over de WiFi specs van de apparaten (je gebruikt niet de optimale) en de overhead van twee keer nat. Je prestaties liggen lager dan nodig met de hardware die je ehbt.

Als je voor je security twee condooms over elkaar wilt doen - be my guest, maar voor wat je hierboven beschrijft is een enkele router/firewall die je vertrouwt met meerdere VLANs een beter idee. De VLANs houden de hosts gescheiden van elkaar zonder dat je security over twee apparaten spreidt en dus de zwakste schakel (de mens) twee keer belast bij het configureren en bijhouden in plaats van een keer. Je kunt daarbij ook meer dan twee nemen, dus bijv naast je privecomputers eentje voor IoT-zooi (of nog beter: een per IoT device/ecosysteem) en weer een andere voor je torrents.

Overschat trouwens de waarde van de torrents gescheiden binnen te halen niet: je gaat wat je binnen hebt waarschijnlijk op een ander apparaat afspelen/installeren. Dat is waar de risico zit, niet bij het downloaden.

[ Voor 29% gewijzigd door dion_b op 18-12-2016 22:38 ]

[Koffie]

Zoals gezegd : DubbelNAT zal meer overhead geven.
De grootste reden waarom hier vaak "geen dubbel NAT!!!!11" word geroepen is dat je verdomd goed moet weten waar je mee bezig bent.
Voor de gemiddelde bouwvakker is een router al een totaal onbegrijpbaar iets, laat staan een port forwarden.
Als zo'n handig neefje daar dan een dubbel NAT maakt, is het niet te roubleshooten voor die bouwvakkert.

[Paul]

coolinx schreef op zondag 18 december 2016 @ 21:42:
Je brengt hier dus eigenlijk een scheiding aan tussen apparaten met verschillende niveau's beveiliging en betrouwbaarheid.

...wat vooral komt doordat een NAT-router geen flauw idee heeft wat het moet doen met een pakketje dat niet bij een bestaande sessie hoort en waar ook geen port-forward voor is...

De juiste manier om dit te doen is door er een echte firewall neer te zetten in plaats van twee NAT-routers. Wat niet wil zeggen dat het argument ongeldig is, maar ben je bewust van wat je aan het bouwen bent.

Als je trouwens in de Ubee de Asus als DMZ-host opgeeft zodat je UPnP weer werkt (bijvoorbeeld) dan ben je dat voordeel dus al weer kwijt Dan kan men nog steeds niet zomaar van het internet of vanaf je gastennetwerk je LAN op, maar je LAN is dan niet meer dubbel beveiligd.

[Ben(V)]

Als je zo met beveiliging bezig bent neem ik aan dat je zo iets gevaarlijks als Upnp absoluut uit zet op je router(s).

Het argument dat je devices die je qua beveiliging niet vertrouwd in een ander netwerk plaatst lijkt me juist tegenstrijdig.
Die zou je zoveel mogelijk met externe middelen moeten beveiligen in plaats van op een (in jouw ogen)minder veilige plaats.
Het is net zoals wat dion_b over die torrentserver zei, je wilt uiteindelijk wat met de data van die devices en dan haal je het gevaar gewoon zelf binnen.

99% van de hacks slagen via een pakketje dat binnenkomt en dan gaat draaien op een device en binnenkomen via het netwerk slaagt eigenlijk alleen als er lekken in de router software gevonden worden en die lekken zitten dan meestal gewoon in beide routers.

Als je ze daar wilt plaatsen omdat je ze vanaf het internet wilt bereiken kun beter met een VPN naar je lan gaan en je zo bereiken dan heb je de beveiliging van je VPN die meer te vertrouwen is dan die van zulke devices.

Verder beweerd niemand dat het niet kan of dat het slecht werkt, je moet alleen goed weten wat je doet, je hebt wat overhead en als je het goed wilt doen moet je de wifi van de eerste router uitzetten want dat is een potentieel security lek tussen de twee netwerken.

Wat GRC er 6 jaar geleden over schreef is een beetje achterhaalt, die hebben op hun site ook nog een verhaal staan dat je alle poorten van je router moet testen om te zien of de leverancier niet de standaard poorten geforward heeft (vraag me wel af waarheen dan), dus ook helemaal outdated.

[Cyphax]

Koffie schreef op maandag 19 december 2016 @ 08:13:
Zoals gezegd : DubbelNAT zal meer overhead geven.
De grootste reden waarom hier vaak "geen dubbel NAT!!!!11" word geroepen is dat je verdomd goed moet weten waar je mee bezig bent.
Voor de gemiddelde bouwvakker is een router al een totaal onbegrijpbaar iets, laat staan een port forwarden.
Als zo'n handig neefje daar dan een dubbel NAT maakt, is het niet te roubleshooten voor die bouwvakkert.

Ik ga er wel vanuit dat de gemiddelde bouwvakker niet poorten hoeft open te zetten op z'n modem of router

[Ben(V)]

De gemiddelde bouwvakker loopt ook achter de reclame aan en wil een thermostaat die hij vanuit z'n auto kan bedienen.....

[senna007]

Ik ben timmerman en metselaar tegelijk en heb ook een dubbele nat opstelling 1 de genexis standaard glasvezel modem/router hierop heb ik de wifi ratio uitgevinkt en ik heb 1 utp kabel in mijn Asus RT-AC87U gestoken en het werkt. het ip nummer van de genexis is 192.168.1.254 en die van de Asus 192.168.2.1
De Asus voorziet al mijn devices van een ip nummer. werkt goed waarom heb ik dit zo gedaan :
ik kan nu in de Asus het gastennetwerk gebruiken want ik heb ook nog sonos luidsprekers en ik wil niet dat mijn vrienden en familie allemaal maar te pas en te onpas op een feestje mijn sonos lopen te bedienen.

De gastennetwerk optie zit niet in de genexis en werkt niet in de Asus in access point mode
Ik heb een zeer stabiel netwerk met ook nog een perfect werkend oudercontrol voor de computers van mijn kinderen die werken niet meer na 23:00 uur succes verzekerd

Groeten, Ruud

[rens-br]

@senna007 bedankt voor de toevoeging, maar dit topic is al ruim twee jaar oud en het voegt dan ook niet meer zoveel toe.

[ Voor 21% gewijzigd door rens-br op 17-01-2019 21:01 ]