Ну если вкратце: 1)NAT-устройство (не stateful firewall с функциями NAT,а именно NAT устройство) имеет, как ты понимаешь, таблицу трансляций - что позволяет любому пакету, подпадающему под эту таблицу - пройти через NAT. Типичнейший случай security through obscurity. 2)Идея "NAT позволяет скрыть число хостов во внутренней сети" тоже не выдерживает никакой критики - см. например http://www.lsv.ens-cachan.fr/Publis/PAPERS/PDF/Bur-nordsec07.pdf (и более ранний - но, как ни удивительно, местами актуальный документ http://safecomputing.umich.edu/tools/download/nat_security.pdf) 3)Ты можешь сколько угодно думать, что твоя Windows Vista сидит за PAT в полной безопасности, а она тем временем по умолчанию подняла себе IPv6 стек и воспользовалась Teredo (который enabled, but not active by default и активируется, когда появлется приложение, которое хочет его использовать), подцепившись к teredo.ipv6.microsoft.com. И что? Машинка имеет глобально маршрутизируемый публично доступный адрес.
Ну про то, что NAT ломает идею сквозной прозрачности и плохо дружит с многими протоколами - что снижает доступность, как компонент безопасности - я даже и говорить не буду.
В целом - рекомендую ознакомится с http://tools.ietf.org/html/draft-gont-behave-nat-security-01
no subject
1)NAT-устройство (не stateful firewall с функциями NAT,а именно NAT устройство) имеет, как ты понимаешь, таблицу трансляций - что позволяет любому пакету, подпадающему под эту таблицу - пройти через NAT. Типичнейший случай security through obscurity.
2)Идея "NAT позволяет скрыть число хостов во внутренней сети" тоже не выдерживает никакой критики - см. например
http://www.lsv.ens-cachan.fr/Publis/PAPERS/PDF/Bur-nordsec07.pdf
(и более ранний - но, как ни удивительно, местами актуальный документ
http://safecomputing.umich.edu/tools/download/nat_security.pdf)
3)Ты можешь сколько угодно думать, что твоя Windows Vista сидит за PAT в полной безопасности, а она тем временем по умолчанию подняла себе IPv6 стек и воспользовалась Teredo (который enabled, but not active by default и активируется, когда появлется приложение, которое хочет его использовать), подцепившись к teredo.ipv6.microsoft.com. И что? Машинка имеет глобально маршрутизируемый публично доступный адрес.
Ну про то, что NAT ломает идею сквозной прозрачности и плохо дружит с многими протоколами - что снижает доступность, как компонент безопасности - я даже и говорить не буду.
В целом - рекомендую ознакомится с
http://tools.ietf.org/html/draft-gont-behave-nat-security-01