Full Cone NAT (auch offener NAT oder schlicht Port-Forwarding-Verhalten genannt) ist der am wenigsten restriktive Typ der klassischen NAT-Klassifikation nach RFC 3489. Ein internes Gerät, das mit einer bestimmten internen IP und einem internen Port nach außen kommuniziert, erhält dafür eine feste externe Abbildung aus öffentlicher IP und öffentlichem Port — unabhängig davon, an welchen Zielhost die Pakete gehen.
Abbildung und Filterung
Die Besonderheit des Full Cone NAT liegt im Filterverhalten: Hat das interne Gerät einmal eine Abbildung erzeugt, darf jeder externe Host Pakete an den öffentlichen Port senden — die NAT sperrt eingehende Verbindungen nicht. In der Terminologie von RFC 4787 und RFC 5780 kombiniert der Full Cone NAT ein Endpoint-Independent Mapping (EIM, eine Abbildung für alle Ziele) mit einem Endpoint-Independent Filtering (EIF, keine Zielbeschränkung beim Rücksenden).
Praxis und Sicherheit
Weil eingehende Verbindungen ohne Voraussetzung durchkommen, gilt Full Cone NAT als unsicher: Jeder kann einen Dienst im Heimnetz erreichen, sobald dessen Abbildung existiert. Viele Router bieten dieses Verhalten deshalb nur als explizite Port-Forwarding-Regel an, nicht als Standard für den allgemeinen Datenverkehr. Für Peer-to-Peer-Anwendungen ist Full Cone NAT dagegen der Idealfall: STUN erkennt die Abbildung, und Gegenstellen erreichen das Gerät direkt.
Verwandte Grundlagen: Port Restricted NAT, Symmetric NAT, ICE.