Port Restricted NAT (genauer Port Restricted Cone NAT) ist der dritte Typ der klassischen NAT-Klassifikation nach RFC 3489. Wie der Full Cone NAT und der Restricted Cone NAT verwendet er eine feste externe Abbildung für alle Ziele, schränkt aber eingehende Pakete deutlich stärker ein.
Das Filterregel
Ein externer Host darf ein Paket an das interne Gerät nur dann senden, wenn das interne Gerät vorher genau an diese Ziel-IP und diesen Zielport ein Paket gesendet hat. Es genügt nicht, dass nur die IP-Adresse bekannt ist — auch der Port muss stimmen. In der RFC-5780-Terminologie entspricht das einem Endpoint-Independent Mapping (EIM) mit Address and Port-Dependent Filtering (APDF).
Bedeutung für NAT-Traversal
Port Restricted NAT ist der häufigste Typ bei Heimroutern und der Grund, warum STUN allein oft nicht reicht: STUN zeigt dem Gerät zwar seine öffentliche Abbildung, der entfernte Peer darf aber erst senden, wenn das Gerät selbst den ersten Kontakt in Richtung Peer aufgebaut hat. Genau dieses gleichzeitige Anstoßen beider Seiten leistet das Hole Punching, das ICE koordiniert. Klappt das nicht, bleibt nur der Umweg über einen Relay wie TURN.
Verwandte Grundlagen: Symmetric NAT, Full Cone NAT, TURN.