Symmetric NAT ist der restriktivste Typ der klassischen NAT-Klassifikation nach RFC 3489. Anders als die Cone-Varianten erzeugt er nicht eine feste Abbildung für alle Ziele, sondern für jede Kombination aus Ziel-IP und Zielport eine eigene externe Abbildung. In der RFC-4787-Terminologie spricht man von Address and Port-Dependent Mapping (APDM).
Warum Symmetric NAT problematisch ist
Die Folge: Sendet ein Gerät hinter einem Symmetric NAT erst an einen STUN-Server und danach an einen Peer, verwendet der NAT für die Peer-Verbindung einen anderen öffentlichen Port als den, den STUN gemeldet hat. Der Peer kann diesen Port nicht vorhersagen — klassisches Hole Punching schlägt fehl, und direkte Peer-to-Peer-Verbindungen kommen nicht zustande. Beim Filtering verhält sich der Symmetric NAT wie ein Port Restricted NAT: Nur wer vorher angesprochen wurde, darf zurücksenden.
Lösungswege
Ist ein Symmetric NAT im Spiel, bleibt als zuverlässiger Weg meist nur ein Relay-Server nach dem Vorbild von TURN: Beide Seiten senden ihre Daten an den Relay, der sie weiterleitet. ICE probiert zunächst alle direkten Kandidaten aus und fällt bei Symmetric NAT automatisch auf den Relay zurück. In seltenen Fällen hilft Port Prediction, bei dem das nächste vom NAT vergebene Ports erraten wird — ein Verfahren, das 2003 von Yutaka Takeda beschrieben wurde und nur bei vorhersagbaren Portzuordnungen funktioniert.
Verwandte Grundlagen: Full Cone NAT, Port Restricted NAT, TURN.