UPnP (Universal Plug and Play) ist eine Protokollfamilie, mit der Geräte im Heimnetz Dienste automatisch erkennen und nutzen können. Für die NAT-Weiterleitung ist vor allem das Internet Gateway Device (IGD)-Profil wichtig: Es erlaubt Anwendungen wie Spielkonsolen, Messengern oder Medienservern, selbstständig Portweiterleitungen am Router anzulegen und wieder zu entfernen.
So funktioniert es
- SSDP (Simple Service Discovery Protocol) dient der Geräteerkennung: Der Router bewirbt seinen IGD-Dienst per Multicast, Geräte finden ihn ohne Konfiguration.
- SOAP-Nachrichten übertragen die Befehle: AddPortMapping, DeletePortMapping und Abfragen der externen IP-Adresse.
- Die Zuordnung ist an die interne IP-Adresse des anfragenden Geräts gebunden und kann vom Gerät selbst wieder gelöscht werden.
Sicherheit
Der größte Kritikpunkt an UPnP IGD ist das fehlende Authentifizierungsverfahren: Jedes Gerät im LAN kann Port-Mappings anfordern, ohne sich auszuweisen. Schadsoftware nutzt das gezielt aus, um Hintertüren zu öffnen — bekannte Fälle sind Mirai-Botnets und die CallStranger-Schwachstelle. Zusätzlich lässt sich SSDP für DDoS-Amplification-Angriffe missbrauchen. Aus diesem Grund ist UPnP auf vielen Routern standardmäßig deaktiviert oder durch Access-Control-Listen eingeschränkt.
Einordnung
Alternativen zur automatischen Portöffnung sind das schlankere NAT-PMP (RFC 6886) und dessen Nachfolger PCP (RFC 6887). Manuell arbeitet dagegen Port Triggering, das Ports nur bei ausgehendem Verkehr öffnet, sowie das klassische Port Forwarding. Alle Verfahren gehören zur Familie der NAT-Traversal-Techniken.
Verwandte Grundlagen: NAT, NAT-PMP, Port Triggering, Port Forwarding.