Purple NAT of Death (diskuse)

[a]

Nechapem, akoze prilis vela "prechodovych" bodov pre pevnu verejnu ip adresu?

[Heron]

[Michal Kubeček]

Spíš to, že má-li člověk od ISP připojení s veřejnou adresou, neočekává, že prvních šest hopů bude mít neveřejné adresy.

[Michal Kubeček]

(to měla být odpověď na první příspěvek v diskusi)

[Luk]

Přesně tak. A když zkusím trochu věštit do budoucnosti, tak se obávám, že brzy začnou ty veřejné adresy odřezávat (budou jen za příplatek). Tohle jen zřejmě první krok.

[dad]

nemohl byste presto trochu objasnit, proc to provozovatel dela? Co se tim ziska?

[Luk]

To už se tu omílalo tolikrát, že už jsem to nepokládal za nutné. Prostě docházejí IPv4 adresy a poskytovatelé se do podpory IPv6 příliš nehrnou. Proto to řeší tak, že se snaží strkat zákazníky za NAT a tak šetřit veřejné adresy. Dříve se u ADSL od ČRa vůbec NAT nepoužíval. Nyní to zjevně vypadá, že T-Mobile brzy již nebude standardně poskytovat veřejné adresy, budou buď za příplatek nebo v horším případě vůbec.

A mimochodem, všiml jsem si také klesání linkové rychlosti. V dobách ČRa byla 20 Mb/s, s T-Mobile klesla na 19 Mb/s, teď jsem se díval a už je jen 16 Mb/s. Přitom ve smlouvě je (až) 20 Mb/s a dříve to skutečně bylo schopné takhle rychle běžet. Dráty jsou stále stejné a modem také. Že by se něco z toho kazilo, silně pochybuji.

[trekker.dk]

Dráty jsou stále stejné a modem také. Že by se něco z toho kazilo, silně pochybuji.

To víš, nakoupit další konektivitu, když přibudou zákazníci, by stálo peníze.

[Luk]

Nejde o to, že klesla efektivní rychlost (což by odpovídalo většímu počtu zákazníků), ale že klesla linková rychlost (teoretické maximum na linkové vrstvě OSI). To je totiž technická záležitost a znamená to, že buď rychlost snížili záměrně nebo vyměnili hardware DSLAMu. Nepřijde mi pravděpodobné, že by snížení rychlosti mohlo být vinou nižší kvality přenosového vedení nebo modemu, protože tam se nic nezměnilo.

[sigma]

Nepřijde mi pravděpodobné, že by snížení rychlosti mohlo být vinou nižší kvality přenosového vedení nebo modemu, protože tam se nic nezměnilo

Kvalita přenosového vedení z pohledu ADSL se zhoršuje i s rostoucím počtem aktivních ADSL linek uvnitř jednoho kabelu, protože dochází k přeslechům mezi páry a tedy ke zvýšení úrovně šumu. Nepředpokládal bych ale, že to je hlavní důvod v tomto případě. I když mohli to vzít naráz - nastavíme všem linkové rychlosti konzervativněji, takže se eliminují stížnosti že to některým blbne, a navrch ušetříme nějakou konektivitu.

S tím nastavením linkové ADSL rychlosti mívají operátoři dost problémů - protože se úvodní nastavení v podstatě odhaduje podle měření, které není schopné kvalitu linky dostatečně popsat. Takže převod výsledku měření na nastavení rychlosti lze udělat různými způsoby. V případě problémů se pak linková rychlost snižuje.

[dad]

...To už se tu omílalo tolikrát, že už jsem to nepokládal za nutné ...

je pravda, ze je tu hodne adminu ...

Mam to chapat tak, ze kdyz si koupim treba v budoucnu pripojeni do internetu, tak ze nebudu mit verejnou adresu? To jsem myslel ze nejde. Z toho jsem skutecne jelen.

[Luk]

Mam to chapat tak, ze kdyz si koupim treba v budoucnu pripojeni do internetu, tak ze nebudu mit verejnou adresu? To jsem myslel ze nejde.

Jde to a například O2 (resp. dříve Eurotel) to u svých mobilních připojení dělá už dávno (např. u GPRS od jara 2004). Veřejnou adresu má ne jeden zákazník, ale větší počet dohromady. Při některých způsobech využívání Internetu to až tak moc nevadí, některé věci jsou ale zcela nerealizovatelné.

[dad]

aha, tak ted uz to asi chapu, ti uzivatele dostanou tedy prirazenu nejakou verejnou adresu (v tu chvili, kdyz se adsl spoji) , ale o par bloku dal ji ma na svem PC nekdo jiny take ??.

To znamena, ze napr. neni mozno ten pocitatc pouzit jako server za pomoci dyndns. Hm, to bych rekl ze je dost sila, jestli na to ve smlouve neupozorni. Diky za info.

[sigma]

aha, tak ted uz to asi chapu, ti uzivatele dostanou tedy prirazenu nejakou verejnou adresu (v tu chvili, kdyz se adsl spoji) , ale o par bloku dal ji ma na svem PC nekdo jiny take ??.

Ne. Dostanou adresu z privátního segmentu - obvykle z 10.0.0.0/8. A operátor dělá NAT - v podstatě stejný, jako dělají dnešní SOHO routery.

To znamena, ze napr. neni mozno ten pocitatc pouzit jako server za pomoci dyndns. Hm, to bych rekl ze je dost sila, jestli na to ve smlouve neupozorni. Diky za info.

Ano. Server přístupný z internetu tam nepustíte. Jestli je to síla, toť otázka. Naprostá většina českých menších ISP (WiFi, menší CATV, metropolitní sítě) už dává privátní adresy jako výchozí možnost cca 10 let. Zpravidla je možná veřejná IP na požádání, někdy i poplatek. Ale zkušenosti hovoří, že i pokud se při podpisu smlouvy na veřejnou IP každého zeptáte a je zdarma, stejně ji požaduje pár procent lidí.

Ono u toho ADSL nevěřím, že za poplatek by veřejná IP nebyla. Pro firmy to je celkem podstatné, a takový bussiness-case si operátoři nenechají ujít. Pro firmu je k ADSL za 500 Kč příplatek za veřejnou IP v ceně třeba 200 Kč přijatelný. Už dnes se platí, chci-li víc jak 1 IP.

[Heron]

Ale zkušenosti hovoří, že i pokud se při podpisu smlouvy na veřejnou IP každého zeptáte a je zdarma, stejně ji požaduje pár procent lidí.

Nesmí chybět stupidní příklad s autem:

Kupující si stěžuje: Tomu autu chybí motor.
Prodávající: Na tohle jste se při podpisu smlouvy neptali.

[R]

To je normalne, lacne auta sa naozaj predavaju bez motora. Lebo to, co je pod kapotou, sa casto motorom neda nazvat.

[Heron]

Tohle potvrzuji. S Radiokomunikacemi žádný problém, rychlost sítě ok, technické problémy řešené rychle. TMobile katastrofa. Výpadky linky, technici se ozvali klidně po týdnu (to už jsme si to vyřešili po svém). Tak jsme to vyřešili přechodem na vlákno GTS.

[Vašek Lorenc]

A na ty routery po cestě je nutné alokovat nějaký veřejný rozsah? Však uživateli je to jedno, ne? Navíc to může být konfigurační chyba a routery můžou nešikovně odpovídat z privátní adresy, ač mají třeba i tu veřejnou..

[Luk]

To jsou ty lepší možnosti, i když pokud by šlo o konfigurační chybu, také by to nesvědčilo o kvalitě služeb. Nicméně se obávám, že jde spíš o záměr, o přípravu na zaNATování celé sítě. Možná se mýlím, ale už jsem se naučil být v tomto ostražitý...

[Heron]

Na routery po cestě není sice nezbytně nutné alokovat globální IP, ale je to lepší. Mě spíše překvapuje, že těch vnitřních hopů je tam tolik.

[Luk]

Mě spíše překvapuje, že těch vnitřních hopů je tam tolik.

Třeba T-Mobile centralizuje celou svou síť a tahá to přes routery v Německu

[ludvik]

alokovat veřejný rozsah na interní infrastrukturu sice možné je, ale není to vůbec nutné. I adresa ze segmentu 10/8 je IP adresou a to adresou regulérní. Jenom se nesmí vyskytovat jinde, než uvnitř sítě (tedy tam, kde mám nad nimi kontrolu). A to se vyskytuje ... jde jenom o konfiguraci routovacích tabulek. Ani tam žádná NAT být nemusí, jenom to tak pitomě vypadá.

Třeba my už využíváme segment /17, možná i o dost víc (počítat se mi to nechce). A kdyby to mělo být všechno na veřejných IP, tak nevím, kdo mi je dá a kdo je bude platit. Když kdejaký pitomý PtP spoj sežere minimálně 4 adresy, leckdy dvakrát i třikrát (PtP + management). Je o dost pohodlnější to hodit na privátní adresy. A to jsme malá síťka, 2500 uživatelů, cca 5000 zařízení. Je teda pravdou, že u DSL by se mi to segmentovalo lépe ... jeden celistvý rozsah pro jedno město o 20 tisících lidech. Mají tam o dost menší overhead.

Spíš by mě zajímal zpětný traceroute na to DSL.

[Luk]

Ani tam žádná NAT být nemusí, jenom to tak pitomě vypadá.

Jak už jsem řekl, jsem ostražitý a podezíravý.

Je teda pravdou, že u DSL by se mi to segmentovalo lépe ... jeden celistvý rozsah pro jedno město o 20 tisících lidech. Mají tam o dost menší overhead.

V dobách ČRa to tak divoké nebylo a ani kyslík to nedělá tak složitě jako T-Mobile.

Spíš by mě zajímal zpětný traceroute na to DSL.

Tak to tě zklamu, protože jaksi z FEL ČVUT traceroute nemám jak provést. Mohu to ale zkusit z jiných míst - tohle je z ADSL kyslíku:

traceroute to gate.arpartner.cz (78.80.57.14), 30 hops max, 60 byte packets
 1  192.168.1.1 (192.168.1.1)  0.808 ms  1.229 ms  1.443 ms
 2  88.103.200.45 (88.103.200.45)  9.676 ms  11.730 ms  14.379 ms
 3  65.196.broadband14.iol.cz (90.181.196.65)  19.605 ms  24.930 ms  27.339 ms
 4  194.228.190.177 (194.228.190.177)  30.967 ms  32.970 ms  35.147 ms
 5  nix-pragonet.radiomobil.cz (194.50.100.111)  39.644 ms  41.535 ms  43.190 ms
 6  62.141.11.233 (62.141.11.233)  45.977 ms  10.685 ms  11.681 ms
 7  62.141.11.130 (62.141.11.130)  14.991 ms  16.300 ms  18.755 ms
 8  * * *
 ...

Dál už je to stejné. Ještě odjinud (Master Internet):

traceroute to gate.arpartner.cz (78.80.57.14), 30 hops max, 60 byte packets
 1  vps1.master.cz (77.93.222.96)  0.032 ms  0.012 ms  0.011 ms
 2  praha-sitel-c1-vl559.masterinter.net (81.31.41.9)  5.176 ms  5.163 ms  5.146 ms
 3  praha-4d-c1-vl260.masterinter.net (81.31.39.82)  5.815 ms  5.881 ms  5.908 ms
 4  nix-pragonet.radiomobil.cz (194.50.100.111)  4.369 ms  4.152 ms  4.261 ms
 5  62.141.11.233 (62.141.11.233)  5.148 ms  5.052 ms  5.265 ms
 6  62.141.11.130 (62.141.11.130)  4.250 ms  4.260 ms  4.149 ms
 7  * * *

Víc už toho není. Dovnitř se ale dá dostat, aspoň zatím.

[pc2005]

To už jsem minimálně jednou psal. Tenhle link je myslím druhej. Jinak je to pěknej humus . Začalo to takhle blbě fungovat až potom, co došlo na konci léta k přečíslování IP. Nicméně mám takový dojem, že mám ve smlouvě (od Bluetone) přímo veřejnou adresu.

[Luk]

Začalo to takhle blbě fungovat až potom, co došlo na konci léta k přečíslování IP.

Problémy začaly už krátce po odkoupení ADSL firmou T-Mobile. Časté výpadky, pomalost atd. Pak přečíslování (oznámené dopisem s chybami, např. tam bylo datum přečíslování nacházející se v minulosti), teď tohle.

Nicméně mám takový dojem, že mám ve smlouvě (od Bluetone) přímo veřejnou adresu.

To je sice pravda, ale mohou změnit podmínky a pak jsou jen dvě možnosti: přistoupit na ně nebo ukončit smlouvu.

[pc2005]

Tak pokud zruší veřejnou IPv4 adresu, tak ztratí jedinou výhodu oproti NATovanýmu třeba wifi. Protože za tu cenu se to fakt u nich nevyplatí (už teďka je to s tou cenzurou spíš nevýhodný, drží to jen nechuť montovat anténu někde na střeše ).

Jinak to přečíslování IPv4 dělali prej kvůli tomu, že museli vrátit nějakou alokaci od ČRa. Teprve po tom se v traceroute objevil ten neveřejnej rozsah. Jinak ta konfigurace musí být vtipná, z druhý strany to ty 10.x prostě vynechá.

[Luk]

Tak pokud zruší veřejnou IPv4 adresu, tak ztratí jedinou výhodu oproti NATovanýmu třeba wifi. Protože za tu cenu se to fakt u nich nevyplatí (už teďka je to s tou cenzurou spíš nevýhodný, drží to jen nechuť montovat anténu někde na střeše ).

Pevné připojení má oproti bezdrátovému pořád tu výhodu, že nemůže snadno podléhat rušení, jako se to nezřídka stává u bezdrátu.

[sigma]

O tom se u ADSL dá v některých lokalitách úspěšně pochybovat. Není se čemu divit, když ty pevné kabely mají elektrické parametry neodpovídající používaným signálům. Např. u jedné instalace, kde jsem byl, vedlo cca 500 metrů vedení kabelem min. 30 let starým, ještě s olověným vnějším pláštěm.

Zažil jsem i připojení přes rozvody kabelové TV, kde jeden čas byly neustálé problémy, prý z důvodu rušení... vždy to řešili přeladěním na jiný kanál (bylo vidět na modemu) a za chvíli to dělalo zas.

Ve srovnání s tím kvalitní p2p bezdrátový spoj - např. je-li pro celý větší dům jeden - se kvalitou a spolehlivostí vyrovná jak ADSL tak CATV. Samozřejmě pro připojování jednotlivých uživatelů vychází kvalitní rádio dráž, takže tam je obvyle ADSL spolehlivější.

[pc2005]

O tom se u ADSL dá v některých lokalitách úspěšně pochybovat.

Jj +1.

[pc2005]

No já nevím, za cenu co to (8/0.5) prodávaj, by snad i šlo pořídit duální bezdrátový připojení , tam je šance výpadku oboulinek menší.

[Luk]

Už jsem uvažoval o připojení přes dva bezdrátové ISP (případně přes jednoho ISP a přes sdružení KHnet.info). Optimální by ale bylo, kdyby měli antény na různých místech a ne na stejné kostelní věži. Teď už je ale asi lepší situace než dřív, moc jsem to nezkoumal.

[ludvik]

jestli máš pozičně výhodný dům, tak se ozvi

[Luk]

Příležitostně se ozvu (tedy ne stylem, jako dnes ráno ), ale ono je to trochu složitější. Vysvětlím ti proč, tady na to ale není místo.

[pavlix]

Pevné připojení má oproti bezdrátovému pořád tu výhodu, že nemůže snadno podléhat rušení, jako se to nezřídka stává u bezdrátu.

To je výhoda pouze teoretická.

[Kvakor]

Ano, nejspíš je to narychlo sflikované, protože žádný soudný člověk by takovouto obludnost nespáchal. Osobně jsem se setkal s mnoha případy, kdy poskytovatel dává jen neveřejnu IP (téměř vždy z privátního rozsahu 10.x.x.x), ale málokdy bylo mezi hraničním routrem a defaultní odchozí branou více než jeden či dva další routery (např. ten můj tam nemá žádný). Pokud předpokládám, že ten první (10.86.192.19) je brána, tak jsou to čtyři routery v neveřejnou a dokonce jeden s veřejnou (rozsah 62.141.11.128/25 je celý T-Mobilu), což jsem ještě nikdy neviděl.

[pc2005]

Tak třeba u mě při traceroutu na google.com vyleze 7 uzlů přičemž 3 jsou z 10.x rozsahu a navíc to vypadá, že podle cílové adresy googlu se jedna z těch 10.x mění .

[pavlix]

(už teďka je to s tou cenzurou spíš nevýhodný, drží to jen nechuť montovat anténu někde na střeše ).

Každý slušný provider ti montáž zajistí.

[Tomas Kopriva]

To co většinou vidím jako odbornou montáž od prividera, to bych na barák nechtěl.

[pc2005]

Ale asi to nevyjedná se zbytkem rodiny .

[phr]

Já nevím, co tady pořád řešíte. Můj (malý místní WIFI) ISP to má takhle co pamatuju. V okamžiku když jsem potřeboval mi na počkání přidělili pevnou veřejnou IP adresu a proroutovali na stroj, který jsem si řekl. Kdyby to takhle řešili všichni, IPv6 by ještě dlouho nebylo třeba. Stejně naprostá většina uživatelů veřejnou adresu nikdy nepotřebuje. A než mě tady začnete trhat na kopytech, zkuste se na to chvíli koukat očima normálního brousiče/mailiče, který vůbec netuší jak to funguje a ne očima potrefeného IT geeka.

[Luk]

A než mě tady začnete trhat na kopytech, zkuste se na to chvíli koukat očima normálního brousiče/mailiče, který vůbec netuší jak to funguje a ne očima potrefeného IT geeka.

Tady nejde jen o to, že někdo chce mít veřejnou adresu pro své účely. Tady jde také o to, že nebýt NATu, nevznikaly by tak neuvěřitelné prasárny, jakou má Skype.

[sigma]

Ale vznikaly. Protože tu ještě máme restriktivní stavové firewally, co nepustí příchozí spojení, i když dostanu veřejnou IPv4. A není to výjimečná situace pro road warriors (letiště, hotely, restaurace, návštěvnické sítě v cizích firmách apod.).

Je jistě otázka, jestli by bez NATu došlo k takovému rozšíření této konfigurace firewallu. Myslím, že ano.

[delta]

nemel by ten firewall (resp. bezpecnosti politika) byt nastaven spis obracene , aby chranil sit letiste, hotelu apod. pred "road warriorem"

[phr]

To je sice pravda, těch prasáren je mnohem víc, de facto každý tunel, ale to BFU opravdu neřeší, ti používají hotová řešení - třeba zrovna ten (to ?) Skype. Přechod na IPv6 přinese obrovské náklady a proto s tím celkem nikdo nepospíchá. Nehledě na to, že s adresami bude možno nějakou dobu nejspíš dobře kšeftovat. A o tom dneska celý IT průmysl je.

[n:-)e]

tak skype jsem zrovna dneska musel bohuzel nahradit za gtalk jak posledni dobou zacal nehorazne blbnout , asi uz si ten nat kam se podivas taky pomalu nedava

[Jirka]

Ona je to prasárna z "politických" důvodů, ale jako technologie je to naopak zajímavé: dynamický, samovytvářející se a reorganizující se distribuovaný systém. Ty algoritmy bych někdy rád viděl.

[ano(-:n]

ona to ale uz fakt prestava bejt otazka jen spravnyho designu a prakticky problemy s nedostatek ip adres se projevujou uz fakt zle a bude to jen horsi.

Ted jsem potreboval pro skolni projekt server s databazi - a aby se k nemu dalo pristupovat z internetu, abychom mohli vyuzivat tu databazi jak z domu tak ze skoly. Nejde! Server je pristupny jen ze skoly. Prakticky dusledky jsou takovy, ze se kazdej musi doma $#!@$ s instalaci vlastniho db serveru, setupem, nakou to synchronizaci testovacich dat, paraaada. A to se jedna o vysokou skolu a akademicky prostredi.

[sigma]

A o kterou akademickou instituci se jedná, že tam nemáte zvenku dostupný ani shell server? Zatím jsem se setkal spíš s tím, že veřejné IPv4 se dávají i na Eduaroamu.

[anon(-:]

konkretni nebudu, ale neni to v cz

[qiRzT]

vpn? ssh tunel?

[morpheus]

se vytvari skvele kdyz nemas pristup k ani jednomu stroji s verejnou ip

[qiRzT]

Tak je to hodně blbý...

[qiRzT]

Jsou horší případy. Vím o jednom provideorvi, který dává (nebo aspoň nějakou dobu dával) zákazníkům adresy z nějaké podsítě 30.0.0.0/8, samozřejmě za NATem a to ještě s prapodivnými omezujícími pravidly (něco ve stylu - smíte používat tyhle čtyři adresy, ale maska sítě byla 255.255.255.0).

[pavlix]

něco ve stylu - smíte používat tyhle čtyři adresy, ale maska sítě byla 255.255.255.

To je naprostý standard, minimálně u UPC jsem to viděl osobně.

[qiRzT]

Mě především zaujala ta adresa proužitá pro vnitřní síť.

[Michal Kubeček]

IMHO je to taková sázka do loterie - prostě předpokládají, že je příliš malá pravděpodobnost, že by náhodou někdy zákazník potřeboval komunikovat se strojem, který skutečně má takovou adresu. Ale dost možná je to ještě horší a ani si to neuvědomují…

[qiRzT]

Skoro bych řek, že si to neuvědomujou. Nenapadá mě jediný důvod, proč by někdo volil tuhle síť místo 10.0.0.0/8. Leda snad, že by se jim torjka líbila víc než jednička.

[pavlix]

Komentovat to nebudu, snad bude každému jasné, o co jde...

Tak mě teda není vůbec jasné, o co tobě jde.

Napadá mě hned několik věcí:

1) Vadí ti absence reverzních záznamů.

2) Vadí ti použití privátního rozsahu pro transport.

3) Vadí ti velký počet skoků.

4) Vadí ti údajný NAT, který si myslíš, že je v síti použit.

[Luk]

1) Vadí ti absence reverzních záznamů.

Ne.

Vadí ti použití privátního rozsahu pro transport.

Samo o sobě ne, ale viz dále.

Vadí ti velký počet skoků.

Ano.

Vadí ti údajný NAT, který si myslíš, že je v síti použit.

Nemyslím si, že je NAT v síti použit. Ale myslím si, že použit bude. Ne teď, ale třeba za půl roku. Použití privátního rozsahu, navíc v kombinaci s velkým počtem skoků, u mě právě vyvolává podezření, že připravují síť pro zastrčení zákazníků za NAT. Možná se ale mýlím a jsem jen příliš podezíravý...

[Ondrej 'SanTiago' Zajicek]

Vadí ti velký počet skoků.

Ano.

A proc? Velky pocet skoku je akorat znamka toho, ze v siti spis routuji nez switchuji, coz samo o sobe pro koncoveho uzivatele prakticky nehraje roli.

[Luk]

Víc routerů = více směrovacích tabulek = víc potenciálních problémů.

[pavlix]

Víc routerů = více směrovacích tabulek = víc potenciálních problémů.

Píšeš jako by s bridgováním žádné problémy nebyly :D.

[Ondrej 'SanTiago' Zajicek]

No, switchovani je vicemene podobne problematicke jak routovani. A v nekterych ohledech o dost problematictejsi - napr. rozumne dynamicke vyuziti redundanich spoju v siti umi vicemene kazdy router (pomoci OSPF), zatimco u switchu je to dost problem (STP a jeho varianty za rozumne rozhodne nelze provozovat).

[sigma]

Vzhledem k tomu, co je schopen odhalit traceroute, bych stejně závěry nedělal. Hlavně u toho ADSL pod tím dříve bylo ATM a SDH, dnes už dost možná MPLS. Takže ta hlavní dynamická a redundantní magie se nejspíš dělá už o úroveň níže. Takže jeden hop v traceroute jde klidně přes 5 zařízení v různých lokalitách. I když kdo ví, co za kouzla s tím T-M udělal po převzetí -- a tomu bych přisuzoval i ten "divný" trace.

Páteřní trasy totiž zůstaly ČRA, a ty byly pro jejich ADSL využívány zcela určitě. A museli se s T-M nějak dohodnout, jak dál. I za dob ČRA jsem slyšel různé strašidelné historky o jejich technologii - "nemůžeme vám na tomto bodě dát konektivitu, protože tam máme jen ATM/STM-1 rádio (p2p licencovaný MW spoj), a to je po okraj plné, jelikož na něm krom distribuce TV visí přes další STM-1 rádio celá ADSL LLU ústředna pro krajské město...".

[pavlix]

Nemyslím si, že je NAT v síti použit. Ale myslím si, že použit bude. Ne teď, ale třeba za půl roku. Použití privátního rozsahu, navíc v kombinaci s velkým počtem skoků, u mě právě vyvolává podezření, že připravují síť pro zastrčení zákazníků za NAT. Možná se ale mýlím a jsem jen příliš podezíravý...

Můj názor je, že používáš naprosto nesmyslné indicie pro vyvození celkem pravdivého závěru.

Na strkání koncových uživatelů za NAT se momentálně připravují všichni, kdo pracují s velkým množstvím koncových zákazníků, kteří se dají takto odrbat, aby zbyly IPv4 adresy na lépe platící zákazníky.

A nemyslím si, že je nějaký významný rozdíl mezi těmi, co používají na vnitřku veřejné IP a těmi, co tam mají privátní.