NAT es lo que permite que todos los equipos de una oficina salgan a internet con una sola dirección pública. Muchos lo toman por una medida de seguridad, pero la guía del NIST lo deja claro: es una técnica de encaminamiento y no sustituye a un cortafuegos.
Foto: Nothing Ahead, en Pexels
NAT son las siglas de Network Address Translation, traducción de direcciones de red. El RFC 2663 lo define como un método para hacer corresponder direcciones IP de un ámbito con las de otro. En la práctica, es el motivo por el que los equipos de tu red usan direcciones que no existen en internet y aun así navegan.
Tu red interna usa direcciones privadas. El RFC 1918 reserva tres rangos para ello:
Estas direcciones se repiten en millones de redes, así que no sirven para hablar con internet. Cuando un equipo sale, el router o el cortafuegos cambia su dirección privada por la pública y apunta el cambio en una tabla. Cuando vuelve la respuesta, consulta la tabla y la entrega al equipo correcto.
| Equipo interno | Sale a internet como |
|---|---|
| 192.168.1.20, puerto 50000 | 203.0.113.5, puerto 40001 |
| 192.168.1.21, puerto 50000 | 203.0.113.5, puerto 40002 |
Los dos equipos comparten dirección pública. Lo que los distingue es el puerto, y por eso no se confunden las respuestas.
| Tipo | Qué traduce | Para qué se usa |
|---|---|---|
| NAT básico | Solo la dirección IP | Cuando se dispone de un bloque de direcciones públicas |
| NAPT, o PAT | La dirección y el puerto | Compartir una dirección pública entre muchos equipos: es lo habitual en una oficina |
| Correspondencia estática o reenvío de puertos | Una dirección o un puerto fijos hacia un equipo interno | Publicar un servicio, como un servidor web o una VPN |
| CGNAT | Lo mismo que NAPT, pero en el operador | Que varios clientes compartan una dirección pública |
El RFC 3022 describe los dos primeros como «NAT tradicional», en el que las sesiones salen de la red privada, y admite las de sentido contrario como excepción, con correspondencias estáticas para equipos concretos. Eso es lo que hace el reenvío de puertos.
Los nombres cambian de un fabricante a otro: SNAT o enmascaramiento para la salida, DNAT o «servidor virtual» para la entrada. Conviene mirar lo que hace cada opción, no cómo se llama.
La confusión viene de un efecto secundario. Como no hay entrada en la tabla hasta que alguien de dentro sale, un equipo de fuera no puede iniciar una conexión con uno interno. El propio RFC 2663 reconoce que mucha gente ve el NAT como un filtro de un solo sentido.
La guía de cortafuegos del NIST es más tajante:
Lo que NAT no hace, y un cortafuegos sí, es decidir con reglas qué sale y qué entra, ni registrar lo que ocurre. Además, no sirve de nada ante lo que ya empieza dentro: un equipo infectado que conecta hacia afuera pasa por el NAT como cualquier otro.
El reenvío de puertos deja un servicio interno al alcance de internet. Si no hay más remedio que publicarlo, lo normal es aislarlo en una DMZ para que un fallo en ese equipo no dé paso al resto de la red.
Con CGNAT (Carrier-Grade NAT), el operador comparte una dirección pública entre varios clientes. Tu router queda detrás de otro NAT que no controlas, y eso tiene una consecuencia práctica: el reenvío de puertos de tu router deja de bastar, porque desde internet nadie llega hasta él.
Para esto, el RFC 6598 reservó el rango 100.64.0.0/10, pensado para conectar los equipos CGN del operador con el router del cliente. Si la dirección WAN de tu router empieza por 100.64 a 100.127, es muy probable que estés en ese caso. Si necesitas recibir conexiones desde fuera, por ejemplo una VPN entre sedes, pregunta a tu operador si puede darte una dirección pública.
Esta lista es criterio de esta web, no de ninguna de las normas citadas:
No es esa su función. La guía de cortafuegos del NIST explica que NAT no forma parte de la seguridad de un cortafuegos: impedir que alguien de fuera inicie una conexión se consigue igual con un cortafuegos con estado, y sin los problemas que NAT da a algunos protocolos.
El NAT básico traduce solo direcciones IP. NAPT, que muchos fabricantes llaman PAT, traduce también el puerto, y eso permite que muchos equipos compartan una sola dirección pública.
Una señal es que la dirección WAN de tu router esté en el rango 100.64.0.0/10, reservado para conectar los equipos de CGNAT del operador con el router del cliente. También puede estar detrás con otras direcciones, así que en caso de duda pregunta al operador.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
