NAT explicado: traducción de direcciones y puertos en redes IPv4
Cómo conectan NAT estático, NAT dinámico y PAT las direcciones IPv4 privadas y públicas, y dónde están los límites de la traducción.
Qué aprenderá
Conocimientos que puede aplicar.
- Distinguir NAT estática, NAT dinámica y PAT
- Leer las direcciones inside-local e inside-global en una tabla de traducción
- Separar los problemas de NAT de los de enrutamiento, ACL y aplicación
NAT traduce direcciones en el límite de una red; PAT también traduce puertos para que varios clientes puedan compartir direcciones IPv4 públicas. La traducción sigue necesitando un enrutamiento correcto y una política de firewall explícita.
Por qué se utiliza la traducción de direcciones
IPv4 tiene aproximadamente 4.3 mil millones de direcciones, menos que el número de dispositivos conectados. El direccionamiento privado dentro de una red y el público en su perímetro permiten compartir conectividad a muchos dispositivos. Por ejemplo, los clientes internos 192.168.1.10, 192.168.1.20 y 192.168.1.30 aparecen mediante la dirección pública 203.0.113.5. Las direcciones privadas RFC 1918 no se enrutan globalmente.
NAT estática es una correspondencia permanente de uno a uno, por ejemplo para un servidor. NAT dinámica elige de un conjunto de direcciones públicas. PAT, a menudo llamada NAT overload, distingue muchas conexiones internas mediante una o unas pocas direcciones públicas y puertos traducidos.
Leer una traducción PAT
Inside local suele significar la dirección de un host vista desde su red; inside global es su dirección visible externamente. NAT cambia las direcciones y, con PAT, los puertos de origen, mientras guarda el estado en una tabla. No decide el enrutamiento por sí sola: siguen siendo necesarios interfaces, rutas y listas de acceso correctos.
En este ejemplo simplificado, 192.168.1.10:5001 se convierte en 203.0.113.5:10001, mientras que 192.168.1.20:5001 se convierte en 203.0.113.5:10002. Ambas conexiones ilustrativas tienen como destino 8.8.8.8:80. El estado de traducción asocia cada conexión de retorno con su cliente interno; puertos de origen internos idénticos no tienen por qué convertirse en puertos externos idénticos.
NAT no es un firewall
Con PAT, una conexión entrante arbitraria y no solicitada no se asocia automáticamente con un host interno si no existe un estado coincidente. Eso no sustituye una política de seguridad definida. El reenvío de puertos, las correspondencias estáticas y los asistentes de protocolo pueden exponer servicios. Un firewall evalúa el tráfico según reglas, zonas, identidades o aplicaciones.
Modificar las cabeceras complica algunos protocolos, el diagnóstico y la conectividad de extremo a extremo. IPv6 ofrece un espacio de direcciones mucho mayor; su seguridad procede del filtrado y la segmentación, no de conservar deliberadamente la escasez de direcciones.
El diagnóstico empieza antes de la traducción
Compruebe primero que el host interno puede alcanzar su puerta de enlace y que existe una ruta al destino. Después inspeccione clasificación NAT, ACL, tabla de traducción y ruta de retorno. Si no hay una entrada, puede que el tráfico no llegue al dispositivo o no coincida con la regla. Una entrada sin respuesta puede indicar problemas de enrutamiento ascendente, filtrado o servicio de destino.
Capture tráfico a ambos lados para confirmar los cambios previstos de dirección y puerto. Dimensione los registros para el volumen real de PAT, especialmente si las conexiones deben atribuirse después a clientes internos, y supervise la capacidad de puertos disponible.
Lista de comprobación práctica
- 01
Compruebe las interfaces inside/outside y el enrutamiento.
- 02
Compare la red de origen, el destino y la ACL de NAT con el tráfico de prueba.
- 03
Observe las entradas de traducción y los contadores durante una prueba específica.
- 04
Compruebe ambas direcciones para detectar enrutamiento asimétrico o filtrado.
- 05
Supervise los registros NAT y la capacidad de puertos.
Preguntas frecuentes
¿Por qué un servicio funciona internamente, pero no mediante su dirección pública?
Las posibles causas incluyen ausencia de reenvío de puertos, reglas del firewall, una ruta de retorno incorrecta o falta de hairpin NAT para acceder desde dentro a la dirección pública.
¿NAT hace segura una red?
No por sí sola. La seguridad depende del filtrado explícito, la segmentación, los servicios seguros, la identidad y la supervisión. NAT traduce principalmente direcciones y puertos.
Una oferta relacionada
Cómo puede ayudarle Bissolux
Convierta lo aprendido en un paso práctico. Revise el alcance, el precio y las exclusiones de la oferta antes de realizar el pedido.
Publicidad · BissoluxInfraestructura de TI
Describa sus sistemas y necesidades. Acordaremos el trabajo, las responsabilidades y las condiciones antes de la implementación. El contacto se ofrece en inglés.
Publicidad · BissoluxSegmentación de redes y accesos
Describa sus sistemas y necesidades. Acordaremos el trabajo, las responsabilidades y las condiciones antes de la implementación. El contacto se ofrece en inglés.