El NAT de destino (DNAT) reescribe la dirección IP de destino —y, opcionalmente, el puerto de destino— de los paquetes entrantes y, a continuación, invierte esa traducción en las respuestas. Es el mecanismo que permite acceder a un servidor situado en una red privada, como un servidor web en una DMZ, a través de una dirección IP pública sin revelar su dirección interna real.
Puntos clave
- DNAT reescribe la dirección IP y el puerto de destino de los paquetes entrantes.
- Expone un servidor con dirección privada a la red pública de Internet.
- El reenvío de puertos es una forma simplificada de DNAT que ofrece un único servicio.
- El NAT doble combina el DNAT con el NAT de origen en una sola regla de traducción.
- Versa VOS configura el DNAT mediante grupos CGNAT y reglas de traducción.
En esta página: Por qué es importanteCómo funcionaTiposDNAT y VersaPreguntas frecuentes
¿Por qué es importante el DNAT?
Muchas organizaciones gestionan servidores internos —servidores web front-end, servidores de retransmisión de correo, servidores back-end de aplicaciones— con direcciones privadas no enrutables, pero siguen necesitando que se pueda acceder a determinados servicios desde Internet o desde redes asociadas. Enrutar una dirección pública directamente a un host interno dejaría al descubierto el direccionamiento real de la red. El DNAT resuelve este problema: una puerta de enlace anuncia una dirección IP pública, reescribe el destino de las conexiones coincidentes a la dirección privada del servidor real y revierte esa reescritura a la salida, de modo que la dirección del host interno nunca es visible desde el exterior.
Dado que solo cambian los campos de destino, ningún elemento situado antes del dispositivo NAT necesita conocer la topología interna. Este es el principio en el que se basan tanto el «reenvío de puertos» de los routers domésticos como los diseños de DMZ empresariales, y se puede ampliar hasta implementaciones de NAT de nivel de operador que proporcionan a numerosos servicios una presencia pública a partir de un conjunto de direcciones limitado.
¿Qué es el DNAT?
Un dispositivo DNAT intercepta los paquetes entrantes dirigidos a una dirección IP pública y un puerto, y reescribe los campos de destino con la dirección IP privada y el puerto del servidor real antes de reenviar el paquete. Se mantiene el estado por flujo, por lo que los paquetes de respuesta —que llevan la dirección privada como origen— reciben la traducción inversa antes de llegar al cliente. Desde el punto de vista del cliente, parece que la conexión termina en la dirección pública; el servidor solo ve las cabeceras traducidas.
El puerto publicado y el puerto en el que el servidor está a la escucha no tienen por qué coincidir: el DNAT puede asignar un puerto externo no estándar a uno interno estándar, lo cual resulta útil para ganar flexibilidad y ocultar ligeramente la dirección. El DNAT es lo contrario del NAT de origen (SNAT), que reescribe la dirección de origen de los paquetes salientes para que muchos hosts compartan un conjunto más reducido de direcciones públicas; a menudo, ambos se combinan en una sola regla («doble NAT») cuando es necesario realizar la traducción en ambas direcciones.
Tipos de DNAT
El DNAT estático asigna una dirección IP pública —y, opcionalmente, un rango de puertos— a una dirección IP privada de forma fija y uno a uno; este es el patrón estándar para publicar un único servidor. El reenvío de puertos es un caso simplificado del mismo mecanismo, limitado a una conexión WAN, una dirección y un rango de puertos, para exponer un único servicio sin necesidad de un conjunto completo de reglas. El DNAT dinámico asigna la dirección de destino a partir de un conjunto de direcciones en lugar de una asignación fija; VOS utiliza esto para la ofuscación de red, en la que la dirección que se indica a un cliente DNS que utilice está vinculada dinámicamente a la dirección real del servidor, aunque es diferente de ella. El NAT doble realiza DNAT y NAT de origen dentro de una misma regla, traduciendo ambas direcciones de un flujo a la vez, lo cual resulta útil cuando, de otro modo, los espacios de direcciones internos y externos se solaparían.
DNAT y Versa
VOS configura el NAT de destino como parte de CGNAT, desde «Configuración > Servicios > CGNAT» en Director o desde «Configurar > Secure SD-WAN > Servicios de red > Políticas de CGNAT » en Concerto; véanse los apartados «Configurar CGNAT » y «Configurar políticas de CGNAT». Un grupo de CGNAT contiene las direcciones privadas reales de los hosts situados detrás de la DMZ; una regla identifica el tráfico entrante y aplica NAT de destino 44 o reenvío de puertos (un atajo simplificado), mientras que VOS se encarga automáticamente de la traducción inversa.
La sección «Configuración y verificación de NAT de destino» presenta un ejemplo: un usuario accede a la IP pública de un servidor web en el puerto 8080, y el CPE de VOS traduce la sesión a la dirección real del servidor en el puerto 80, visible en la tabla de sesiones NAT de la CLI y en la pestaña «Monitor» del Director. Las versiones posteriores incorporan DNAT dinámico para la ofuscación de red, junto con un proxy DNS que responde a las consultas de los clientes desde el grupo dinámico.
Preguntas frecuentes
¿Cuál es la diferencia entre DNAT y SNAT?
El DNAT reescribe la dirección de destino de los paquetes entrantes, normalmente para dar visibilidad pública a un servidor interno. El SNAT reescribe la dirección de origen de los paquetes salientes, de modo que varios hosts puedan compartir un conjunto más reducido de direcciones públicas. Ambos invierten la traducción en el tráfico de retorno.
¿Cuál es la diferencia entre DNAT y el reenvío de puertos?
El reenvío de puertos es una configuración simplificada de DNAT, limitada a una única conexión WAN, una dirección y un rango de puertos, y destinada a dar acceso a un servicio de forma rápida. Las reglas completas de NAT-44 de destino admiten criterios de coincidencia más amplios, grupos de direcciones de destino traducidas y la reutilización en múltiples servicios.
¿DNAT traduce tanto el puerto como la dirección IP?
Sí, de forma opcional. DNAT puede reescribir únicamente la dirección IP de destino, o bien la dirección IP y el puerto a la vez, lo que permite que un servicio publicado en un puerto externo se reenvíe a un puerto diferente en el que el servidor interno está a la escucha; VOS se encarga del reenvío automáticamente.
¿Cómo verifica el VOS de « Versa » una traducción DNAT?
VOS muestra las sesiones NAT activas desde la CLI, indicando la dirección IP externa y el puerto a los que se ha conectado un cliente, junto con la dirección IP interna y el puerto a los que se ha traducido. Estas mismas sesiones se pueden ver en la pestaña «Monitor» de Versa Director, lo cual resulta útil para confirmar que una regla funciona según lo previsto.
¿Para qué se utiliza el DNAT dinámico en un CGNAT de Versa ?
El DNAT dinámico asigna la dirección de destino a partir de un conjunto de direcciones, en lugar de utilizar una correspondencia fija. El protocolo « Versa » lo utiliza para la ofuscación de red, en la que la dirección que resuelve un cliente DNS difiere de la dirección real del servidor para esa sesión y se vincula dinámicamente a ella.
Más información sobre DNAT
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| RFC 2663: Terminología y consideraciones sobre NAT | RFC 3022: Traductor tradicional de direcciones de red IP |
|---|---|
| El vocabulario básico de NAT de la IETF: NAT básico, NAPT y los conceptos en los que se basa el DNAT. | El estándar original que define cómo los dispositivos NAT traducen las direcciones entre distintos ámbitos. |
Términos relacionados
Si estás leyendo sobre DNAT, te conviene echar un vistazo a lo siguiente.
| Reenvío de puertos | Sistema de Nombres de Dominio | Protocolo de Conexión Segura (SSL) |
|---|---|---|
| Una forma simplificada y de servicio único de DNAT que asigna un par de dirección y puerto externos a un host interno. | El servicio de resolución de nombres se resuelve antes de que comience una sesión de DNAT; el DNAT dinámico asigna una dirección diferente por cada respuesta. | El protocolo que suele utilizarse para proteger los servidores web internos que DNAT publica externamente. |